Controles Parentais do YouTube à Prova de Burla: O Que Significa em Cada Dispositivo

Resumo (TL;DR): Todo controle parental que reside apenas dentro de um aplicativo ou navegador pode ser desativado pela criança que o utiliza. A única proteção que se mantém é aquela que seu filho não tem permissão para tocar: o próprio sistema de contas e políticas do sistema operacional, controlado pela sua senha. O WhitelistVideo baseia-se nessa camada no Windows, macOS, iOS, Android e Chromebooks gerenciados, e então realiza a tarefa na qual o sistema operacional não é bom: decidir quais vídeos do YouTube são reproduzidos.

Por que os controles parentais continuam sendo desativados

A descoberta geralmente acontece por acaso. Você abre o tablet para verificar algo e o filtro que configurou em março está desativado desde abril. Sem alerta, sem confronto. Seu filho encontrou o botão de alternância, e o botão fez o que botões fazem.

Isso não é uma falha de um único produto. É uma falha de design compartilhada por toda uma categoria. O Modo Restrito é uma configuração dentro do próprio YouTube, na mesma tela que a criança usa para mudar sua foto de perfil. O YouTube Kids é um aplicativo separado que uma criança de nove anos abandona no momento em que descobre que o aplicativo normal existe. Uma extensão de filtro que uma criança pode desativar na página de Extensões é um filtro apenas pelo tempo que a criança decidir mantê-lo.

O ponto comum: o controle reside dentro da coisa que ele deveria controlar, em um nível de permissão que a criança já possui. Qualquer coisa que você possa instalar com os direitos de uma criança, uma criança pode remover com os mesmos direitos.

O princípio: a proteção deve residir onde seu filho não tem permissões

Todo sistema operacional moderno já vem com uma camada construída exatamente para este problema. O Windows e o macOS separam contas de Administrador de contas Padrão. O Screen Time e os Controles Familiares da Apple são protegidos pelo Apple ID do pai. O Google Family Link é impulsionado por uma conta de criança supervisionada que apenas o pai pode alterar. O ChromeOS responde a quem gerencia o dispositivo.

Essas camadas foram projetadas para que a decisão de uma pessoa não possa ser desfeita por outra com menos direitos. Essa é a propriedade que um controle parental precisa, e é a propriedade que a maioria dos aplicativos de controle parental ignora. Eles tentam reconstruí-la com truques: túneis VPN, sobreposições de serviços de acessibilidade, ganchos de administração de dispositivo. Cada um desses pode ser desativado nas Configurações pela criança, porque a criança é dona da conta em que eles rodam.

O WhitelistVideo não luta contra o sistema operacional. Ele o recruta. Em cada plataforma, o pai conclui uma etapa curta em nível de SO que apenas um pai pode concluir, e o WhitelistVideo verifica se essa etapa está ativa antes de reportar o dispositivo como protegido.

Divisão de tarefas: o SO tranca a porta, o WhitelistVideo escolhe os vídeos

Um sistema operacional é bom em uma coisa: decidir quais aplicativos e configurações um determinado usuário pode tocar. Ele é péssimo em decidir se um vídeo específico do YouTube é adequado para seu filho de onze anos. O Family Link e o Screen Time podem bloquear o YouTube inteiramente ou permiti-lo inteiramente. Nenhum deles pode permitir um canal e recusar outro, e o Family Link só permite bloquear um canal depois que seu filho já o assistiu.

O WhitelistVideo é o oposto. Sua camada de conteúdo é uma extensão do Chrome e Edge em computadores, um aplicativo para crianças no iPhone, iPad, Android e Android TV, todos lendo uma única lista branca (whitelist) controlada pelos pais que sincroniza em tempo real. Tudo no YouTube é bloqueado por padrão. Apenas canais e vídeos que você aprovar serão reproduzidos, e seu filho pode solicitar um novo canal de dentro do aplicativo em vez de procurar uma forma de burlar.

Assim, a divisão é clara. O SO decide quem pode alterar o quê. O WhitelistVideo decide o que é reproduzido. Nenhum dos dois é solicitado a fazer o trabalho do outro.

O que "à prova de burla" significa e o que não significa

À prova de burla significa que a criança não pode remover ou desativar a proteção sem as credenciais dos pais. Em um computador, essa é a senha de administrador. Em um iPhone, é a senha do Apple ID do pai. No Android, é o login de pai do Family Link. Em um Chromebook gerenciado, é o console Google Admin.

