# Cómo saber qué app está usando tu red en el Mac

> Activity Monitor cuenta totales desde que cada proceso arrancó, lo que oculta la app que satura tu conexión ahora mismo. Usa nettop para el tráfico en vivo y lsof para los destinos.

Published: 2026-08-12 | Updated: 2026-08-16

Algo está usando la conexión. El indicador de Wi-Fi está ocupado aunque no estés haciendo
nada, una conexión por anclaje se come la tarifa en una tarde, o una videollamada
se degrada cada vez que te sientas a trabajar. macOS puede responder a esto, pero las herramientas están
dispersas y el número más visible en cada una es acumulativo en vez de en vivo,
lo que lleva a la gente al proceso equivocado.

**Respuesta corta:** la pestaña Red de Activity Monitor nombra el proceso, pero sus columnas cuentan
totales desde que arrancó cada proceso. Para lo que está moviendo datos *ahora mismo*, usa `nettop`. Para
ver con qué hosts remotos habla un proceso, usa `lsof -i`.

## Activity Monitor nombra el proceso

Abre Activity Monitor y selecciona la pestaña **Red**. Todo proceso que haya movido datos
aparece con los bytes enviados y recibidos.

Ordenar esas columnas es lo que lleva a la gente al proceso equivocado. Son totales
acumulados desde que se lanzó cada proceso, así que un daemon que lleva en marcha desde el último reinicio
queda por encima de la app que satura tu conexión en este minuto. Ordenar por "Bytes rec." coloca
de forma fiable lo equivocado arriba.

Hay dos filas que alarman a la gente y normalmente no deberían:

- **mDNSResponder** gestiona el DNS y el descubrimiento de red local para todo el sistema. En un
  Mac que lleva semanas encendido puede mostrar gigabytes. Es un proxy de todo lo demás
  que resuelve nombres, no una app que descarga en segundo plano.
- **kernel_task** aparece porque el trabajo de red atraviesa el kernel. Consulta
  [kernel_task con CPU alta](https://mole.fit/es/blog/kernel-task-high-cpu-mac) para la misma atribución errónea en
  su forma de CPU.

La parte inferior de la ventana tiene un gráfico en vivo de datos de entrada y salida por segundo. Ese gráfico, no
las columnas, es lo que hay que vigilar mientras cambias algo.

## `nettop` muestra lo que se mueve ahora

`nettop` es la herramienta que responde a la pregunta real. Viene con macOS y no necesita
instalación.

```
nettop -P -L 1 -J bytes_in,bytes_out
```

```
,bytes_in,bytes_out,
syslogd.362,0,22701,
apsd.368,685304,414375,
mDNSResponder.480,4189609493,104188210,
```

`-P` agrega por proceso en vez de por conexión, `-L 1` toma una sola muestra y
sale en vez de ejecutarse de forma interactiva, y `-J` selecciona las columnas. Ejecútalo
de forma interactiva sin `-L` y se actualiza en el sitio, que es el modo que quieres mientras
investigas.

Para ver deltas en vez de totales, toma dos muestras con unos segundos de diferencia y compáralas. Un
proceso que haya ganado decenas de megabytes entre ellas es el que hay que investigar. Un proceso
con un total enorme y sin cambio entre muestras es historial inactivo.

## `lsof -i` muestra a dónde se conecta

Cuando ya tienes un nombre, la siguiente pregunta suele ser a dónde está enviando datos.

```
sudo lsof -i -n -P | grep ESTABLISHED
```

`-n` omite el DNS inverso y `-P` omite la resolución de nombres de puerto, lo que hace la salida rápida y
literal. Obtienes el proceso, el puerto local y la dirección remota de cada conexión abierta. Sin `sudo` solo ves tus propios procesos, lo que a menudo basta.

Resolver esas direcciones es donde importa la honestidad: una IP que pertenece a un proveedor
grande de nube no te dice casi nada, porque casi toda internet está alojada ahí. Trátala
como una pista, no como una identificación.

