Parental Control su Linux: guida pratica

Da papà di due bambine che usano ogni giorno due PC con Debian, posso dirti che la domanda non è se mettere dei limiti, ma come farlo senza diventare il guardiano del router a vita. Ho passato settimane a mettere a punto un sistema che funziona, e ho scoperto che Linux non è affatto indietro rispetto a Windows o macOS su questo fronte. Se sai cosa usare, puoi costruire una protezione più solida di quella che offre qualsiasi software commerciale da 50 euro l’anno.

Questa guida vale per Linux, ma la parte più importante, il filtraggio DNS, funziona identica su qualsiasi sistema operativo e protegge anche le smart TV, le console e il telefono del bambino connessi alla tua rete di casa.

Il punto di partenza: un account separato per ogni figlio

La prima regola vale su qualsiasi sistema operativo, non solo Linux: i tuoi figli non devono mai usare il tuo account. Senza i permessi di amministrazione non possono installare programmi, cambiare impostazioni di sistema, disattivare protezioni o fare danni permanenti.

Su Ubuntu e Linux Mint vai in Impostazioni → Utenti, sblocca con la tua password e crea un nuovo account. Imposta il tipo come “Standard”, non “Amministratore”. È quella scelta che fa tutta la differenza. Un account Standard non può toccare nulla di ciò che configuri nei prossimi paragrafi.

Su Linux Mint con Cinnamon trovi la stessa funzione cercando “Gestione Utenti” nel menu applicazioni.

👉 Leggi qui: Come gestire gli utenti su Linux

Questo passaggio da solo risolve il 90% dei rischi legati a installazioni accidentali di malware o modifiche indesiderate al sistema. Tutto il resto che leggi qui si aggiunge sopra questa base.

Limitare il tempo di schermo con Timekpr-nExt

Il problema più concreto spesso non è il contenuto ma il tempo. Un bambino lasciato libero passerà ore davanti allo schermo senza che nessuno lo fermi. Timekpr-nExt è lo strumento open source pensato esattamente per questo e funziona su tutti i principali ambienti desktop Linux: GNOME, Cinnamon, KDE Plasma, Xfce, Budgie.

Quello che puoi configurare:

Minuti giornalieri per ogni giorno della settimana. Per esempio lunedì 90 minuti, sabato 180. Ogni giorno ha il suo limite indipendente.

Fasce orarie in cui il computer è utilizzabile. Puoi decidere che il PC dei figli funziona solo dalle 15:00 alle 20:00, punto. Fuori da quella finestra, il sistema scollega automaticamente la sessione.

Limiti settimanali e mensili come ulteriore rete di sicurezza.

Notifiche progressive al bambino quando il tempo sta per finire, così non si trova disconnesso di sorpresa a metà di qualcosa.

Per installarlo su Ubuntu e Linux Mint cerca “Timekpr-nExt” nel Software Center. Se non lo trovi, usa il PPA ufficiale:

sudo add-apt-repository ppa:mjasnik/ppa
sudo apt update
sudo apt install timekpr

Una volta installato, apri Timekpr-nExt Administration dal menu (ti chiede la password da amministratore), seleziona l’account di tuo figlio e imposta le regole. La scheda Timers per i minuti giornalieri, la scheda Allowed Hours per trascinare la griglia oraria.

Il punto fondamentale: se l’account di tuo figlio è Standard, non può disattivare Timekpr-nExt. Non ha i permessi. Non importa quanto sia sveglio con il computer.

Il filtro DNS: la soluzione più potente e più sottovalutata

Questa è la parte che cambia davvero tutto, e che funziona su qualsiasi dispositivo connesso alla tua rete: PC, tablet, smart TV, console di gioco, telefono. L’idea è semplice. Invece di usare i server DNS del tuo provider internet, usi un DNS alternativo che blocca a monte i siti con contenuto adulto, violento o con malware. Il sito non arriva mai al browser, quindi non importa quale browser usa tuo figlio.