Não significa "nenhuma configuração necessária". Em cada plataforma, há uma etapa única de configuração no sistema operacional, que geralmente leva de cinco a dez minutos, e é isso que faz com que a lista branca se mantenha. Também não significa uma garantia universal contra todo truque concebível. Uma criança que sabe a senha de administrador é, para o dispositivo, o pai. As seções abaixo explicam claramente, para cada plataforma, o que seu filho precisaria ter para desfazer a proteção.

Windows: política de navegador gerenciada e um monitor (watchdog)

O Windows já sabe como impedir que um usuário Padrão altere configurações gerenciadas. O Chrome e o Edge obedecem a políticas corporativas armazenadas em chaves de registro que apenas um Administrador pode gravar. O instalador do WhitelistVideo para Windows grava a política correta e mantém uma guarda sobre ela.

O que o instalador configura

O instalador é executado por máquina e requer aprovação do administrador (o familiar prompt do UAC). Você escolhe qual conta do Windows pertence ao seu filho. A proteção é aplicada por conta, e contas de administrador não podem ser protegidas, o que é o comportamento correto: a criança deve ser um usuário Padrão. Para essa conta, o instalador grava as políticas do Chrome e Edge para que:

• A extensão WhitelistVideo seja de instalação forçada, fixada na barra de ferramentas e ativa em modo Anônimo. Ela não pode ser removida ou desativada na página de Extensões.
• Todas as outras extensões sejam bloqueadas, fechando a rota de "instalar uma segunda extensão para quebrar a primeira" e truques de bloqueadores de anúncios ou scripts de usuário.
• As Ferramentas do Desenvolvedor sejam desativadas e as URLs chrome://extensions e DevTools sejam bloqueadas.
• O modo Anônimo, modo Visitante e a criação de novos perfis de navegador sejam desativados. Não há perfil novo sem a extensão.
• O Modo Restrito do YouTube seja forçado para Estrito como uma segunda rede abaixo da lista branca.
• A atualização automática da extensão seja forçada, para que uma correção de segurança não possa ser impedida.

O Chrome documenta esses controles em sua lista de políticas corporativas; são os mesmos mecanismos que escolas e empresas usam para gerenciar milhares de máquinas.

O monitor (watchdog)

Uma política que pode ser deletada não é proteção. Por isso, o instalador também adiciona um serviço do Windows, o WhitelistVideo Watchdog, que roda como conta de sistema e inicia com a máquina. Ele monitora as chaves de registro da política em busca de alterações e as reaplica em cerca de um segundo se uma conta de criança as editar ou deletar, com uma varredura periódica como reforço. Remover o serviço ou desinstalar o WhitelistVideo requer privilégios de administrador.

Quem pode desfazer e o limite real

Um Administrador, e apenas um Administrador. Se seu filho tiver a senha de administrador, nenhum software no mundo poderá protegê-lo, portanto, a configuração recomendada é simples: filho em uma conta Padrão, o pai detém a única senha de administrador. O instalador cobre Chrome e Edge. O Firefox e outros navegadores não são filtrados, e a ferramenta certa para isso é a que já está no dispositivo: bloqueie ou limite-os com o Microsoft Family Safety, ou simplesmente não os instale na conta da criança. Os passos completos estão no guia de proteção avançada para Windows.

Mac: preferências gerenciadas, instaladas a partir da conta do seu filho

O macOS tem a mesma divisão entre usuário Padrão e Administrador, além de uma pasta chamada Managed Preferences (Preferências Gerenciadas) que apenas o sistema pode gravar. O Chrome e o Edge tratam o que encontram ali como política corporativa que o usuário não pode anular. Essa pasta é onde o instalador para Mac do WhitelistVideo coloca suas regras.

O que o instalador faz

O pacote recusa ser executado a partir de uma conta de administrador. A mensagem é direta de propósito: "WhitelistVideo deve ser instalado a partir da conta do seu filho, não de uma conta de administrador." Isso força o modelo correto. Seu filho é um usuário Padrão, e você digita a senha de administrador uma vez para autorizar a instalação. O instalador então grava arquivos de política do Chrome e Edge em todo o sistema para que a extensão seja de instalação forçada e fixada, todas as outras extensões sejam bloqueadas, os modos Anônimo e Visitante e novos perfis sejam desativados, as Ferramentas do Desenvolvedor sejam desligadas e uma versão mínima da extensão seja imposta para que uma versão antiga não possa ser usada para contornar uma correção. Um perfil de configuração assinado existe como uma forma alternativa de implementar as mesmas políticas.

