La guida completa alla privacy di rete su macOS

Il tuo Mac parla con internet centinaia di volte prima che tu finisca il primo caffè. Controlli aggiornamenti software, sync iCloud, ping dell'indice Spotlight, prefetch di Safari, quell'app che hai installato nel 2021 che ancora telefona a casa ad ogni lancio. La privacy di rete su macOS non è andare nel buio — è sapere cosa è in uscita, perché, e se ti va bene. Questa guida è la versione end-to-end: DNS, telemetria, permessi delle app, e lo stack monitor-versus-firewall che ti permette di verificare davvero che i cambi reggano.

È una lettura lunga perché non c'è un singolo interruttore. La privacy di rete su macOS è un sistema, e le parti hanno senso solo insieme.

Cosa copre davvero la privacy di rete su macOS

Quattro livelli, da fuori a dentro:

1. DNS — ogni connessione inizia con una ricerca di nome. Chiunque gestisca il tuo resolver vede un log di ogni dominio che visiti.
2. Trasporto — TLS cifra il contenuto ma fa trapelare Server Name Indication (SNI) e IP di destinazione. Encrypted Client Hello (ECH) chiude parte di quel buco.
3. Telemetria a livello app — le app inviano analytics, crash report, e ping di feature. Alcune sono necessarie, gran parte sono opzionali.
4. Telemetria a livello sistema — i report diagnostici e d'uso di Apple, più la pubblicità personalizzata opt-in nell'App Store.

Uno stack di privacy copre tutti e quattro. Salta un livello e ti stai fidando di qualcun altro per fare la cosa giusta.

Livello 1: DNS — cifralo, e scegli chi vede

Di default, macOS usa qualunque server DNS il router gli passi via DHCP. Sul Wi-Fi di casa, è di solito il tuo ISP. Sulla rete di un caffè, è chiunque gestisca il router del caffè. Gli ISP sono noti per monetizzare i log delle query DNS. I caffè sono noti per misconfigurare le cose.

Passa al DNS cifrato

macOS supporta DNS over HTTPS (DoH) e DNS over TLS (DoT) via profili di configurazione. Tre resolver da considerare:

• Cloudflare 1.1.1.1 — veloce, policy pubblica no-logging, ben auditato. Endpoint DoH: https://cloudflare-dns.com/dns-query.
• Quad9 9.9.9.9 — non profit con base in Svizzera, blocca domini noti malevoli di default. Endpoint DoH: https://dns.quad9.net/dns-query.
• NextDNS — filtraggio configurabile per profilo con log che controlli (o disabiliti).

L'install più pulito è un profilo .mobileconfig dal sito del resolver. Scarica, doppio-clic, installa in Impostazioni di Sistema → Generali → VPN e Gestione Dispositivi → Profili. Riavvia i browser così prendono il nuovo resolver.

Verifica che funzioni a https://1.1.1.1/help (per Cloudflare) — stamperà se sei su DoH/DoT o DNS in chiaro.

Attento ai fallback

Se il tuo endpoint DNS cifrato è irraggiungibile, macOS può ricadere sul DNS di sistema, che ricade sul resolver del router. Alcuni client VPN sovrascrivono anche il DNS senza dirtelo. Controlla periodicamente.

Livello 2: Trasporto — cosa nasconde TLS e cosa no

TLS 1.3 nasconde il body di ogni richiesta HTTPS. Non nasconde, di default:

• L'indirizzo IP a cui ti sei connesso — chiunque guardi il link vede 1.2.3.4:443.
• L'hostname in SNI — la parte non cifrata dell'handshake TLS nomina il server con cui stai parlando.
• Pattern temporali — quanto, quanto spesso, quanto grande.

Encrypted Client Hello (ECH) cifra l'SNI quando sia client che server lo supportano. I siti dietro Cloudflare già lo fanno; gran parte degli altri non ancora. Safari e Chrome supportano ECH su macOS quando il server coopera.

Conclusione pratica: TLS è ottimo per il contenuto. I metadati continuano a trapelare. L'unico modo per mascherare l'IP è una VPN o Tor — e quelli spostano la fiducia su chi gestisce l'uscita. Scegli qualcuno di cui ti senti a tuo agio a fidarti.

