# Qual app está usando a rede no Mac? > Os totais do Monitor de Atividade podem esconder o tráfego ao vivo. Compare a variação no tempo, use o nettop e inspecione o processo que está enviando dados agora. Published: 2026-08-12 | Updated: 2026-10-18 Algo está usando a conexão. O indicador de Wi-Fi fica ocupado enquanto você não está fazendo nada, uma conexão compartilhada queima a franquia numa tarde, ou uma chamada de vídeo piora toda vez que você senta para trabalhar. O macOS consegue responder, mas as ferramentas estão espalhadas e o número mais visível em cada uma é acumulado, não ao vivo, o que manda as pessoas para o processo errado. A aba Rede do Monitor de Atividade nomeia o processo, mas as colunas contam totais desde que cada processo começou. Para o que está movendo dados *agora*, use `nettop`. Para saber com quais hosts remotos um processo fala, use `lsof -i`. ## O Monitor de Atividade nomeia o processo Abra o Monitor de Atividade e selecione a aba **Rede**. Todo processo que moveu dados aparece com bytes enviados e recebidos. O [guia do Monitor de Atividade](https://support.apple.com/guide/activity-monitor/view-network-activity-actmntr1006/mac) da Apple distingue **Dados recebidos/enviados** acumulados de **Dados recebidos/enviados por segundo** ao vivo, na base da janela. Ordenar essas colunas é o que manda as pessoas atrás do processo errado. São totais acumulados desde que cada processo abriu, então um daemon rodando desde a última reinicialização supera o app que está saturando o link neste minuto. Ordenar por "Rcvd Bytes" pode portanto colocar no topo um processo com pouco tráfego atual. Duas linhas alarmam as pessoas e em geral não deveriam: - **mDNSResponder** trata DNS e a descoberta na rede local para o sistema inteiro. Num Mac ligado há semanas ele pode mostrar gigabytes. É um procurador de todo o resto resolvendo nomes, não um app baixando em segundo plano. - **kernel_task** aparece porque o trabalho de rede atravessa o kernel. Veja [kernel_task com CPU alta](https://mole.fit/pt-br/blog/kernel-task-high-cpu-mac) para a mesma atribuição errada na forma de CPU. A base da janela tem um gráfico ao vivo de dados entrando e saindo por segundo. Esse gráfico, não as colunas, é o que observar enquanto você muda alguma coisa. ## `nettop` mostra o que está se movendo agora `nettop` é a ferramenta que responde à pergunta real. Ela vem com o macOS e não precisa de instalação. ``` nettop -P -L 2 -d -J bytes_in,bytes_out ``` ``` ,bytes_in,bytes_out, syslogd.362,0,22701, apsd.368,685304,414375, mDNSResponder.480,4189609493,104188210, ``` `-P` agrega por processo, não por conexão, `-L 2` imprime duas amostras CSV, `-d` faz as amostras seguintes serem deltas, e `-J` escolhe as colunas. A primeira amostra é a linha de base. A seguinte mostra o que se moveu no intervalo. Rode `nettop -P -d` de forma interativa quando quiser a mesma visão atualizando até você sair. ## `lsof -i` mostra para onde está conectando Quando você tem um nome, a pergunta seguinte em geral é para onde ele está enviando dados. ``` lsof -nP -iTCP -sTCP:ESTABLISHED ``` `-n` pula o DNS reverso e `-P` pula a busca do nome da porta, o que torna a saída rápida e literal. `-iTCP` limita o resultado a TCP, enquanto `-sTCP:ESTABLISHED` remove soquetes em escuta e fechados. Você obtém o processo, a porta local e o endereço remoto visíveis para o seu usuário. Use elevação só quando um processo do sistema for a parte que falta na investigação. Resolver esses endereços é onde a honestidade importa: um IP que pertence a um grande provedor de nuvem diz quase nada, porque a maior parte da internet está hospedada lá. Trate isso como uma pista, não como uma identificação.
