Dokument přináší doporučení, jak by měla vypadat budoucí evropská pravidla a jakou odpovědnost by měly nově nést samotné digitální platformy. Report vychází z práce expertní skupiny (Special Panel on Child Safety Online), kterou iniciovala sama předsedkyně Evropské komise Ursula von der Leyen. Jeho autory jsou předsedové expertní skupiny, Prof. Dr. Jörg M. Fegert a Dr. Maria Melchior.

Jedním z hlavních poselství reportu je, že ochrana dětí online nesmí být postavena pouze na rodičích, školách a samotných dětech. Primární odpovědnost musí nést poskytovatelé digitálních služeb, kteří mají zajistit, že jejich služby budou pro děti bezpečné už ze své podstaty.

Pojďme se podívat na hlavní doporučení obšírného dokumentu:

Jednotný věkový limit 13 let v celé Evropské unii

Report doporučuje zavést celoevropský minimální věkový limit 13 let pro přístup k sociálním sítím a dalším digitálním službám. Děti mladší 13 let by podle návrhu neměly mít volný přístup k těmto službám. Výjimkou, kdy by i mladší děti mohly mít přístup, by mohlo být jejich využití pro vzdělávací účely nebo v omezeném a rodiči schváleném režimu pouze k věkově přiměřenému obsahu.

Report zároveň připouští, že jednotlivé členské státy mohou přijmout přísnější pravidla a věkovou hranici zvýšit.

Cílem tohoto kroku by mělo být sjednotit současnou roztříštěnou situaci v Evropě a zajistit stejnou úroveň ochrany pro všechny děti bez ohledu na zemi, ve které žijí.

Nemá jít jen o klasické sociální sítě

Doporučení expertů se nevztahují pouze na tradiční sociální sítě, ale na širší kategorii digitálních služeb, které děti využívají, a kde jim hrozí vystavení návykovému designu nebo pro daný věk nevhodnému obsahu.
Mezi ně má patřit například:

• sociální sítě,
• komunikační aplikace,
• některé online hry a herní platformy,
• AI chatboti a virtuální společníci,
• další služby využívající personalizovaný obsah a doporučovací algoritmy.

Odborníci zde argumentují, že děti dnes tráví čas v mnohem širším digitálním ekosystému, a jejich ochrana by proto neměla být omezena pouze na několik známých platforem.

Hlavní prvek „safety by design“

Report nestaví své hlavní doporučení jen na věkovém limitu. Jedním z nejvýznamnějších doporučení je zavedení principu „safety by design“, tedy zaručení bezpečnosti již při návrhu digitálních služeb a před jejich zpřístupněním dětem.

Jinými slovy – platformy by měly být navrženy tak, aby byly bezpečné pro děti už od samého začátku, nikoliv aby se rizika řešila až poté, kdy je uživatelé objeví.

Digitální služby přístupné dětem a dospívajícím by měly být postavené na těchto prvcích:

• bezpečné výchozí nastavení účtů,
• omezení nekonečného scrollování,
• omezení automatického přehrávání obsahu,
• omezení návykových push notifikací,
• úpravy doporučovacích algoritmů,
• ochranu před nevyžádaným kontaktováním cizími osobami,
• ochranu před tzv. králičími norami, tedy situacemi, kdy algoritmy postupně vedou dítě ke stále extrémnějšímu nebo nevhodnému obsahu.

Platformy by zároveň měly nabízet prostředí odpovídající věku dítěte a průběžně upravovat své služby podle nových technologických rizik.

Odpovědnost se má významně přesunout na platformy

Dosavadní právní rámec Evropské unie, například Akt o digitálních službách (DSA), již ukládá platformám řadu povinností týkajících se ochrany dětí. Report ale upozorňuje, že v praxi je stále velká část odpovědnosti přenášena na děti, rodiče, školy nebo regulátory.

Nově by podle doporučení měly platformy nejprve prokázat, že jsou jejich služby pro děti bezpečné. Poskytovatelé digitálních služeb by tedy měli doložit, že jejich služby splňují požadavky na bezpečnost a věkovou přiměřenost. Pokud by tak neučinili, své služby by nemohli dětem mledším 13 let zpřístupnit.

Ověřování věku s důrazem na soukromí

Aby bylo možné věkové limity uplatňovat, doporučuje report zavést a vyžadovat účinné systémy ověřování věku.

Ty by měly splňovat několik podmínek:

• chránit soukromí uživatelů,
• nevyžadovat ukládání občanských průkazů ani biometrických údajů,
• být přesné a obtížně obcházené,
• fungovat pro všechny uživatele stejně.

Report se konkrétně přiklání k tomu využívat technologie umožňující ověřit věk bez toho, aby platforma získala osobní údaje uživatele.

Safer Internet Centra mají hrát nadále silnou roli

Report věnuje významnou pozornost také prevenci a vzdělávání dětí, rodičů a škol, a do budoucna počítá se silnou rolí evropské sítě Safer Internet Center, kam patří také Safer Internet Centrum Česká republika koordinovaná sdružením CZ.NIC.

Evropská komise a členské státy by podle doporučení měly zajistit dlouhodobé a dostatečné veřejné financování sítě Safer Internet Center a dalších nezávislých organizací, které se věnují online bezpečnosti dětí.

