Blocage et protection

Où vont les connexions

Connexions affiche chaque connexion ouverte sur un globe, reliée au pays où son adresse est enregistrée, avec les pays les plus actifs dans une liste et les sockets en dessous. Cliquez sur un pays pour filtrer. Le pays provient de la base de données gratuite de DB-IP fournie avec l’app : aucune adresse ne quitte votre Mac. Il s’agit du pays d’enregistrement : l’adresse d’un CDN ou d’un VPN indique le pays de son propriétaire, pas l’emplacement du serveur.

Qu’est-ce que c’est ?

Cliquez sur ⓘ pour une connexion, une tentative bloquée, une demande d’autorisation ou une ligne du journal réseau des agents afin de savoir ce qu’est le processus et, si Kilobat connaît son nom, l’hôte. La fiche indique le trafic habituel, quand le processus consomme beaucoup, si son blocage est sans risque et ce qui cesse de fonctionner, avec des liens vers les pages complètes du processus et de l’hôte. Pour une connexion dont seule l’adresse est connue, elle affiche le réseau et le pays sans deviner de nom d’hôte. Les réponses proviennent de la base de données de Kilobat incluse dans l’app : aucune recherche en ligne n’a lieu. Pour un processus ou un hôte inconnu, elle affiche les informations disponibles : signature du code, chemin, réseau et pays de l’adresse. Sur macOS 26 ou version ultérieure avec Apple Intelligence activé, elle ajoute une courte estimation du modèle local d’Apple, signalée comme telle ; rien ne quitte le Mac. Gratuit. Dans Terminal, kilobat explain nsurlsessiond gateway.icloud.com ; pour les agents, l’outil MCP explain_connection.

Blocage et filtrage

La surveillance fonctionne sans filtrage. Pour appliquer des règles, ouvrez la configuration du filtrage dans Kilobat et approuvez l’extension et le filtre de contenu quand macOS le demande. Sur les versions actuelles de macOS, les extensions se trouvent dans Réglages Système → Général → Ouverture et extensions → Extensions réseau.

Le filtrage s’applique aux nouvelles connexions ; une connexion existante peut continuer jusqu’à sa reconnexion. Si une règle interrompt quelque chose d’important, passez à Sans restriction ou désactivez le filtrage dans les Réglages.

Nouvelles apps : autoriser, demander ou bloquer

Le sélecteur au-dessus de la liste des apps définit ce que Voyage et Travail font des apps sans règle. Autoriser les laisse se connecter. Demander retient les premières connexions d’une app et ouvre une fenêtre indiquant qui l’a signée, son chemin et où elle veut aller ; autorisez-la ou bloquez-la une fois et Kilobat enregistre la règle. Les connexions sans réponse abandonnent au bout d’une minute et l’app redemande. Bloquer ne laisse se connecter que les apps que vous avez autorisées. Activez Autoriser les logiciels Apple pour laisser passer les services macOS et les apps d’Apple sans demander. Votre liste de blocage et vos règles de connexion s’appliquent dans tous les modes, et si Kilobat n’est pas ouvert, les nouvelles apps sont autorisées plutôt que retenues.

Protection : menaces, traqueurs et garde-fou des agents

Avec le filtre réseau activé, Réglages › Protection bloque les connexions de toutes les apps vers des destinations malveillantes connues, et indique l’app qui a essayé. Kilobat télécharge des listes publiques sur votre Mac auprès de leurs éditeurs une fois par jour (avec les validateurs de cache qu’ils envoient, si bien qu’une liste inchangée ne coûte rien), vérifie chaque téléchargement et conserve la dernière copie valide si l’un échoue. Rien sur vos connexions n’est envoyé nulle part.

• Bloquer les menaces (Pro, activé par défaut avec Pro) : hôtes et adresses de logiciels malveillants, d’hameçonnage et d’arnaque issus des Threat Intelligence Feeds de HaGeZi (domaines et IP) et de HaGeZi Fake, et d’URLhaus via malware-filter. Un domaine listé couvre ses sous-domaines.
• Garde-fou des agents (Pro, désactivé par défaut) : pour Claude Code, Codex, Cursor et les autres agents que Kilobat reconnaît, et tout ce qu’ils lancent via des shells, npm, pip ou curl. Les menaces connues sont toujours bloquées pour les agents ; le garde-fou y ajoute les sites de partage de texte, les services de partage de fichiers, les tunnels et les collecteurs de requêtes, les adresses IP publiques brutes saisies dans une commande, et coupe une connexion qui envoie plus de 10 Mo (50 ou 200 si vous le choisissez) à un hôte qu’aucun agent de ce Mac n’a encore utilisé. Un envoi coupé ne peut pas être mis en attente de votre confirmation : l’autre extrémité expirerait, alors Kilobat le bloque et vous le signale, et Autoriser le site le laisse passer la fois suivante.
• Bloquer les traqueurs dans les apps (gratuit, désactivé par défaut) : une liste de votre choix, HaGeZi Multi Light, HaGeZi Multi Normal, OISD small ou les hosts de StevenBlack.