## Las respuestas habituales

Antes de asumir que algo va mal, revisa las cosas que se supone que usan la red
sin que se lo pidas.

| Causa | Cómo reconocerla | Dónde controlarla |
|---|---|---|
| Sincronización de Fotos de iCloud | Subida sostenida después de importar fotos | Fotos > Ajustes > iCloud |
| iCloud Drive | Actividad después de cambios en archivos grandes | Ajustes del Sistema > Cuenta de Apple > iCloud |
| Actualizaciones de macOS o del App Store | `softwareupdated`, `appstoreagent` | Ajustes del Sistema > General > Actualización de software |
| Clientes de sincronización de terceros | Asistentes de Dropbox, Google Drive, OneDrive | Las preferencias de la propia app |
| Software de copia de seguridad | Subida larga y constante según un horario | La app de copia de seguridad |
| Una pestaña del navegador | Vídeo, una subida atascada, una página que se reproduce sola | Administrador de tareas de Chrome, ventana Actividad de Safari |

Actualización de software merece una mención especial porque descarga en segundo plano por
defecto y un instalador completo de macOS ocupa varios gigabytes. En una conexión medida ese
único ajuste suele ser todo el problema.

## Lo que macOS no te va a decir

Tres límites, porque varios artículos populares los omiten:

- **No hay un historial de ancho de banda por app integrado.** Activity Monitor y `nettop` informan
  desde el arranque del proceso o desde el momento en que empezaste a vigilar. Nada en macOS
  guarda un registro por app que puedas consultar después.
- **Los totales por proceso no son totales por app.** Un navegador reparte su tráfico entre
  procesos de renderizado, y un daemon auxiliar puede llevar tráfico de varias apps a la vez.
- **El tráfico a través de una VPN o de una extensión del sistema puede atribuirse a la extensión**
  en vez de a la app que lo generó.

Una herramienta que afirma un desglose histórico completo por app o bien instala un filtro
de red propio o bien estima, y quieres saber cuál de las dos antes de fiarte del número.

## Una comprobación repetible

1. Vigila el gráfico en vivo de Activity Monitor en la parte inferior de la pestaña Red, no las columnas.
2. Toma dos muestras de `nettop -P -L 1` con unos segundos de diferencia y compara las diferencias.
3. Para el proceso que creció, ejecuta `lsof -i -n -P` para ver a dónde está conectado.
4. Pausa la app o el servicio de sincronización sospechoso y confirma que el gráfico baja.
5. Si no baja nada, el tráfico no viene de una app de usuario; revisa Actualización de software e iCloud.

El paso cuatro es el que la gente se salta, y es lo que separa una identificación de una
conjetura.

## Dónde encaja un monitor

[Mole](https://mole.fit/) mantiene el caudal de red en vivo en la barra de menús junto a CPU, memoria y estado
térmico, de modo que una conexión ocupada se ve cuando ocurre en vez de reconstruirse
después. Informa del caudal que puede medir y no instala un filtro de red para reivindicar un historial por app que macOS no ofrece.

## Preguntas frecuentes

### ¿Por qué mDNSResponder usa tantos datos?

Resuelve nombres y gestiona el descubrimiento de red local para todo el sistema, así que el
tráfico de muchos otros procesos se cuenta a su cargo. No está descargando nada
propio.

### ¿Puedo ver cuántos datos usó una app ayer?

No desde macOS. No hay un historial por app integrado. Las herramientas de terceros que ofrecen esto
instalan una extensión de red para observar el tráfico ellas mismas.

### ¿Cómo averiguo qué está usando datos en un hotspot?

Activa el Modo de datos reducidos para esa red en Ajustes del Sistema > Wi-Fi > Detalles, que detiene
varios servicios en segundo plano incluidas las descargas automáticas de actualizaciones, y luego usa el diff de `nettop`
de arriba para lo que quede.

### ¿La actividad de red alta es señal de malware?

Rara vez es la primera señal, y las explicaciones habituales de arriba cubren casi todos los casos.
Repásalas antes de tratar el tráfico constante en segundo plano como sospechoso.

---

Canonical HTML page: https://mole.fit/es/blog/what-app-is-using-my-network-mac
Blog index for agents: https://mole.fit/es/blog/llms.txt
Site index for agents: https://mole.fit/llms.txt