Opzione 1: Cloudflare Families, gratis e senza account

Cloudflare 1.1.1.1 for Families ha due livelli distinti:

Solo blocco malware e phishing:

• DNS primario: 1.1.1.2
• DNS secondario: 1.0.0.2

Blocco malware più contenuto adulto (quello che serve per i bambini):

• DNS primario: 1.1.1.3
• DNS secondario: 1.0.0.3

Per configurarlo su Linux vai in Impostazioni → Rete, clicca sull’ingranaggio accanto alla connessione attiva, seleziona IPv4, disattiva il DNS Automatico e inserisci 1.1.1.3, 1.0.0.3. Clicca Applica. Fatto, in meno di due minuti.

Scegli Cloudflare Families se vuoi qualcosa di gratuito, senza account, senza manutenzione e senza compromettere la velocità di navigazione. Cloudflare è il DNS pubblico più veloce al mondo per latenza, e non vende i tuoi dati di navigazione.

Il limite è che non puoi personalizzare nulla: stesso filtro per tutti, nessuna dashboard, nessun log di cosa è stato bloccato.

Opzione 2: NextDNS, gratuito fino a 300.000 query al mese

NextDNS è quello che uso io quando voglio più controllo. È come avere Pi-hole nel cloud, con dashboard, profili per dispositivo e liste di blocco personalizzabili. Non devi installare niente in casa tua.

Quello che puoi fare e che Cloudflare non ti permette:

Profili separati per adulti e bambini. Tu navighi senza filtri, i tuoi figli con tutti i filtri attivi, dalla stessa rete.

Dashboard con log delle query DNS. Vedi cosa il sistema ha bloccato e quali siti sono stati visitati.

SafeSearch forzato su Google, Bing e YouTube direttamente dal DNS. Tuo figlio non può disattivarlo nemmeno se sa dove cercarlo, perché il blocco avviene prima che il browser riceva risposta.

Categorie aggiuntive bloccabili: social media nelle ore scolastiche, videogiochi di notte, siti di gambling, e così via.

Il piano gratuito di NextDNS copre 300.000 query al mese. Una famiglia con 4-5 dispositivi usa tipicamente tra 10.000 e 30.000 query al giorno, quindi potresti superare il limite. Il piano a pagamento costa circa 20 dollari l’anno ed è uno dei migliori rapporti qualità/prezzo nella sicurezza internet familiare.

Scegli NextDNS se vuoi sapere cosa sta cercando di visitare tuo figlio, vuoi bloccare categorie specifiche o hai più dispositivi con esigenze diverse.

Registrati su nextdns.io, crea un profilo, attiva le categorie, e ti vengono forniti due indirizzi DNS personalizzati da inserire esattamente come descritto sopra per Cloudflare.

La mossa migliore: configurare il DNS sul router di casa

Sia Cloudflare Families che NextDNS puoi configurarli direttamente sul router, invece che sul singolo PC. Il risultato è che tutti i dispositivi della rete ricevono il filtro automaticamente, compresi quelli su cui non puoi installare niente: smart TV, console, tablet degli ospiti, il telefono di tuo figlio quando è in Wi-Fi.

Per farlo accedi al pannello del router digitando 192.168.1.1 o 192.168.0.1 nel browser. Le credenziali sono quasi sempre su un’etichetta sul retro del router. Cerca la sezione DNS nelle impostazioni WAN o Internet e inserisci lì gli stessi indirizzi.

Su FRITZ!Box (molto diffuso in Italia) trovi le impostazioni DNS in Internet → Informazioni account. Su TIM Hub e router simili cerca nelle impostazioni avanzate della connessione WAN.

Blindare Google e YouTube

Il DNS blocca i domini pericolosi, ma non controlla i risultati di ricerca di Google o i video suggeriti su YouTube. Anche qui la soluzione esiste.

Attiva Google SafeSearch andando su google.com/preferences. Se usi NextDNS, puoi bloccare la disattivazione di SafeSearch direttamente dal pannello DNS: tuo figlio non può spegnerlo nemmeno se sa dove andare.