Livello 3: Telemetria a livello app — trovala, decidi

Gran parte delle app manda analytics. Alcune ti permettono di disattivarla. Il workflow onesto è:

1. Vedi cosa si sta connettendo. Un monitor di rete ti mostra quali app sono attive e quanto inviano. ova sta nella barra dei menu, campiona a circa 1 Hz, e mostra rate per app più cronologia.
2. Incrocia gli hostname. Little Snitch (o LuLu, o Radio Silence) mostra il dominio di destinazione per connessione. Un monitor ti dice "X sta parlando", uno strumento di classe firewall ti dice "X sta parlando con telemetry.example.com".
3. Disattiva dove possibile. La maggior parte delle app ha un'opzione "condividi dati di utilizzo" o "manda crash report" nelle preferenze. Disattivarla raramente rompe qualcosa.
4. Verifica che l'interruttore abbia funzionato. Questo è il passo che la gente salta. Disattiva, riavvia l'app, guarda il traffico in uscita. Se lo vedi ancora, hai un segnale reale.

Colpevoli comuni che vale la pena controllare

• Microsoft Office — invia dati diagnostici di default. Disabilita in Word → Preferenze → Privacy.
• Adobe Creative Cloud — esegue Core Sync, CCXProcess, e amici in background. La maggior parte è opzionale. L'agent Cloud stesso non lo è, se usi le app Creative Cloud.
• Spotify — eventi di analytics. Interruttori limitati, ma il volume di dati è piccolo.
• Slack — pesante per design (websocket, presenza). Non telemetria, solo come funziona.
• App utility random dal Mac App Store — sorprendentemente chiacchierone. Un monitor ti aiuta a individuare quelle che non vale la pena tenere installate.

Livello 4: A livello sistema — Apple, e l'OS stesso

Apple è più protettiva della privacy di gran parte, ma macOS di default invia comunque alcuni dati. Tre posti da controllare:

Impostazioni di Sistema → Privacy e Sicurezza → Analisi e Miglioramenti

• Condividi Mac Analytics — off di default per la maggior parte degli utenti; verifica.
• Migliora Siri e Dettatura — puoi disattivarla senza perdere Siri.
• Condividi con Sviluppatori App — invia dati di crash (anonimizzati) a sviluppatori di terze parti.

Impostazioni di Sistema → Privacy e Sicurezza → Pubblicità Apple

• Annunci Personalizzati — disattiva. Gli annunci dell'App Store appaiono ancora, solo non mirati.

Impostazioni di Sistema → Privacy e Sicurezza → Servizi di Localizzazione → Servizi di Sistema

Tanti servizi di sistema qui. Gran parte va bene. Quelli che vale la pena scrutinare:

• Posizioni Significative — visibili, eliminabili.
• iPhone Analytics se il telefono è accoppiato.
• Routing e Traffico — invia posizione anonimizzata per dati di traffico.

Interruttori legati alla rete

• Impostazioni di Sistema → Wi-Fi → Dettagli → Limita Tracciamento Indirizzo IP — usa tecniche stile iCloud Private Relay su reti supportate.
• iCloud Private Relay (parte Mac di un abbonamento iCloud+) — passa Safari e parte del traffico di sistema attraverso due relay, nascondendo l'IP dai siti e il DNS da Apple.

Lo stack monitor-versus-firewall

Qui gran parte delle guide di privacy si confonde. Ti servono entrambi, e fanno lavori diversi.

Un monitor

Legge i contatori del kernel, ti mostra cosa sta accadendo. Non blocca, non chiede, non si mette tra i piedi. ova è in questa categoria — circa 3 MB, niente kernel extension, niente filtro di rete, niente prompt di permesso dopo l'install. È in sola lettura.

Un firewall

Ispeziona le connessioni, applica regole, blocca o permette. Little Snitch è il firewall Mac canonico. LuLu è l'opzione gratuita. L'Application Firewall di macOS (integrato) gestisce solo l'in entrata, non l'uscita, quindi non è nella stessa categoria.

Perché vuoi entrambi

Un firewall fa rispettare la policy. Un monitor la verifica. Quando dici a Little Snitch "blocca Adobe dal contattare *.adobe.io", ti fidi che la regola scatti. Un monitor conferma — se imposti un blocco e il traffico per app cala a zero, il blocco ha funzionato. Se no, hai una regola misconfigurata.

Eseguili fianco a fianco. Il costo combinato in CPU e memoria è trascurabile rispetto a una scheda Chrome.

