Add pillar articles: parental controls guide + layers of protection (EN/DE/FR)

Two more evergreen parent-intent pillars:
- Parental controls 2026 practical guide: layered comparison of Screen
  Time / Family Link / router DNS / VPN DNS with honest trade-offs
- Seven layers of online protection: ISP → router → VPN → OS → OS
  plugins → browser plugins → in-app, framing VPN as the load-bearing
  layer that travels with the device

All three languages share translationKey for hreflang.

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

content/de/elternkontrolle-2026-praxisleitfaden.md

@@ -0,0 +1,82 @@
+---
+title: "Elternkontrolle 2026: Ein Praxisleitfaden, der tatsächlich funktioniert"
+date: 2026-04-14
+description: "Ein ehrlicher Vergleich von iOS-Bildschirmzeit, Family Link, Router-Filter und DNS-basierter VPN-Filterung — was jedes Werkzeug gut kann, und wie man sie kombiniert."
+tags: ["Elternkontrolle", "Bildschirmzeit", "Family Link", "DNS-Filter", "Router", "VPN", "Familie"]
+categories: ["sicherheit"]
+author: "Agiliton"
+slug: "elternkontrolle-2026-praxisleitfaden"
+translationKey: "parental-controls-2026"
+---
+
+Es gibt keine einzelne „Elternkontrolle", die einfach funktioniert. Jede Familie lernt das früher oder später gleich: Bildschirmzeit auf dem iPad einrichten, und der Zehnjährige hebelt sie am selben Nachmittag aus. Die bessere Antwort ist kein anderes Produkt, sondern ein mehrschichtiges Setup, das jedes Werkzeug auf seine Stärken ausspielt.
+
+Dieser Leitfaden vergleicht die vier Werkzeuge, zu denen die meisten Familien Zugang haben, zeigt, was jedes gut kann, und wie sie sich kombinieren lassen.
+
+## Die vier Werkzeuge, die zählen
+
+**1. iOS-Bildschirmzeit.** Auf jedem iPhone und iPad eingebaut. Stark bei App-Zeitlimits, Inhaltsfreigaben, Kommunikationsbeschränkungen und App-Store-Freigaben. Schwach bei allem Webbasierten — der Safari-Inhaltsfilter ist grob, und ein entschlossenes Kind installiert einen Zweitbrowser, nutzt ein VPN oder öffnet die Seite in der App-Store-Vorschau.
+
+**2. Google Family Link (Android).** Ähnlich zur Bildschirmzeit. Stark bei App-Freigaben, Play-Store-Kontrollen, Tageslimits und Standort. Schwach im Web und nicht verfügbar auf iOS.
+
+**3. Router-Filter.** DNS-Blocklisten oder Inhaltsfilter auf dem heimischen WLAN. Gut, weil jedes Gerät im Heimnetzwerk abgedeckt wird — inklusive Besucher-Geräten und Smart-TV. Nutzlos, sobald das Gerät das Haus verlässt, und nutzlos im Mobilfunknetz.
+
+**4. VPN-basierte DNS-Filterung.** Ein Tunnel pro Gerät, der denselben DNS-Filter überall anwendet — zu Hause, im Mobilfunknetz, im Schul-WLAN, im Urlaub. Das ist das Teil, das die meisten Familien vergessen. Es ist auch das einzige, das mit dem Gerät mitreist.
+
+## Ehrlicher Vergleich
+
+| Fähigkeit | iOS Bildschirmzeit | Family Link | Router-DNS | VPN-DNS (z. B. Agiliton) |
+|---|---|---|---|---|
+| App-Installationsfreigabe | ✅ | ✅ | ❌ | ❌ |
+| Tägliche App-Zeitlimits | ✅ | ✅ | ❌ | ❌ |
+| Kategorie-Filter (Web + App) | Teilweise | Teilweise | ✅ | ✅ |
+| Wirkt außerhalb des Heim-WLAN | ✅ | ✅ | ❌ | ✅ |
+| Wirkt im Schul-/Besucher-WLAN | ✅ | ✅ | ❌ | ✅ |
+| Blockiert Tracker & Werbung | ❌ | ❌ | Teilweise | ✅ |
+| Wirkt auf Smart-TV / Apple TV | ❌ | ❌ | ✅ | ✅ (Apple TV) |
+| Vom Kind deaktivierbar | Mit dem Code | Mit dem Code | Nein | Nein (im Kind-Modus) |
+
+Keine Zeile wird von einem einzigen Werkzeug allein gewonnen. Die sinnvolle Frage lautet: Welche Kombination fährt man?
+
+## Unsere Empfehlung
+
+Für eine Familie mit Kindern zwischen 6 und 15 Jahren ist dies das Setup, das in der Praxis funktioniert:
+
+**Schicht 1 — Geräte-Konten (iOS-Bildschirmzeit oder Family Link).** Richten Sie ein echtes Kinderkonto ein: korrektes Geburtsdatum, altersgerechte Inhaltsfreigabe, Pflicht-Freigabe für jede Installation, tägliche App-Zeitlimits je Kategorie, Ruhezeiten für Schule und Schlaf. Das zuerst. Auslassen Sie es nicht, auch wenn Sie weitere Schichten hinzufügen.
+
+**Schicht 2 — DNS-Filterung, die mit dem Gerät mitreist.** Hier passt Agiliton VPN. Auf Handy, Tablet und Laptop Ihres Kindes installieren, **Kind**-Profil aktivieren. Unabhängig vom WLAN sind damit Kategorien wie Erwachseneninhalte, Social Media, Glücksspiel und Dating auf DNS-Ebene blockiert — auch TikToks Web-Version, die die iOS-Bildschirmzeit nicht erfasst. Im Kind-Modus kann das VPN nicht deaktiviert werden.
+
+**Schicht 3 — Heim-WLAN-Einstellungen.** Falls Ihr Router das unterstützt (die meisten modernen Mesh-Systeme tun das), stellen Sie ein familienfreundliches DNS im Heimnetz ein. Damit sind Besucher-Geräte, Smart-TV und Konsolen abgedeckt, solange sie im Haus sind. Cloudflare `1.1.1.3` (Family Filter) oder NextDNS mit einem Familienprofil sind beide in Ordnung.
+
+**Schicht 4 — Das Gespräch, alle sechs Monate.** Nichts davon ersetzt das Gespräch mit Ihrem Kind über das, was es online sieht. Kontrollen kaufen Zeit; Medienkompetenz ist das Langspiel.
+
+## Warum DNS-Filterung die fehlende Schicht ist
+
+Die meisten Eltern richten iOS-Bildschirmzeit ein, fühlen sich abgesichert — und bemerken nicht, dass die Bildschirmzeit keinen nennenswerten Web-Kategoriefilter hat. Safaris „Erwachseneninhalte beschränken" ist eine winzige Liste, leicht zu umgehen durch Direkt-Eingabe einer IP, einen anderen Browser als Web-Clip oder den integrierten Browser im App Store.
+
+DNS-Filterung schließt diese Lücke. Wenn das Gerät eines Kindes versucht, `tiktok.com`, `pornhub.com` oder `bet365.com` aufzulösen, kommt keine Antwort zurück — weder App noch Browser haben eine Adresse, zu der sie sich verbinden könnten. Egal welcher Browser, welches VPN, welches Konto: Die Adresse existiert auf diesem Gerät schlicht nicht.
+
+Das **Kind**-Profil von Agiliton VPN macht das von Haus aus. Unsere kuratierte Blockliste kombiniert:
+
+- **HaGeZi Multi** für Werbung, Tracker, Malware und Phishing
+- **OISD** als reputationsbasierte Liste mit wenigen Falschtreffern
+- **Eine Cloudflare-Top-10k-Allowlist**, damit die meistbesuchten Seiten zuverlässig erreichbar bleiben
+- **Kategorie-Ebenen**: Social Media, Erwachseneninhalte, Glücksspiel, Dating und Gaming — je Profil einzeln schaltbar
+
+Wir reduzieren die rohen Upstream-Listen auf rund 15.000-30.000 Einträge, optimiert für deutschen und europäischen Datenverkehr, weil kleinere Listen auf Mobilgeräten schneller sind und weniger deutsche Nischenseiten versehentlich blockieren.
+
+## Häufige Fehler
+
+- **Den Bildschirmzeit-Code „nur für die Hausaufgaben" herausgeben.** Sobald er die Hand verlässt, ist er kompromittiert — zurücksetzen.
+- **Family Link auf einem gebrauchten Android-Gerät ohne Werksreset.** Die Aufsicht des Vorbesitzers kann bestehen bleiben — oder, schlimmer, Family Link läuft trotz Anschein gar nicht.
+- **Nur Router-Filter.** Schützt das Haus, versagt bei Mobilfunk und Besucher-WLAN.
+- **Nur VPN.** Begrenzt nicht die Zeit in den Apps, die erlaubt *sind*. Gerät-Limits bleiben nötig.
+- **Kein Gespräch.** Produziert heimliche, nicht sichere Teenager.
+
+## Weiterführende Artikel
+
+- [Ist TikTok sicher für mein Kind?](/de/ist-tiktok-sicher-fuer-kinder/)
+- [Sichere Suche und Inhaltsfilter: Was 2026 wirklich funktioniert](/de/sichere-suche-inhaltsfilter-2026/)
+- [Roblox, Fortnite, Discord: Altersfreigaben und echte Risiken](/de/roblox-fortnite-discord-altersfreigabe-risiken/)
+
+{{< vpn-cta >}}

