Há algum tempo, o afilhado da minha mãe (dez anos) me mostrou conteúdo gore explícito no celular, com a mesma naturalidade com que alguém poderia te mostrar um meme, um vídeo engraçado ou alguma tendência completamente irrelevante do TikTok.

Não parecia surpreso, assustado, nem muito menos consciente de que talvez aquilo não fosse algo que deveria estar vendo.

Simplesmente, era normal.

E foi aí que tudo começou.

Minha primeira reação não foi pensar em como bloquear uma página específica, e sim em como evitar que esse tipo de conteúdo virasse algo cotidiano. Como fazer a internet ser um lugar um pouco mais seguro — ou pelo menos um lugar onde certas coisas não aparecessem com tanta facilidade.

O problema é que sou AppSec durante o dia, e à noite costumo me dedicar a quebrar coisas no meu homelab, então minha interpretação de “deixar a internet mais segura” ficou bem longe de sentar para conversar com calma sobre os riscos da internet.

Em vez disso, pensei em infraestrutura.

Pensei em DNS, logs, bloqueios, regras de firewall, tráfego, dashboards, listas de domínios e observabilidade. Em outras palavras, tentei resolver um problema humano da forma menos humana possível.

Acreditei que a infraestrutura poderia resolver isso.

Não foi uma ideia completamente improvisada. Eu já tinha um homelab onde crio, apago e recrio VMs e LXCs o tempo todo, geralmente com a desculpa de aprender alguma coisa nova. Também tinha um MikroTik, Pi-hole e uns trinta metros de cabo ethernet puxados até um quarto de três por três.

Portanto, eu tinha todos os ingredientes necessários para me tornar, de novo, um meme.

A ideia inicial era simples: se eu pudesse controlar por onde o tráfego da minha rede passava, também poderia controlar que conteúdo era acessível a partir dela.

A internet entraria pelo ISP, passaria pelo MikroTik — que funcionaria como router, gateway e DHCP da rede — enquanto todas as consultas DNS seriam resolvidas pelo Pi-hole. Dali eu poderia bloquear domínios maliciosos, publicidade, trackers, conteúdo adulto e qualquer outra coisa que eu não quisesse circulando pela casa.

E soa genial.

Quase como se eu soubesse exatamente o que estava fazendo.

Além disso, o Pi-hole me permitiria resolver meus próprios domínios locais .home, então eu poderia acessar serviços como pi.home enquanto observava num dashboard tudo o que acontecia na rede.

Bloqueio centralizado, estatísticas, consultas DNS, listas com uma quantidade absurda de domínios e a sensação de que, se algo passasse pela minha rede, pelo menos eu poderia ver.

Durante um tempo, aquilo pareceu ter o controle.

Mas havia um problema.

A internet não funciona só dentro da minha rede, e os dispositivos também não parecem muito interessados em respeitar as decisões de quem paga o roteador.

Começaram a aparecer consultas DNS estranhas, aplicativos se comunicando com serviços que eu nunca tinha pedido, TVs inteligentes enviando tráfego de madrugada e dispositivos fazendo coisas por conta própria, como se minha casa fosse uma espécie de zoológico conectado por DHCP.

Quanto mais eu observava, mais coisas eu queria bloquear.

E quanto mais eu bloqueava, mais coisas deixavam de funcionar.

Alguns aplicativos simplesmente quebravam. Outros usavam seus próprios resolvers. Alguns ignoravam completamente o DNS configurado na rede, enquanto outros começavam a usar DNS over HTTPS, cifrando as consultas e pulando boa parte do filtrado tradicional.

A isso se somava algo ainda mais simples: os dados móveis.

Eu podia configurar regras, redirecionamentos, filtros e bloqueios dentro de casa, mas bastava desligar o Wi-Fi para que toda aquela infraestrutura virasse um conjunto bem bonito de dashboards.

E foi aí que descobri algo que, em segurança, muitas vezes tentamos ignorar.

O usuário sempre ganha.

Não importa quantas restrições existam, quantos aplicativos sejam bloqueados, nem quantas regras o firewall tenha. Se alguém realmente quer acessar alguma coisa, eventualmente vai encontrar um jeito.

Mesmo com dez anos.

Quanto mais rígido o sistema ficava, mais criativas ficavam as formas de contorná-lo. Em algum ponto, eu parei de construir um ambiente seguro e comecei a criar uma competição entre minha infraestrutura e quem usava a rede.

Uma competição bem absurda, considerando que o objetivo nunca deveria ter sido ganhar.

Porque segurança não é a mesma coisa que controle.

Levei um tempo para entender isso, principalmente porque em infraestrutura o controle costuma parecer bom. Ver tudo organizado, os dispositivos corretamente identificados, as consultas passando por onde deveriam e as políticas sendo aplicadas de forma centralizada transmite certa tranquilidade.

Mas essa tranquilidade pode ser falsa.

Eu podia bloquear milhões de domínios e ainda assim não ensinar por que um link podia ser perigoso. Podia reduzir o acesso a certos aplicativos, mas não explicar como funcionam os algoritmos de recomendação. Podia evitar que determinado conteúdo aparecesse dentro da minha rede, mas não impedir que aparecesse na casa de um amigo, em outro dispositivo, ou via dados móveis.

O problema nunca foi só o conteúdo.

Também era a atenção infinita, a superestimulação constante, os algoritmos desenhados para reter usuários e um feed que nunca termina. Plataformas competindo o dia inteiro por mais alguns segundos de atenção, recomendando conteúdo cada vez mais extremo porque, muitas vezes, é isso que gera reação.

A internet nunca para de tentar.

E não existe uma regra de firewall capaz de resolver isso.

Dito isso, também não significa que todo o trabalho técnico tenha sido inútil. Reduzir a exposição continua sendo importante. Ter menos aplicativos, menos trackers, menos publicidade, menos serviços desnecessários e menos configurações perigosas por padrão claramente ajuda.

Bloquear conteúdo malicioso ajuda.

Forçar certos dispositivos a usar um DNS controlado ajuda.

Ter visibilidade sobre o que acontece dentro da rede também ajuda.

Mas nenhuma dessas coisas funciona sozinha.

A outra parte — provavelmente a mais importante, e também a menos interessante de mostrar num dashboard — é conversar sobre tecnologia: explicar o que é phishing, como funcionam as recomendações, por que um aplicativo quer nos manter olhando a tela e por que nem tudo que aparece na internet merece nossa atenção.

Soa bastante óbvio quando se escreve assim.

Na prática, pode ser bem mais difícil do que configurar um MikroTik, e isso já é dizer bastante.

No fim, minha tentativa de criar uma “internet segura” acabou me ensinando algo bem diferente. O objetivo nunca foi controlar a internet, porque a internet não parece ter muito interesse em ser controlada.

O objetivo era reduzir a exposição, acompanhar e ensinar a navegar.

O Pi-hole continua funcionando. O MikroTik continua mandando na rede. Os trinta metros de cabo ainda estão aí, e provavelmente vou continuar adicionando regras, listas e novas ideias de que eu não preciso.

Mas agora entendo que toda essa infraestrutura é só uma camada.

Uma ferramenta.

Não uma solução completa.

Talvez nunca consigamos controlar a internet.

Mas ainda podemos ensinar a navegá-la.