Quem pode desfazer e o limite real

A desinstalação requer privilégios de administrador. Uma conta de criança Padrão não pode removê-lo. Como no Windows, a cobertura é para Chrome e Edge. O Safari e o Firefox não são filtrados, e é aqui que a divisão de tarefas aparece na prática: o Screen Time do macOS (Limites de Apps e Apps Permitidos) foi feito para bloquear aplicativos inteiros, então você usa o Screen Time para fechar o Safari e o Firefox na conta da criança, e o WhitelistVideo para controlar o que é reproduzido no Chrome. O guia de proteção avançada para Mac detalha ambos os processos.

iPhone e iPad: Apple Family Controls com um ID Apple para Crianças

A Apple oferece aos aplicativos de terceiros exatamente uma forma sancionada de restringir conteúdo em todo o sistema: o framework Family Controls por trás do Screen Time. O aplicativo para crianças do WhitelistVideo para iOS conecta-se diretamente a ele, e o design desse framework é o que torna a proteção difícil de desfazer.

Como funciona

• No primeiro lançamento, você aprova o acesso aos Family Controls. O aplicativo solicita a autorização da conta da criança, o modo que a Apple reserva para um ID Apple para Crianças no Compartilhamento Familiar. Nesse modo, revogar o acesso do WhitelistVideo ao Screen Time nas Configurações solicita o e-mail e a senha do Apple ID do pai, não o código de quatro dígitos do Screen Time. Uma criança não consegue fazer isso.
• Uma vez autorizado, o aplicativo aplica um filtro de web em todo o sistema que bloqueia youtube.com, m.youtube.com, youtu.be e music.youtube.com em qualquer outro navegador no dispositivo sempre que seu filho sair do aplicativo WhitelistVideo. Dentro do aplicativo, o filtro é levantado e o YouTube é reproduzido através da visualização da lista branca. Efeito líquido: o YouTube só existe naquele iPhone através do WhitelistVideo.
• O aplicativo verifica a existência do aplicativo nativo do YouTube e não concluirá a configuração para uma conta de criança enquanto ele ainda estiver instalado, porque o aplicativo nativo burlaria a filtragem inteiramente. Você o remove uma vez e define "Apagar Apps" e "Instalar Apps" do Screen Time como Não Permitir (ou Pedir para Comprar) para que ele não volte.
• Um PIN de pai no dispositivo da criança protege todas as configurações de proteção. É apenas PIN, com bloqueio após tentativas falhas, e deliberadamente não Face ID, porque o rosto cadastrado no telefone da criança é o da criança.
• Toda vez que o aplicativo vem para o primeiro plano, ele verifica novamente sua autorização. Se o acesso foi revogado, um banner persistente aparece com um botão "Permitir" que reabre a etapa de consentimento. O estado de proteção é verificado, nunca presumido.

Quem pode desfazer e o limite real

O detentor do Apple ID do pai. Essa força depende de uma escolha de configuração: seu filho precisa de um ID Apple para Crianças no Compartilhamento Familiar. Sem isso (que a Apple chama de modo Individual), a revogação precisa apenas do código do Screen Time, portanto, para proteção à prova de burla no iPhone, configure o ID Apple para Crianças primeiro. Mais duas coisas que vale a pena saber: a Apple permite apenas um aplicativo de Family Controls de terceiros por dispositivo, portanto, não empilhe um segundo aplicativo de Screen Time e não adicione youtube.com à própria lista "Nunca Permitir" do Screen Time, porque um bloqueio total também impede que vídeos aprovados carreguem dentro do WhitelistVideo. O aplicativo detecta esse estado e avisa você. Instruções passo a passo estão no guia de Family Controls para iOS.

Celulares e tablets Android: Google Family Link, verificado

O Android é a única plataforma onde o sistema operacional não oferece uma API para que um aplicativo de terceiros ative a supervisão parental. O Family Link, impulsionado por uma conta do Google de criança supervisionada, pode bloquear aplicativos, impedir instalações e bloquear sites no Chrome, mas um aplicativo não pode solicitar ou ler essa supervisão. Por isso, o WhitelistVideo faz a segunda melhor coisa, e indiscutivelmente a mais honesta: ele verifica o resultado no dispositivo antes de reportar a criança como protegida.

As barreiras de configuração

1. Bloquear o aplicativo YouTube (e YouTube Music e YouTube Kids) no Family Link. O aplicativo de criança do WhitelistVideo lê o estado do pacote no dispositivo e se recusa a continuar enquanto o aplicativo do YouTube ainda estiver ativado.
2. Bloquear outros navegadores no Family Link. O aplicativo lista quais aplicativos instalados podem abrir links https e não prosseguirá enquanto um navegador não permitido estiver ativo. O Chrome permanece, porque o Family Link o supervisiona.
3. Bloquear youtube.com no Chrome através dos controles de site do Family Link. Um aplicativo não pode sondar isso, então você confirma por conta própria. É a única barreira que é reconhecida em vez de verificada, e dizemos isso no aplicativo.
4. Definir um PIN de pai no dispositivo.