Aggiungi un monitor silenzioso al tuo stack di privacy

ova legge i contatori del kernel e mostra la banda per app — locale, niente telemetria, ~3 MB.

Scarica per macOS

Permessi delle app: il livello di privacy che la maggior parte dimentica

La privacy di rete non è solo byte. macOS regola una lunga lista di permessi per app: Localizzazione, Contatti, Calendari, Promemoria, Foto, Camera, Microfono, Registrazione Schermo, Monitoraggio Input, Accesso Completo al Disco, File e Cartelle, Accessibilità, Automazione, Bluetooth, Rete Locale.

Due di quelli hanno implicazioni di privacy di rete dirette:

• Rete Locale — concesso, un'app può scansionare la tua LAN e scoprire altri dispositivi. Utile per ricevitori AirPlay e app per stampante. Sospetto per gran parte degli altri.
• Bluetooth — concesso, un'app può parlare con dispositivi vicini, che a volte significa tracciare la prossimità.

Auditi Impostazioni di Sistema → Privacy e Sicurezza una volta all'anno. Revoca i permessi per app che non riconosci più. L'OS richiederà di nuovo la prossima volta che l'app ne ha effettivamente bisogno.

Un audit pratico di 30 minuti

Blocca mezz'ora. Caffè. Niente riunioni.

1. Passa al DNS Cloudflare 1.1.1.1 o Quad9 via un profilo .mobileconfig. Verifica con https://1.1.1.1/help.
2. Auditi Privacy e Sicurezza nelle Impostazioni di Sistema. Disabilita la condivisione di analytics. Rivedi Servizi di Localizzazione → Servizi di Sistema. Revoca la Rete Locale per app che non ne hanno bisogno.
3. Installa ova e un firewall (trial Little Snitch, o LuLu). Lasciali girare mentre lavori normalmente per un'ora.
4. Rivedi la lista per app. Qualsiasi cosa parli che ti sorprende, cerca. Alcune app le tieni, alcune disinstalli, alcune mute via regole firewall.
5. Documenta la tua baseline. Fai uno screenshot della lista per app durante un momento tranquillo. Il prossimo mese, confronta.

Questo è un setup di 30 minuti. Non lo ripeterai. Il controllo mensile è di cinque minuti.

Miti comuni

"VPN = privacy"

Una VPN sposta la tua fiducia dal tuo ISP al provider VPN. Se la VPN logga e l'ISP no, sei messo peggio. Scegli un provider con rivendicazioni di no-log auditate.

"La modalità incognito mi nasconde"

La modalità incognito nei browser previene la cronologia locale. La tua rete vede le stesse query DNS e connessioni.

"Apple non vede niente"

Apple vede ciò a cui hai dato il consenso (analytics, campioni Siri, contenuto iCloud se non end-to-end cifrato) più alcune impronte a livello sistema (device check, beacon MDM, notifiche push). È meno della maggior parte delle aziende, ma non è zero.

Cosa significa "100% locale" per gli strumenti a cui affidi la tua privacy

Qualsiasi strumento che installi per la privacy dovrebbe essere a sua volta privato. Specificamente:

• Niente account — non dovresti aver bisogno di registrarti per usare uno strumento di privacy.
• Niente sync cloud — i dati vivono sul tuo disco, non sul loro.
• Niente telemetria — un'app di privacy che telefona a casa è una contraddizione in termini.
• Firmato e notarizzato — il processo di sviluppatore di Apple è un segnale reale. Salta i binari non firmati a meno che tu non abbia letto personalmente il sorgente.

ova spunta tutti e quattro. La cronologia di banda è sul tuo disco, l'app non ha dashboard remota, e non c'è alcun flusso di account.

In conclusione

La privacy di rete su macOS è quattro livelli — DNS, trasporto, telemetria app, telemetria sistema — più l'abitudine all'audit che li tiene onesti. Cifra il DNS, pota i permessi, esegui un monitor accanto a un firewall, e ricontrolla mensilmente. Nessun pezzo è difficile. Il trucco è averli tutti in posto contemporaneamente, perché saltare un livello rende gli altri meno utili.

Spendi i 30 minuti questa settimana. Quasi tutti sono silenziosamente sorpresi da cosa stava facendo il Mac mentre pensavano fosse a riposo.