Kann ich Surfshark vibecoden?

Baue mir einen DNS-Blocker fürs eigene Netz, den Teil von Surfsharks Paket, der ohne Abo funktioniert. Anforderungen:

- Ein Go-Programm, das als DNS-Resolver auf Port 53 lauscht und Anfragen an einen konfigurierten Upstream über DNS-over-TLS weiterreicht.
- Sperrlisten aus einer Datei listen.yaml als URLs im Hosts-Format. Ein Befehl update lädt sie, führt sie zusammen, entfernt Dubletten und schreibt sie in eine kompakte Struktur im Arbeitsspeicher.
- Eine Ausnahmeliste als eigene Datei, die immer gewinnt. Sie ist der Grund, warum das Werkzeug im Alltag benutzbar bleibt: irgendetwas Wichtiges wird immer geblockt.
- Geblockte Anfragen werden mit NXDOMAIN beantwortet, nicht ins Leere laufen gelassen. Ein Zeitüberlauf macht Anwendungen langsam, eine klare Antwort nicht.
- Ein Zähler je Domain im Arbeitsspeicher, ausgegeben über eine Statusseite auf localhost: Anfragen gesamt, geblockt, die zwanzig häufigsten geblockten und die zwanzig häufigsten erlaubten Domains.
- Keine dauerhafte Speicherung einzelner Anfragen. Nur Zähler. Wer im eigenen Netz jede Anfrage mitschreibt, baut genau die Überwachung nach, die er vermeiden wollte.
- Ein Befehl toggle schaltet das Blocken für zehn Minuten ab, für den Fall, dass eine Seite nicht geht und du in Ruhe suchen willst.
- Deutsch sind Ausgaben, Statusseite, Kommentare und README. Alle Bezeichner bleiben englisch: Befehle, Optionen, YAML-Schlüssel.
- Die README erklärt, wie man den Router auf diesen Resolver zeigen lässt, und warnt: fällt er aus, hat das ganze Netz kein DNS mehr.

Bewusst weglassen:

- Das VPN. Das ist ein eigener Eintrag und ein eigenes Produkt.
- Blocken innerhalb verschlüsselter Verbindungen. Ein DNS-Blocker sieht nur Namen, keine Inhalte.
- Identitätsschutz und Leak-Warnungen.