Cómo saber qué app está usando tu red en el Mac

Algo está usando la conexión. El indicador de Wi-Fi está ocupado aunque no estés haciendo nada, una conexión por anclaje se come la tarifa en una tarde, o una videollamada se degrada cada vez que te sientas a trabajar. macOS puede responder a esto, pero las herramientas están dispersas y el número más visible en cada una es acumulativo en vez de en vivo, lo que lleva a la gente al proceso equivocado.

Respuesta corta: la pestaña Red de Activity Monitor nombra el proceso, pero sus columnas cuentan totales desde que arrancó cada proceso. Para lo que está moviendo datos ahora mismo, usa nettop. Para ver con qué hosts remotos habla un proceso, usa lsof -i.

Activity Monitor nombra el proceso

Abre Activity Monitor y selecciona la pestaña Red. Todo proceso que haya movido datos aparece con los bytes enviados y recibidos.

Ordenar esas columnas es lo que lleva a la gente al proceso equivocado. Son totales acumulados desde que se lanzó cada proceso, así que un daemon que lleva en marcha desde el último reinicio queda por encima de la app que satura tu conexión en este minuto. Ordenar por "Bytes rec." coloca de forma fiable lo equivocado arriba.

Hay dos filas que alarman a la gente y normalmente no deberían:

• mDNSResponder gestiona el DNS y el descubrimiento de red local para todo el sistema. En un Mac que lleva semanas encendido puede mostrar gigabytes. Es un proxy de todo lo demás que resuelve nombres, no una app que descarga en segundo plano.
• kernel_task aparece porque el trabajo de red atraviesa el kernel. Consulta kernel_task con CPU alta para la misma atribución errónea en su forma de CPU.

La parte inferior de la ventana tiene un gráfico en vivo de datos de entrada y salida por segundo. Ese gráfico, no las columnas, es lo que hay que vigilar mientras cambias algo.

nettop muestra lo que se mueve ahora

nettop es la herramienta que responde a la pregunta real. Viene con macOS y no necesita instalación.

nettop -P -L 1 -J bytes_in,bytes_out

,bytes_in,bytes_out,
syslogd.362,0,22701,
apsd.368,685304,414375,
mDNSResponder.480,4189609493,104188210,

-P agrega por proceso en vez de por conexión, -L 1 toma una sola muestra y sale en vez de ejecutarse de forma interactiva, y -J selecciona las columnas. Ejecútalo de forma interactiva sin -L y se actualiza en el sitio, que es el modo que quieres mientras investigas.

Para ver deltas en vez de totales, toma dos muestras con unos segundos de diferencia y compáralas. Un proceso que haya ganado decenas de megabytes entre ellas es el que hay que investigar. Un proceso con un total enorme y sin cambio entre muestras es historial inactivo.

lsof -i muestra a dónde se conecta

Cuando ya tienes un nombre, la siguiente pregunta suele ser a dónde está enviando datos.

sudo lsof -i -n -P | grep ESTABLISHED

-n omite el DNS inverso y -P omite la resolución de nombres de puerto, lo que hace la salida rápida y literal. Obtienes el proceso, el puerto local y la dirección remota de cada conexión abierta. Sin sudo solo ves tus propios procesos, lo que a menudo basta.

Resolver esas direcciones es donde importa la honestidad: una IP que pertenece a un proveedor grande de nube no te dice casi nada, porque casi toda internet está alojada ahí. Trátala como una pista, no como una identificación.

Las respuestas habituales

Antes de asumir que algo va mal, revisa las cosas que se supone que usan la red sin que se lo pidas.

Actualización de software merece una mención especial porque descarga en segundo plano por defecto y un instalador completo de macOS ocupa varios gigabytes. En una conexión medida ese único ajuste suele ser todo el problema.

Lo que macOS no te va a decir

Tres límites, porque varios artículos populares los omiten:

• No hay un historial de ancho de banda por app integrado. Activity Monitor y nettop informan desde el arranque del proceso o desde el momento en que empezaste a vigilar. Nada en macOS guarda un registro por app que puedas consultar después.
• Los totales por proceso no son totales por app. Un navegador reparte su tráfico entre procesos de renderizado, y un daemon auxiliar puede llevar tráfico de varias apps a la vez.
• El tráfico a través de una VPN o de una extensión del sistema puede atribuirse a la extensión en vez de a la app que lo generó.

Una herramienta que afirma un desglose histórico completo por app o bien instala un filtro de red propio o bien estima, y quieres saber cuál de las dos antes de fiarte del número.

Una comprobación repetible

1. Vigila el gráfico en vivo de Activity Monitor en la parte inferior de la pestaña Red, no las columnas.
2. Toma dos muestras de nettop -P -L 1 con unos segundos de diferencia y compara las diferencias.
3. Para el proceso que creció, ejecuta lsof -i -n -P para ver a dónde está conectado.
4. Pausa la app o el servicio de sincronización sospechoso y confirma que el gráfico baja.
5. Si no baja nada, el tráfico no viene de una app de usuario; revisa Actualización de software e iCloud.

El paso cuatro es el que la gente se salta, y es lo que separa una identificación de una conjetura.

Dónde encaja un monitor

Mole mantiene el caudal de red en vivo en la barra de menús junto a CPU, memoria y estado térmico, de modo que una conexión ocupada se ve cuando ocurre en vez de reconstruirse después. Informa del caudal que puede medir y no instala un filtro de red para reivindicar un historial por app que macOS no ofrece.

Preguntas frecuentes

¿Por qué mDNSResponder usa tantos datos?

Resuelve nombres y gestiona el descubrimiento de red local para todo el sistema, así que el tráfico de muchos otros procesos se cuenta a su cargo. No está descargando nada propio.

¿Puedo ver cuántos datos usó una app ayer?

No desde macOS. No hay un historial por app integrado. Las herramientas de terceros que ofrecen esto instalan una extensión de red para observar el tráfico ellas mismas.

¿Cómo averiguo qué está usando datos en un hotspot?

Activa el Modo de datos reducidos para esa red en Ajustes del Sistema > Wi-Fi > Detalles, que detiene varios servicios en segundo plano incluidas las descargas automáticas de actualizaciones, y luego usa el diff de nettop de arriba para lo que quede.

¿La actividad de red alta es señal de malware?

Rara vez es la primera señal, y las explicaciones habituales de arriba cubren casi todos los casos. Repásalas antes de tratar el tráfico constante en segundo plano como sospechoso.