content/de/schutzschichten-online-warum-vpn-unverzichtbar-ist.md

@@ -0,0 +1,152 @@
+---
+title: "Die sieben Schutzschichten im Netz — und warum das VPN die ist, die Sie nicht auslassen dürfen"
+date: 2026-04-14
+description: "Vom Internetanbieter bis zu den Einstellungen in der einzelnen App — es gibt sieben Schichten, auf denen sich die Online-Sicherheit eines Kindes durchsetzen lässt. Hier steht, was jede leistet, was sie verpasst, und warum ein Familien-VPN die Schicht ist, die die anderen zusammenhält."
+tags: ["Elternkontrolle", "VPN", "DNS-Filter", "Router", "Browser-Plugins", "Bildschirmzeit", "mehrschichtiger Schutz"]
+categories: ["sicherheit"]
+author: "Agiliton"
+slug: "schutzschichten-online-warum-vpn-unverzichtbar-ist"
+translationKey: "layers-of-protection"
+---
+
+Online-Sicherheit ist kein einzelner Schalter. Sie ist ein Stapel aus sieben Schichten, von denen jede etwas abdeckt, was die anderen nicht abdecken. Wenn Eltern scheitern, liegt es fast immer daran, dass sie ein oder zwei Schichten eingerichtet haben und angenommen haben, das reicht. Es reicht nie.
+
+Dieser Artikel führt alle sieben Schichten durch — vom Internetanbieter bis zu den Einstellungen innerhalb einzelner Apps — erklärt, was jede tatsächlich blockiert, und zeigt, warum ein Familien-VPN die Schicht ist, die verhindert, dass die anderen leck werden.
+
+## Schicht 1 — Der Internetanbieter
+
+Ihr Provider (Telekom, Vodafone, 1&1, O2) sitzt zwischen Ihrem Haus und dem übrigen Internet. Die meisten großen Anbieter bieten im Kundenportal eine Option „Familienfilter" oder „sicheres Surfen".
+
+**Was es leistet:** DNS-Kategoriefilterung auf Ihrem Heim-Anschluss.
+
+**Was es verpasst:**
+- Nur dieser eine Anschluss — kein Mobilfunk, kein Besuch bei Freunden.
+- Die meisten Anbieterfilter sind grob, werden selten aktualisiert und lassen sich durch Wechsel auf `8.8.8.8` leicht umgehen.
+- Auf Mobilfunk wird nichts blockiert, selbst wenn das Telefon zum Haushalt gehört.
+
+**Fazit:** Einschalten, wenn vorhanden. Nicht darauf verlassen.
+
+## Schicht 2 — Der Router
+
+Ihr Heim-Router ist das erste Gerät, durch das jedes andere Gerät muss. Moderne Router (FRITZ!Box, AVM, eero, ASUS) erlauben eigene DNS-Server — etwa Cloudflare `1.1.1.3`, NextDNS oder Quad9 — und einige sogar unterschiedliche Regeln je Gerät.
+
+**Was er leistet:** DNS-Filterung für jedes Gerät im Heim-WLAN, inklusive Smart-TV, Konsolen und Besucher-Handys.
+
+**Was er verpasst:**
+- Verlässt mit dem Gerät das Haus — Mobilfunk, Schul-WLAN, Café: alles ungefiltert.
+- Ein Kind, das eine VPN-App installiert oder das DNS am Gerät ändert, umgeht den Router komplett.
+- Keine Regeln je Nutzer, wenn das WLAN dieselbe SSID für alle benutzt.
+
+**Fazit:** Unverzichtbar für den Heim-Baseline. Kann Mobilgeräte außer Haus nicht schützen.
+
+## Schicht 3 — Das VPN mit DNS-Filterung (die, die Sie nicht auslassen dürfen)
+
+Ein VPN, das auf dem Gerät des Kindes installiert ist, leitet den gesamten Verkehr durch einen Filter, der mit dem Gerät mitreist — zu Hause, im Mobilfunk, im Schul-WLAN, im Urlaub. Das ist die Schicht, die die anderen tatsächlich zusammenhält.
+
+**Was es leistet:**
+- Wendet dieselbe kuratierte DNS-Blockliste in jedem Netzwerk an, mit dem sich das Gerät verbindet.
+- Blockiert Werbung, Tracker, Malware, Phishing und — entscheidend — ganze Inhaltskategorien (Social Media, Erwachseneninhalte, Glücksspiel, Dating, Gaming).
+- In einem abgeschlossenen Kind-Profil vom Kind nicht deaktivierbar.
+- Wirkt unabhängig vom Browser, unabhängig von der App, unabhängig davon, mit welchem Konto das Kind sich anmeldet.
+
+**Was es verpasst:**
+- Begrenzt nicht die Zeit in Apps, die erlaubt sind. Bildschirmzeit / Family Link bleibt dafür nötig.
+- Kann keine „Schlafenszeit"-Fenster erzwingen — das ist Aufgabe des Betriebssystems.
+
+**Warum diese Schicht mehr zählt als die anderen:** Jede Schicht darüber stoppt entweder an der Haustür (Router, Provider) oder lässt sich am Gerät trivial umgehen (OS-Filter, Browser-Plugins). Das VPN ist die einzige Schicht, die mitreist, an bleibt und von einem entschlossenen Kind nicht abgeschaltet werden kann. Deshalb nennen wir es die Schicht, die Sie nicht auslassen dürfen.
+
+Unser eigenes Produkt, [Agiliton VPN](https://go.agiliton.eu/vpn-app), ist genau auf diese Rolle zugeschnitten — ein gerätegebundener, dauerhaft aktiver Filter mit **Kind (0-12)**- und **Teen (13-17)**-Profilen, die altersgerechte Kategorien standardmäßig blockieren.
+
+## Schicht 4 — Das Betriebssystem
+
+iOS, Android, Windows und macOS bieten alle systemweite Elternkontrollen: iOS **Bildschirmzeit**, Google **Family Link**, Windows **Family Safety**, macOS **Bildschirmzeit**.
+
+**Was sie leisten:**
+- App-Installationen freigeben
