Cos’è un firewall? Tutto quello che devi sapere (spiegato semplice)

Pensa al computer come a una casa. Ha porte, cioè le porte di rete, e finestre, cioè i servizi in ascolto per le connessioni. Alcune di queste porte devono restare aperte: vuoi navigare sul web, inviare email e ascoltare musica in streaming. Ma altre dovrebbero restare chiuse, perché chiunque su internet potrebbe provare a entrare.

Un firewall è, in sostanza, una guardia di sicurezza che sta davanti a ogni porta e finestra della casa. Quando qualcuno prova a entrare, la guardia controlla: "Sei atteso? Hai il permesso?" Se no, la porta resta chiusa. Quando qualcuno dentro prova a uscire, la guardia può anche controllare: "Dovresti davvero inviare questo pacchetto? Questo indirizzo è sicuro?"

In termini tecnici, un firewall è un software o un hardware che monitora il traffico di rete e decide quali connessioni consentire e quali bloccare, in base a una serie di regole. Ogni dato che viaggia su una rete viene suddiviso in piccole unità chiamate pacchetti. Ogni pacchetto ha un indirizzo di origine, un indirizzo di destinazione e un numero di porta. Il firewall esamina questi dettagli e decide: consenti o blocca.

I firewall esistono dalla fine degli anni 1980, quindi sono tra gli strumenti di sicurezza di rete più antichi ancora in uso. In origine sono stati progettati per proteggere le reti aziendali dagli attacchi esterni. Oggi esistono a ogni livello, dai grandi firewall hardware che proteggono i data center al firewall software integrato nel sistema operativo del tuo portatile.

Il concetto di base non è cambiato in decenni: controllare chi entra e chi esce. Ma le minacce specifiche e la sofisticazione della tecnologia firewall sono evolute in modo drastico. I firewall moderni possono ispezionare il contenuto dei pacchetti, identificare quale applicazione sta creando una connessione e persino rilevare schemi che suggeriscono attività malevola. Capire cosa fa un firewall è il primo passo per capire se la tua configurazione attuale ti protegge davvero.

Non tutti i firewall funzionano allo stesso modo. Esistono diversi tipi, ciascuno con capacità e casi d'uso diversi. Capire le differenze ti aiuta a valutare quale protezione hai davvero.

I firewall a filtro dei pacchetti sono il tipo più semplice. Esaminano ogni pacchetto di rete singolarmente e lo confrontano con una serie di regole basate su indirizzo di origine, indirizzo di destinazione, numero di porta e protocollo. Se un pacchetto corrisponde a una regola di अनुमति, passa. Se corrisponde a una regola di blocco o non corrisponde a nessuna regola, viene scartato. I filtri dei pacchetti sono veloci ma limitati: guardano ogni pacchetto in isolamento e non possono capire il contesto di una conversazione tra due computer.

I firewall a ispezione stateful sono più intelligenti. Tracciano lo stato delle connessioni attive e prendono decisioni in base al contesto del traffico. Se il tuo computer avvia una connessione a un server web, il firewall stateful lo memorizza e consente automaticamente il ritorno dei pacchetti di risposta. Questo è molto più sicuro del semplice filtro dei pacchetti, perché distingue tra traffico di risposta legittimo e connessioni in ingresso non richieste.

I firewall a livello applicativo operano a un livello più alto. Invece di limitarsi a guardare le intestazioni dei pacchetti, comprendono i veri protocolli applicativi, come HTTP, DNS, FTP e altri. Possono ispezionare il contenuto del traffico e prendere decisioni in base a ciò che un'applicazione sta davvero facendo, non solo alla destinazione dei pacchetti. Questo consente un controllo più sfumato, come bloccare specifici tipi di richieste web e consentirne altri.

I firewall hardware sono dispositivi fisici che si collocano tra la tua rete e internet. Il router di casa tua quasi sicuramente include un firewall hardware di base. Le reti aziendali usano apparati firewall dedicati di aziende come Cisco, Palo Alto o Fortinet. Questi proteggono intere reti in una volta sola.