Autoři reportu zdůrazňují, že veřejné financování je klíčové pro zachování jejich nezávislosti a jednotných standardů napříč Evropou.

Co bude následovat?

Report sám o sobě nepředstavuje novou legislativu, ale soubor doporučení pro Evropskou komisi. Ta nyní posoudí, která doporučení promítne do přípravy nového návrhu, který může mít podobu již závazné legislativy. Předsedkyně Evropské komise na tiskové konferenci deklarovala, že návrh představí již po letních prázdninách.

Safety by design je krok správným směrem

CZ.NIC spolu s řadou dalších odborníků dlouhodobě poukazuje na nedostatky, které by zavedení pouze plošného věkového omezení pro vstup na sociální sítě přineslo. Velmi dobře tuto pozici nedávno popsal kolega Martin Kožíšek ve svém článku. V CZ.NIC ale pouze nekritizujeme, navrhujeme i konstruktivní řešení. V minulém roce jsme například předali na osobní schůzce komisaři Glennu Micallefovi, zodpovědnému v Evropské komisi mj. za kyberšikanu, balíček doporučení, jak posílit bezpečnost v online prostředí pro děti. Tlak na větší odpovědnost platforem, změnu algoritmů a doručovacích systémů i zákaz nekonečného scrollování na tomto seznamu byly. Jsme proto rádi, že se návrhy, které jdou obdobným směrem, nyní objevují i v reportu, který pravděpodobně ovlivní podobu nové evropské legislativy.

Odkaz na Marcela Prousta je elegantní, ale především věcný. Čas strávený před obrazovkou totiž není jen údajem ve statistice. Je to čas, který může chybět ve spánku, pohybu, soustředění, vztazích i docela obyčejné nudě, která je pro vývoj dítěte rovněž důležitá. Ne každý čas před obrazovkou je samozřejmě promarněný. Problémem je jeho nepřiměřený rozsah a vytlačování jiných důležitých aktivit.

Zpráva proto neřešila pouze nevhodný obsah. Popsala širší problém postupného podřizování dětské pozornosti komerčním digitálním službám a navrhla odstupňovaný přístup k obrazovkám, telefonům a sociálním sítím podle věku dítěte.

Francouzský parlament tento týden schválil návrh zákona, podle něhož má být osobám mladším patnácti let zakázán přístup k online sociálním sítím. U nově vytvářených účtů se má pravidlo uplatňovat od 1. září 2026. Na přístupové účty založené před tímto datem se má zákaz vztahovat o čtyři měsíce později. Než se však z návrhu stane platný zákon, musí být dokončen celý schvalovací proces.

Je to politicky důrazný krok. Současně ale potvrzuje francouzský sklon nejprve stanovit ambici a teprve potom domýšlet, jak ji prakticky naplnit.

Francie se dlouhodobě snaží udávat směr evropské digitální regulaci a nový zákon do této ambice dobře zapadá. Přehlédnout nelze ani ambice Emmanuela Macrona, jehož druhý prezidentský mandát skončí v roce 2027. Ochrana dětí před sociálními sítěmi se tak může stát jednou z viditelných součástí jeho politického odkazu.

Za politickou rovinou však stojí skutečný problém. Významná část rizik totiž nespočívá jen v jednotlivých škodlivých obsazích, ale také v samotném způsobu, jakým jsou digitální služby navrženy a jak fungují.

Nejde jen o účty

Návrh zákona na ochranu nezletilých před riziky spojenými s používáním sociálních sítí nehovoří pouze o zákazu založení nebo držení účtu. Osobám mladším patnácti let přímo zakazuje přístup ke „službě online sociální sítě poskytované online platformou“ – l’accès à un service de réseaux sociaux en ligne fourni par une plateforme en ligne.

Francouzský zákon přitom nevytváří úplně novou definici sociální sítě. Odkazuje na pojmy online platformy a služby online sociální sítě používané v článku 6 francouzského zákona o důvěře v digitální ekonomiku, které vycházejí z evropského digitálního práva. Rozhodující tak není jen označení služby, ale především její funkce – zda umožňuje uživatelům propojovat se, komunikovat, sdílet obsah a objevovat další lidi či obsah.

Francouzské accès je terminologicky i věcně širší než prostá registrace. Zatím není úplně jasné, zda má zákaz dopadat pouze na používání sociální sítě prostřednictvím účtu, nebo také na sledování veřejně dostupného obsahu bez přihlášení. Podstatná je ale samotná logika: zákaz nemíří pouze na účet dítěte, nýbrž na sociální síť jako prostředí.

Zákon zároveň stanoví výjimky pro online encyklopedie, vzdělávací a vědecké katalogy a platformy určené k vývoji a sdílení open-source softwaru nebo otevřených digitálních vzdělávacích projektů. Francie se tak alespoň v základní rovině snaží odlišit sociální sítě od služeb, jejichž hlavním účelem je přístup ke znalostem, vzdělávání nebo spolupráce na otevřených projektech.

To odpovídá širšímu francouzskému přístupu. Paříž se neptá jen, zda má dítě účet na TikToku nebo Instagramu. Ptá se také, jakou část jeho života digitální služby zabírají a jak ovlivňují zdraví, spánek, vzdělávání, vztahy a schopnost soustředit se.