+- Tägliche Zeit je App oder Kategorie begrenzen
+- Kommunikation einschränken (wer darf anrufen, schreiben, FaceTimen)
+- Ruhezeiten erzwingen (z. B. keine Apps zwischen 22:00 und 07:00)
+- In-App-Käufe blockieren
+
+**Was sie verpassen:**
+- Web-Filterung ist schwach. Safaris „Erwachseneninhalte beschränken" ist eine winzige, leicht umgangene Liste.
+- Keine Kontrolle über Netzwerkverkehr — Anfragen einer App an einen Tracker oder Social-Media-CDN sieht das OS nicht.
+- Ein Kind mit dem Code kann alles ändern. Viele Eltern geben ihn unbewusst heraus.
+
+**Fazit:** Pflicht für tägliche Limits und Ruhezeiten. Unbrauchbar für Kategorie-Filter.
+
+## Schicht 5 — OS-Plugins und DNS-Profile
+
+Auf iOS lässt sich ein DNS-Konfigurationsprofil installieren (NextDNS, CleanBrowsing, Agiliton VPN wirkt ähnlich). Auf Android setzt man „Privates DNS" in den OS-Einstellungen. Das wirkt auf OS-Ebene ohne vollen VPN-Tunnel.
+
+**Was es leistet:** Leichtgewichtige DNS-Filterung ohne VPN-Tunnel. Gilt für alle Apps.
+
+**Was es verpasst:**
+- Oft trivial entfernbar von einem Kind, das weiß, wo es nachschaut.
+- Reine DNS-Profile verschlüsseln nicht — manche Netzwerke (vor allem Schulen) überschreiben sie.
+- Keine Profilauswahl nach Rolle (Kind vs. Teen) — eine Einstellung für alle.
+
+**Fazit:** Gut für Eltern, die eine leichte Lösung wollen und ihrem Kind vertrauen. Für jüngere Kinder nicht robust genug.
+
+## Schicht 6 — Browser-Plugins
+
+Erweiterungen wie uBlock Origin, Privacy Badger oder schulische Inhaltsfilter laufen innerhalb des Browsers.
+
+**Was sie leisten:** Werbung, Tracker oder gelistete Domains innerhalb dieses einen Browsers blockieren.
+
+**Was sie verpassen:**
+- Wirken nur in dem Browser, in dem sie installiert sind. Ein anderer Browser umgeht sie.
+- Wirken nicht in Apps (TikTok, Instagram, Roblox laufen außerhalb des Browsers).
+- Auf Mobilgeräten ist der Support begrenzt (iOS-Safari hat wenige, Chrome Android fast keine).
+
+**Fazit:** Sinnvolle Ergänzung für Desktop-Browsing. Als primäre Kinderschutz-Schicht nahezu unbrauchbar.
+
+## Schicht 7 — In-App-Einstellungen
+
+Jede ernstzunehmende App hat eigene Jugendschutz-Einstellungen: TikTok Family Pairing, Instagram Elternaufsicht, YouTube Kids, Roblox-Kontobeschränkungen, Discords „Safe Messaging"-Vorgaben.
+
+**Was sie leisten:** App-spezifische Absicherungen — eingeschränkte Inhaltsmodi, Kommunikationslimits, Bildschirmzeit-Hinweise innerhalb der App.
+
+**Was sie verpassen:**
+- Setzen voraus, dass das Kind in dieser App ein Konto mit korrektem Alter hat — was Kinder, wie in [unserem TikTok-Leitfaden](/de/ist-tiktok-sicher-fuer-kinder/) beschrieben, regelmäßig fälschen.
+- Wirken nur in dieser App. Ein Zweitkonto, eine andere App oder die Web-Version umgeht sie.
+- Werden häufig umgestaltet; was letztes Jahr schützte, ist vielleicht still entfernt worden.
+
+**Fazit:** Für jede vom Kind genutzte App konfigurieren. Nie eine primäre Schicht.
+
+## Warum das VPN die tragende Schicht ist
+
+Schauen Sie sich an, was jede Schicht abdeckt:
+
+| Schicht | Heim-WLAN | Mobilfunk | Schul-WLAN | Besucher-WLAN | App-Verkehr | Vom Kind umgehbar |
+|---|---|---|---|---|---|---|
+| Provider-Filter | ✅ | ❌ | ❌ | ❌ | ✅ | Trivial |
+| Router-DNS | ✅ | ❌ | ❌ | ❌ | ✅ | Mit Aufwand |
+| **VPN-DNS (Kind-Modus)** | ✅ | ✅ | ✅ | ✅ | ✅ | **Nein** |
+| OS-Elternkontrollen | ✅ | ✅ | ✅ | ✅ | Teilweise | Mit Code |
+| OS-DNS-Profil | ✅ | ✅ | ✅ | ✅ | ✅ | Oft |
+| Browser-Plugin | Nur Browser | Nur Browser | Nur Browser | Nur Browser | ❌ | Leicht |
+| In-App | In der App | In der App | In der App | In der App | In der App | Über falsches Alter |
+
+Das VPN im Kind-Modus ist die einzige Zeile mit einem Haken in jeder Spalte und „Nein" bei der Umgehbarkeit. Nimmt man es weg, deckt plötzlich keine Schicht mehr Mobilfunk, Schul-WLAN oder Kategorie-Filter innerhalb von Apps ab.
+
+Das ist kein Marketing. Das ist das, was die Schicht-Skizze zeigt, wenn man sie ehrlich zeichnet.
+
+## Unser empfohlener Stapel
+
+Für eine Familie mit Kindern unter 16 betreiben Sie die Schichten **2 + 3 + 4 + 7**:
+
+1. **Router-DNS** (Schicht 2) — Heim-Baseline
+2. **Familien-VPN mit Kind-Profil** (Schicht 3) — der immer-an Filter, der mitreist
+3. **OS-Elternkontrollen** (Schicht 4) — App-Freigabe, Zeitlimits, Ruhezeiten
+4. **In-App-Einstellungen** (Schicht 7) — je App konfigurieren
+
+Schichten 1, 5 und 6 sind entweder redundant oder nicht tragend; auslassen, außer Sie brauchen sie gezielt.
+
+## Weiterführende Artikel
+
+- [Elternkontrolle 2026: Ein Praxisleitfaden](/de/elternkontrolle-2026-praxisleitfaden/)
+- [Ist TikTok sicher für mein Kind?](/de/ist-tiktok-sicher-fuer-kinder/)
+- [Sichere Suche und Inhaltsfilter: Was 2026 wirklich funktioniert](/de/sichere-suche-inhaltsfilter-2026/)
+
+{{< vpn-cta >}}

