cortafuegos de apps para Mac

quién necesita un cortafuegos por programa

el motivo habitual es notar que un programa habla con internet más de lo que debería: una utilidad que llama a un servidor de licencias en cada arranque, un ayudante en segundo plano que sincroniza algo que nadie pidió, un juego que llega a direcciones que no tienen nada que ver con jugar. el propio macOS no te dice qué programas están conectados ahora mismo ni adónde: la pestaña de red del Monitor de actividad muestra bytes movidos, no direcciones.

el otro motivo es querer la regla puesta de antemano: bloquear un servidor para un programa del que no te fías del todo, o dejar sin red a un programa instalado pero sin usar, sin tocar el router, el dns ni una vpn que afectaría a todo a la vez.

qué muestra, y qué hace un clic

todo programa que ha salido a internet aparece en una lista con las direcciones a las que llegó. un clic en la etiqueta del programa lo corta de la red por completo; ábrelo, y una sola dirección se puede bloquear por su cuenta — una comprobación de licencia, por ejemplo, mientras el resto de su tráfico sigue pasando. una regla de dirección siempre gana a la del programa, así que una excepción no obliga a reactivar todo el interruptor.

una regla no necesita que el programa se haya conectado antes. todo programa instalado aparece en la lista, se haya conectado o no, así que se puede bloquear antes de que llegue a intentarlo.

• bloquea un programa entero, o una sola dirección suya, con un clic
• fija una regla antes de que el programa se conecte — elígelo de la lista o de la carpeta aplicaciones
• carga una lista de direcciones desde un archivo (una por línea, o un archivo hosts) y bloquéalas para todos los programas a la vez — una línea también puede nombrar un programa: `com.example.app license.example.com`
• guarda tus reglas actuales de vuelta en un archivo
• ordena la lista por cuándo apareció el programa, por nombre, o recientes primero

el repaso completo — qué significa cada etiqueta y sección de la ventana — está en la instrucción, en tu idioma: bloqueo de tráfico en la instrucción

cómo funciona el filtro en sí

hop hace esto con el filtro de red que macOS ofrece justo para este trabajo — una extensión de sistema, de la misma categoría sobre la que están hechos LuLu y Little Snitch. la primera vez que corre el módulo, macOS te pide permitirlo en los ajustes del sistema; es un diálogo del sistema de una sola vez, que hop no puede saltarse ni aprobar de antemano.

el filtro decide en el primer paquete de una conexión y nunca mira dentro: bloquea un servidor entero, nunca una página suya, porque eso es todo lo que puede ver un filtro que actúa a nivel de conexión. si el filtro alguna vez se detiene — una actualización de macOS, un fallo, lo que sea — internet sigue funcionando; no se bloquea nada hasta que el filtro vuelve. apagar el módulo en los ajustes detiene tus bloqueos en concreto, no el acceso a la red de tu Mac.

la propia descripción de Apple del framework de extensiones de red sobre el que se construye este tipo de apps (página en inglés): Network Extension, Apple Developer documentation

discreto por defecto, y un aviso opcional

el módulo está activado por defecto y no bloquea nada por sí solo: sin reglas puestas, cada conexión pasa exactamente igual que sin hop instalado. no trae una lista de rastreadores o servidores de anuncios para bloquear de antemano, y no va a cortar programas en silencio — cada bloqueo de la lista lo pusiste tú.

preguntar por conexiones nuevas es un ajuste aparte, desactivado por defecto. activado, una tarjeta arriba a la derecha pregunta por una conexión que ninguna regla cubre — para esa dirección sola, o para todo el programa — en vez de que hop decida por su cuenta.

qué no es, y dónde está el límite

hop no es una vpn y no enruta ni inspecciona tu tráfico de camino a ningún sitio: una conexión, o pasa sin cambios, o se rechaza en el primer paquete. no puede filtrar por url ni por página dentro de una conexión cifrada — https esconde todo lo que hay más allá de la dirección del servidor, así que «bloquear solo esta página» no es una regla que este tipo de filtro pueda expresar, ni en hop ni en ningún cortafuegos de apps construido igual.

tampoco es un bloqueador de dns ni un filtro de contenido de lo que muestra una pestaña del navegador: eso funciona resolviendo o cambiando nombres, otra capa con otras ventajas y desventajas. y no recopila nada de lo que ve: la lista de direcciones y las reglas que pones se quedan en este Mac.

frequently asked questions

¿ve o guarda hop mi tráfico?

no. el filtro decide en el primer paquete de una conexión y nunca mira dentro; hop no descifra nada, y la lista de direcciones se queda en este Mac.

¿es lo mismo que una vpn?

no. hop no enruta nada y no tiene servidores. o deja pasar una conexión sin cambios, o la bloquea en el primer paquete — lo que pasa dentro de una conexión permitida no lo ve ni lo toca.

¿puede bloquear una dirección sin bloquear toda la app?

sí. abre el programa para ver sus direcciones, y bloquea cualquiera por su cuenta — una regla de dirección siempre gana al interruptor del propio programa.

¿qué pasa si el filtro de red deja de funcionar?

tu internet sigue funcionando. no se bloquea nada hasta que el filtro vuelve, y apagar el módulo solo detiene los bloqueos que pusiste — nunca el acceso a la red de tu Mac.

¿hay que aprobar algo para que funcione?

una vez. la primera vez que corre el módulo, macOS pide permitir el filtro de red de hop en los ajustes del sistema — la misma petición única que necesita cualquier cortafuegos de apps de este tipo.

¿hace más lento el internet?

el filtro solo tiene que mirar el primer paquete de cada conexión nueva, no el tráfico en sí, así que las transferencias en marcha no se tocan.

¿en qué se diferencia de LuLu o Little Snitch?

la misma idea, y el mismo tipo de filtro de macOS por debajo. la versión de hop vive en la barra de menús junto a sus otros módulos en vez de como app aparte, y mantiene los mismos límites: bloquea servidores enteros, nunca páginas, y no descifra nada.