Ce qui l’emporte. Le coupe-circuit VPN passe en premier. Puis les menaces connues et le garde-fou des agents, avant toute règle d’autorisation et tout profil, Sans restriction compris ; seuls le réseau local, les services d’Apple, Kilobat lui-même et les sites que vous avez autorisés ne sont jamais bloqués. Les traqueurs passent après vos propres règles d’autorisation : Sans restriction, une règle de destination ou Autoriser le site laisse passer un traqueur.

Où cela apparaît. Connexions › Tentatives bloquées donne pour chaque blocage son type (logiciel malveillant, hameçonnage, arnaque, menace connue, traqueur ou garde-fou des agents), la liste et l’agent, avec Autoriser le site. Une notification part une fois par app, hôte et jour, par exemple « Bloqué : npm (lancé par Claude Code) a tenté de joindre un hôte connu pour ses logiciels malveillants » ; les traqueurs ne déclenchent pas de notification. Le journal réseau des agents marque la ligne Bloqué, État affiche « Protection activée · 263 000 menaces connues · dernière mise à jour il y a 2 h », et le menu n’affiche une ligne que si quelque chose a été bloqué dans la dernière heure.

Ce qu’elle ne voit pas. Ce n’est pas un antivirus et elle n’analyse aucun fichier ; gardez XProtect activé. Elle connaît le nom d’une connexion quand l’app le fournit, ou grâce au nom du serveur dans le message d’ouverture chiffré (le SNI TLS) ou à la ligne Host HTTP, que Kilobat lit dans les premiers octets des connexions qui arrivent sans nom. Les connexions QUIC sans nom, et les apps qui utilisent leur propre DNS chiffré puis se connectent par adresse, ne sont vérifiées que par adresse. Un nom qu’une autre connexion a utilisé pour la même adresse ne sert que pour les menaces, jamais pour les traqueurs, car une adresse de CDN sert de nombreux sites. Les agents sont repérés en remontant les processus parents du processus qui se connecte ; un serveur lancé par un agent puis confié à launchd ne compte donc plus comme celui de l’agent.

Dans le Terminal : kilobat protect pour l’état, kilobat protect on --agents, kilobat protect on --trackers --list oisd-small, kilobat protect check downloads.example.com, kilobat protect allow example.com et kilobat protect update. Les agents lisent check_host_reputation et get_protection_status ; set_protection vous demande d’abord.

Pourquoi est-ce autorisé ou bloqué ?

Choisissez Pourquoi ? sur une tentative dans Connexions › Tentatives bloquées ou sur une connexion ouverte dans Connexions pour voir toutes les règles Kilobat correspondantes, dans l’ordre de vérification du filtre, en commençant par celle qui a décidé : « Bloqué par Protection : login.example figure sur la liste d’hameçonnage (HaGeZi Threat Intelligence Feeds) », puis « Également applicable : Slack est en pause sur iPhone, un réseau limité, jusqu’à la connexion à un réseau illimité ». Chaque règle renvoie à l’endroit où la modifier ; la mise en attente d’Envoyer plus tard propose Envoyer maintenant.

L’ordre est celui du filtre : coupe-circuit VPN, menaces de Protection et garde des agents, Sans restriction, règles de destination (les plus récentes d’abord), liste de blocage, traqueurs, puis règles propres à l’app : règle temporisée (la vôtre ou celle d’Envoyer plus tard, du mode appel ou de la diffusion), forfait de données du réseau, quota de l’app, programmes de mise à jour en pause, règle de l’app dans le profil actuel, réponse donnée lors d’une demande et enfin valeur par défaut du profil pour les apps sans règle. Une règle correspondante placée plus loin est indiquée comme également applicable : si vous modifiez celle qui a décidé, elle pourra décider à sa place. Des notes, par exemple un site autorisé à passer Protection ou le coupe-circuit laissant passer le réseau local, expliquent la situation sans décider.

Pour une tentative bloquée, le filtre enregistre les règles au moment du blocage : la réponse reflète donc ce qui s’est passé, même si vos règles ou le VPN ont changé depuis. Les enregistrements antérieurs à cette fonction et les connexions que le filtre n’a pas pu associer à une app sont vérifiés selon vos règles actuelles et le précisent. Les connexions autorisées sont toujours vérifiées selon les règles actuelles. L’enregistrement ne concerne que les connexions bloquées par le filtre ; le trafic autorisé n’en subit donc pas le coût.

Dans le terminal : kilobat verdict api.example.com --app com.tinyspeck.slackmacgap, kilobat verdict --app com.example.App pour les règles propres à l’app et kilobat verdict --blocked 10 pour les dernières tentatives bloquées, chacune avec la commande qui modifie la règle. Les agents appellent explain_verdict, qui renvoie le même JSON que --json.

Bloquer des domaines et des IP

Faites un clic droit sur une connexion ouverte d’une app pour bloquer cet hôte pour l’app ou pour toutes les apps. La liste de blocage accepte les domaines (sous-domaines compris ; *.example.com fonctionne aussi), les adresses IP et les plages CIDR, en plus d’une liste hosts importée. Depuis le Terminal : kilobat block-host ads.example.com.