Devo ativar a firewall no Mac? (Ligada ou desligada)

Sim, deve ativar a firewall. Para a grande maioria dos utilizadores de Mac não há qualquer desvantagem significativa, e acrescenta uma camada de proteção a um custo praticamente nulo em termos de desempenho ou utilização.

Eis porque a pergunta parece confusa: o macOS é fornecido com a firewall desligada por predefinição. O raciocínio da Apple é que um Mac por trás de um router doméstico já está protegido pela firewall de rede desse router (NAT), pelo que a firewall de software integrada é tratada como uma camada adicional e não como uma necessidade. Essa predefinição leva muita gente a presumir que a firewall é dispensável. Caso contrário, a Apple tê-la-ia ativado, certo?

A melhor forma de pensar nisto: a firewall do macOS é um seguro barato. Não lhe custa nada de percetível e elimina uma categoria de risco que passa a importar no momento em que sai da sua rede doméstica: cafés, aeroportos, hotéis, espaços de coworking, Wi-Fi da universidade. Nessas redes já não está protegido pelo seu router de confiança, e outros dispositivos na mesma rede podem tentar aceder diretamente ao seu Mac. Ligada ou desligada? Ligada.

Esta é a parte que a maioria dos guias ignora, e é a coisa mais importante a compreender.

A firewall integrada do macOS é uma firewall apenas de entrada (tráfego recebido). Controla quais as ligações externas que têm autorização para chegar às apps e serviços em execução no seu Mac. Quando a ativa, bloqueia as ligações de entrada não solicitadas a tudo o que não esteja explicitamente autorizado a recebê-las.

O que não faz: não controla nem sequer monitoriza as ligações de saída, o tráfego que as suas próprias apps enviam para a internet. E é exatamente na saída que reside o problema de privacidade moderno. Quando uma app gratuita comunica com o servidor para enviar dados de análise, quando um utilitário na barra de menus sincroniza telemetria em silêncio, quando uma app que instalou contacta uma dúzia de domínios de publicidade e rastreio em segundo plano, a firewall do macOS não vê nada disso e não bloqueia nada disso.

Portanto, a forma honesta de o dizer é: ativar a firewall do macOS protege-o dos dispositivos de outras pessoas que tentam entrar. Não faz nada quanto às suas próprias apps que estão a sair. Ambas as direções importam, mas a segunda é a que a maioria das pessoas realmente tem em mente quando pensa em "privacidade", e essa precisa de uma ferramenta diferente.

No macOS Ventura, Sonoma, Sequoia e posteriores (2026):

1. Abra as Definições do Sistema (o ícone de engrenagem na Dock, ou a partir do menu Apple).
2. Clique em Rede na barra lateral.
3. Clique em Firewall.
4. Ative a opção Firewall. Poderá ser-lhe pedida a palavra-passe ou o Touch ID.

É tudo. Depois de ativada, clique em Opções… para afinar. As definições mais úteis aí:

• Bloquear todas as ligações de entrada: modo restrito. Bloqueia tudo, exceto o estritamente essencial. Útil numa rede pública hostil, mas vai impedir a partilha de ficheiros, a partilha de ecrã e algumas apps que recebem ligações de forma legítima. Deixe-o desativado para utilização normal.
• Permitir automaticamente que software integrado / transferido e assinado receba ligações de entrada: mantenha estas opções ativadas; permitem que apps de confiança, assinadas pela Apple, funcionem sem o incomodar.
• Ativar o modo invisível: abordado mais abaixo.

Em versões mais antigas do macOS (Monterey e anteriores), o interruptor encontra-se em Preferências do Sistema → Segurança e Privacidade → Firewall, mas a função é idêntica.

O modo invisível faz com que o seu Mac ignore sondagens não solicitadas, como pings (ICMP) e varrimentos de portas. Em vez de responder "estou aqui, mas essa porta está fechada", o seu Mac simplesmente não responde de todo, dificultando que alguém que esteja a varrer a rede sequer descubra que a sua máquina existe.

Deve ativar o modo invisível? Em Wi-Fi público, sim: é uma melhoria pequena e gratuita que o torna menos visível para quem estiver a varrer a rede. Na sua rede doméstica de confiança faz pouca diferença prática, mas não há mal em deixá-lo ativado permanentemente. A única altura em que se torna ligeiramente incómodo é nos diagnósticos de rede (não pode ser pingado), algo de que quase nenhum utilizador doméstico alguma vez precisa.

"Bloquear todas as ligações de entrada" é a opção agressiva. É genuinamente útil como medida temporária numa rede duvidosa, mas como definição permanente tende a impedir em silêncio funcionalidades legítimas: AirDrop, partilha de ecrã, cópias de segurança locais, algumas apps de colaboração. Recomendação: deixe-a desativada normalmente e só a ative se estiver numa rede de que desconfie ativamente.

Ativar a firewall do macOS é a decisão certa, mas se o seu motivo para perguntar era a privacidade, deve saber que isso só resolve metade do problema.

A firewall guarda a porta da frente, o tráfego de entrada. Deixa a porta das traseiras completamente aberta, o tráfego de saída. Todas as apps no seu Mac podem continuar a enviar o que quiserem para o servidor que quiserem, e a firewall integrada nunca o avisará, e muito menos o impedirá. Os bloqueadores de anúncios do navegador ajudam dentro do navegador, mas não conseguem ver o seu cliente de correio, a sua app de música, o Creative Cloud, os mensageiros ou qualquer serviço em segundo plano.

Fechar a falha de saída requer uma firewall de saída por app. Trata-se de uma ferramenta que observa o que cada app envia, lhe mostra com que servidores e domínios de rastreio está a comunicar, e lhe permite bloquear os que não quer, app a app. O NetMute foi feito exatamente para isto: complementa a firewall do macOS, mantenha-a ligada para o tráfego de entrada, e acrescenta controlo de saída, um Tracker Shield que reconhece automaticamente mais de 1100 domínios de rastreio conhecidos, e uma pontuação de privacidade para cada app com base naquilo que ela realmente contacta.

Portanto: ative a firewall do macOS on para a proteção de entrada. Acrescente uma firewall de saída para a metade da privacidade. Em conjunto, cobrem ambas as direções, que é ao que a pergunta "o meu Mac está protegido" realmente se resume.