Segurança e contas

O que é trustd?

trustd verifica certificados de todos os processos no Mac. Ele pode consultar na internet se um certificado ainda é válido. Essas conexões vão para autoridades certificadoras, como Apple e DigiCert.

Processo: trustdTambém aparece como: ocspdCriado pela AppleAplica-se ao macOS 14 Sonoma e posteriores. Verificado no macOS 27.2.Verificado: 1 de novembro de 2026

Resposta curta

Parte do macOS. Ele verifica certificados de todos os apps e consulta as autoridades certificadoras para saber se um certificado foi revogado. Suas conexões são pequenas.

Não bloquear

Não o bloqueie. Isso pode interferir nas verificações de confiança de certificados, e serviços da Apple que exigem validação podem falhar.

Caminho
/usr/libexec/trustd /usr/sbin/ocspd
Identificador do launchd
com.apple.trustd com.apple.trustd.agent com.apple.ocspd
Identificador de assinatura
com.apple.trustd com.apple.ocspd

O que é

A página de manual diz que trustd “fornece serviços para avaliar a confiabilidade de certificados para todos os processos no sistema”. Ele não se destina ao uso direto.

A página de manual de ocspd descreve a parte de rede. Ele busca listas de revogação de certificados (CRLs) e respostas OCSP para Security.framework e mantém um cache delas.

O launchd inicia trustd para o sistema e para cada usuário, como com.apple.trustd e com.apple.trustd.agent.

Por que usa a rede

  • Verificações de revogação. Para saber se um certificado foi revogado, o macOS pode consultar a autoridade certificadora por OCSP ou uma CRL.
  • Um cache. A página de manual de ocspd diz que as respostas ficam em cache em /private/var/db/crls. A maioria das verificações não usa a rede novamente.
  • Certificados da própria Apple. A Apple lista ocsp.apple.com, valid.apple.com e os hosts OCSP e CRL da DigiCert para validação de certificados.

Qual é o volume normal

Conexões pequenas e curtas são comuns, principalmente quando você visita muitos sites seguros ou abre apps.

Muitas dessas verificações usam HTTP simples na porta 80. A lista de hosts da Apple mostra a porta 80 para a maioria dos hosts OCSP e CRL. As próprias respostas são assinadas.

Se as verificações de certificado falharem, o Safari e outros apps mostrarão avisos de certificado. Veja “Esta Conexão Não É Particular” e avisos de certificado no Mac.

Quando usa muitos dados e por quê

  • Primeira visita a muitos sites. Cada certificado novo pode precisar de verificação. Visitas posteriores usam o cache.
  • Um cache expirado. Quando as respostas em cache expiram, a próxima conexão consulta novamente. A página de manual do ocspd diz que uma entrada só é usada enquanto ainda é válida.

É seguro bloquear?

Não bloquear

Não o bloqueie. Isso pode interferir nas verificações de confiança de certificados, e serviços da Apple que exigem validação podem falhar.

O que deixa de funcionar se você bloqueá-lo

  • Algumas verificações de revogação de certificados podem falhar ou usar resultados em cache, dependendo do serviço e da política de confiança.
  • A Apple informa que seus dispositivos precisam acessar os hosts de validação de certificados para validar os certificados dos próprios serviços.
  • Em uma rede corporativa, um proxy que bloqueia essas verificações causa erros de certificado. Veja Certificados de proxy corporativo impedem o funcionamento de ferramentas do Terminal no Mac.

Bloquear significa criar uma regra de firewall que recusa suas conexões. Não encerre nem desative um processo do macOS para economizar dados: o macOS o inicia novamente e outros recursos dependem dele.

Reduzir o uso

  1. As políticas de confiança e o comportamento de revogação dependem do certificado e do serviço que o utiliza.

  2. Se um proxy corporativo as bloquear, peça ao administrador que permita os hosts das autoridades certificadoras.

  3. Não encerre trustd no Monitor de Atividade. O macOS o inicia novamente.

Ver quanto ele usa

  1. Abra o Monitor de Atividade em Aplicativos › Utilitários. Clique em Rede.

  2. Digite trustd no campo de busca. As colunas Bytes Enviados e Bytes Recebidos mostram quanto ele transferiu desde que foi iniciado.

  3. No Terminal, monitore apenas esse processo. Pressione d para mostrar a variação por segundo e q para sair.

    nettop -p 'trustd' -P

Com o Kilobat

  1. Na lista de apps do Kilobat, busque trustd. Sua linha mostra a taxa atual e quanto ele transferiu hoje.

  2. Em Conexões, clique no botão ⓘ em uma das linhas. O painel mostra a resposta curta desta página, sem acessar a internet.

  3. No Terminal, faça a mesma pergunta. Adicione --json para scripts e agentes.

    kilobat explain 'trustd'

  4. Mostrar seu tráfego ao longo de um dia.

    kilobat bandwidth 'trustd' day

  5. Pelo MCP, um agente de IA consulta explain_connection com o nome do processo. Ele recebe os mesmos dados.

A visualização ao vivo e as explicações são gratuitas. O histórico no app exige Kilobat Pro. O bloqueio exige o Pro e o filtro de rede: consulte filtro de rede, Proteção e economia de dados do acesso pessoal.

Hosts contatados

A Apple e o fabricante documentam estes hosts para esse recurso. Um processo também pode contatar outros; a aba Conexões do Kilobat mostra o que ele realmente abre no seu Mac.

ocsp.apple.comServidores de estado de certificados (OCSP) da Apple. O Mac os consulta para saber se um certificado emitido pela Apple foi revogado.Apple →valid.apple.comUm host de validação de certificados da Apple. A Apple o lista para todas as plataformas, na porta 443, com suporte a proxy.Apple →crl.apple.comHosts da Apple para certificados e listas de revogação de certificados, usados para validar os certificados dos serviços da Apple.Apple →ocsp.digicert.comHosts de estado de certificados e listas de revogação da DigiCert. A Apple os lista porque alguns de seus serviços usam certificados da DigiCert.DigiCert →

Perguntas

Devo bloquear trustd em um firewall?

Não. Bloqueá-lo pode interferir nas verificações de confiança e revogação de certificados.

Por que trustd usa HTTP simples?

A Apple lista a porta 80 para a maioria dos hosts de validação. Respostas OCSP e CRLs são assinadas pela autoridade certificadora, portanto não podem ser alteradas no caminho.

Fontes

Verificado em 1º de novembro de 2026.