---
title: "Bloqueio e proteção | Documentação do Kilobat"
url: "https://kilobat.app/pt/docs/blocking"
description: "O filtro de rede, apps novos, a proteção contra ameaças e rastreadores, a lista de bloqueio e para onde os apps se conectam."
---

# Bloqueio e proteção

O filtro de rede, apps novos, a proteção contra ameaças e rastreadores, a lista de bloqueio e para onde os apps se conectam.

## Onde se conecta

Conexões mostra cada conexão aberta em um globo, direcionada ao país onde seu endereço está registrado, com os países mais ativos em uma lista e os sockets abaixo. Clique em um país para filtrar. O país vem do banco gratuito DB-IP incluído no app, então nenhum endereço sai do Mac. É o país de registro: um endereço CDN ou VPN mostra o país de seu proprietário, não onde está o servidor.

## O que é isto?

Clique em ⓘ em uma conexão, tentativa bloqueada, solicitação de aprovação ou linha do registro de rede do agente para ver o que é o processo e, quando o Kilobat tem um nome de host, o que é o host. Ele mostra o tráfego normal, quando o processo usa muito, se é seguro bloqueá-lo e o que deixará de funcionar, com links para as páginas completas do [processo](https://kilobat.app/pt/processes) e do [host](https://kilobat.app/pt/hosts). Uma conexão com apenas um endereço mostra sua rede e país, sem tentar adivinhar um nome de host. As respostas vêm do banco de dados do próprio Kilobat, incluído no app, então nada é consultado online. Para um processo ou host desconhecido, ele mostra o que sabe: a assinatura de código, o caminho e a rede e o país do endereço. No macOS 26 ou posterior, com o Apple Intelligence ativado, ele acrescenta uma breve estimativa do modelo da Apple executado no próprio dispositivo, identificada como tal; nada sai do Mac. Grátis. No Terminal, `kilobat explain nsurlsessiond gateway.icloud.com`; para agentes, a ferramenta MCP `explain_connection`.

## Bloqueio e filtragem

O monitoramento funciona sem filtragem. Para aplicar regras, abra a configuração de filtragem no Kilobat e aprove a extensão e o filtro de conteúdo quando o macOS solicitar. No macOS atual, as extensões ficam em Ajustes do Sistema → Geral → Itens de Início e Extensões → Extensões de Rede.

A filtragem afeta novas conexões; uma conexão existente pode continuar até se reconectar. Se uma regra interromper algo importante, mude para Sem restrições ou desative a filtragem em Ajustes.

### Novos apps: permitir, perguntar ou bloquear

O indicador acima da lista de apps define o que Viagem e Trabalho fazem com apps sem regra. **Permitir** deixa conectar. **Perguntar** retém as primeiras conexões de um app e abre uma janela com quem o assinou, seu caminho e para onde quer ir; permita ou bloqueie uma vez e o Kilobat salva a regra. Conexões sem resposta desistem após um minuto e o app pergunta novamente. **Bloquear** permite conectar apenas apps autorizados. Ative *Permitir software Apple* para deixar serviços do macOS e apps da Apple passarem sem perguntar. Sua lista de bloqueio e regras de conexão se aplicam em todos os modos e, se o Kilobat não estiver em execução, novos apps são permitidos em vez de retidos.

### Proteção: ameaças, rastreadores e proteção de agentes

Com o filtro de rede ativo, Ajustes › Proteção bloqueia conexões de todos os apps a destinos maliciosos conhecidos e identifica o app que tentou se conectar. O Kilobat baixa as listas públicas de seus editores para o Mac uma vez por dia (usando os validadores de cache enviados por eles, para não baixar novamente uma lista inalterada), verifica cada download e mantém a última cópia válida se algum falhar. Nenhuma informação sobre suas conexões é enviada.

- **Bloquear ameaças** (Pro, ativado por padrão com o Pro): hosts e endereços de malware, phishing e golpes das listas [HaGeZi’s Threat Intelligence Feeds](https://github.com/hagezi/dns-blocklists) (domínios e IPs) e HaGeZi Fake e da [URLhaus](https://urlhaus.abuse.ch) por meio de [malware-filter](https://gitlab.com/malware-filter/urlhaus-filter). Um domínio listado cobre seus subdomínios.
- **Proteção de agentes** (Pro, desativada por padrão): para Claude Code, Codex, Cursor e os demais agentes reconhecidos pelo Kilobat, e tudo o que eles iniciam por shells, npm, pip ou curl. Ameaças conhecidas são sempre bloqueadas para agentes; a proteção acrescenta sites de colagem, compartilhamento de arquivos, túneis e coletores de solicitações, endereços IP públicos digitados diretamente em um comando e interrompe conexões que enviem mais de 10 MB (50 ou 200, se você escolher) a um host que nenhum agente deste Mac tenha usado antes. Um upload interrompido não pode aguardar sua confirmação: o outro lado esgotaria o tempo de espera. Por isso, o Kilobat bloqueia e avisa; Permitir Site libera o acesso na próxima vez.
- **Bloquear rastreadores em apps** (gratuito, desativado por padrão): uma lista à sua escolha entre HaGeZi Multi Light, HaGeZi Multi Normal, OISD small e hosts de StevenBlack.