YouTube Restricted Mode: nell’account YouTube di tuo figlio, clicca sull’icona profilo in alto a destra, scorri in fondo al menu e attiva la Modalità Restrittiva. Con NextDNS puoi forzarla a livello di rete.

Per i bambini sotto i 13 anni: considera direttamente YouTube Kids, un’app separata con solo contenuti moderati, nessuna pubblicità e nessun commento. È una soluzione molto più radicale e molto più semplice da gestire.

I limiti del sistema: cosa non riesce a bloccare

Il DNS non funziona fuori dalla tua rete Wi-Fi di casa. Se il telefono di tuo figlio passa ai dati mobili, il filtro sul router non serve a niente. Per coprire anche il telefono devi configurare NextDNS direttamente sul dispositivo mobile: hanno app per iOS e Android che applicano il filtro su qualsiasi connessione, Wi-Fi o dati.

Il DNS non blocca le app native. Un’app come Instagram che carica contenuti dal proprio CDN proprietario non sempre passa dal DNS nel modo che ti aspetti. Il filtro web è necessario ma non sufficiente da solo.

Un adolescente che sa cosa fa può usare una VPN per aggirare il filtro DNS. Questo è il limite strutturale di qualsiasi sistema di filtraggio a livello di rete. La risposta a questo non è tecnica: è la conversazione che hai con tuo figlio su perché il filtro esiste. Un bambino che capisce il ragionamento collabora. Uno che trova il divieto arbitrario cercherà sempre il modo di aggirarlo.

Il collegamento con la privacy e la degooglizzazione

Questo sistema di protezione per i figli si inserisce in un percorso più ampio. NextDNS, oltre al filtraggio per i bambini, blocca tracker pubblicitari e telemetria per tutti i dispositivi della rete. È un primo passo concreto verso la riduzione della dipendenza da Google, senza stravolgere le abitudini di tutti i membri della famiglia.

Se vuoi spingere ancora più in là, la soluzione avanzata è installare Pi-hole o AdGuard Home su un mini PC sempre acceso che fa da server DNS per tutta la rete di casa. Con circa 150-200 euro di hardware e un pomeriggio di configurazione ottieni un filtro DNS completamente sotto il tuo controllo, senza dipendere da nessun servizio esterno.

👉 Leggi qui: Mini PC come home server: ha senso farlo?

👉 Leggi qui: Come proteggere la privacy su Linux

FAQ

I bambini possono spegnere Timekpr-nExt?
No. Con un account Standard non hanno i privilegi per modificare il servizio o cambiare l’orario di sistema. È resistente per design, non per oscurità.

Il filtro DNS rallenta la connessione?
No, spesso la migliora. Cloudflare è il DNS pubblico più veloce al mondo per latenza. NextDNS è leggermente più lento ma nella pratica la differenza è impercettibile per la navigazione normale.

Funziona anche su Windows e macOS?
Sì, identicamente. La configurazione del DNS è la stessa su qualsiasi sistema operativo: Impostazioni di Rete, cambia i DNS con 1.1.1.3 e 1.0.0.3. È per questo che il filtro DNS è la soluzione più universale tra tutte quelle esistenti.

Se mio figlio usa la modalità privata del browser, il filtro funziona ancora?
Sì. La modalità privata non cambia il DNS usato dal sistema. Il filtro continua a bloccare i siti nella lista, indipendentemente da come il browser è aperto.

Cloudflare vede cosa navigo?
Cloudflare non vende i dati di navigazione e non registra indirizzi IP associati alle query. Resta comunque il fatto che stai affidando il tuo traffico DNS a un’azienda privata. Se questo ti preoccupa, NextDNS con la registrazione disattivata o Pi-hole in casa sono alternative a zero dipendenza esterna.

Ho Linux Mint: devo configurare tutto questo?
Il filtro DNS sì, Mint non lo fa per te. Ma Timekpr-nExt funziona identico su Mint come su Ubuntu, e la gestione degli utenti Standard è già integrata nelle Impostazioni di sistema.

IncastroPC partecipa al Programma Affiliazione Amazon EU. Prezzi e disponibilità soggetti a variazione.