I firewall software girano su singoli computer. Il firewall integrato di macOS, Windows Defender Firewall e strumenti di terze parti come Little Snitch o NetMute sono tutti firewall software. Proteggono il dispositivo specifico su cui sono installati. Il vantaggio è il controllo per app: un firewall software può vedere quale app sta creando una connessione, cosa che un firewall hardware di solito non può fare.

In pratica, una buona sicurezza usa entrambi. Il router fornisce un primo livello di protezione per l'intera rete. Un firewall software sul Mac aggiunge controllo per dispositivo e per app.

È qui che la maggior parte delle persone si ferma a una comprensione incompleta dei firewall. Quando qualcuno dice "firewall", di solito pensa a bloccare gli hacker in ingresso. Questa è la filtrazione in entrata, ed è importante. Ma c'è un'altra direzione che conta altrettanto: la filtrazione in uscita.

I firewall in entrata controllano le connessioni in arrivo. Impediscono a soggetti esterni, altri computer, scanner automatizzati, malintenzionati, di raggiungere i servizi in esecuzione sulla tua macchina. Se sei su una rete Wi-Fi pubblica, un firewall in entrata impedisce a qualcuno sulla stessa rete di connettersi al servizio di condivisione file del tuo Mac o di accedere a una porta aperta. Questa è la protezione firewall tradizionale, ed è ciò che offrono la maggior parte dei firewall integrati.

I firewall in uscita controllano le connessioni avviate dal tuo computer. Monitorano ciò che le tue app inviano e dove lo inviano. È una cosa profondamente diversa, perché è diverso il modello di minaccia. La protezione in entrata difende dagli attacchi esterni. La protezione in uscita difende dalla fuga di dati dalle tue app.

Perché la filtrazione in uscita è importante? Perché oggi le minacce alla privacy arrivano dall'interno del tuo computer, non dall'esterno. Sono le app che installi volontariamente a inviare i tuoi dati a tracker, piattaforme di analisi e reti pubblicitarie. Un'app meteo che invia la tua posizione a un broker di dati. Un editor di testo che trasmette statistiche di utilizzo. Un lettore video che segnala cosa guardi. Nessuna di queste è un "attacco" nel senso tradizionale. Sono funzioni integrate nelle app che usi. Un firewall in entrata non può bloccarle, perché le connessioni hanno origine dalla tua macchina.

Ecco una semplice analogia: un firewall in entrata è come il lucchetto alla porta di casa. Tiene fuori gli estranei. Un firewall in uscita è come controllare cosa spediscono i tuoi coinquilini da dentro casa. Entrambi sono importanti. Il lucchetto ti protegge dai ladri. Il controllo della posta assicura che nessuno all'interno stia inviando le tue informazioni personali a degli sconosciuti.

La maggior parte dei sistemi operativi, incluso macOS, offre per impostazione predefinita solo firewall in entrata. La protezione in uscita richiede uno strumento di terze parti. Non è una lacuna marginale. Nel 2026, i dati che le tue app inviano all'esterno sono una minaccia per la privacy molto più comune dei malintenzionati esterni che cercano di entrare.

È una domanda legittima. Con HTTPS che cripta la maggior parte del traffico web, router moderni con firewall di base e sistemi operativi più sicuri che mai, nel 2026 ti serve davvero un firewall?

La risposta breve è sì, ma i motivi sono cambiati. Vent'anni fa, il firewall serviva soprattutto a bloccare gli attacchi in ingresso: worm che scandivano porte aperte, hacker che cercavano di sfruttare servizi vulnerabili. Quelle minacce esistono ancora, ma sono meno comuni per i singoli utenti, perché router e sistemi operativi sono diventati molto più bravi a gestirle.

Oggi il motivo principale per cui ti serve un firewall è la privacy. L'esplosione di telemetria, analisi e tracking nei software moderni significa che il tuo computer invia continuamente dati su di te, sul tuo comportamento e sulle tue abitudini. Questo avviene a livello di applicazione, il che significa che la sicurezza di rete tradizionale, HTTPS, router, NAT, non lo risolve. HTTPS cripta il contenuto delle connessioni, ma non impedisce che le connessioni avvengano. Le tue app possono comunque raggiungere il server che vogliono.

