Android no tiene un único interruptor para esto. Lo que sí tiene es un ajuste de DNS cifrado a nivel de sistema que se configura en noventa segundos, cubre todas las apps del teléfono y no cuesta nada — y un hueco conocido: Chrome lleva su propio resolutor de DNS y puede rodearlo. Cierra ese hueco y tendrás una configuración que aguanta una mala noche corriente.

Casi todas las guías sobre esto están escritas para un padre que restringe el teléfono de un hijo. Ese es otro problema, y más fácil, porque el padre se queda con el código. Esta es para el caso difícil: te estás bloqueando a ti mismo y conoces todas las contraseñas.

Capa uno: DNS privado, noventa segundos, gratis

Android admite DNS over TLS de forma nativa desde Android 9. Está por debajo del navegador, a nivel de sistema, así que se aplica a todas las apps y todos los navegadores a la vez, no necesita root y no instala nada.

Ajustes → Red e Internet → DNS privado → Nombre de host del proveedor de DNS privado, y ahí un resolutor con filtro. El filtro familiar de CleanBrowsing es la opción habitual:

family-filter-dns.cleanbrowsing.org

Guarda, y los dominios para adultos dejan de resolverse en todo el teléfono: en Chrome, en Firefox y en el navegador integrado con el que una app social abre los enlaces. Ese último importa más de lo que parece, porque en esos navegadores embebidos ocurre buena parte de la exposición accidental y son invisibles para cualquier solución basada en el navegador.

La ruta exacta del menú cambia según el fabricante. En Samsung es Conexiones → Más ajustes de conexión → DNS privado; buscar «DNS privado» en los Ajustes lo encuentra en cualquier versión.

La fuga que casi ninguna guía menciona

Esta es la parte que las publicaciones de los fabricantes se saltan, y lo más importante de esta página.

Chrome tiene su propio resolutor de DNS. El DNS seguro de Chrome envía las consultas por HTTPS a un proveedor que elige Chrome, con independencia del ajuste del sistema que acabas de configurar. Un teléfono con un resolutor con filtro perfectamente válido en DNS privado puede seguir resolviendo lo que resuelva el resolutor propio de Chrome.

Así que después de configurar el DNS privado, haz una de estas dos cosas:

Chrome → Configuración → Privacidad y seguridad → Usar DNS seguro → desactivado, lo que devuelve las consultas al sistema; o
déjalo activado pero con un proveedor personalizado: el mismo nombre de host con filtro, para que ambos resolutores apunten al mismo filtro.

Cualquiera de las dos vale. No hacer ninguna te deja con un filtro que precisamente el navegador que usas tiene derecho a ignorar, lo cual es peor que saber que no tienes filtro.

Una consecuencia útil de la propia documentación de Google: Chrome desactiva el DNS seguro cuando el dispositivo está gestionado o tiene el control parental activo. Por eso un teléfono de empresa se comporta distinto que uno personal.

Capa dos: un bloqueador de app, para lo que el DNS no ve

El filtrado por DNS es tosco por diseño. Responde a la pregunta «¿debe resolverse este dominio?» y a nada más: no ve una página concreta, no lee una página de resultados, y un sitio que se muda a un dominio nuevo resuelve perfectamente hasta que la lista lo alcanza.

Esta es la capa donde trabaja el bloqueador de Android de IronWill. Android no le da a ninguna app un filtro de contenido del sistema como hace iOS, así que el mecanismo es un servicio de accesibilidad que observa la navegación del navegador y bloquea en el dispositivo las páginas que coinciden. Cómo funciona y qué puede y no puede ver conviene leerlo antes de conceder el permiso: parece alarmante porque los servicios de accesibilidad son realmente potentes, y deberías saber a qué estás diciendo que sí.

Dos límites honestos:

Funciona por navegación del navegador, no a nivel de sistema. Ve navegadores. No es un filtro de red.
La gestión agresiva de batería lo mata. Las versiones de Xiaomi, Samsung, Oppo y Huawei en particular detienen servicios en segundo plano para ahorrar energía, en silencio. Si un bloqueador deja de funcionar en uno de esos teléfonos, lo primero que hay que mirar es la optimización de batería, no la app.

Con las dos capas se cubren mutuamente: el DNS atrapa todo, incluidos los navegadores integrados; el servicio de accesibilidad atrapa aquello para lo que el DNS es demasiado tosco.

Capa tres: hacer que deshacerlo sea lento

Las dos capas anteriores puede desactivarlas la misma persona que las activó: en unos quince segundos, en el caso del DNS privado. Si te estás bloqueando a ti mismo, ese es el problema de verdad, y es un problema de diseño más que técnico.

Lo que ayuda es la fricción, no el secreto:

Un retraso al desactivar la protección. IronWill pone diez minutos de espera para desactivar su bloqueador: inútil contra un plan y bastante eficaz contra un impulso. Casi todo lo que uno quiere deshacer a la 1 de la mañana ya no lo quiere deshacer a la 1:10.
Dale al DNS privado una razón para quedarse. Elige un resolutor que también quieras por el bloqueo de anuncios y rastreadores, así desactivarlo te cuesta algo que te gusta.
Que lo sepa alguien más. La fricción más fiable es social, y nada en un teléfono la sustituye.

Lo que nada de esto hace

Ningún bloqueador en un móvil es un muro. Alguien decidido borra el DNS privado, desinstala la app, usa otro dispositivo o restablece el teléfono, y quien diga lo contrario te está vendiendo algo. Tampoco vamos a fingir que nuestro bloqueador es una excepción; no lo es.

Para lo que sirve el conjunto es para quitar la decisión de diez segundos: ese hueco entre el impulso y la pestaña donde ocurren de verdad la mayoría de las recaídas. Convertir esos diez segundos en varios minutos de esfuerzo deliberado es todo el mecanismo, y es real. No es lo mismo que hacer algo imposible.

Si ahora mismo estás en medio de un impulso

Nada de esto ayuda en los próximos diez minutos. Un bloqueador es un muro que levantas de antemano. Para el momento en sí, es más útil entender qué está haciendo el impulso, y lo práctico es respiración, anclaje y moverte físicamente a otro sitio.

IronWill hace la parte Android de las tres capas en un mismo lugar: el bloqueador basado en accesibilidad, una configuración guiada del DNS privado, diez minutos de espera para desactivar la protección y un modo de emergencia para cuando nada de eso basta. Descarga gratuita, sin cuenta, y tus registros se quedan en el dispositivo.

Cómo bloquear el porno en Android cuando el bloqueado eres tú