Proto zákaz sociálních sítí nestojí sám. Francie omezuje používání mobilních telefonů na základních a nižších středních školách již od roku 2018. Nový zákon tento přístup rozšiřuje také na lycées, tedy střední školy, přičemž konkrétní režim a případné výjimky mají upravovat jednotlivé školy. Přidávají se digitální pauzy, zdravotní doporučení a vzdělávání dětí i rodičů.

Postupně tak vzniká širší představa digitálního dospívání, v níž děti získávají přístup k technologiím podle věku a připravenosti. Věková hranice zde není jen údajem ověřovaným při registraci. Má se stát společenskou normou.

A to je možná nejzajímavější část francouzského přístupu. Pokud společnost přijme, že dítě v určitém věku sociální síť nepotřebuje a že jeho nepřítomnost v tomto prostředí nemusí znamenat společenské vyloučení ani důvod k obavám rodičů, může právní pravidlo skutečně změnit očekávání rodin, škol i samotných dětí.

Paříž nezačíná od nuly

Současný návrh není prvním francouzským pokusem věkově omezit sociální sítě. Takzvaný zákon Marcangeli již v roce 2023 stanovil digitální plnoletost na patnáct let a požadoval rodičovský souhlas u mladších uživatelů. Jeho hlavní mechanismus ale nebyl uveden do praxe, mimo jiné kvůli evropským pravidlům a rozdělení pravomocí.

Nový návrh proto mění právní konstrukci. Místo přímého příkazu platformám stanoví zákaz přístupu dítěte. Francie se tím pokusila překonat překážky, na které předchozí úprava narazila, a přizpůsobit návrh rozdělení pravomocí podle evropského práva. Zda je však nový přístup s unijním rámcem skutečně slučitelný, zůstává otevřené. Evropská komise již během přípravy textu upozornila, že některé jeho dřívější části byly s právem EU v rozporu.

Bez zjištění věku uživatele a zásahu platformy navíc zákaz stejně fungovat nebude.

Francie však nezačíná na prázdném papíře. Může vycházet ze zkušeností s ověřováním věku u pornografických služeb, kde již Arcom prosazuje zavádění účinnějších kontrol. Opřít se může také o omezení telefonů ve školách a o praktické nástroje pomoci dětem, například linku a aplikaci 3018 pro oběti kyberšikany. Francouzský přístup tak nezahrnuje pouze zákaz, ale také prevenci, vzdělávání a pomoc.

Během přípravy zákona se navíc zvažovala širší škála řešení: rozlišování služeb podle rizikovosti, rodiči kontrolovaný přístup, digitální noční klid nebo odlišné režimy podle věku. Ve hře byl tedy i model postupného přístupu. Senát například prosazoval diferencovanější řešení založené na rizikovosti služeb a rodičovském souhlasu.

Výsledkem je nakonec politicky jednodušší hranice: před patnáctými narozeninami zákaz, po nich možnost přístupu – stále však v režimu zvláštní ochrany nezletilých podle evropského digitálního práva.

Co se stane v patnácti?

Právě zde má francouzský model jednu zřejmou slabinu. Do patnácti let má být sociální síť pro dítě nepřístupná. Poté se mu ale může otevřít prostředí, které stále využívá stejné základní obchodní modely, doporučovací systémy a mechanismy získávání pozornosti, byť pro nezletilé mají platit zvláštní ochranná opatření.

Francie zřejmě spoléhá na to, že děti mezitím získají více času, zkušeností a potřebnou odolnost. To dává smysl. Vzdělávání a příprava ale samy o sobě nestačí.

Ani dobře informovaný dospívající nemá rovnocenné postavení vůči platformě, která průběžně sleduje jeho chování, testuje jeho reakce a přizpůsobuje mu obsah.

Právě zde francouzský přístup zůstává na půli cesty. Oddaluje vstup dítěte do prostředí sociálních sítí, ale nemění prostředí samotné. Nekonečný scroll, autoplay, agresivní notifikace ani doporučovací systémy zaměřené na co nejdelší zapojení uživatele nezmizí. Samotné francouzské parlamentní materiály přitom upozorňují na návykový design a algoritmické doporučování jako na významnou součást problému.

Debata se proto nemůže zastavit u otázky, kdo smí sociální síť používat a jak ověřit jeho věk. Stejně důležité je ptát se, jaké sociální sítě mohou být dětem a dospívajícím vůbec nabízeny.

Pokud je služba pro čtrnáctileté dítě natolik riziková, že mu musí být zakázána, neměla by mu být o den později nabízena téměř beze změny.

Politický termín, ne hotový model

Francie plánuje nový režim zavést již od 1. září 2026. U přístupových účtů založených před tímto datem se má zákaz uplatnit o čtyři měsíce později, tedy od začátku ledna 2027. Návrh však ještě musí projít zbývajícími kroky legislativního procesu, a proto jde zatím o schválený politický a legislativní záměr, nikoli o definitivně účinné pravidlo.

Otázkou zároveň zůstává, jak přesně bude ověřování věku fungovat a nakolik bude vymáhání účinné. Francouzské orgány mohou vycházet ze zkušeností, které již získávají v jiných oblastech ochrany nezletilých, u platforem působících napříč Evropskou unií však bude praktické prosazování pravidel záviset také na evropském systému spolupráce.