content/en/layers-of-online-protection-why-vpn-matters.md

@@ -0,0 +1,152 @@
+---
+title: "The Seven Layers of Online Protection — and Why a VPN Is the One You Cannot Skip"
+date: 2026-04-14
+description: "From your internet provider down to in-app settings, there are seven layers where a child's online safety can be enforced. Here is what each one does, what it misses, and why a family VPN is the layer that holds the others together."
+tags: ["parental controls", "VPN", "DNS filtering", "router", "browser extensions", "Screen Time", "defence in depth"]
+categories: ["safety"]
+author: "Agiliton"
+slug: "layers-of-online-protection-why-vpn-matters"
+translationKey: "layers-of-protection"
+---
+
+Online safety is not a switch. It is a stack of seven layers, each covering something the others don't. When parents struggle, it is almost always because they have set up one or two layers and assumed that was enough. It never is.
+
+This article walks through all seven — from your internet provider right down to the settings inside individual apps — explains what each actually blocks, and shows why a family VPN is the layer that stops the others from leaking.
+
+## Layer 1 — The Internet Service Provider
+
+Your ISP (Deutsche Telekom, Vodafone, Orange, BT, Comcast) sits between your house and the wider internet. Most major ISPs offer a "family filter" or "safe surf" option that you can enable in your customer portal.
+
+**What it does:** DNS-level category filtering applied to your home internet connection.
+
+**What it misses:**
+- Only the connection from that one subscription — not mobile data, not when your child is at a friend's house.
+- Most ISP filters are coarse, infrequently updated, and easy to bypass by switching DNS to `8.8.8.8`.
+- Nothing is blocked on cellular data, even if the phone is on the same household.
+
+**Verdict:** Turn it on if you have it. Don't rely on it.
+
+## Layer 2 — The Router
+
+Your home router is the first device in your house that every other device goes through. Modern routers (FRITZ!Box, AVM, eero, ASUS, Unifi) let you set custom DNS servers — like Cloudflare `1.1.1.3`, NextDNS, or Quad9 — and some even let you apply different rules per device.
+
+**What it does:** Enforces DNS filtering for every device on the home Wi-Fi, including smart TVs, gaming consoles, and friends' phones when they visit.
+
+**What it misses:**
+- Leaves your house with the device. Mobile data, school Wi-Fi, coffee shops — all unfiltered.
+- A child who installs a VPN app or changes DNS on the device itself bypasses the router entirely.
+- Cannot enforce per-user rules if everyone in the house shares the same Wi-Fi SSID.
+
+**Verdict:** Essential for the home baseline. Cannot protect mobile devices away from home.
+
+## Layer 3 — The VPN with DNS Filtering (The One You Cannot Skip)
+
+A VPN installed on the child's device tunnels all traffic through a filter that travels with the device — at home, on mobile data, on school Wi-Fi, on holiday. This is the layer that makes the others actually hold.
+
+**What it does:**
+- Applies the same curated DNS blocklist on every network the device connects to.
+- Blocks ads, trackers, malware, phishing, and — crucially — full content categories (social media, adult, gambling, dating, gaming).
+- In a locked-down child profile, cannot be disabled by the child.
+- Works regardless of browser, regardless of app, regardless of which account the child signs into.
+
+**What it misses:**
+- Does not limit time spent in apps that are allowed. You still need Screen Time / Family Link for that.
+- Cannot enforce "bedtime" or "downtime" windows — this is a device-OS job.
+
+**Why this layer matters more than the others:** Every layer above this one either stops at the front door (router, ISP) or can be trivially bypassed inside the device (OS filters, browser plugins). The VPN is the only layer that travels, stays on, and cannot be switched off by a determined child. That's why we call it the layer you cannot skip.
+
+Our own product, [Agiliton VPN](https://go.agiliton.eu/vpn-app), is designed around this role — a per-device, always-on filter with **Child (0-12)** and **Teen (13-17)** profiles that block age-appropriate categories by default.
+
+## Layer 4 — The Operating System
+
+iOS, Android, Windows and macOS all provide system-level parental controls: iOS **Screen Time**, Google **Family Link**, Windows **Family Safety**, macOS **Screen Time**.
+
+**What they do:**
+- Approve app installs
+- Limit daily time per app or app category
+- Restrict communication (who can call, message, FaceTime)
+- Enforce downtime windows (e.g. no apps between 22:00 and 07:00)
+- Block in-app purchases
+
+**What they miss:**
+- Web filtering is weak. Safari's "Limit Adult Websites" is a tiny, easily-bypassed list.
+- No control over network-level traffic — if an app makes a request to a tracker or social-media CDN, the OS doesn't see it.
+- A child with the passcode can change everything. Many parents unknowingly share it.
+
+**Verdict:** Mandatory for daily time limits and downtime. Useless for content-category filtering.
+
+## Layer 5 — OS-Level Plugins and DNS Profiles
+
+On iOS you can install a DNS configuration profile (NextDNS, CleanBrowsing, Agiliton VPN acts similarly). On Android you can set Private DNS in the OS settings. These operate at the OS level without a full VPN.
+
+**What they do:** Lightweight DNS filtering without a VPN tunnel. Applies to all apps.
+
+**What they miss:**
+- Often trivially removable by a child who knows where to look.
+- DNS-only profiles don't encrypt traffic, so some networks (especially schools) may override them.
+- No profile selection by role (child vs. teen) — one-size-fits-all.
+
+**Verdict:** Fine for parents who want a light-touch solution and trust their child. Not robust enough for younger children.
+
+## Layer 6 — Browser Extensions and Plugins
+
+Extensions like uBlock Origin, Privacy Badger, or school-issued content filters run inside the browser.
+
+**What they do:** Block ads, trackers, or listed domains within that browser only.
+
+**What they miss:**
+- Only work in the one browser they're installed in. Child switches to another browser → bypassed.
+- Do not work in apps (TikTok, Instagram, Roblox all operate outside the browser).
+- On mobile, extension support is limited (Safari on iOS supports a few, Chrome Android almost none).
+
+**Verdict:** Useful addition for desktop browsing hygiene. Close to useless as a primary child-safety layer.
+
+## Layer 7 — In-App Settings
+
+Every serious app has its own parental or safety settings: TikTok Family Pairing, Instagram Parental Supervision, YouTube Kids, Roblox Account Restrictions, Discord "Safe Messaging" defaults.
+
+**What they do:** App-specific protections — restricted content modes, communication limits, screen-time nudges within that app.
+
+**What they miss:**
+- Require the child to have an account in that app with the correct age — which, as covered in [our TikTok guide](/en/is-tiktok-safe-for-kids/), children routinely falsify.
+- Apply only to that app. A second account, a different app, or the web version bypasses them.
+- Frequently redesigned; settings that were protective last year may have been quietly removed or defaulted off.
+
+**Verdict:** Worth configuring on every app the child uses. Never a primary layer.
+
+## Why the VPN Is the Load-Bearing Layer
+
+Look at what each layer covers:
+
+| Layer | Home Wi-Fi | Mobile data | School Wi-Fi | Friends' Wi-Fi | In-app traffic | Bypassable by child |
+|---|---|---|---|---|---|---|
+| ISP filter | ✅ | ❌ | ❌ | ❌ | ✅ | Trivially |
+| Router DNS | ✅ | ❌ | ❌ | ❌ | ✅ | With effort |
+| **VPN DNS (child mode)** | ✅ | ✅ | ✅ | ✅ | ✅ | **No** |
+| OS parental controls | ✅ | ✅ | ✅ | ✅ | Partial | With passcode |
+| OS DNS profile | ✅ | ✅ | ✅ | ✅ | ✅ | Often |
+| Browser extension | Browser only | Browser only | Browser only | Browser only | ❌ | Easily |
+| In-app settings | In that app | In that app | In that app | In that app | In that app | Via fake age |
+
+The VPN in child mode is the only row with a tick in every column and a "No" on bypassability. Take it away, and suddenly there is no layer covering mobile data, no layer covering school Wi-Fi, and no layer covering content-category filtering inside apps.
+
+This is not marketing. It is what the layer diagram actually shows when you draw it honestly.
+
+## Our Recommended Stack
+
+For a family with children under 16, run layers **2 + 3 + 4 + 7**:
+
+1. **Router DNS** (Layer 2) — home-network baseline
+2. **Family VPN with child profile** (Layer 3) — the always-on filter that travels
+3. **OS parental controls** (Layer 4) — app approval, time limits, downtime
+4. **In-app settings** (Layer 7) — per-app configuration for whatever your child uses
+
+Skip layers 1, 5 and 6 unless you specifically need them. They are either redundant or not load-bearing.
+
+## Further Reading
+
+- [Parental Controls in 2026: A Practical Guide](/en/parental-controls-2026-practical-guide/)
+- [Is TikTok Safe for My Child?](/en/is-tiktok-safe-for-kids/)
+- [Safe Search and Content Filtering: What Actually Works in 2026](/en/safe-search-content-filtering-2026/)
+
+{{< vpn-cta >}}