As verificações não param após a configuração. Se o aplicativo do YouTube ou um navegador bloqueado se tornar ativo novamente mais tarde, uma barra âmbar aparece imediatamente e o dispositivo é sinalizado como vulnerável até que você o conserte. As barreiras são fail-secure: se a própria verificação do dispositivo falhar, o aplicativo trata o YouTube como desbloqueado e mostra a barreira novamente em vez de reportar silenciosamente como "protegido". Com a opção "exigir aprovação" do Family Link ativada, seu filho também não pode desinstalar ou reinstalar aplicativos sem você, que é a única forma sancionada no Android de manter o aplicativo de criança instalado.

Quem pode desfazer e o limite real

O pai do Family Link. O WhitelistVideo evita deliberadamente truques de Admin de Dispositivo, VPN e serviços de acessibilidade no Android. Uma criança pode desligar cada um desses nas Configurações, e é por isso que os rejeitamos. O guia do Family Link para Android aborda cada barreira.

Chromebook, honestamente: filtragem completa em todos os lugares, não removível com controle de administrador

As regras do Google aqui são contra-intuitivas e muitos conselhos online estão errados, por isso esta seção é deliberadamente precisa. A extensão WhitelistVideo instala e filtra o YouTube completamente em todos os Chromebook. Não há instalador de ChromeOS, porque o ChromeOS não executa os instaladores de Windows ou Mac e não pode; a camada de imposição em um Chromebook é quem gerencia o dispositivo.

O que o Family Link faz e não faz em um Chromebook pessoal

O Family Link permite exigir aprovação antes que seu filho instale uma extensão, bloqueia a navegação privada para a conta da criança e, se você desativar o modo Visitante como proprietário do dispositivo, mantém seu filho sob supervisão. O que ele não pode fazer é impedir a remoção. A própria página de suporte do Google afirma diretamente: "Para remover um app ou extensão do Chrome no Chromebook, a criança não precisa de permissão dos pais. Para adicionar o item de novo, a criança precisará de permissão." O Family Link também não pode forçar a instalação de uma extensão. Portanto, apenas com o Family Link, o WhitelistVideo é à prova de evidências (o painel do pai mostra que o dispositivo parou de sincronizar e a reinstalação precisa da sua aprovação) em vez de à prova de burla. Nosso guia de controles parentais para Chromebook aborda a configuração do Family Link em detalhes.

O caminho à prova de burla: gerenciamento de dispositivos

A instalação forçada no ChromeOS vem da política do console Google Admin, o mesmo mecanismo que os instaladores de Windows e Mac usam. Existem duas rotas para isso:

• Chromebooks fornecidos por escolas já estão inscritos no console Admin da escola. O administrador de TI da escola pode forçar a instalação do WhitelistVideo, bloquear outras extensões e desativar o modo Visitante e Anônimo. Você pede à escola; nós fornecemos o ID da extensão e a política. O guia de Chromebook gerenciado por escola inclui um modelo de solicitação que você pode enviar para o TI.
• Chromebooks pessoais podem ser inscritos por você. O Google vende uma licença avulsa de ChromeOS Enterprise Upgrade por US$ 4,17 por dispositivo por mês, faturado anualmente, ou seja, cerca de US$ 50 por ano, comprada no console Google Admin com um teste gratuito de 30 dias. É necessária uma conta do Google Workspace ou uma conta Cloud Identity gratuita, e a inscrição exige um Powerwash do dispositivo. Depois disso, você é o administrador: você força a instalação do WhitelistVideo e bloqueia o dispositivo da mesma forma que uma escola faria, e a conta da criança não pode removê-lo.

A versão resumida: no Chromebook, o WhitelistVideo filtra o YouTube completamente. Para torná-lo não removível, você precisa de controle de administrador do dispositivo, seja através do administrador de TI da sua escola ou de uma licença ChromeOS Enterprise Upgrade do Google por cerca de US$ 50 por ano.

Android TV e Google TV: visualização apenas de conteúdo curado

O aplicativo para TV adota uma abordagem diferente porque a plataforma não oferece nada a terceiros para imposição de regras. Ele funciona apenas no Feed Curado: uma grade de canais e playlists aprovados, sem pesquisa, sem interface do YouTube e sem recomendações. Não há nada para filtrar porque nada não aprovado é sequer carregado. As configurações dos pais ficam atrás de um PIN, e uma "pausa" parental é armazenada no dispositivo para que sobreviva a reinicializações e perda de rede.