Datum 1. září proto zatím působí spíše jako politický závazek než jako okamžik, kdy bude existovat plně funkční systém.

To je kulhající část francouzského přístupu. Francie přesvědčivě pojmenovala problém, vytvořila srozumitelnou společenskou normu a znovu posunula evropskou debatu. Praktické řešení ale za její politickou ambicí viditelně zaostává.

Bylo by však příliš domýšlivé odbýt nový zákon pouze jako politické gesto. Je také dokladem zásadní změny pohledu na sociální sítě. Ještě před několika lety by zákaz přístupu dětí k největším digitálním službám působil excentricky. Dnes ho schválil parlament jedné z největších evropských zemí.

Francouzská zpráva z roku 2024 správně pojmenovala, co všichni ztrácíme: čas našich dětí. Otázkou nyní je, zda ho chceme získat zpět pouze tím, že děti na několik let postavíme před zavřené dveře sociálních sítí, nebo také tím, že změníme prostředí, které na ně za těmito dveřmi čeká. Skutečnou výzvou totiž není jen věk dítěte, které vstupuje, ale především podoba služby, do níž vstupuje.

Konkrétním situacím, rizikům i doporučením se budou věnovat odborníci ze Safer Internet Centra ČR, jehož koordinátorem je sdružení CZ.NIC, spolu s hosty z dalších organizací, které se tématu bezpečnosti dětí online dlouhodobě věnují. Cílem je pomoci rodičům otevírat doma důležitá témata — bez zbytečného strašení, srozumitelně a věcně.

První epizoda nabízí praktický pohled na to, jak mohou děti trávit léto v online prostředí bezpečněji, jaká rizika se pojí s oblíbenými aplikacemi a proč je pro rodiče důležité stavět spíše na důvěře a otevřené komunikaci než na samotných zákazech. Hostem epizody je Martin Kožíšek ze Safer Internet Centra ČR, pořadem provází David Vaníček. Podcast naleznete na těchto platformách:: Podcasty.cz, Spotify a YouTube.

Přejeme krásný poslech!

Nezakazujte, mluvte

Zákazy děti často vedou spíš k tomu, že hledají způsoby, jak je obejít. Mnohem líp funguje důvěra, otevřená komunikace a společně nastavená pravidla, díky kterým si děti mohou svůj digitální svět užít bezpečněji.
A nemusí to být nic složitého. Stačí si k nim občas na chvíli sednout, zahrát si s nimi Roblox, Minecraft nebo Fortnite, případně se podívat na nějaká reelska na Instagramu nebo videa na TikToku, která je zrovna baví. Děti tak často samy začnou vyprávět, co je baví, kdo je v online prostředí důležitý, s kým si píšou nebo co zrovna řeší.

Domluvte si jednoduchá pravidla

Před prázdninami si společně řekněte, kdy a jak bude dítě telefon používat, jak se vám ozve a co dělat, když se stane něco nepříjemného.

Zajímejte se o aplikace, které dítě používá

Nemusíte znát každý detail WhatsAppu, TikToku, Snapchatu nebo Discordu. Stačí vědět, že všude, kde lze komunikovat s ostatními, může dítě narazit na nevhodný obsah, manipulaci nebo falešný profil.

Učte děti ověřovat, kdo jim píše

Povzbuďte děti, aby si do přátel nepřidávaly neznámé lidi jen proto, že působí sympaticky, mají podobné zájmy, hrají stejnou hru nebo rychle navazují důvěrný kontakt.

Varujte před rychlým přesunem k intimním tématům

Když se konverzace během pár zpráv stočí k fotkám, tělu, oblečení, „brigádě“ za peníze nebo slibům dárků, je to varovný signál.

Vysvětlete, že mizející fotka nemusí zmizet

Ani obsah poslaný „jen na pár vteřin“ není bezpečný. Druhá strana ho může nahrát jiným telefonem, uložit nebo dál šířit.

Sdílení zážitků odložte na později

Fotky z dovolené, tábora nebo výletu je bezpečnější zveřejnit až ve chvíli, kdy už dítě na daném místě není. Sníží se tím riziko nechtěného kontaktu i zneužití informací o poloze.

Sledujte, co je vidět na fotkách a videích

Děti by měly přemýšlet nejen nad tím, jak na fotce vypadají, ale i nad tím, co je v pozadí — adresa, škola, vybavení domácnosti, letenka nebo jiné citlivé údaje.

Když dítě přijde s problémem, nejdřív ho vyslechněte

I když vás v první chvíli může přepadnout strach a vztek, zkuste se na chvíli zastavit. Nadechněte se a položte si otázku: co je teď nejdůležitější? Odpověď je jednoduchá — společně vyřešit problém.
To ale půjde jen tehdy, pokud dítě bude vědět, že za vámi může přijít i ve chvíli, kdy udělalo chybu. Už jen to, že se vám svěří, je projevem velké důvěry. Neztraťte ji tím, že začnete křičet, vyčítat nebo moralizovat.

Nebuďte na to sami

U vážnějších situací se obraťte na odborníky — například Linku bezpečí, Rodičovskou linku, Dětské krizové centrum nebo STOPonline.cz. Pokud jde o vydírání, zneužití intimního obsahu nebo opakované obtěžování, je na místě zvážit i kontaktování policie.