Pensa a cosa fa un Mac tipico in un'ora qualsiasi di uso normale. macOS stesso contatta i server Apple per la sincronizzazione di iCloud, i suggerimenti di Spotlight, la convalida dei certificati e gli aggiornamenti software. Chrome contatta Google per i controlli di navigazione sicura, la sincronizzazione e la telemetria. Slack invia analisi. Spotify riporta i dati di ascolto. Le app Adobe chiamano costantemente casa. Ognuna di queste connessioni trasmette dati su di te. Una parte è necessaria. Molta non lo è.

Un firewall nel 2026 serve meno a impedire agli hacker di entrare, visto che il router e il sistema operativo gestiscono la maggior parte di questo, e più a controllare quali informazioni escono dal tuo computer. Ti serve un firewall per impedire che il tuo Mac venga violato? Probabilmente il tuo router copre già questo aspetto nella rete di casa. Ti serve un firewall per fermare le app che fanno trapelare dati verso decine di società di tracking? Assolutamente sì. E per questo ti serve in particolare un firewall in uscita.

La risposta dipende anche dal tuo contesto. Nella rete di casa, dietro un router, le minacce in entrata sono minime. Su una rete Wi-Fi pubblica in un bar o in aeroporto, sia la protezione in entrata sia quella in uscita diventano fondamentali. Un firewall con profili di rete che si adattano al contesto ti offre il giusto livello di protezione senza attriti inutili.

Apple include un firewall in macOS, ed è bene attivarlo. Lo trovi in Impostazioni di Sistema, sotto Rete, poi Firewall. Quando è attivo, blocca le connessioni in entrata indesiderate e offre una modalità stealth che rende il tuo Mac invisibile agli scanner di rete. Per la protezione in ingresso, è competente e gratuito.

Ma il firewall di Apple ha una limitazione critica che la maggior parte degli utenti Mac non scopre mai: gestisce solo le connessioni in entrata. Non c'è alcun modo integrato per monitorare o controllare il traffico in uscita su macOS. Apple non offre un firewall in uscita, e non ci sono impostazioni di sistema per configurarne uno. Ogni app sul tuo Mac ha accesso illimitato alla rete in uscita.

Perché Apple non include una protezione in uscita? Le ragioni probabili sono pratiche. Un firewall in uscita genera decisioni continue da parte dell'utente: ogni nuova app attiva richieste di connessione, e la maggior parte degli utenti non saprebbe come valutarle. Inoltre interferirebbe con i servizi di Apple, che si basano su frequenti connessioni in background ai server Apple. Dal punto di vista di Apple, il processo di revisione dell'App Store e le etichette di privacy dovrebbero risolvere il problema della fiducia. In pratica, questi meccanismi hanno limiti noti.

Questo significa che gli utenti Mac che vogliono una protezione completa del firewall hanno bisogno di una soluzione di terze parti per il lato in uscita. Esistono diverse opzioni, ognuna con una filosofia diversa. Alcune, come Little Snitch, offrono regole granulari per singola connessione, pensate per utenti esperti. Altre, come NetMute, combinano il controllo firewall per app con il rilevamento automatico dei tracker: un database curato di domini di tracking noti viene bloccato in automatico, così ottieni subito una protezione efficace senza configurare regole singole.

La configurazione consigliata per qualsiasi utente Mac è semplice. Prima, attiva il firewall integrato di macOS per la protezione in entrata: è gratuito e non c'è motivo di lasciarlo disattivato. Secondo, aggiungi un firewall di terze parti per il controllo per app e il blocco dei tracker. Terzo, considera una VPN per connessioni criptate su reti non affidabili. Questo approccio a tre livelli copre le minacce in ingresso, la fuoriuscita di dati in uscita e la crittografia a livello di rete. Richiede circa cinque minuti per essere configurato e affronta le vere lacune di privacy che macOS lascia aperte per impostazione predefinita. Il tuo Mac è una buona piattaforma per la privacy, ma solo se colmi le lacune che Apple lascia a te il compito di gestire da solo.