A brecha em uma TV é o aplicativo normal do YouTube. Desative-o nas Configurações da TV em Aplicativos e bloqueie a instalação de aplicativos com os controles da conta Google da TV. Como a Android TV não oferece imposição em nível de SO para aplicativos de terceiros, posicionamos a TV como visualização apenas curada, em vez de à prova de burla. Ainda é a única maneira de dar a uma criança um YouTube em tela cheia na TV da sala que não mostre nada que você não tenha aprovado.

Todas as plataformas em uma tabela

Role horizontalmente para ver todas as colunas.

Segurança contra falhas (Fail-secure) por design

A imposição lida com a criança que tenta remover a proteção. O design fail-secure lida com tudo o que pode dar errado: uma conexão caída, um soluço no servidor, uma configuração incompleta. Em cada um desses casos, a camada de conteúdo do WhitelistVideo bloqueia o YouTube em vez de deixar qualquer coisa passar.

• Se a extensão não conseguir sincronizar ou perder contato com seu serviço de segundo plano, ela entra em modo seguro e bloqueia todo o conteúdo.
• Se um dispositivo não foi ativado com um Código de Ativação de Pai, ele bloqueia tudo.
• Se estiver offline e faltarem dados do canal, ele bloqueia em vez de tentar adivinhar.
• Comentários, downloads e YouTube Shorts ficam ocultos, a menos que um pai os tenha ativado explicitamente.
• Se a análise de IA de um vídeo falhar, o vídeo é bloqueado, não permitido.
• A pesquisa é bloqueada, a menos que o servidor diga explicitamente que a pesquisa é permitida para aquela criança.

O emparelhamento é construído da mesma forma. Os dispositivos emparelham com um Código de Ativação de Pai de seis dígitos que expira em 15 minutos e funciona uma única vez; um código reutilizado é rejeitado pelo servidor. A ativação é recusada nos modos Anônimo ou Visitante e requer um perfil do Chrome conectado, para que a lista branca seja vinculada ao perfil de navegador do seu próprio filho, em vez de a qualquer janela que esteja aberta.

Escopo: o que a proteção à prova de burla abrange e o que ela deixa para o seu dispositivo

Conteúdo, não tempo. O WhitelistVideo controla o que é reproduzido, não por quanto tempo. Limites de tempo, horários de dormir e programações já estão integrados ao Screen Time, Family Link e Family Safety em cada dispositivo que seu filho possui. O WhitelistVideo adiciona a peça que falta nessas ferramentas: o controle sobre o conteúdo real.

Prevenção, não vigilância. Não há histórico de visualização, nem relatório de atividade e nem coleta de dados da criança. Você aprova canais e vê solicitações, que é como a conformidade com a COPPA se parece quando um produto é projetado para ela, em vez de adaptado. As crianças ganham um YouTube seguro sem se sentirem espionadas.

Suas credenciais são o perímetro. Uma criança que possua a senha de administrador, o ID Apple do pai ou o login de pai do Family Link pode desfazer qualquer proteção, porque o dispositivo agora acredita que ela é você. Mantenha a conta de administrador para você, coloque seu filho em uma conta Padrão e o restante deste artigo se manterá firme.

Principais conclusões

• Qualquer controle instalado com os direitos de uma criança pode ser removido com os direitos de uma criança. A proteção deve residir no nível do sistema operacional, atrás das credenciais dos pais.
• O SO decide quem pode alterar o quê; o WhitelistVideo decide quais vídeos são reproduzidos. Nenhum dos dois é bom no trabalho do outro.
• Windows e Mac: política corporativa de navegador mais (no Windows) um serviço de monitoramento. A remoção precisa da senha de administrador.
• iPhone e iPad: Apple Family Controls com um ID Apple para Crianças. A revogação precisa da senha da Apple do pai.
• Android: o Family Link bloqueia o aplicativo do YouTube e outros navegadores; o WhitelistVideo verifica isso no dispositivo e continua monitorando.
• Chromebook: filtrado em todos os lugares; não removível apenas com gerenciamento escolar ou uma licença ChromeOS Enterprise Upgrade por cerca de US$ 50 por ano.
• Se algo quebrar, o YouTube é bloqueado, não aberto.
• Comece com o dispositivo que seu filho realmente usa. Os guias de configuração por dispositivo levam de cinco a dez minutos cada, e a página de download escolhe o caminho certo para você.