A na závěr prvního desatera malé rodičovské zrcadlo. Tohle není jen seznam rad, které máme předat dětem a pak si odškrtnout splněno. Hodně věcí se děti učí hlavně tím, co vidí kolem sebe — a online svět není výjimka.

Takže ruku na srdce: kdo z nás nikdy bezmyšlenkovitě nesáhl po telefonu, nezkontroloval zprávy u jídla nebo se „jen na minutku“ nezasekl u scrollování? Z vody to ty děti nemají. Pokud po nich chceme, aby se na internetu chovaly bezpečněji a s větším rozmyslem, pomůže, když jim ukážeme, že se o to snažíme taky.

Myslím to ironicky. Ale jen napůl. Ne proto, že bych rizika sociálních sítí zlehčoval. Naopak. Dlouhodobě se věnuji bezpečí dětí v online prostředí a velmi dobře vím, že se tam dějí věci, které by se dít neměly. Kyberšikana, sexuální obtěžování, vydírání, tlak na vzhled, sebepoškozující obsah, toxické výzvy, manipulativní algoritmy. To nejsou výmysly hysterických dospělých. To jsou reálné problémy.

Právě proto mi ale vadí představa, že je vyřešíme jedním velkým zákazem.

Zákaz sociálních sítí dětem do 15 nebo 16 let může na první pohled působit jako srozumitelné a rozhodné opatření. Má v sobě jednoduchost, kterou máme rádi. Problém existuje, stát zasáhne, děti budou chráněny. Někdo si možná naivně představí, že se vrátí na prolézačky. Jenže nejen digitální svět takhle nefunguje. Dítě, které dnes umí obejít školní Wi-Fi, najít si návod na YouTube a vysvětlit babičce, proč má potvrdit dvoufaktorové ověření, se z internetu neztratí jen proto, že mu dospělí řeknou, že tam nesmí.

A tady začíná skutečné riziko. Ne že děti budou na sítích. Ale že tam budou potají. Pod falešným věkem. Přes účet rodičů, sourozence nebo kamaráda. Na menších a hůř moderovaných platformách. Bez toho, aby se o tom doma mluvilo. Bez možnosti říct: „Tati, mami, stalo se mi něco divného.“

Regulaci vstupu dětí na některé online služby už navíc dávno máme. Je propsána do zákona č. 110/2019 Sb., o zpracování osobních údajů. Akorát není úplně jasné, jak má v praxi vypadat třeba souhlas rodičů. Má být písemný? Stačí kliknutí? A kdo ověří, že opravdu pochází od rodiče?

Další potíž je samotná definice. Co vlastně chceme zakazovat? Když řekneme sociální síť, většina lidí si představí Instagram, TikTok, Facebook nebo Snapchat. Jenže dnešní internet je sociální skoro celý. Pokud je sociální síť služba, kde si můžete založit profil, komunikovat s ostatními, sledovat je, komentovat, lajkovat, sdílet nebo být součástí komunity, pak se nám pod tento pojem najednou vejde obrovská část internetu. Nevěříte? Pojďme se na to podívat blíže:

YouTube? Dítě tam má účet, sleduje tvůrce, komentuje, dostává doporučený obsah. Discord? Profil, chat, komunity. Roblox? Avatar, přátelé, zprávy, společné hraní. Steam? Herní knihovna, profil, komunita, komunikace. Twitch? Sledující, chat, influenceři. Reddit? Diskuzní komunity. WhatsApp? Možná ho vnímáme hlavně jako messenger, ale ve chvíli, kdy v něm děti fungují ve skupinách, sdílejí obsah, reagují na ostatní a komunikují v komunitách, nese také výrazné znaky sociální sítě. Herní platformy? Často velmi intenzivní sociální prostředí. A co školní prostředí typu Google Classroom, kde má dítě účet, je součástí skupiny, komunikuje s učitelem i spolužáky, sdílí obsah a reaguje na ostatní? Neříkám, že Google Classroom je totéž co TikTok. Není to klasická sociální síť. Ale při široké definici splňuje některé její znaky.

Najednou zjistíme, že zákaz sociálních sítí není zákaz několika ikon v mobilu. Je to zákaz podstatné části běžného internetu. A pokud se z toho začne vyjímat jedna služba za druhou, protože „tohle přece není klasická sociální síť“, skončíme u zákazu, který bude tvrdě znít, ale měkce fungovat. Což je politicky možná příjemné, ale pro ochranu dětí dost málo. Mimochodem, jednu ze služeb, kterou chceme dětem zakazovat, používá podle výzkumu Safer Internet Centra ČR, které koordinuje sdružení CZ.NIC, a Univerzity Palackého denně už jen 7 % dětí. Tušíte správně, ano, je to Facebook.

Rád bych upozornil, že tím nechci říct, že máme rezignovat. Znamená to jen, že zdánlivě jednoduché řešení „zakažme sociální sítě“ se v praxi rychle mění v mnohem složitější otázku: které služby, podle jakých pravidel, jak to ověříme, kdo ponese odpovědnost, jak ochráníme soukromí dětí a kam se přesunou, když jim zavřeme dveře?

