---
title: "O mapa completo das portas laterais que os bloqueios perdem"
description: "A maioria dos bloqueios guarda uma camada enquanto a recaída tem rota em cinco. As famílias de porta lateral e a única defesa que fecha cada uma."
url: https://tkot.com/journal/o-mapa-completo-das-portas-laterais/
canonical: https://tkot.com/journal/o-mapa-completo-das-portas-laterais/
author: "Arya Stark"
published: 2026-06-10
updated: 2026-06-10
category: "Loopholes"
tags: ["portas laterais", "vpn", "dns", "modo de segurança", "bloquear porno"]
lang: pt-br
---

# O mapa completo das portas laterais que os bloqueios perdem

> **TL;DR** A maioria dos bloqueios falha porque guarda uma camada enquanto as rotas de recaída existem em cinco: portas de rede (VPN, DNS criptografado, dados móveis), portas de navegador (anônimo, tradutores, navegador novo), portas dentro de apps (webviews, feeds, busca de GIF), portas de arquivo (hosts de PDF, nuvens, AirDrop) e portas de máquina (modo de segurança, contas de convidado, a chave de desligar). O conserto não é uma lista maior, é casar uma camada de defesa com cada tipo de porta. A TKO'T foi construída porta por porta assim, de graça, no Mac e no iPhone.

A maioria dos bloqueios falha porque guarda uma única camada enquanto a recaída tem rota em cinco. O conserto não é uma lista de proibição maior, é casar uma camada de defesa com cada tipo de porta, que é como a [TKO'T](/#download) foi construída, porta por porta, de graça, no Mac e no iPhone. As famílias são poucas, e cada uma tem exatamente uma defesa que funciona. Tudo aqui é defesa: o objetivo é nomear cada porta só o suficiente para fechá-la, sem citar sites.

## Por que sempre aparece mais uma brecha

Um bloqueio convencional é uma lista de endereços que ele se recusa a carregar. Esse projeto tem um ponto cego estrutural: ele só consegue parar conteúdo que chega de um endereço conhecido por um canal normal. Qualquer coisa que muda o endereço (um site espelho, um domínio recém-criado), esconde o endereço (um proxy, o [DNS sobre HTTPS](https://datatracker.ietf.org/doc/html/rfc8484)) ou nunca toca o sistema de endereços (um arquivo que te mandaram, conteúdo dentro de um app) passa direto. A pessoa tentando parar acaba descobrindo uma dessas por acaso, e depois disso o desejo sabe o caminho. Então as portas abaixo não são truques exóticos, são as folgas comuns entre camadas, e cada uma tem uma defesa correspondente.

## Portas de rede

**VPNs e proxies.** Uma VPN embrulha o tráfego para o filtro não ver para onde ele vai; proxies de web e sites espelho fazem o mesmo numa aba do navegador. Feche bloqueando as categorias de VPN e proxy no nível do dispositivo, não só sites soltos, e usando um bloqueio que ainda vê a tela depois que a camada de rede foi enganada.

**DNS criptografado.** Navegadores modernos podem trazer o próprio DNS sobre HTTPS, roteando as consultas em silêncio por fora do seu DNS de filtragem. Feche com um perfil de dispositivo que fixa os ajustes de DNS; a Apple documenta como uma [carga de DNS gerenciada](https://support.apple.com/pt-br/guide/deployment/dep91d2eb26/web) trava o resolvedor para os apps não escolherem o próprio.

**Dados móveis e roteamento.** Um filtro só de wifi morre no instante em que o wifi desliga. Feche com bloqueio no dispositivo que vai montado em toda conexão, que é também por que setups só de roteador são uma primeira camada, não a final.

## Portas de navegador

**Abas anônimas e privadas.** Num iPhone bem restringido elas somem por completo, que é o resultado correto. O ajuste de conteúdo cuida disso quando travado pelo código.

**O navegador novo.** Um navegador recém-instalado não herda nenhuma regra do antigo. Feche trancando a instalação de apps e filtrando por baixo da camada de navegador, no DNS e na tela, para um app novo não mudar nada.

**Tradutores e cache.** Serviços de tradução e visualizadores de página em cache reentregam uma página bloqueada a partir de um domínio permitido. Uma lista de domínios não vence aqui, porque o domínio é legítimo. Só uma camada que avalia o que de fato é renderizado na tela fecha essa porta de vez.

**Encurtadores de link.** Um link encurtado esconde o destino até ele já estar carregando. Mesma resposta: julgue o destino, não o endereço.