**Ordem de prioridade.** O bloqueio de emergência da VPN vem primeiro. Em seguida, as ameaças conhecidas e a proteção de agentes prevalecem sobre todas as regras de permissão e perfis, inclusive Sem restrições; somente a rede local, os serviços da Apple, o próprio Kilobat e os sites que você permitiu nunca são bloqueados. Os rastreadores vêm depois das suas regras de permissão: Sem restrições, uma regra de destino ou Permitir Site libera um rastreador.

**Onde aparece.** Conexões › Tentativas bloqueadas mostra o tipo de cada bloqueio (malware, phishing, golpe, ameaça conhecida, rastreador ou proteção de agentes), a lista e o agente, com *Permitir Site*. Uma notificação é enviada por app, host e dia, por exemplo: “Bloqueado: npm (iniciado por Claude Code) tentou acessar um host de malware conhecido”; rastreadores não geram notificações. O registro de rede dos agentes marca a linha como Bloqueado, Saúde exibe “Proteção ativada · 263.000 ameaças conhecidas · atualizado há 2 h” e o menu mostra uma linha apenas após algum bloqueio na última hora.

**O que não consegue ver.** Não é um antivírus e não verifica arquivos; mantenha o XProtect ativado. O Kilobat conhece o nome de uma conexão quando o app o fornece, ou pelo nome do servidor na saudação criptografada (TLS SNI) ou na linha HTTP Host, que lê nos primeiros bytes das conexões recebidas sem nome. Conexões QUIC sem nome e apps que usam seu próprio DNS criptografado e depois se conectam pelo endereço são verificados apenas pelo endereço. Um nome usado por outra conexão para o mesmo endereço é usado apenas para ameaças, nunca para rastreadores, pois um endereço de CDN atende a muitos sites. Os agentes são encontrados percorrendo os processos ancestrais do processo que se conecta; portanto, um servidor iniciado por um agente e transferido ao launchd deixa de ser associado ao agente.

No Terminal: `kilobat protect` para o estado, `kilobat protect on --agents`, `kilobat protect on --trackers --list oisd-small`, `kilobat protect check downloads.example.com`, `kilobat protect allow example.com` e `kilobat protect update`. Os agentes leem `check_host_reputation` e `get_protection_status`; `set_protection` pede sua confirmação primeiro.

### Por que foi permitido ou bloqueado?

Escolha **Por quê?** em uma tentativa bloqueada em Conexões › Tentativas bloqueadas ou em uma conexão aberta em Conexões para ver todas as regras do Kilobat que corresponderam a ela, na ordem em que o filtro as verifica, com a que decidiu primeiro: “Bloqueado pela Proteção: login.example está na lista de phishing (HaGeZi Threat Intelligence Feeds)”, seguida de “Também correspondeu: Slack está pausado no iPhone, uma rede com limite de dados, até encontrar uma rede sem limite”. Cada regra leva ao local onde você pode alterá-la, e a retenção de Enviar depois oferece Enviar agora.

A ordem é a do filtro: o kill switch da VPN, as ameaças da Proteção e a proteção de agentes, Sem restrições, regras de destino (as mais recentes primeiro), lista de bloqueio, rastreadores e, depois, as regras do próprio app: uma regra temporizada (sua ou criada por Enviar depois, modo de chamada ou transmissão ao vivo), o limite de dados da rede, a cota do app, atualizadores pausados, a regra do app no perfil atual, uma resposta dada quando solicitado e, por último, o padrão do perfil para apps sem regra. Uma regra correspondente que veio depois aparece como também correspondente: altere a que decidiu e ela poderá decidir em seu lugar. Notas, como um site permitido apesar da Proteção ou o kill switch permitindo a rede local, explicam sem decidir.

Em uma tentativa bloqueada, o filtro registra as regras no momento do bloqueio, então a resposta mostra o que aconteceu naquela ocasião, mesmo que suas regras ou a VPN tenham mudado depois. Registros anteriores a esse recurso e conexões que o filtro não conseguiu associar a um app são verificados com suas regras atuais, e isso é informado. Conexões permitidas são sempre verificadas com as regras atuais. O registro ocorre apenas para conexões bloqueadas pelo filtro, sem custo adicional para o tráfego permitido.

No Terminal: `kilobat verdict api.example.com --app com.tinyspeck.slackmacgap`, `kilobat verdict --app com.example.App` para as regras do próprio app e `kilobat verdict --blocked 10` para as últimas tentativas bloqueadas, cada uma com o comando que altera a regra. Agentes chamam `explain_verdict`, que retorna o mesmo JSON de `--json`.

### Bloqueio de domínios e IPs

Clique com o botão direito em uma conexão aberta de um app para bloquear esse host para o app ou para todos. A lista de bloqueio aceita domínios (incluindo subdomínios; `*.example.com` também funciona), endereços IP e intervalos CIDR, além de uma lista de hosts importada. No Terminal: `kilobat block-host ads.example.com`.