Segurança e contas
crl.apple.com
crl.apple.com fornece listas de revogação de certificados (CRLs) da Apple, e certs.apple.com fornece certificados. A Apple lista ambos para validação de certificados em todas as plataformas.
Resposta curta
Hosts da Apple para certificados e listas de revogação de certificados, usados para validar os certificados dos serviços da Apple.
Não bloquear
Não os bloqueie. O Mac não consegue obter as listas de revogação ou os certificados da Apple, e a validação dos serviços da Apple pode falhar.
- Correspondências
crl.apple.comcerts.apple.com
Um nome com *. abrange todos os nomes abaixo dele: *.push.apple.com corresponde a 1-courier.push.apple.com.
O que ele fornece
A lista de hosts da Apple para empresas inclui crl.apple.com na porta 80 e certs.apple.com nas portas 80 e 443, ambos para “validação de certificados”.
A página de manual de ocspd informa que o macOS obtém listas de revogação de certificados pela rede e as armazena em cache em /private/var/db/crls.
No Mac, trustd avalia certificados e usa esse cache.
Processos que o usam
O que deixa de funcionar se você bloqueá-lo
Não bloquear
Não os bloqueie. O Mac não consegue obter as listas de revogação ou os certificados da Apple, e a validação dos serviços da Apple pode falhar.
O que deixa de funcionar se você bloqueá-lo
- Certificados revogados emitidos pela Apple podem não ser detectados.
- A validação de certificados dos serviços da Apple pode falhar.
Com o Kilobat Pro e o filtro de rede, você pode bloquear um host para todos os apps ou para um único app: em Conexões, selecione uma conexão e escolha Bloquear. Os próprios serviços da Apple nunca são bloqueados pelas listas de Proteção do Kilobat.
Notas
As CRLs são assinadas pela autoridade certificadora, portanto fornecê-las por HTTP sem criptografia não permite que alguém as altere.
Regras da Apple para seus hosts
A lista da Apple, Usar produtos Apple em redes corporativas, informa que são os dispositivos que abrem essas conexões, não os servidores da Apple. Os serviços da Apple rejeitam conexões que usam interceptação HTTPS, portanto um proxy que inspeciona TLS deve deixar os hosts da Apple sem inspeção.
Se um firewall permite hosts pelo nome, permitir *.apple.com abrange a maioria dos serviços da Apple, segundo a empresa. Um firewall que funciona apenas com endereços pode permitir 17.0.0.0/8 para IPv4 e 2403:300::/32, 2620:149::/32 e 2a01:b740::/32 para IPv6.
Para ver qual app do Mac abriu uma conexão com este host, use a aba Conexões do Kilobat ou o registro de rede dos agentes para agentes de IA.
Fontes
- Suporte da Apple: usar produtos Apple em redes corporativas
- ocspd(1), página de manual instalada com o macOS 27.2
Verificado em 1º de novembro de 2026.