## Portas dentro de apps

**Navegadores embutidos e webviews.** Metade dos apps de um celular embute um navegador que ignora as regras do Safari. A filtragem no nível do sistema pega a metade da rede; a camada de tela pega o resto.

**Teclados de GIF e figurinhas.** A busca do próprio teclado puxa mídia sugerente para qualquer conversa sem nenhum site visitado; desative o recurso e deixe a camada de tela dar o reforço.

**Feeds e cantos adultos de plataformas normais.** Feeds sociais, teclados de figurinha e os cantos adultos de plataformas de streaming e jogo entregam material explícito de domínios que você não pode bloquear inteiros sem quebrar o serviço. Essa é a porta que as listas de categoria tratam pior e o bloqueio ciente de conteúdo trata melhor: a página está bem até o conteúdo não estar, e a decisão precisa acontecer na hora da renderização.

## Portas de arquivo

**Hosts de documento e PDF.** Material explícito é reempacotado em PDFs e apresentações em domínios comuns de hospedagem de documentos e nuvens que nenhuma lista sã consegue banir por inteiro.

**Desenho, texto e áudio.** Quadrinhos e mangá explícitos, texto erótico e áudio adulto cada um passa por um filtro afinado só para foto e vídeo, e cada um precisa da própria camada, a camada de tela para a imagem e o bloqueio por categoria para o resto.

**Mídia salva e compartilhamento ponto a ponto.** Qualquer coisa já baixada, ou recebida por AirDrop de outro aparelho, nunca toca um filtro. Limpar a mídia salva e desligar o AirDrop aberto fazem parte do setup, não são um detalhe depois.

## Portas de busca

**SafeSearch que desliga sozinho.** O [SafeSearch do Google](https://support.google.com/websearch/answer/510?hl=pt-BR) filtra resultados explícitos, mas só ajuda enquanto está travado. Buscadores alternativos que ignoram o SafeSearch são a jogada clássica seguinte. Feche os dois forçando o SafeSearch no nível do dispositivo e bloqueando os buscadores que não o respeitam, e trate a busca de imagens como a porta lateral que ela é, as [restrições de conteúdo](https://support.apple.com/pt-br/105121) cobrem a metade do iPhone.

## Portas de máquina

**Modo de segurança, contas de convidado e perfis novos.** Um bloqueio que não sobrevive a um boot em modo de segurança, ou que não existe para a conta de convidado, é software opcional. Feche com instalação no nível do sistema e tirando os seus próprios direitos de administrador.

**A própria chave de desligar.** A porta mais usada do mapa inteiro é a legítima: o botão de desinstalar à uma da manhã. A resposta é [um bloqueio resistente a violação](/journal/bloqueio-resistente-a-violacao/), em que desfazer é mais lento do que o desejo dura, com a chave na mão de outra pessoa.

## Como desativar o navegador na tela do assistente de voz da sala

O alto-falante com tela na sala é uma porta de máquina esquecida: ele tem navegador e resultados de web que a maioria das pessoas nunca pensa em fechar. Desative o navegador e os recursos de resultado da web nos ajustes do aparelho, ligue o filtro de conteúdo da busca por voz, porque a busca falada também abre páginas, e deixe o filtro da rede de casa cobrir o aparelho por baixo. No setup mais amplo, [as telas além do celular](/journal/bloquear-conteudo-adulto-em-tv-consoles-e-vr/), a TV, o console, o óculos, o relógio, fecham do mesmo jeito: filtre a rede para o padrão ser limpo, desative o navegador de cada aparelho, e mantenha a credencial com quem não está em risco à meia-noite.

## Case a camada com a porta

Leia o mapa de novo e um padrão aparece: toda porta pertence a uma de poucas famílias, e cada família tem exatamente uma defesa que funciona.

| Família de porta | O que ela vence | A camada que a fecha |
|---|---|---|
| Truques de endereço (VPN, proxy, domínio novo, encurtador) | Listas de domínio | Bloqueio de categoria VPN/proxy mais camada de tela |
| Truques de renderização (tradutor, cache, feed, webview) | Toda filtragem de rede | Detecção na tela na hora da renderização |
| Truques de ajuste (trocar DNS, SafeSearch off, modo seguro) | Configs na base da confiança | Perfis travados mais instalação no sistema |
| A chave de desligar | Todo o resto | Resistência a violação, desfazer mais lento que o desejo |

Essa é a arquitetura que a TKO'T transforma em produto: uma camada de DNS para as portas em forma de endereço, um vigia de tela no dispositivo que lê o que é de fato renderizado e fecha a janela em menos de 80 milissegundos para as portas que o DNS não vê, SafeSearch e buscadores travados, e resistência a violação sobre tudo. Comece pelo [setup completo do iPhone](/journal/bloqueio-de-iphone-no-nivel-do-sistema/) e volte a este mapa sempre que uma rota nova te surpreender. Ela vai pertencer a uma dessas famílias, e a família te diz o conserto.

