Come trovare i divoratori di banda nascosti su macOS

Hai chiuso ogni app. Hai chiuso ogni scheda del browser. L'icona Wi-Fi è l'unica cosa nella tua barra dei menu che dovrebbe muoversi. Eppure il router sta mostrando un upload sostenuto da 8 Mbps, ora dopo ora. Da qualche parte sul Mac, qualcosa sta parlando — e nessuno dei soliti sospetti è aperto. Cacciare i divoratori di banda macOS che si nascondono sotto il cofano è un tipo di debug diverso dal tracciare colpevoli ovvi.

Le app visibili nel Dock sono raramente il problema vero. Quelle nascoste lo sono: processi ausiliari, daemon di sistema, utility solo background, e agent lanciati al login che non hanno alcuna UI. Questo articolo passa attraverso come trovarli, nominarli, e decidere cosa farne.

Perché i peggiori divoratori di banda macOS si nascondono nelle superfici

Quando le persone dicono che un Mac ha divoratori di banda nascosti, di solito intendono una di quattro categorie:

1. Processi ausiliari — Chrome Helper, Slack Helper, ecc. Hanno app principali che riconosci, ma il traffico appare sotto PID non familiari.
2. Daemon di sistema — cloudd, mediaanalysisd, nsurlsessiond, mDNSResponder, apsd. Sono parte di macOS e fanno lavoro reale, ma i loro nomi sono inscrutabili.
3. App solo background — agent di backup, antivirus, daemon di illuminazione RGB, client di sync cloud senza icona del Dock.
4. LaunchAgent e LaunchDaemon — piccoli programmi persistenti registrati con launchd che si auto-lanciano e non appaiono mai nel selettore Cmd+Tab.

Ognuno di questi è invisibile in un modo diverso, e ognuno richiede un approccio leggermente diverso per attribuire il traffico correttamente.

Trovare i processi ausiliari e raggrupparli sotto il loro genitore

Questa è la fonte di confusione più comune. Apri Monitoraggio Attività → Rete e vedrai qualcosa tipo:

Google Chrome Helper (Renderer)   45.2 MB inviati
Google Chrome Helper (GPU)         0.8 MB inviati
Google Chrome Helper (Plugin)      2.1 MB inviati
Google Chrome Helper              18.4 MB inviati
Google Chrome Helper              22.7 MB inviati
Google Chrome Helper               9.0 MB inviati
Google Chrome                      0.3 MB inviati

Sette righe, nessuna spaventosa singolarmente, totale circa 100 MB. Slack, Discord, Telegram, Teams, VS Code, Notion, e gran parte delle app basate su Electron seguono lo stesso pattern.

Per attribuire il traffico degli helper correttamente devi o sommare le righe a mano o usare uno strumento che lo faccia per te.

ova fa questo raggruppamento automaticamente. Lo fanno anche altri strumenti. Il punto è: qualsiasi vista per app che non raggruppi gli helper sottostimerà quanto le tue grandi app Electron stanno effettivamente usando.

Decodificare i daemon di sistema più comuni

Questi sono quelli che vedrai in qualsiasi lista di processi che includa il lavoro in background. Una breve guida sul campo:

cloudd

Il daemon cloud di Apple. Gestisce iCloud Drive, i caricamenti iCloud Foto, e il traffico CloudKit per qualsiasi app che usi iCloud come backend di sync. I grandi picchi qui di solito significano che Foto sta spedendo gli originali o un'app di terze parti (un'app per appunti, una sync di segnalibri) sta riconciliando.

nsurlsessiond

Un servizio di sistema che esegue sessioni URL in background per conto di altre app — soprattutto quando il Mac è collegato e su Wi-Fi. Aggiornamenti dell'App Store, podcast che scaricano in background, e caricamenti iCloud possono tutti apparire qui. L'app originatrice è spesso nascosta uno strato sotto.

mediaanalysisd

Analisi media locale (riconoscimento volti/oggetti per Foto, analisi delle scene). Per lo più CPU e disco, ma scatena cloudd quando i risultati devono sincronizzare ad altri dispositivi. Se mediaanalysisd è occupato e cloudd sta caricando, quei due di solito stanno lavorando insieme.

softwareupdated

Downloader di aggiornamento di sistema. Se è occupato, macOS sta tirando giù un aggiornamento — che può essere da 4 a 15 GB.

mDNSResponder

Bonjour / multicast DNS. Dovrebbe essere vicino a zero sul lato WAN. Traffico pesante di mDNSResponder sulla LAN di solito significa che un'app misconfigurata sta facendo broadcast troppo aggressivamente, ma non dovrebbe divorare il piano internet.

apsd

Apple Push Notification daemon. Mantiene una connessione persistente coi server Apple per le notifiche push. Sempre attivo, banda molto bassa, sostanzialmente gratis.

bird

Il daemon file provider di iCloud Drive. I grandi picchi significano che iCloud Drive sta muovendo dati.

assetsd

Gestione asset della libreria Foto. Spesso concatenato con cloudd e photoanalysisd.

App solo background che hai dimenticato

Una classe diversa di processo nascosto: applicazioni complete che intenzionalmente si nascondono dal Dock. Comuni:

• Client di backup — Backblaze, Arq, Carbonite, iDrive
• Antivirus ed EDR — Sophos, CrowdStrike, SentinelOne, Malwarebytes
• Storage cloud — Dropbox, Google Drive, OneDrive, Box, Sync.com
• Utility hardware — Logitech G Hub, Razer Synapse, software OWC, strumenti di calibrazione monitor
• Utility di produttività — Bartender, Hazel, Alfred (basso traffico ma ci sono)
• Tooling sviluppatore — Docker Desktop, Colima, JetBrains Toolbox, Tailscale, ngrok

Le prime quattro categorie sono quelle che muovono banda reale. Backup e antivirus in particolare possono muovere decine di gigabyte al giorno se stanno facendo sync iniziali o scansionando un drive grande.