Skutečný problém totiž není jen v tom, že děti používají sociální sítě. Problém je v tom, jak jsou tyto služby navržené. Jak sbírají data. Jak doporučují obsah. Jak zesilují konflikty, extrémy, tlak na vzhled, sexualizovaný obsah nebo sebepoškozující trendy. Jak pracují s pozorností dítěte. Jak snadno se dítě dostane k cizím lidem a jak obtížně se někdy dovolá pomoci.

Jinými slovy: problém není jen dítě s mobilem v ruce. Problém je také byznysový model, který vydělává na tom, že člověk ještě chvíli zůstane. A je mu v zásadě jedno, jestli je mu čtyřicet, šestnáct, dvanáct, nebo jestli je to ten výše zmiňovaný senior.

Proto mi dává větší smysl tlačit na odpovědnost platforem než tvářit se, že zákazem vyřešíme rodičovství, školství, prevenci, duševní zdraví i technologický design. Potřebujeme bezpečnější výchozí nastavení pro děti, omezení sběru dat, srozumitelnější pravidla, transparentnější algoritmy, rychlejší reakce na škodlivý obsah a funkční nahlašování. A hlavně prostředí, které nebude dětem aktivně podsouvat to nejtoxičtější jen proto, že to dobře drží pozornost.

Zároveň si ale musíme přiznat jednu nepříjemnou věc. Často dnes řešíme následek něčeho, co jsme dětem pomohli vybudovat my dospělí. Dali jsme jim zařízení do ruky velmi brzy, často bez pravidel, bez doprovodu a bez většího zájmu o to, co v tom prostředí vlastně dělají. Mobil byl chvíli chůva, chvíli odměna, chvíli nástroj, jak mít klid u večeře nebo na cestě autem. A teď se divíme, že si děti vytvořily návyky, které se nám nelíbí. Proto bychom neměli jen hledat, co dětem zakázat, ale také jak napravit prostředí a zvyky, které jsme jim pomohli nastavit.

A potřebujeme také děti vzdělávat. Ne jednou za rok odškrtnout besedu a mít splněno. Digitální a mediální výchova nemůže být doplněk, který se vejde tam, kde zrovna zbyde čas. Děti potřebují rozumět tomu, jak fungují algoritmy, reklama, influenceři, doporučovací systémy, soukromí, digitální stopa i manipulace. Potřebují vědět, co dělat, když narazí na problém. A hlavně potřebují mít kolem sebe dospělé, kteří se neptají jen „kolik jsi byl dneska na mobilu“, ale také „co jsi tam zažil“.

Zákaz je lákavý, protože je jednoduchý. Jenže bezpečí dětí jednoduché není. Je pomalé, někdy otravné, nevděčné a špatně se vejde do titulku. Znamená práci se školami, rodiči, platformami, legislativou, odbornými službami i samotnými dětmi. Znamená stabilní financování prevence. Znamená přiznat si, že internet není oddělený svět, do kterého dítě vstoupí jako do autoškoly. Je to prostředí, ve kterém děti vyrůstají. A naším úkolem není předstírat, že tam nejsou, ale zajistit, aby tam nebyly samy.

Jsem proti plošnému zákazu sociálních sítí ne proto, že bych chtěl děti nechat napospas internetu. Právě naopak. Jsem proti němu proto, že je nechci ztratit z dohledu. Nechci, aby se bezpečnost dětí změnila v ceduli „vstup zakázán“, zatímco děti budou dál chodit zadním vchodem. A pokud už opravdu chceme něco zakazovat, začal bych možná jinde. Zakázal bych platformám vydělávat na dětské zranitelnosti. Zakázal bych algoritmicky tlačit dětem toxický obsah jen proto, že to funguje. Zakázal bych nám dospělým uklidňovat se jednoduchými řešeními tam, kde je potřeba dlouhodobá práce. Sociální sítě dětem ze života nezmizí. Můžeme se tvářit, že problém vyřeší zákaz. Nebo si přiznat, že skutečná ochrana dětí bude složitější, pomalejší a méně líbivá. Ale také mnohem užitečnější. I z toho důvodu jsem podepsal Odborné stanovisko k návrhům na plošný zákaz sociálních sítí pro děti, které sestavili odborníci z oblasti psychologie, pedagogiky, prevence a bezpečí dětí v online prostředí.

Motivace

Před pěti lety jsme začali Knot DNS používat ke správě DNSSEC pro .CZ zónu.

Z procesu podepisování jsme odstranili veškeré in-house vyvíjené skripty a plně se spolehli na implementaci v Knot DNS. Praxe z reálného provozu potvrdila, že šlo o správné rozhodnutí. Snížila se komplexita systému podepisování, celý proces je velmi spolehlivý a zároveň zajišťuje kontrolu, že DNS data, která se posílají na veřejný anycast, jsou správně podepsaná, validní a konzistentní.

Proces validace jsme vyčlenili na samostatné validační servery zařazené mezi hidden master (HM) a veřejný anycast. Na nich běží také Knot DNS se zapnutou volbou

dnssec-validation: on

Tato funkce podchytí v podstatě většinu problémů, které se mohou vyskytnout při podepisování zóny (kompletní seznam validací je uvedený v dokumentaci), a díky inkrementálnímu zpracování je dopad na dobu propagace minimální. V procesu validace jsme ale chtěli podchytit i další rizika.

