Coupe-feu du Mac : comment l’activer, et ce qu’il ne bloque pas

Comment activer le coupe-feu sur un Mac

1. Choisissez menu Pomme › Réglages Système, cliquez sur Réseau dans la barre latérale, puis sur Coupe-feu. Vous devrez peut-être faire défiler vers le bas.
2. Activez Coupe-feu. Votre mot de passe d’administrateur peut vous être demandé.
3. Pour changer ce qu’il autorise, cliquez sur Options, faites vos modifications, puis cliquez sur OK.

Pour le vérifier depuis le Terminal, exécutez /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate. La réponse indique si le coupe-feu est activé ou désactivé.

Ce que font les options du coupe-feu

• Bloquer toutes les connexions entrantes : refuse les connexions à toutes les apps et à tous les services de partage, comme le Partage d’écran et le Partage de fichiers, sauf les quelques-uns dont macOS a besoin pour se connecter à internet. Activez-la un moment sur un réseau auquel vous ne faites pas confiance ; laissez-la désactivée si vous partagez des fichiers ou votre écran.
• Autoriser automatiquement les logiciels intégrés à recevoir des connexions entrantes : laisse les apps et services fournis avec macOS accepter des connexions sans demander. Laissez-la activée.
• Autoriser automatiquement les logiciels téléchargés signés à recevoir des connexions entrantes : fait de même pour les apps signées avec un certificat de développeur valide. Désactivez-la si vous voulez être interrogé pour chaque app.
• Activer le mode furtif : votre Mac ne répond pas aux pings ni aux balayages de ports, et il est donc plus difficile à trouver sur le réseau. Les apps que vous avez autorisées continuent de fonctionner. Activez-le si vous utilisez des Wi-Fi publics.

La liste au-dessus de ces options contient les apps pour lesquelles vous avez déjà décidé. Utilisez + pour ajouter une app et choisir d’autoriser ou de bloquer ses connexions entrantes, et − pour la retirer. Quand une app absente de la liste veut accepter des connexions, macOS vous demande s’il faut l’autoriser, et refuse tant que vous n’avez pas répondu.

Ce que le coupe-feu du Mac ne bloque pas

Le coupe-feu de macOS décide quelles apps peuvent accepter les connexions lancées par d’autres ordinateurs. Il n’a aucun réglage pour les connexions lancées par vos propres apps, et ce sont presque toutes : un navigateur qui charge une page, une app qui cherche des mises à jour, un utilitaire qui envoie des données d’utilisation, ou un malware qui communique avec son serveur. Tout cela passe, coupe-feu activé.

Il n’est pas inutile pour autant. Il ferme la porte aux services de partage et aux apps qui attendent des connexions, ce qui compte surtout sur les Wi-Fi publics. Chez vous, votre routeur fait un travail similaire, tant que vous n’y ouvrez pas de ports. Mais pour voir ou bloquer ce que vos apps envoient vers l’extérieur, il vous faut un pare-feu sortant.

Avez-vous besoin d’un pare-feu sortant ?

La plupart des gens n’en ont pas besoin pour rester en sécurité ; un antivirus et une navigation sûre comptent davantage. Il est utile si vous voulez savoir quelles apps se connectent à internet en arrière-plan, garder volontairement une app hors ligne, empêcher une ancienne version de vous harceler pour la mettre à jour, ou vous assurer qu’une app en laquelle vous n’avez pas totalement confiance ne puisse rien envoyer.

Pare-feu sortants pour Mac

macOS permet à d’autres apps d’ajouter un pare-feu sortant grâce à une extension réseau. Voici les plus connus :

• Little Snitch d’Objective Development est le plus complet. Il demande quoi faire à chaque nouvelle connexion, affiche une carte des destinations de vos apps et propose des règles détaillées par app, serveur et port. C’est une app payante avec un essai de 30 jours.
• LuLu d’Objective-See est gratuit et open source. Il demande lui aussi quoi faire à chaque nouvelle connexion, avec des règles plus simples.
• Tidy My Mac a un pare-feu sortant sans fenêtres surgissantes : il indique quelles apps se connectent et vers où, et bloque une app en un clic. Il fait partie de la même app que l’antivirus et les outils de nettoyage.

N’utilisez qu’un seul pare-feu sortant à la fois. Deux extensions réseau qui filtrent les mêmes connexions peuvent les ralentir ou bloquer ce que vous vouliez autoriser.

macOS a aussi pf, un filtre de paquets que l’on configure dans le Terminal avec des fichiers de configuration. Il peut bloquer le trafic sortant par adresse et par port, mais pas par app, et une mise à jour de macOS peut réinitialiser vos modifications. Il est destiné aux administrateurs.

Le coupe-feu du Mac avec Tidy My Mac

• Firewall montre quelles apps se connectent à internet, leurs processus d’assistance compris, et bloque les connexions sortantes d’une app en un clic. Le blocage continue de fonctionner quand Tidy My Mac est fermé.
• Security Settings vérifie que le coupe-feu de macOS est activé, ainsi que FileVault, Gatekeeper et les autres protections intégrées.
• Web Protection bloque les sites d’hameçonnage, d’arnaque et de malwares par leur nom, dans tous les navigateurs et toutes les apps.