Cos'è webfilterproxyd su Mac? La spiegazione del filtro Screen Time

webfilterproxyd è un demone di sistema che viene distribuito come parte di macOS ed è firmato da Apple. È il componente che applica il filtro dei contenuti web, che su un Mac personale significa restrizioni di Screen Time come Limita siti per adulti o una lista personalizzata di siti consentiti e bloccati.

Quando un filtro è attivo, le richieste web passano attraverso un controllo prima di essere completate. webfilterproxyd esegue quel controllo, confronta la richiesta con la policy in vigore e permette il passaggio o la blocca e mostra la pagina di restrizione familiare nel browser.

Il demone non ha un’interfaccia propria: nessuna app, nessuna voce nella barra dei menu, nessun pannello delle preferenze con il suo nome. Tutto ciò che puoi configurare riguardo a esso si trova in Impostazioni di Sistema sotto Screen Time, oppure, su un Mac aziendale o scolastico, in un profilo inviato tramite gestione dispositivi. Questa indirezione è in gran parte il motivo per cui il processo sembra misterioso.

La maggior parte delle persone incontra webfilterproxyd non tramite un allarme di sicurezza, ma attraverso una configurazione che hanno modificato e dimenticato, o che qualcun altro in famiglia ha modificato.

Su un Mac senza configurato il filtro dei contenuti, il demone praticamente non fa nulla e rimane invisibile. Attiva una restrizione di Screen Time, per te o per un account di un bambino, e diventa attivo perché ora c’è una policy da applicare. Lo stesso accade dopo una nuova configurazione di macOS durante l’installazione, dopo aver ripristinato da un backup che aveva impostazioni di Screen Time vecchie, o quando un membro della famiglia abilita restrizioni da un altro dispositivo collegato allo stesso account.

I Mac gestiti sono un’altra fonte comune. Se il tuo Mac è iscritto a gestione dispositivi, un amministratore può distribuire un filtro dei contenuti web come policy, e le impostazioni dietro di esso sono di solito bloccate.

Se niente di tutto ciò si applica, apri Impostazioni di Sistema e verifica direttamente Screen Time. Più spesso di quanto pensi troverai una restrizione attivata da qualcuno e che nessuno ha più guardato da allora.

Non è malware. webfilterproxyd è un binario di Apple che viene fornito con il sistema operativo, e la funzione di filtro di Apple dipende da esso. Non dovresti doverlo credere semplicemente da una pagina web, quindi ecco come verificarlo da solo.

Inizia con Activity Monitor. Trova il processo, selezionalo e apri l’inspecteur, che mostra il percorso completo dell’eseguibile sul disco. Un vero demone di sistema Apple vive all’interno delle aree di sistema protette di macOS, che nelle versioni attuali si trovano su un volume sigillato e in sola lettura a cui il software normale non può scrivere. Malware che impersona un processo di sistema raramente riesce a farlo: si nasconde in qualche parte scrivibile, e il percorso lo rivela.

Il controllo più forte è la firma del codice. Ogni binario di sistema Apple è firmato da Apple, e macOS può verificarne la firma rispetto al file sul disco. In Terminale, lo strumento codesign eseguito sul percorso dell’eseguibile riporta l’autorità di firma: per un vero demone di sistema, nomina Apple e il controllo supera. Un binario non firmato, o firmato da uno sviluppatore sconosciuto, con un nome che suona di sistema, è il vero segnale di avvertimento.

La risposta onesta dipende dal fatto che tu usi il filtro web di Screen Time.

Se lo fai, bloccare o terminare webfilterproxyd interrompe questa funzione. Questa è la conseguenza diretta, non un effetto collaterale: il processo che applica la restrizione smette di farlo. È anche il motivo per cui il daemon viene segnalato come sospetto nelle famiglie in cui funziona perfettamente. Qualcuno che legge un thread su un forum su quale processo bloccare per far sparire la pagina di restrizione sta descrivendo esattamente questo, che dal punto di vista di un genitore sembra un difetto piuttosto che una soluzione.

Se non usi il filtro dei contenuti, il daemon è in gran parte inattivo e bloccarlo ti dà ben poca utilità.

In ogni caso, una regola del firewall è lo strumento sbagliato. Il modo più semplice per impedire a webfilterproxyd di filtrare è disattivare la restrizione dei contenuti di Screen Time che l’ha attivata. Cambia la policy e il daemon si quieta da solo, senza regole residue che ti confondano tra qualche mese. Su un Mac gestito, questa impostazione è di solito disattivata in grigio, e la risposta è una conversazione con chi amministra il dispositivo.

Un punto giusto sulla privacy. Poiché si tratta di un filtro dei contenuti, esso vede i metadati delle richieste web per decidere cosa consentire. Questa ispezione avviene sul tuo dispositivo, come meccanismo funzionante secondo il progetto, ed è la stessa configurazione che usano le app di filtraggio di terze parti e i firewall, dato che macOS fornisce un’interfaccia supportata per il filtro dei contenuti. Un filtro che esamina le richieste non è prova che qualcosa stia uscendo dal tuo Mac.

webfilterproxyd è un processo. Un Mac tipico esegue diverse centinaia di processi, molti dei quali sono daemon di Apple con nomi altrettanto oscuri, e un buon numero di essi comunicano con la rete. Quello che rende questo processo allarmante non è che sia insolito. È che tu abbia guardato, e macOS non ti abbia dato modo di rispondere alla domanda ovvia: a cosa si sta collegando in questo momento.

Activity Monitor mostra i byte in entrata e in uscita per processo e si ferma lì. Non ti dice a quali domini un processo si è connesso, quando, o con quale frequenza. Ogni nome di processo sconosciuto diventa un progetto di ricerca la cui risposta è un post su un forum o un atto di fiducia.

NetMute colma questa lacuna dando a ogni processo una cronologia di rete visibile. Monitora il traffico per app e per processo in tempo reale e registra a livello di dominio, così puoi vedere a quali domini un processo si è collegato, quando, e quanta dati sono stati trasferiti. Se qualcosa non dovrebbe parlare con internet, il firewall per app lo blocca con un clic, e le regole temporanee scadono da sole. I profili di rete permettono di differenziare le regole tra reti affidabili e non, e Tracker Shield blocca oltre 1.100 domini di tracker noti su tutte le app contemporaneamente.

Un avvertimento su questo processo: non usare nulla di tutto ciò per bloccare webfilterproxyd se fai affidamento su Screen Time. Disattiva invece la restrizione. La visibilità per processo non serve a bloccare daemon di Apple, ma a smettere di indovinare su di essi.