Jedním z nich je kontrola DNSSEC podpisů nejen v rámci zóny samotné, ale i vůči DS záznamu v nadřazené zóně. Druhým rizikem je potenciální chyba v implementaci samotného Knot DNS. Každý software může obsahovat chybu a používáme-li ten stejný jak pro podepisování tak pro validaci, je vhodné zařadit do kontrol druhou nezávislou implementaci jiným nástrojem.

Obojí lze podchytit právě pomocí externích validací.

Jak funguje externí validace

Na úvod je třeba zmínit, že externí validace není nutně náhrada za DNSSEC validaci nebo ZONEMD verifikaci, ale může fungovat vedle nich.

Na rozdíl od výše zmíněných možností se v praxi nejedná o aktivní ověřování ze strany Knot DNS. Místo toho Knot DNS zpřístupní novou verzi zóny (nebo její část) ve formě zónového souboru, zatímco sám si podrží verzi stávající. Následně pozastaví veškeré změnové operace (aktualizace zónového souboru, příchozí IXFR/AXFR, DNSSEC přepodepisování) a vyčká na příkaz zone-commit nebo zone-abort. Pokud ani jeden z nich neobdrží během nastaveného časového okna, aktualizace zóny neproběhne.

Konfigurace

Konfigurace externí validace sestává ze dvou částí. Nejprve je třeba nadefinovat parametry pro validaci ve vlastní sekci:

external:
  - id: STR
    timeout: TIME
    dump-new-zone: STR
    dump-removals: STR
    dump-additions: STR

Z uvedených parametrů má výchozí hodnotu pouze timeout – uvádí se ve vteřinách a bez nastavení má hodnotu 300. Všechny tři dump parametry specifikují cestu souboru, do kterého se má uložit nová verze zóny (v případě dump-new-zone) nebo její část (pro zbylé dva). Výsledná konfigurace pak může vypadat například takto:

external:
  - id: validate-zone
    timeout: 300
    dump-new-zone: "/var/lib/knot/validations/%s.zone"

Uvedená validace s ID validate-zone ukládá zónový soubor s názvem domena.zone do složky /var/lib/knot/validations a čeká na potvrzení po dobu pěti minut.

Následně se uvedená konfigurace přiřadí těm zónám, které mají procházet externí validací. Jedná se o parametr pro zónu, který lze aplikovat i na template:

zone:
  - domain: DNAME
    external-validation: external_id
    ...

Opět ještě konkrétní příklad:

template:
  - id: validated-zones
    storage: "/var/lib/knot/zones"
    journal-max-usage: 8G
    journal-max-depth: 10
    master: hm-remote
    dnssec-validation: on
    external-validation: validate-zone

Všechny zóny využívající template validated-zones budou zkontrolovány interní DNSSEC validací a vyčkají na externí validaci.

Uvedená konfigurace je sice funkční, ale má jeden velký nedostatek. V současném stavu operátor není žádným způsobem informován o probíhajícím čekání na výsledek externí validace. Dle dokumentace existují dvě řešení. Buď kontrolovat stav zón pomocí knotc nebo využít D-Bus. Aby bylo možné použít D-Bus, je potřeba přidat odpovídající nastavení v sekci server:

server:
    dbus-event: external-verify

Pokud je vše nakonfigurované správně, příchozí transfer zóny bude vypadat následovně:

[cz.] refresh, ... remote serial 1781259435, zone is outdated
[cz.] IXFR, incoming, ... started
[cz.] IXFR, incoming, ... finished, remote serial 1781259435, 0.00 seconds, 2 messages, 30183 bytes
[cz.] DNSSEC, incremental validation successful, checked RRSIGs 191
[cz.] waiting for external validation
[cz.] control, received command 'zone-commit'
[cz.] refresh, ... zone updated, 8.84 seconds, serial 1781257635 -> 1781259435, expires in 10783 seconds

První tři řádky odpovídají běžné aktualizaci zóny přes IXFR. Čtvrtý řádek informuje o úspěšném výsledku DNSSEC validace. Následně Knot DNS vyexportuje zónu a na D-Bus vygeneruje signál external_verify, čemuž odpovídá pátý řádek. Na dalším řádku je vidět, že validace proběhla úspěšně a změna zóny je potvrzena signálem zone-commit. Teprve poté dojde k aktualizaci zóny na straně Knot DNS.

Ovšem aby skutečně došlo ke zvalidování zóny, je nejprve nutné nějakým způsobem zpracovávat D-Bus zprávy.

D-Bus klient

Součástí oficiální dokumentace pro Knot DNS je i vzorová implementace D-Bus klienta. Základní struktura (v našem případě) Python skriptu určeného k nasazení jako systemd služba může vypadat například takto¹:

import socket
import dasbus.connection
import dasbus.loop
import signal
import sys
import time
import subprocess
import os
import logging


if __name__ == '__main__':
    bus = dasbus.connection.SystemMessageBus()
    loop = dasbus.loop.EventLoop()

    def handler_shutdown(signum, frame):
        log.info(f"stopping validator")
        loop.quit()
        sys.exit(0)

    signal.signal(signal.SIGTERM, handler_shutdown)
    signal.signal(signal.SIGINT, handler_shutdown)
    signal.signal(signal.SIGHUP, handler_shutdown)

    def connect_to_signal(_signal, _callback):
        bus.connection.signal_subscribe(
            "cz.nic.knotd",
            "cz.nic.knotd.events",
            _signal,
            "/cz/nic/knotd",
            None,
            0,
            lambda _, sender, path, interface, signal, args: _callback(
                sender, path, interface, signal, args.unpack()
            ),
        )

    connect_to_signal("external_verify", handler_external)

    log.info("starting validator")
    loop.run()

    sys.exit(0)