content/en/parental-controls-2026-practical-guide.md

@@ -0,0 +1,82 @@
+---
+title: "Parental Controls in 2026: A Practical Guide That Actually Works"
+date: 2026-04-14
+description: "An honest comparison of iOS Screen Time, Android Family Link, router filters and DNS-based VPN filtering — what each one is good for, and how to combine them."
+tags: ["parental controls", "iOS Screen Time", "Family Link", "DNS filtering", "router", "VPN", "family"]
+categories: ["safety"]
+author: "Agiliton"
+slug: "parental-controls-2026-practical-guide"
+translationKey: "parental-controls-2026"
+---
+
+There is no single "parental control" that works. Every family eventually learns this the same way — they set up Screen Time on an iPad, watch their ten-year-old bypass it in an afternoon, and start searching for a better answer. The better answer is not a different product. It is a layered setup that plays each tool to its strengths.
+
+This guide compares the four tools most families actually have access to, what each does well, and how to combine them.
+
+## The Four Tools That Matter
+
+**1. iOS Screen Time.** Built into every iPhone and iPad. Strong at app-level time limits, content ratings, communication restrictions, and App Store approvals. Weak at anything web-based — Safari's content filter is a blunt instrument, and any child determined to visit a site can install a second browser, use a VPN, or open the site in the App Store preview.
+
+**2. Google Family Link (Android).** Similar to Screen Time. Strong at app approvals, Play Store controls, daily limits, and location. Weak on web, and weak on iOS where it simply isn't supported.
+
+**3. Router-level filtering.** DNS blocklists or content filters applied at your home Wi-Fi. Good because it covers every device on the home network, including friends' devices and the TV. Useless the moment the device leaves the house, and useless on mobile data.
+
+**4. VPN-based DNS filtering.** A per-device tunnel that applies the same DNS filter everywhere — at home, on mobile data, on school Wi-Fi, on holiday. This is the piece most families miss. It is also the only one that travels with the device.
+
+## Honest Comparison
+
+| Capability | iOS Screen Time | Family Link | Router DNS | VPN DNS (e.g. Agiliton) |
+|---|---|---|---|---|
+| App install approvals | ✅ | ✅ | ❌ | ❌ |
+| Daily app time limits | ✅ | ✅ | ❌ | ❌ |
+| Content category blocking (web + app) | Partial | Partial | ✅ | ✅ |
+| Works off home Wi-Fi | ✅ | ✅ | ❌ | ✅ |
+| Works on school / friends' Wi-Fi | ✅ | ✅ | ❌ | ✅ |
+| Blocks trackers & ads | ❌ | ❌ | Partial | ✅ |
+| Works on smart TVs / Apple TV | ❌ | ❌ | ✅ | ✅ (Apple TV) |
+| Your child can disable it | With the passcode | With the passcode | No | No (in child mode) |
+
+There is no row where a single tool wins everything. The useful question is which combination to run.
+
+## What We Actually Recommend
+
+For a family with children aged 6-15, the layered setup that works in practice:
+
+**Layer 1 — Device accounts (iOS Screen Time or Family Link).** Set a proper child account with the correct date of birth, an age-appropriate content rating, App Store approval required for every install, daily time limits per app category, and downtime hours that cover school and sleep. Do this first. Do not skip it, even if you add the other layers.
+
+**Layer 2 — DNS filtering that travels with the device.** This is where Agiliton VPN fits. Install it on the child's phone, tablet, and laptop; enable the **Child** profile. Now, regardless of which Wi-Fi the device is connected to, categories like adult content, social media, gambling and dating are blocked at the DNS layer — including TikTok's web version, the one iOS Screen Time misses. The child cannot disable the VPN in child mode.
+
+**Layer 3 — Home Wi-Fi settings.** If your router supports it (most modern mesh systems do), configure family-safe DNS on the home network. This covers visiting friends' devices, the smart TV, and gaming consoles when they're on your Wi-Fi. Cloudflare `1.1.1.3` (family filter) or NextDNS with a family profile are both fine.
+
+**Layer 4 — Conversation, every six months.** None of the above replaces talking to your child about what they are seeing online. Controls buy you time; literacy is the long game.
+
+## Why DNS Filtering Is the Missing Piece
+
+Most parents set up iOS Screen Time, feel covered, and don't realise that Screen Time has no web-category filter worth the name. Safari's built-in "Limit Adult Websites" is a tiny list and is trivially bypassed by navigating to a site's IP directly, by using a different browser wrapped in a Web Clip, or by opening the mobile web in the App Store's in-app browser.
+
+DNS filtering closes this. When a child's device tries to load `tiktok.com`, `pornhub.com` or `bet365.com`, the DNS lookup never resolves, so the app or browser has nothing to connect to. It doesn't matter which browser they use, which VPN they install, which account they sign into — the address just does not exist on that device.
+
+The Agiliton VPN **Child** profile does this by default. Our curated blocklist combines:
+
+- **HaGeZi Multi** for ads, trackers, malware and phishing
+- **OISD** as a low-false-positive reputation list
+- **A Cloudflare top-10k allowlist** to guarantee the most-visited sites stay reachable
+- **Category layers** on top: social media, adult, gambling, dating, and gaming — each toggleable per profile
+
+We trim the raw upstream lists to roughly 15-30,000 domains optimised for German and European traffic, because smaller is faster on mobile and produces fewer accidental blocks on regional sites.
+
+## Common Mistakes
+
+- **Giving the child the Screen Time passcode "just for homework".** Once it leaves your hands, treat it as compromised — reset it.
+- **Setting up Family Link on a second-hand Android without a factory reset.** The previous owner's supervision can linger, or — worse — the device may not actually be running Family Link despite appearances.
+- **Router filtering only.** Protects the house, fails the moment they're on mobile data or friends' Wi-Fi.
+- **VPN only.** Doesn't limit time spent in the apps that *are* allowed. You still need device-level limits.
+- **No conversation.** Produces sneaky teenagers, not safe ones.
+
+## Further Reading
+
+- [Is TikTok Safe for My Child?](/en/is-tiktok-safe-for-kids/)
+- [Safe Search and Content Filtering: What Actually Works in 2026](/en/safe-search-content-filtering-2026/)
+- [Roblox, Fortnite, Discord: Age Ratings and Real Risks](/en/roblox-fortnite-discord-age-ratings-risks/)
+
+{{< vpn-cta >}}

