Qu'est-ce que webfilterproxyd sur Mac ? L'explication du filtre Screen Time

webfilterproxyd est un démon système qui fait partie de macOS et est signé par Apple. C'est le composant qui applique le filtrage du contenu web, ce qui, sur un Mac personnel, signifie des restrictions Screen Time telles que Limiter les sites pour adultes ou une liste personnalisée de sites autorisés et bloqués.

Lorsqu'un filtre est actif, les requêtes web passent par une vérification avant d'être autorisées à se terminer. webfilterproxyd effectue cette vérification, compare la requête à la politique en vigueur, et la laisse passer ou l'arrête en affichant la page de restriction familière dans le navigateur.

Le démon n'a pas d'interface propre : pas d'application, pas d'élément dans la barre de menu, pas de panneau de préférences portant son nom. Tout ce que vous pouvez configurer à son sujet se trouve dans les Réglages Système sous Screen Time, ou, sur un Mac de travail ou d'école, dans un profil déployé par la gestion des appareils. Cette indirectivité explique en grande partie pourquoi le processus semble mystérieux.

La plupart des gens rencontrent webfilterproxyd non pas à cause d'une alerte de sécurité, mais à travers un réglage qu'ils ont modifié et oublié, ou qu'une autre personne dans le foyer a modifié.

Sur un Mac sans filtrage de contenu configuré, le démon n'a pratiquement rien à faire et reste discret. Activez une restriction de contenu Screen Time, pour vous ou pour le compte d'un enfant, et il devient actif car une politique doit être appliquée. La même chose se produit après une nouvelle configuration de macOS où Screen Time est configuré lors de l'installation, après une restauration à partir d'une sauvegarde contenant d'anciens réglages Screen Time, ou lorsqu'un membre de la famille active des restrictions depuis un autre appareil sur le même compte.

Les Macs gérés sont une autre source courante. Si votre machine est inscrite dans la gestion des appareils, un administrateur peut déployer un filtre de contenu web en tant que politique, et les réglages qui le sous-tendent sont généralement verrouillés.

Si aucune de ces situations ne s'applique, ouvrez les Réglages Système et vérifiez directement Screen Time. Plus souvent qu'autrement, vous trouverez une restriction que quelqu'un a activée et que personne n'a regardée depuis.

Ce n'est pas un logiciel malveillant. webfilterproxyd est un binaire Apple fourni avec le système d'exploitation, et la fonction de filtrage propre à Apple en dépend. Vous ne devriez pas avoir à le croire sur parole à partir d'une page web, voici donc comment le confirmer vous-même.

Commencez dans l'Activity Monitor. Trouvez le processus, sélectionnez-le, et ouvrez l'inspecteur, qui montre le chemin complet vers l'exécutable sur le disque. Un vrai démon système Apple vit dans les zones protégées du système de macOS, qui, sur les versions actuelles, repose sur un volume scellé en lecture seule que le logiciel ordinaire ne peut pas écrire. Un logiciel malveillant se faisant passer pour un processus système gère rarement cela : il se cache quelque part dans un espace modifiable, et le chemin le trahit.

La vérification la plus fiable est la signature du code. Chaque binaire système Apple est signé par Apple, et macOS peut vérifier cette signature par rapport au fichier sur le disque. Dans le Terminal, l'outil codesign exécuté contre le chemin de l'exécutable indique l'autorité de signature : pour un vrai démon système, il nomme Apple et la vérification passe. Un binaire non signé, ou signé par un développeur inconnu, sous un nom évoquant un système, est le vrai signe d'alerte.

La réponse honnête dépend de si vous utilisez le filtrage web de Screen Time.

Si c'est le cas, bloquer ou tuer webfilterproxyd le casse. C'est la conséquence directe, pas un effet secondaire : le processus qui applique la restriction cesse de le faire. C'est aussi pourquoi le daemon est marqué comme suspect dans les foyers où il fonctionne parfaitement. Quelqu'un qui lit un fil de discussion sur un forum à propos du processus à bloquer pour faire disparaître la page de restriction décrit exactement cela, ce qui, du point de vue d'un parent, ressemble à une défaillance plutôt qu'à une solution de contournement.

Si vous n'utilisez pas le filtrage de contenu, le daemon est en grande partie inactif et le bloquer ne vous apporte pas grand-chose.

Dans tous les cas, une règle de pare-feu n'est pas l'outil approprié. La façon la plus simple d'empêcher webfilterproxyd de filtrer est de désactiver la restriction de contenu de Screen Time qui l'a activé. Modifiez la politique et le daemon se mettra silencieusement en pause, sans règle persistante pour vous embrouiller dans quelques mois. Sur un Mac géré, ce paramètre est généralement grisé, et la réponse consiste à discuter avec la personne qui administre l'appareil.

Un point juste concernant la vie privée. Parce qu'il s'agit d'un filtre de contenu, il voit les métadonnées des requêtes web afin de décider ce qu'il faut autoriser. Cette inspection se fait sur votre appareil, comme le mécanisme prévu, et c'est la même configuration que celle utilisée par les applications de filtrage tierces et de pare-feu, puisque macOS fournit une interface de filtrage de contenu supportée. Un filtre qui examine les requêtes ne prouve pas que quelque chose quitte votre Mac.

webfilterproxyd est un processus. Un Mac typique en exécute plusieurs centaines, beaucoup d'entre eux étant des daemons Apple aux noms tout aussi opaques, et un bon nombre communiquent avec le réseau. Ce qui rend celui-ci alarmant, ce n'est pas qu'il soit inhabituel. C'est que vous ayez regardé, et que macOS ne vous ait donné aucun moyen de répondre à la question évidente : à quoi se connecte-t-il en ce moment.

Activity Monitor affiche les octets entrants et sortants par processus et s'arrête là. Il ne vous dira pas quels domaines un processus a atteints, quand, ni à quelle fréquence. Chaque nom de processus inconnu devient un projet de recherche dont la réponse est un message sur un forum ou un acte de confiance.

NetMute comble cette lacune en donnant à chaque processus un historique réseau visible. Il surveille le trafic par application et par processus en temps réel et enregistre au niveau du domaine, afin que vous puissiez voir quels domaines un processus a contactés, quand, et combien de données ont été échangées. Si quelque chose ne devrait pas communiquer avec Internet, le pare-feu par application le bloque en un clic, et les règles temporaires expirent d'elles-mêmes. Les profils réseau permettent de différencier les règles entre réseaux de confiance et réseaux non fiables, et Tracker Shield bloque plus de 1 100 domaines de traqueurs connus sur toutes les applications en même temps.

Une mise en garde concernant le processus mentionné dans cet article : n'utilisez pas tout cela pour bloquer webfilterproxyd si vous dépendez de Screen Time. Désactivez plutôt la restriction. La valeur de la visibilité par processus n'est pas de pouvoir bloquer les daemons Apple, mais de pouvoir cesser de les deviner.