DNS filtrado é uma das melhores jogadas grátis do bloqueio: aponte um aparelho para um resolvedor de família e milhares de domínios adultos param de resolver em todo navegador e app de uma vez. Ele tem uma fraqueza fatal como conserto isolado: o ajuste pertence a você, e um ajuste que você consegue mudar é um ajuste que você vai mudar à 1h. Então a tarefa real não é escolher um DNS, é fixá-lo, remover o botão em vez de confiar que você não vai apertá-lo. A TKO’T faz isso fixando o DNS no nível do sistema, de graça, então o botão some, e o mesmo princípio se aplica aparelho por aparelho abaixo. Defesa apenas: isto tranca a porta, não ensina o bypass.
Onde a fixação vive, camada por camada
Cada aparelho fixa o DNS num lugar diferente, e a regra que vale para todos é a mesma: a chave de destravar fica com outra pessoa. Antes de entrar em cada um, vale a visão geral de onde a trava mora e quem segura a chave:
| Onde fixar | O que cobre | Quem guarda a chave |
|---|---|---|
| iPhone (perfil de configuração) | O resolvedor do sistema, todo app e navegador | Você, com o código de Tempo de Uso de outra pessoa |
| Android (DNS privado gerenciado) | O resolvedor do sistema | Uma conta de controle de outra pessoa |
| Mac ou Windows (conta sem admin) | Ajustes de rede e adaptadores | A senha de admin de outra pessoa |
| Roteador (senha de admin) | A casa inteira, menos dados móveis e DoH | Outra pessoa |
A última coluna é o ponto inteiro: uma trava cuja chave você guarda no próprio bolso não é uma trava, é um lembrete.
Como travar o DNS no iPhone para não mudar na hora da vontade
No iPhone, travar o DNS é trabalho de um perfil de configuração travado, não de uma disciplina que você renova toda noite. Um perfil de configuração fixa o resolvedor no nível do sistema, o mesmo mecanismo que o bloqueio de iPhone no nível do sistema usa, e a Apple documenta como a imposição de perfil de configuração segura ajustes gerenciados no lugar. Junte um código de Tempo de Uso na mão de outra pessoa por cima dos ajustes de rede, para eles não poderem ser simplesmente resetados, e o resolvedor fica fixo mesmo na hora da vontade. A TKO’T impõe o DNS assim por desenho, então no iPhone o botão some em vez de só ser desencorajado.
Como impedir a troca de DNS no celular de forma permanente
“Permanente” no próprio celular é honestamente “travado atrás de uma credencial que você não guarda”, e qual credencial depende do aparelho. No iPhone, é o perfil de configuração mais o código de Tempo de Uso na mão de alguém. No Android, o caminho nativo é o DNS privado definido por uma conta de controle que outra pessoa administra, porque sozinho, no seu próprio aparelho, você sempre consegue desfazer em segundos, e prometer “permanente de verdade” seria mentira. A TKO’T roda no Mac e no iPhone, não no Android, então num Android use o DNS privado gerenciado com a conta gestora na mão de uma pessoa de confiança. O ponto vale para os dois: nada num aparelho que é seu é trancado contra você sem alguém de fora segurando a chave.
Como bloquear o DNS over HTTPS no navegador para não burlar o roteador
O DNS over HTTPS no navegador é a camada que a maioria dos guias esquece, e ela derruba todo o resto em silêncio: navegadores modernos rodam o próprio DNS over HTTPS, mandando as consultas para um resolvedor da escolha do navegador por um canal cifrado que ignora o DNS do sistema inteiro. Você pode fixar o resolvedor do sistema perfeitamente, e um navegador com DoH ligado ainda passa por cima. Então fechar isso não é opcional:
- Nos ajustes de cada navegador, desligue o DNS seguro ou aponte ele para o seu resolvedor de filtro, e trave essa escolha com uma conta sem admin para não ser revertida.
- Em aparelhos gerenciados, um perfil ou política desativa o DoH do navegador de forma central.