content/fr/controle-parental-2026-guide-pratique.md

@@ -0,0 +1,82 @@
+---
+title: "Contrôle parental en 2026 : un guide pratique qui fonctionne vraiment"
+date: 2026-04-14
+description: "Comparaison honnête de Temps d'écran sur iOS, Family Link sur Android, du filtrage routeur et du filtrage DNS via VPN — à quoi sert chacun, et comment les combiner."
+tags: ["contrôle parental", "temps d'écran", "Family Link", "filtrage DNS", "routeur", "VPN", "famille"]
+categories: ["sécurité"]
+author: "Agiliton"
+slug: "controle-parental-2026-guide-pratique"
+translationKey: "parental-controls-2026"
+---
+
+Il n'existe pas un seul « contrôle parental » qui fasse le travail. Toutes les familles finissent par l'apprendre de la même manière : on installe Temps d'écran sur un iPad, on regarde son enfant de dix ans le contourner en un après-midi, et on part chercher une meilleure solution. La meilleure solution n'est pas un autre produit, c'est une configuration en couches qui exploite chaque outil là où il est bon.
+
+Ce guide compare les quatre outils auxquels la plupart des familles ont accès, leurs points forts et la manière de les combiner.
+
+## Les quatre outils qui comptent
+
+**1. Temps d'écran iOS.** Intégré à chaque iPhone et iPad. Bon pour les limites de temps par application, les classifications de contenu, les restrictions de communication et la validation d'App Store. Faible sur tout ce qui est web — le filtre Safari est très basique, et un enfant déterminé installe un autre navigateur, utilise un VPN ou ouvre le site dans l'aperçu App Store.
+
+**2. Google Family Link (Android).** Similaire à Temps d'écran. Bon pour valider les apps, contrôler le Play Store, limiter la durée quotidienne, localiser. Faible sur le web, et absent sur iOS.
+
+**3. Filtrage au niveau du routeur.** Blocklists DNS ou filtres de contenu appliqués au Wi-Fi domestique. Bon parce qu'il couvre chaque appareil du réseau — y compris ceux des amis et la télévision. Inutile dès que l'appareil quitte la maison, et inutile en données mobiles.
+
+**4. Filtrage DNS via VPN.** Un tunnel par appareil qui applique le même filtre DNS partout — à la maison, en données mobiles, sur le Wi-Fi de l'école, en vacances. C'est la pièce que la plupart des familles oublient. C'est aussi la seule qui voyage avec l'appareil.
+
+## Comparaison honnête
+
+| Capacité | Temps d'écran iOS | Family Link | DNS routeur | DNS VPN (ex. Agiliton) |
+|---|---|---|---|---|
+| Validation d'installation | ✅ | ✅ | ❌ | ❌ |
+| Limites de temps par app | ✅ | ✅ | ❌ | ❌ |
+| Filtrage par catégorie (web + app) | Partiel | Partiel | ✅ | ✅ |
+| Fonctionne hors Wi-Fi domestique | ✅ | ✅ | ❌ | ✅ |
+| Fonctionne sur Wi-Fi école/amis | ✅ | ✅ | ❌ | ✅ |
+| Bloque traqueurs et publicités | ❌ | ❌ | Partiel | ✅ |
+| Fonctionne sur Smart TV / Apple TV | ❌ | ❌ | ✅ | ✅ (Apple TV) |
+| Désactivable par l'enfant | Avec le code | Avec le code | Non | Non (mode Enfant) |
+
+Aucune ligne n'est gagnée par un seul outil. La bonne question est : quelle combinaison faire tourner ?
+
+## Ce que nous recommandons réellement
+
+Pour une famille avec des enfants de 6 à 15 ans, voici la configuration en couches qui tient la route :
+
+**Couche 1 — Comptes appareil (Temps d'écran iOS ou Family Link).** Configurez un vrai compte enfant avec la bonne date de naissance, une classification de contenu adaptée à l'âge, la validation obligatoire de chaque installation, des limites de temps quotidiennes par catégorie d'app, et des heures de repos couvrant l'école et le sommeil. Commencez par là. Ne sautez pas cette couche, même si vous ajoutez les autres.
+
+**Couche 2 — Filtrage DNS qui voyage avec l'appareil.** C'est là qu'Agiliton VPN trouve sa place. Installez-le sur le téléphone, la tablette et l'ordinateur portable de l'enfant ; activez le profil **Enfant**. Peu importe le Wi-Fi auquel l'appareil se connecte, les catégories comme le contenu adulte, les réseaux sociaux, les jeux d'argent et les sites de rencontre sont bloquées au niveau DNS — y compris la version web de TikTok, celle que Temps d'écran rate. En mode Enfant, le VPN ne peut pas être désactivé.
+
+**Couche 3 — Paramètres du Wi-Fi domestique.** Si votre routeur le permet (la plupart des systèmes maillés modernes le font), configurez un DNS « famille » sur le réseau de la maison. Cela couvre les appareils des amis, la Smart TV et les consoles quand ils sont chez vous. Cloudflare `1.1.1.3` (filtre famille) ou NextDNS avec un profil famille conviennent tous deux.
+
+**Couche 4 — La conversation, tous les six mois.** Rien de tout cela ne remplace parler avec votre enfant de ce qu'il voit en ligne. Les contrôles achètent du temps ; la littératie numérique est le jeu à long terme.
+
+## Pourquoi le filtrage DNS est la pièce manquante
+
+La plupart des parents configurent Temps d'écran, se sentent protégés, et ne réalisent pas que Temps d'écran n'a pas vraiment de filtre web par catégorie. L'option « Limiter les sites pour adultes » de Safari est une liste minuscule, contournée trivialement en saisissant une IP, en passant par un autre navigateur en Web Clip, ou via le navigateur intégré de l'App Store.
+
+Le filtrage DNS ferme cette brèche. Quand l'appareil d'un enfant tente de résoudre `tiktok.com`, `pornhub.com` ou `bet365.com`, la requête DNS n'aboutit pas — ni l'application ni le navigateur ne reçoivent d'adresse à joindre. Peu importe le navigateur, le VPN, le compte : l'adresse n'existe tout simplement pas sur cet appareil.
+
+Le profil **Enfant** d'Agiliton VPN fait cela par défaut. Notre blocklist curée combine :
+
+- **HaGeZi Multi** pour publicités, traqueurs, malwares et phishing
+- **OISD**, une liste basée sur la réputation et calibrée pour peu de faux positifs
+- **Une liste d'autorisation Top-10k Cloudflare** pour garantir que les sites les plus visités restent accessibles
+- **Des couches de catégories** : réseaux sociaux, contenu adulte, jeux d'argent, sites de rencontre, gaming — chacune activable par profil
+
+Nous réduisons les listes brutes à environ 15 000 à 30 000 entrées, optimisées pour le trafic allemand et européen, parce qu'une liste plus petite est plus rapide sur mobile et bloque moins de sites régionaux par accident.
+
+## Erreurs fréquentes
+
+- **Donner le code Temps d'écran « juste pour les devoirs ».** Dès qu'il quitte vos mains, considérez-le compromis — réinitialisez-le.
+- **Installer Family Link sur un Android d'occasion sans réinitialisation d'usine.** La supervision de l'ancien propriétaire peut subsister — ou, pire, Family Link peut ne pas tourner du tout malgré les apparences.
+- **Uniquement le routeur.** Protège la maison, échoue en données mobiles ou sur le Wi-Fi des amis.
+- **Uniquement le VPN.** Ne limite pas le temps passé dans les applications qui *sont* autorisées. Les limites au niveau de l'appareil restent nécessaires.
+- **Pas de conversation.** Produit des adolescents clandestins, pas protégés.
+
+## Pour aller plus loin
+
+- [TikTok est-il sûr pour mon enfant ?](/fr/tiktok-est-il-sur-pour-mon-enfant/)
+- [Recherche sûre et filtrage de contenu : ce qui fonctionne vraiment en 2026](/fr/recherche-sure-filtrage-contenu-2026/)
+- [Roblox, Fortnite, Discord : classifications d'âge et vrais risques](/fr/roblox-fortnite-discord-classifications-risques/)
+
+{{< vpn-cta >}}

