¿Debo activar el firewall en el Mac? (Activado o desactivado)

Sí, deberías activar el firewall. Para la gran mayoría de los usuarios de Mac no hay ninguna desventaja relevante, y añade una capa de protección con un coste prácticamente nulo en rendimiento o usabilidad.

Aquí está el motivo por el que la pregunta resulta confusa: macOS trae el firewall desactivado por defecto. El razonamiento de Apple es que un Mac detrás de un router doméstico ya está protegido por el firewall de red de ese router (NAT), así que el firewall de software integrado se considera una capa extra, no una necesidad. Ese ajuste por defecto lleva a mucha gente a pensar que el firewall es innecesario. Si no, Apple lo habría activado, ¿no?

La mejor forma de verlo es esta: el firewall de macOS es un seguro barato. No te cuesta nada apreciable y cierra una categoría de riesgo que importa en el momento en que sales de tu red doméstica: cafeterías, aeropuertos, hoteles, espacios de coworking, la red Wi-Fi de la universidad. En esas redes ya no estás detrás de tu router de confianza, y otros dispositivos de la misma red pueden intentar acceder directamente a tu Mac. ¿Activado o desactivado? Activado.

Esta es la parte que la mayoría de las guías se saltan, y es lo más importante que debes entender.

El firewall integrado de macOS es un firewall solo de entrada (conexiones entrantes). Controla qué conexiones externas pueden llegar a las apps y servicios que se ejecutan en tu Mac. Cuando lo activas, bloquea las conexiones entrantes no solicitadas a cualquier cosa que no tenga permiso explícito para aceptarlas.

Lo que no hace: no controla ni siquiera supervisa las conexiones de salida (salientes), es decir, el tráfico que tus propias apps envían a internet. Y la salida es precisamente donde vive el problema moderno de privacidad. Cuando una app gratuita "llama a casa" con analíticas, cuando una utilidad de la barra de menús sincroniza telemetría en silencio, cuando una app que instalaste contacta en segundo plano con una docena de dominios de publicidad y rastreo, el firewall de macOS no ve nada de eso ni bloquea nada de eso.

Así que la forma honesta de plantearlo es esta: activar el firewall de macOS te protege de los dispositivos de otras personas intentando entrar. No hace nada respecto a tus propias apps intentando salir. Ambas direcciones importan, pero la segunda es la que de verdad le preocupa a la mayoría cuando piensa en "privacidad", y esa necesita otra herramienta.

En macOS Ventura, Sonoma, Sequoia y posteriores (2026):

1. Abre Ajustes del Sistema (el icono del engranaje en el Dock, o desde el menú Apple).
2. Haz clic en Red en la barra lateral.
3. Haz clic en Firewall.
4. Activa Firewall. Es posible que se te pida la contraseña o Touch ID.

Eso es todo. Una vez activado, haz clic en Opciones… para ajustarlo con más detalle. Los ajustes más útiles allí:

• Bloquear todas las conexiones entrantes: modo estricto. Bloquea todo salvo lo imprescindible. Es útil en una red pública hostil, pero romperá la compartición de archivos, la compartición de pantalla y algunas apps que legítimamente escuchan conexiones. Déjalo desactivado para el uso normal.
• Permitir automáticamente que el software integrado / descargado y firmado reciba conexiones entrantes: mantén estas opciones activadas; permiten que las apps de confianza firmadas por Apple funcionen sin molestarte.
• Activar el modo encubierto: lo vemos más abajo.

En versiones anteriores de macOS (Monterey y anteriores), el interruptor está en Preferencias del Sistema → Seguridad y privacidad → Firewall, pero la función es idéntica.

El modo encubierto hace que tu Mac ignore sondeos no solicitados, como los pings (ICMP) y los escaneos de puertos. En lugar de responder "estoy aquí, pero ese puerto está cerrado", tu Mac simplemente no contesta, lo que dificulta que alguien que escanee la red llegue siquiera a descubrir que tu equipo existe.

¿Deberías activar el modo encubierto? En una Wi-Fi pública, sí: es una mejora pequeña y gratuita que te hace menos visible para cualquiera que escanee la red. En tu red doméstica de confianza apenas supone una diferencia práctica, pero no hay ningún inconveniente en dejarlo activado de forma permanente. La única ocasión en la que resulta algo molesto es en los diagnósticos de red (no se te puede hacer ping), algo que casi ningún usuario doméstico necesita.

"Bloquear todas las conexiones entrantes" es la opción agresiva. Es realmente útil como medida temporal en una red sospechosa, pero como ajuste permanente tiende a romper en silencio funciones legítimas: AirDrop, la compartición de pantalla, las copias de seguridad locales y algunas apps de colaboración. Recomendación: déjalo desactivado normalmente y actívalo solo si estás en una red de la que desconfías activamente.

Activar el firewall de macOS es la decisión correcta, pero si tu motivo para preguntar era la privacidad, debes saber que solo resuelve la mitad del problema.

El firewall vigila la puerta principal (las conexiones entrantes). Deja la puerta trasera abierta de par en par (las salientes). Cada app de tu Mac puede seguir enviando lo que quiera al servidor que quiera, y el firewall integrado nunca te avisará, y mucho menos lo detendrá. Los bloqueadores de anuncios del navegador ayudan dentro del navegador, pero no pueden ver tu cliente de correo, tu app de música, Creative Cloud, los mensajeros ni ningún servicio en segundo plano.

Cerrar la brecha de salida requiere un firewall de salida por app. Es una herramienta que vigila lo que cada app envía al exterior, te muestra con qué servidores y dominios de rastreo está contactando y te permite bloquear los que no quieres, app por app. NetMute está diseñado exactamente para esto: se combina con el firewall de macOS (mantén ese activado para las conexiones entrantes) y añade control de salida, un Tracker Shield que reconoce automáticamente más de 1.100 dominios de rastreo conocidos y una puntuación de privacidad para cada app basada en lo que realmente contacta.

Así que: activa el firewall de macOS para la protección de entrada. Añade un firewall de salida para la mitad de la privacidad. Juntos cubren ambas direcciones, que es a lo que de verdad se reduce la pregunta "¿está protegido mi Mac?".