Am besten ist es natürlich, wenn du durch pädagogische Maßnahmen sicherstellen kannst, dass die Internetnutzung nur im vereinbarten Rahmen erfolgt.

Ansonsten würde ich dir empfehlen, nach einer Möglichkeit zu suchen, den Zugang auf IP- bzw. Domainebene zu beschränken und nicht nur bestimmte Ports freizuschalten oder zu sperren, also nur die Whatsapp-Server whitelisten. Damit Whatsapp so wie gewohnt funktioniert, brauchst du vermutlich noch den Google Play Service (früher Google Cloud to Device Messaging oder so), welcher Whatsapp darüber informiert, dass es schauen soll, ob es neue Nachrichten vom Server abrufen kann.

Wenn das nicht möglich ist, einzelne IPs und Domains zu sperren oder du nicht herausfinden kannst, welche Whatsapp nutzt, kannst du versuchen, auf Geräteebene nur Whatapp freizugeben. Auf meinem Smartphone kann ich einzelne Apps mit einem Passwortschutz versehen, so könntest du den Play Store, Browser und was du sonst noch für bedenklich hältst sperren.

Das Freigeben nur auf Portebene halte ich für nicht sonderlich sinnvoll. Spätestens mit der Freigabe von Port 443 hast du HTTPS freigegeben, womit vermutlich alle HTTPS-Seiten problemlos im Browser aufgerufen werden können (z.B. Google Bildersuche und Facebook).