Come enumerarle

Tre posti dove guardare:

1. Impostazioni di Sistema → Generali → Elementi al Login ed Estensioni. Elenca tutto ciò che si auto-lancia. Alcuni girano in background senza UI.
2. Monitoraggio Attività → Tutti i Processi (menu Vista). Mostra la lista completa, non solo le app user-facing.
3. Terminale: launchctl list | grep -v com.apple — mostra i job launchd di terze parti.

Qualsiasi cosa in quelle liste tu non riconosca vale una indagine di cinque minuti.

Fissare il traffico a un processo nascosto

Una volta che hai una vista per app o per processo della banda, il workflow per l'attribuzione è:

1. Individua il picco. O live (la barra dei menu mostra 30 Mbps adesso) o storico (ieri alle 14, qualcosa ha usato 5 GB).
2. Trova il top processo durante il picco. Un monitor con cronologia rende questa cosa banale; senza, devi guardare nel momento in cui accade.
3. Cerca il nome del processo. Se è un helper, trova il genitore. Se è un daemon, usa la tabella sopra.
4. Conferma uscendo o mettendo in pausa. Se mettere in pausa il sospetto fa fermare il traffico, hai la tua risposta.

Vedi ova in azione

Un monitor della larghezza di banda nella barra dei menu visibile a colpo d'occhio — locale, firmato, ~3 MB.

Scarica per macOS

Cosa fare quando il colpevole è un daemon di sistema

Questo è il caso più tricky. Non puoi uscire da cloudd o nsurlsessiond — semplicemente respawneranno, e disabilitarli rompe parti di macOS. La mossa giusta è trovare l'app originatrice e mettere quella in pausa.

Un esempio elaborato: cloudd sta caricando 200 Mbps per un'ora dopo che hai importato un telefono pieno di video 4K. La causa è iCloud Foto che spinge gli originali. La soluzione è o:

• Mettere in pausa la sync iCloud Foto (apri Foto, scorri al fondo, clicca pausa)
• Passare alla Modalità Dati Ridotti sulla rete corrente temporaneamente
• Aspettare — il caricamento finisce una volta che i nuovi originali sono in iCloud

Per nsurlsessiond, i passi sono simili: capisci quale app ha schedulato la sessione background. Originatori comuni sono App Store / Mac App Store, Music (scaricare musica acquistata), Podcasts, e app di terze parti che usano URLSession con la configurazione background.

Costruire una baseline

I divoratori di banda nascosti sono più facili da individuare quando sai com'è il "normale". Dopo un boot fresco, mentre a riposo:

• Il throughput totale dovrebbe essere un rivolo — kilobit al secondo, non megabit
• apsd, mDNSResponder, e qualche piccolo processo di sistema ticchetteranno gentilmente
• Qualsiasi cosa sostenuta sopra 1 Mbps a riposo merita un'indagine

Esegui un monitor per app come ova per qualche giorno durante l'uso normale e riconoscerai rapidamente la frequenza cardiaca a riposo del tuo Mac. Qualsiasi cosa fuori da quel pattern è candidato alla shortlist dei divoratori di banda macOS.

Un audit pratico dei divoratori nascosti

Esegui questo una volta e avrai una vista più affilata del tuo Mac di quanto la maggior parte delle persone si prenda la briga di sviluppare:

1. Riavvia. Aspetta due minuti.
2. Apri ova (o il tuo monitor per app). Annota la baseline a riposo — quali processi hanno traffico non zero?
3. Apri Impostazioni di Sistema → Generali → Elementi al Login ed Estensioni. Incrocia con quello che hai visto girare.
4. Monitoraggio Attività → Vista → Tutti i Processi → scheda Rete. Ordina per Byte Inviati. Identifica qualsiasi cosa non riconosci e cercala.
5. Per ogni daemon non familiare, decidi: noto-buono (apsd, mDNSResponder, cloudd se usi iCloud) o vale la pena di indagare.
6. Per ogni app solo background: decidi se la vuoi ancora. Disinstalla quelle che non vuoi.

Gran parte degli utenti trova una o due sorprese in questo audit — un client di backup che avevano dimenticato, una utility hardware da una periferica che hanno restituito, una sync cloud che intendevano spegnere mesi fa.

Cosa fare dopo

Se non stai eseguendo un monitor della larghezza di banda per app per niente, quello è il cambio con il maggior ritorno. Senza, i divoratori nascosti restano nascosti — la scheda Rete di Monitoraggio Attività è troppo macchinosa per viverci.

Passi concreti successivi:

1. Installa ova o un altro monitor della banda per app.
2. Esegui l'audit sopra.
3. Segna questa pagina nei segnalibri o fai screenshot della tabella dei daemon — è fastidioso ricercare nsurlsessiond ogni volta.
4. Ricontrolla mensilmente. Le cose cambiano; nuove voci di login vengono aggiunte.

I processi nascosti su macOS non sono malevoli di default. Stanno facendo lavoro che tu (o qualche app) hai chiesto. La competenza di trovare i divoratori di banda macOS espone è essere in grado di vederli, nominarli, e decidere se vuoi ancora che quel lavoro accada.