Nejdůležitější je funkce connect_to_signal, která naváže specifikovanou funkci na konkrétní D-Bus signál a předá ji příslušné parametry. Samotná validace pak probíhá ve funkci handler_external. V našem případě nevalidujeme pouze .CZ zónu, ale také námi spravované zóny domén druhého řádu (SLD) a katalogové zóny. Funkce handler_external tedy slouží pouze jako rozcestník, který na základě typu zóny volá příslušnou validační funkci.

Kromě samotné validace je stěžejní její svázání s propsáním výsledku do Knot DNS:

def handler_external(sender, path, interface, signal, args):
    (zone, serial) = args

    if zone_is_valid(zone):
        subprocess.run(["/usr/sbin/knotc", "zone-commit", zone])
    else:
        subprocess.run(["/usr/sbin/knotc", "zone-abort", zone])

A na závěr zbývá ještě příklad definice samotné systemd služby:

[Unit]
Description=Knot validator service
Requires=knot.service
After=knot.service
PartOf=knot.service

[Service]
Type=simple
ExecStart=/usr/bin/python3 /usr/sbin/knot-validator.py
Restart=on-failure
User=knot
Environment=PYTHONUNBUFFERED=1
TimeoutStopSec=5
SyslogIdentifier=knot-validator

[Install]
WantedBy=multi-user.target

Jeho hlavní a jedinou funkcí je spolu s Knot DNS spouštět i výše uvedený D-Bus klient.

Validace

Prováděné validace mohou být vcelku jakékoliv, ale musí proběhnout dřív, než vyprší timeout. Zvlášť je třeba mít na paměti, že značnou dobu trvá načtení samotné zóny, zejména při větším počtu záznamů. Z toho důvodu se většina validací pro .CZ zónu provádí ihned po vygenerování.

Na validátorech probíhá už pouze validace řetězce důvěry pro DNSSEC. K tomu stačí načíst apex zóny, kde se nachází relevantní DNSKEY záznamy. Následně se z NS záznamů nadřazené zóny získají adresy jejího autoritativního serveru, odkud se stáhnou DS záznamy pro validovanou zónu. Pak stačí porovnat stažené DS záznamy s těmi, které se vygenerují z DNSKEY záznamů a v případě (alespoň jedné) shody je řetězec důvěry potvrzen. Stejný způsob validace probíhá i pro vybrané SLD zóny v naší správě.

Validace katalogové zóny spočívá v ověření počtu a výskytu konkrétních member zón. Cílem je zamezit nechtěné propagaci prázdné katalogové zóny, což by mělo za důsledek rychlé odstranění příslušných zón z internetu.

Veškeré zpracování DNS probíhá přímo v Python skriptu za použití knihovny dnspython.

Monitoring

Žádoucí součástí procesu validace je monitoring. V našem případě používáme platformu Centreon, která vychází z platformy Nagios. Monitorování probíhá buď aktivním voláním lokálních skriptů na straně monitorovací platformy nebo tzv. pasivně, kdy se stav monitorované služby upravuje nastavením stavu skrz REST API. Právě druhý způsob lze poměrně snadno využít v kombinaci s vyhodnocováním D-Bus signálů.

Nejprve je vhodné upravit konfiguraci Knot DNS tak, aby kromě externí validace generoval signály informující o stavu aktualizace zóny:

server:
    dbus-event: [ external-verify, zone-updated ]

Díky tomu je možné přidat novou dvojici funkcí, nezávislou na externí validaci:

if __name__ == '__main__':
    # ...
    connect_to_signal("zone_updated", handler_updated)
    connect_to_signal("zone_not_updated", handler_not_updated)

Jejich obsahem je pak volání API monitorovací platformy a aktualizace stavu příslušné služby. Alternativně je možné využít už existující handler_external, a spolu s voláním knotc přidat i volání API monitorovací platformy.

Závěr

Knot DNS nabízí robustní a přímočarý způsob implementace externí validace. Díky použití souboru k uložení nové verze zóny (nebo jejích změn) je možné vhodným nastavením práv zcela oddělit validaci od DNS daemona a interakci omezit na předání signálu pro potvrzení nebo zamítnutí změny zóny.

Pokud někdo preferuje provádět validace vůči aktivnímu DNS serveru namísto zónového souboru, má tuto možnost také – může totiž své dotazy směřovat na primární server, ze kterého přišla nová verze zóny.

Kromě .CZ zóny používáme externí validace s výhodou také u domény gov.cz, kde je mj. nasazen zmiňovaný doménový katalog a dále je tato forma validace dostupná i pro TLD domény, pro které poskytujeme hosting na našem DNS anycastu.

Dodatečná validace zabere nějaký čas na zpracování oproti stavu bez ní, takže se může projevit na rychlosti propagace změn. Z našeho pohledu má ovšem prioritu validita DNS dat, stabilita a robustnost.