content/fr/couches-protection-en-ligne-pourquoi-vpn-indispensable.md

@@ -0,0 +1,152 @@
+---
+title: "Les sept couches de protection en ligne — et pourquoi le VPN est celle qu'il ne faut pas sauter"
+date: 2026-04-14
+description: "Du fournisseur d'accès aux réglages internes des applications, la sécurité en ligne d'un enfant peut s'appliquer à sept niveaux. Voici ce que chacun fait, ce qu'il rate, et pourquoi un VPN familial est la couche qui empêche les autres de fuir."
+tags: ["contrôle parental", "VPN", "filtrage DNS", "routeur", "extensions navigateur", "temps d'écran", "défense en profondeur"]
+categories: ["sécurité"]
+author: "Agiliton"
+slug: "couches-protection-en-ligne-pourquoi-vpn-indispensable"
+translationKey: "layers-of-protection"
+---
+
+La sécurité en ligne n'est pas un interrupteur. C'est une pile de sept couches, chacune couvrant ce que les autres ne couvrent pas. Quand les parents échouent, c'est presque toujours parce qu'ils ont configuré une ou deux couches et supposé que cela suffisait. Cela ne suffit jamais.
+
+Cet article parcourt les sept — du fournisseur d'accès jusqu'aux réglages internes de chaque application — explique ce que chacune bloque réellement, et montre pourquoi un VPN familial est la couche qui empêche les autres de fuir.
+
+## Couche 1 — Le fournisseur d'accès
+
+Votre FAI (Orange, Free, Bouygues, SFR) est entre votre domicile et le reste d'Internet. La plupart des grands FAI proposent dans l'espace client une option « filtre famille » ou « navigation sécurisée ».
+
+**Ce qu'il fait :** filtrage DNS par catégorie appliqué à votre abonnement domestique.
+
+**Ce qu'il rate :**
+- Uniquement cet abonnement — pas les données mobiles, pas le Wi-Fi d'un ami.
+- La plupart des filtres FAI sont grossiers, rarement mis à jour et contournables en changeant de DNS vers `8.8.8.8`.
+- Rien n'est bloqué en données mobiles, même si le téléphone appartient au foyer.
+
+**Verdict :** à activer s'il existe. Ne pas s'y fier seul.
+
+## Couche 2 — Le routeur
+
+Votre routeur domestique est le premier appareil par lequel tous les autres passent. Les routeurs modernes (Livebox, FRITZ!Box, eero, ASUS) permettent de configurer des serveurs DNS personnalisés — Cloudflare `1.1.1.3`, NextDNS, Quad9 — et certains imposent des règles par appareil.
+
+**Ce qu'il fait :** applique un filtrage DNS à chaque appareil du Wi-Fi domestique, y compris Smart TV, consoles, téléphones des amis en visite.
+
+**Ce qu'il rate :**
+- Quitte la maison avec l'appareil. Données mobiles, Wi-Fi de l'école, cafés : tout est non filtré.
+- Un enfant qui installe une app VPN ou modifie le DNS de l'appareil lui-même contourne entièrement le routeur.
+- Pas de règles par utilisateur si tout le monde partage le même SSID.
+
+**Verdict :** indispensable comme base domestique. Incapable de protéger les mobiles hors du foyer.
+
+## Couche 3 — Le VPN avec filtrage DNS (celle qu'il ne faut pas sauter)
+
+Un VPN installé sur l'appareil de l'enfant fait passer tout le trafic par un filtre qui voyage avec l'appareil — à la maison, en données mobiles, sur le Wi-Fi de l'école, en vacances. C'est la couche qui fait réellement tenir les autres.
+
+**Ce qu'il fait :**
+- Applique la même blocklist DNS curée sur chaque réseau auquel l'appareil se connecte.
+- Bloque publicités, traqueurs, malwares, phishing et — surtout — des catégories entières (réseaux sociaux, contenu adulte, jeux d'argent, sites de rencontre, gaming).
+- Dans un profil Enfant verrouillé, l'enfant ne peut pas le désactiver.
+- Fonctionne quel que soit le navigateur, quelle que soit l'application, quel que soit le compte utilisé.
+
+**Ce qu'il rate :**
+- Ne limite pas le temps passé dans les applications autorisées. Temps d'écran / Family Link reste nécessaire.
+- Ne peut pas imposer de plages « coucher » ou « repos » — c'est le rôle du système d'exploitation.
+
+**Pourquoi cette couche compte plus que les autres :** toutes les couches au-dessus s'arrêtent soit à la porte d'entrée (routeur, FAI), soit se contournent trivialement sur l'appareil (filtres OS, extensions de navigateur). Le VPN est la seule couche qui voyage, reste active, et ne peut pas être désactivée par un enfant déterminé. C'est pourquoi nous l'appelons la couche qu'il ne faut pas sauter.
+
+Notre produit, [Agiliton VPN](https://go.agiliton.eu/vpn-app), est précisément conçu pour ce rôle — un filtre par appareil, toujours actif, avec des profils **Enfant (0-12)** et **Ado (13-17)** qui bloquent par défaut les catégories adaptées à l'âge.
+
+## Couche 4 — Le système d'exploitation
+
+iOS, Android, Windows et macOS proposent tous des contrôles parentaux système : **Temps d'écran** iOS, **Family Link** Google, **Family Safety** Windows, **Temps d'écran** macOS.
+
+**Ce qu'ils font :**
+- Validation d'installation d'apps
+- Limitation quotidienne par app ou catégorie
+- Restrictions de communication (qui peut appeler, écrire, FaceTimer)
