Repérer quelle app utilise votre réseau sur Mac

Quelque chose utilise la connexion. L’indicateur Wi-Fi s’agite alors que vous ne faites rien, un partage de connexion épuise son forfait en un après-midi, ou un appel vidéo se dégrade chaque fois que vous vous mettez au travail. macOS peut répondre à cette question, mais les outils sont éparpillés et le chiffre le plus visible dans chacun d’eux est cumulatif plutôt qu’en direct, ce qui oriente vers le mauvais processus.

L’onglet Réseau du Moniteur d’activité nomme le processus, mais ses colonnes comptent les totaux depuis le lancement de chaque processus. Pour ce qui fait circuler des données en ce moment, utilisez nettop. Pour savoir à quels hôtes distants un processus parle, utilisez lsof -i.

Le Moniteur d’activité nomme le processus

Ouvrez le Moniteur d’activité et sélectionnez l’onglet Réseau. Chaque processus qui a fait circuler des données apparaît avec les octets envoyés et reçus.

Trier ces colonnes peut vous orienter vers le mauvais processus. Les totaux s’accumulent depuis son lancement : un démon actif depuis le dernier redémarrage peut donc passer devant l’app qui sature la connexion maintenant. Un total élevé dans « Octets reçus » ne prouve pas une activité élevée à cet instant.

Deux lignes inquiètent, et en général à tort :

• mDNSResponder gère le DNS et la découverte du réseau local pour tout le système. Sur un Mac allumé depuis des semaines, il peut afficher des gigaoctets. C’est un intermédiaire pour tout le reste qui résout des noms, pas une app qui télécharge en arrière-plan.
• kernel_task apparaît parce que le travail réseau traverse le noyau. Voir kernel_task CPU élevé pour la même mauvaise attribution sous sa forme CPU.

Le bas de la fenêtre affiche un graphique en direct des données entrantes et sortantes par seconde. C’est ce graphique, pas les colonnes, qu’il faut surveiller pendant que vous changez quelque chose.

Le guide Réseau du Moniteur d’activité distingue les données cumulées depuis le lancement du processus des débits par seconde affichés en bas de la fenêtre.

nettop montre ce qui circule maintenant

nettop est l’outil qui répond à la vraie question. Il est fourni avec macOS et n’a pas besoin d’installation.

nettop -P -L 2 -d -J bytes_in,bytes_out

,bytes_in,bytes_out,
syslogd.362,0,22701,
apsd.368,685304,414375,
mDNSResponder.480,4189609493,104188210,

-P agrège par processus, -L 2 imprime deux échantillons CSV, -d transforme le second en variation sur l’intervalle et -J choisit les colonnes. Le premier sert de référence, le suivant montre ce qui a réellement circulé. Pour suivre en continu, lancez nettop -P -d de façon interactive.

lsof -i montre où il se connecte

Une fois le nom en main, la question suivante est généralement de savoir où il envoie des données.

lsof -nP -iTCP -sTCP:ESTABLISHED

-n évite le DNS inverse, -P la recherche des noms de ports, -iTCP limite aux connexions TCP et -sTCP:ESTABLISHED retire les sockets en écoute ou fermées. Les droits ordinaires suffisent généralement. N’élevez les droits que si un processus système manque à l’enquête.

Résoudre ces adresses est le moment où il faut rester honnête : une IP qui appartient à un grand fournisseur cloud ne vous dit presque rien, parce que l’essentiel d’Internet est hébergé là. Traitez-la comme un indice, pas comme une identification.

Les réponses habituelles

Avant de supposer que quelque chose ne va pas, vérifiez les choses qui sont censées utiliser le réseau sans qu’on le leur demande.

La Mise à jour de logiciels mérite une mention particulière, parce qu’elle télécharge en arrière-plan par défaut et qu’un programme d’installation macOS complet pèse plusieurs gigaoctets. Sur une connexion limitée, ce seul réglage est souvent tout le problème.

Ce que macOS ne vous dira pas

Trois limites, parce que plusieurs articles populaires les passent sous silence :

• Il n’existe pas d’historique de bande passante par app intégré. Le Moniteur d’activité et nettop rapportent tous les deux depuis le démarrage du processus ou depuis le moment où vous avez commencé à regarder. Rien dans macOS ne conserve un relevé par app que vous pourriez consulter ensuite.
• Les totaux par processus ne sont pas des totaux par app. Un navigateur répartit son trafic sur des processus de rendu, et un démon assistant peut porter le trafic de plusieurs apps à la fois.
• Le trafic qui passe par un VPN ou une extension système peut être attribué à l’extension plutôt qu’à l’app qui l’a généré.

Un historique par app nécessite une collecte sur la durée. Avant de vous fier aux chiffres, vérifiez la méthode de mesure, les périodes couvertes et la manière dont l’outil attribue les processus partagés.

Un contrôle reproductible

1. Surveillez le graphique en direct du Moniteur d’activité en bas de l’onglet Réseau, pas les colonnes.
2. Lancez une fois nettop -P -L 2 -d -J bytes_in,bytes_out. La commande produit deux échantillons ; le second montre la variation depuis le premier.
3. Pour le processus dont le trafic a augmenté, lancez lsof -i -n -P pour voir où il est connecté.
4. Mettez en pause l’app ou le service de synchro suspect et confirmez que le graphique baisse.
5. Si le débit ne baisse pas, examinez d’autres processus, dont Mise à jour de logiciels et iCloud. Ce seul essai n’exclut pas les autres apps.

L’étape quatre est celle que les gens sautent, et c’est elle qui sépare une identification d’une supposition.

Où un moniteur a sa place

Mole affiche le débit réseau en direct dans la barre des menus, à côté du processeur, de la mémoire et de l’état thermique, pour qu’une connexion occupée soit visible au moment où elle se produit plutôt que reconstruite après coup. Il rapporte le débit qu’il peut mesurer et n’installe pas de filtre réseau pour prétendre à un historique par app que macOS ne fournit pas.

FAQ

Pourquoi mDNSResponder utilise-t-il autant de données ?

Il résout les noms et gère la découverte du réseau local pour tout le système, donc le trafic de nombreux autres processus lui est imputé. Il ne télécharge rien de son propre chef.

Puis-je voir combien de données une app a utilisées hier ?

Pas rétrospectivement avec ces outils macOS. Un historique par app nécessite une collecte pendant la période concernée. Vérifiez la méthode de mesure de l’outil et les périodes qu’il couvre.

Comment trouver ce qui utilise des données sur un hotspot ?

Activez le Mode données réduites pour ce réseau dans Réglages Système > Wi-Fi > Détails, ce qui arrête plusieurs services en arrière-plan dont les téléchargements automatiques de mises à jour, puis utilisez le diff nettop ci-dessus pour ce qui reste.

Une activité réseau élevée est-elle un signe de logiciel malveillant ?

C’est rarement le premier signe, et les explications habituelles ci-dessus couvrent presque tous les cas. Passez-les en revue avant de traiter un trafic d’arrière-plan régulier comme suspect.