- E o pega-tudo: um bloqueador de tela julga o que renderiza, não importa qual resolvedor respondeu, que é por que fixar o DNS e detectar na tela andam juntos. O DNS é o filtro barato em massa; a tela é a rede de segurança para o que achou outro caminho.
No Mac e no Windows, mudar o DNS ou trocar o adaptador de rede é ação de administrador, então a conta padrão sem admin faz o trabalho pesado aqui também: um usuário padrão não consegue editar ajustes de rede nem adicionar um adaptador novo para contornar o filtro.
Por que travar o DNS vence a força de vontade
A aritmética é a mesma de toda trava aqui: uma troca de DNS que você faz em quinze segundos perde para um desejo, e uma troca que exige uma senha de admin que você não tem, um perfil que você não consegue remover, ou um login de roteador que você deu para outra pessoa, leva mais tempo do que o desejo dura. É o movimento do dispositivo de compromisso aplicado a um ajuste de rede: o seu eu de cabeça fria fixa o resolvedor para o seu eu de momento fraco não ter botão para girar. E vale lembrar por que travar no aparelho vence travar só no roteador: o roteador não segue o celular para os dados móveis, então a parede que viaja com você é a do aparelho. Fixe o DNS, feche o DoH, guarde as credenciais com outra pessoa, e trave também a página do roteador como a camada da casa inteira.
Perguntas frequentes (FAQ)
Como travar o DNS no iPhone para eu não conseguir mudar na hora da vontade?
Use um perfil de configuração travado para definir o resolvedor no nível do sistema, e ponha um código de Tempo de Uso na mão de alguém de confiança por cima dos ajustes de rede para eles não serem resetados. Isso remove o botão em vez de depender de você não apertá-lo. A TKO’T impõe o DNS assim por desenho, de graça, então no iPhone o botão some em vez de só ser desencorajado, e o resolvedor fica fixo mesmo no momento da vontade.
Como impedir a troca de DNS no celular de forma permanente?
“Permanente” no próprio celular quer dizer “travado atrás de uma credencial que você não guarda”. No iPhone, é o perfil de configuração mais o código de Tempo de Uso na mão de outra pessoa. No Android, é o DNS privado definido por uma conta de controle que alguém de confiança administra, porque sozinho, no seu aparelho, você sempre desfaz em segundos. A TKO’T cobre Mac e iPhone, então num Android use o DNS privado gerenciado, com a chave de verdade na mão de outra pessoa.
Como bloquear o DNS over HTTPS no navegador para não burlar o roteador?
Desligue o DNS seguro (DNS over HTTPS) nos ajustes de cada navegador ou aponte ele para o seu resolvedor de filtro, depois trave essa escolha com uma conta sem admin para não ser revertida; perfis gerenciados desativam o DoH de forma central. Isso importa porque o DoH, do contrário, leva as consultas para fora do seu DNS de sistema e de roteador por inteiro, que é a brecha que a maioria dos setups deixa escancarada. Uma camada de tela cobre o que ainda passar.
Travar o DNS é inútil se já existe um bloqueador de tela?
Não, eles fazem trabalhos diferentes e são mais fortes juntos: fixar o DNS é o filtro barato em massa que mata milhares de domínios conhecidos antes de qualquer coisa carregar, enquanto a camada de tela é a rede de segurança para pedidos que acharam outro resolvedor ou um domínio novo. Fixar o DNS reduz quanto a tela precisa pegar; a tela cobre o que o DNS não consegue. Rode os dois, não um no lugar do outro.
Como travo a página de admin do roteador para não mudar o DNS de noite?
Troque a senha de admin do roteador e entregue a alguém de confiança, guardada lacrada num lugar inconveniente, para o padrão da rede não ser revertido em silêncio num momento fraco. Mantenha o roteador como uma camada só, porém: ele não enxerga dados móveis nem DNS cifrado, então junte com a fixação no aparelho e um bloqueador de tela para a cobertura completa. A página do roteador travada é a porta da casa; a do aparelho é a que viaja com você.