+- Plages de repos (ex. pas d'apps entre 22h et 7h)
+- Blocage des achats in-app
+
+**Ce qu'ils ratent :**
+- Filtrage web faible. « Limiter les sites pour adultes » sur Safari est une liste minuscule et facilement contournée.
+- Aucun contrôle sur le trafic réseau — si une app appelle un traqueur ou un CDN de réseau social, l'OS ne le voit pas.
+- Un enfant qui a le code peut tout changer. Beaucoup de parents le partagent sans le vouloir.
+
+**Verdict :** obligatoire pour les limites de temps et les plages de repos. Inutile pour le filtrage par catégorie.
+
+## Couche 5 — Plugins OS et profils DNS
+
+Sur iOS, on installe un profil de configuration DNS (NextDNS, CleanBrowsing ; Agiliton VPN agit de manière similaire). Sur Android, on règle le « DNS privé » dans les paramètres. Cela opère au niveau OS sans tunnel VPN complet.
+
+**Ce qu'il fait :** filtrage DNS léger sans tunnel VPN. S'applique à toutes les apps.
+
+**Ce qu'il rate :**
+- Souvent trivialement supprimable par un enfant qui sait où chercher.
+- Les profils DNS seuls ne chiffrent pas — certains réseaux (notamment les écoles) peuvent les écraser.
+- Pas de profil par rôle (Enfant vs. Ado) — taille unique.
+
+**Verdict :** convient aux parents qui veulent une solution légère et font confiance à leur enfant. Insuffisant pour les plus jeunes.
+
+## Couche 6 — Extensions de navigateur
+
+uBlock Origin, Privacy Badger, ou les filtres scolaires s'exécutent à l'intérieur du navigateur.
+
+**Ce qu'ils font :** bloquent publicités, traqueurs ou domaines listés dans ce seul navigateur.
+
+**Ce qu'ils ratent :**
+- Ne fonctionnent que dans le navigateur où ils sont installés. L'enfant passe à un autre → contournés.
+- Ne fonctionnent pas dans les applications (TikTok, Instagram, Roblox opèrent hors du navigateur).
+- Support limité sur mobile (Safari iOS en a quelques-uns, Chrome Android presque aucun).
+
+**Verdict :** complément utile pour l'hygiène bureautique. Proche de l'inutile comme couche principale de protection d'un enfant.
+
+## Couche 7 — Réglages internes aux applications
+
+Chaque app sérieuse a ses propres réglages parentaux : Connexion Famille TikTok, supervision parentale Instagram, YouTube Kids, restrictions de compte Roblox, « Safe Messaging » par défaut chez Discord.
+
+**Ce qu'ils font :** protections spécifiques à l'app — modes de contenu restreint, limites de communication, rappels de temps d'écran internes.
+
+**Ce qu'ils ratent :**
+- Ils supposent que l'enfant a un compte avec le bon âge — ce qui, comme décrit dans [notre guide TikTok](/fr/tiktok-est-il-sur-pour-mon-enfant/), est régulièrement falsifié.
+- Ne s'appliquent qu'à cette app. Un second compte, une autre app ou la version web les contourne.
+- Régulièrement remaniés ; des réglages protecteurs l'an dernier peuvent avoir été discrètement retirés.
+
+**Verdict :** à configurer sur chaque application utilisée. Jamais une couche principale.
+
+## Pourquoi le VPN est la couche porteuse
+
+Regardez ce que chaque couche couvre :
+
+| Couche | Wi-Fi domestique | Données mobiles | Wi-Fi école | Wi-Fi amis | Trafic in-app | Contournable par l'enfant |
+|---|---|---|---|---|---|---|
+| Filtre FAI | ✅ | ❌ | ❌ | ❌ | ✅ | Trivialement |
+| DNS routeur | ✅ | ❌ | ❌ | ❌ | ✅ | Avec effort |
+| **DNS VPN (mode Enfant)** | ✅ | ✅ | ✅ | ✅ | ✅ | **Non** |
+| Contrôles parentaux OS | ✅ | ✅ | ✅ | ✅ | Partiel | Avec le code |
+| Profil DNS OS | ✅ | ✅ | ✅ | ✅ | ✅ | Souvent |
+| Extension navigateur | Navigateur seul | Navigateur seul | Navigateur seul | Navigateur seul | ❌ | Facilement |
+| Réglages in-app | Dans l'app | Dans l'app | Dans l'app | Dans l'app | Dans l'app | Via âge falsifié |
+
+Le VPN en mode Enfant est la seule ligne cochée partout et « Non » pour la contournabilité. Le retirer, et soudain plus aucune couche ne couvre les données mobiles, le Wi-Fi de l'école ou le filtrage de catégories à l'intérieur des applications.
+
+Ce n'est pas du marketing. C'est ce que montre le schéma des couches quand on le dessine honnêtement.
+
+## Notre pile recommandée
+
+Pour une famille avec des enfants de moins de 16 ans, faites tourner les couches **2 + 3 + 4 + 7** :
+
+1. **DNS routeur** (couche 2) — base du réseau domestique
+2. **VPN familial avec profil Enfant** (couche 3) — le filtre toujours actif qui voyage
+3. **Contrôles parentaux OS** (couche 4) — validation d'apps, limites de temps, plages de repos
+4. **Réglages in-app** (couche 7) — configuration par application
+
+Sautez les couches 1, 5 et 6 à moins d'en avoir un besoin spécifique. Elles sont soit redondantes, soit non porteuses.
+
+## Pour aller plus loin
+
+- [Contrôle parental en 2026 : un guide pratique](/fr/controle-parental-2026-guide-pratique/)
+- [TikTok est-il sûr pour mon enfant ?](/fr/tiktok-est-il-sur-pour-mon-enfant/)
+- [Recherche sûre et filtrage de contenu : ce qui fonctionne vraiment en 2026](/fr/recherche-sure-filtrage-contenu-2026/)
+
+{{< vpn-cta >}}