## Por onde começar, sem se afogar no mapa

Seis famílias de porta de uma vez assustam, então feche na ordem de maior alavanca e desça, porque cada passo cobre uma folga que o anterior deixou. Primeiro, entregue a chave de desligar: decida quem guarda o código antes de qualquer ajuste, porque sem isso todo o resto é uma sugestão. Segundo, feche a porta de máquina, a instalação no nível do sistema e a conta sem administrador, porque é a camada que sobrevive ao modo de segurança e à conta de convidado. Terceiro, feche as portas de rede com um DNS de filtragem fixado e travado, que de uma vez cobre VPN conhecida, domínio novo e o wifi de casa inteiro. Quarto, adicione a camada de tela para as portas de renderização, tradutor, cache, feed, webview, que nenhuma filtragem de rede pega. As portas de arquivo e de busca entram como reforço depois disso. Você não precisa fechar as seis num dia; uma família de cada vez, nessa ordem, já tira a deriva fácil da mesa antes de você terminar.

## O limite honesto

Nenhum mapa é hermético. Uma pessoa de fato determinada, com um ponto de acesso de outro aparelho ou uma restauração de fábrica, ainda encontra uma volta, e um bloqueador é suporte, não terapia. O que o mapa fecha é a deriva casual e a brecha de dois toques, que é como a maioria das recaídas de fato acontece. Combine as camadas técnicas com uma pessoa para conversar a parte que a parede não resolve, e se o uso está prejudicando seriamente a sua vida, traga ajuda profissional ao lado das camadas, não no lugar delas.

## Perguntas frequentes (FAQ)

**Como desativo o navegador na tela do assistente de voz da sala?** Desative o navegador e os recursos de resultado da web nos ajustes do aparelho, ligue o filtro de conteúdo da busca por voz, porque a busca falada também abre páginas, e deixe o filtro da rede de casa cobrir o aparelho por baixo. A TKO'T cuida do celular e do Mac; o filtro do roteador cobre o alto-falante e as outras telas esquecidas, com a credencial de desbloqueio na mão de alguém de confiança.

**Por que meu bloqueador deixa passar conteúdo mesmo bloqueando os sites?** Porque ele guarda uma camada, a lista de endereços, enquanto a recaída tem rota em cinco: rede, navegador, dentro de apps, arquivo e máquina. Qualquer coisa que muda, esconde ou não usa o endereço passa direto por uma lista. O conserto não é uma lista maior, é casar uma defesa com cada família de porta: bloqueio de categoria para a rede, detecção na tela para a renderização, perfis travados para os ajustes e resistência a violação para a chave de desligar.

**Como bloqueio o conteúdo que vem por VPN ou DNS criptografado?** Bloqueie as categorias de VPN e proxy no nível do dispositivo, não só sites soltos, e fixe os ajustes de DNS com um perfil gerenciado para os apps não escolherem o próprio resolvedor. Por cima, use um bloqueio que ainda lê a tela depois que a rede foi enganada, porque o conteúdo, venha por onde vier, tem que renderizar para ser visto, e a camada de tela julga o que é renderizado.

**Um filtro consegue pegar tradutores e páginas em cache?** Uma lista de domínios não, porque o domínio do tradutor ou do cache é legítimo. A única coisa que fecha essa porta é uma camada que avalia o que de fato é renderizado na tela, na hora da renderização, e fecha a janela independentemente de qual domínio permitido reentregou a página. Julgue o destino e o conteúdo, não o endereço.

**Qual é a porta lateral mais usada de todas?** A legítima: o botão de desinstalar à uma da manhã. Por isso a camada por baixo de tudo é a resistência a violação, em que desfazer é mais lento do que o desejo dura, com a chave de desligar na mão de outra pessoa. Um desejo é curto; se a saída leva mais tempo do que a onda, a onda passa antes, e essa é a aposta inteira.

---

Source: https://tkot.com/journal/o-mapa-completo-das-portas-laterais/
Author: Arya Stark