O Monitor de Atividade identifica totais acumulados por processo, o nettop mede deltas ao vivo por processo, e o lsof mapeia o processo escolhido até os destinos remotos ativos.
Use três visões em sequência: ache a família do processo, confirme o tráfego atual e inspecione os destinos ativos.
## As respostas habituais Antes de supor que algo está errado, confira o que deve usar a rede sem ser pedido. | Causa | Como reconhecer | Onde controlar | |---|---|---| | Sincronização do Fotos no iCloud | Envio contínuo depois de importar fotos | Fotos › Ajustes › iCloud | | iCloud Drive | Atividade depois de mudanças grandes em arquivos | Ajustes do Sistema › Conta Apple › iCloud | | Atualizações do macOS ou da App Store | `softwareupdated`, `appstoreagent` | Ajustes do Sistema › Geral › Atualização de Software | | Clientes de sincronização de terceiros | Auxiliares do Dropbox, Google Drive, OneDrive | As preferências do próprio app | | Software de backup | Envio longo e estável num horário | O app de backup | | Uma aba do navegador | Vídeo, um envio travado, uma página em reprodução automática | Gerenciador de Tarefas do Chrome, janela Atividade do Safari | A Atualização de Software merece menção especial porque baixa em segundo plano por padrão, e um instalador completo do macOS tem vários gigabytes. Numa conexão limitada essa única opção muitas vezes é o problema inteiro. ## O que o macOS não vai contar Três limites, porque vários artigos populares os pulam: - **Não há histórico nativo de banda por app.** O Monitor de Atividade e o `nettop` informam desde o início do processo ou desde o momento em que você começou a observar. Nada no macOS guarda um registro por app que você possa consultar depois. - **Totais por processo não são totais por app.** Um navegador espalha o tráfego por processos de renderização, e um daemon auxiliar pode carregar tráfego de vários apps ao mesmo tempo. - **Tráfego por uma VPN ou uma extensão do sistema pode ser atribuído à extensão** e não ao app que o gerou. Uma ferramenta que promete um histórico completo por app ou está instalando um filtro de rede próprio ou está estimando, e você quer saber qual dos dois antes de confiar no número. ## Uma verificação que se repete 1. Observe o gráfico ao vivo na base da aba Rede do Monitor de Atividade, não as colunas. 2. Rode `nettop -P -L 2 -d -J bytes_in,bytes_out` e leia a segunda amostra. 3. Para o processo que cresceu, rode `lsof -nP -iTCP -sTCP:ESTABLISHED` para ver onde ele está conectado. 4. Pause o app ou o serviço de sincronização suspeito e confirme que o gráfico cai. 5. Se nada cair, continue investigando outros apps e serviços, inclusive Atualização de Software e iCloud. O passo quatro é o que as pessoas pulam, e é o que separa uma identificação de um chute. ## Onde um monitor entra O [Mole](https://mole.fit/) mantém a vazão de rede ao vivo na barra de menus, ao lado de CPU, memória e estado térmico, então uma conexão ocupada fica visível quando acontece, em vez de ser reconstruída depois. Ele informa a vazão que consegue medir e não instala um filtro de rede para alegar um histórico por app que o macOS não fornece. ## Perguntas frequentes ### Por que o mDNSResponder usa tantos dados? Ele resolve nomes e trata a descoberta na rede local para o sistema inteiro, então o tráfego de muitos outros processos é contado contra ele. Ele não está baixando nada próprio. ### Dá para ver quantos dados um app usou ontem? Não pelo macOS. Não há histórico nativo por app. Ferramentas de terceiros que oferecem isso instalam uma extensão de rede para observar o tráfego elas mesmas. ### Como acho o que está usando dados num ponto de acesso? Ligue o Modo de Dados Limitados para essa rede em Ajustes do Sistema › Wi-Fi › Detalhes, o que para vários serviços em segundo plano, inclusive downloads automáticos de atualização, e use o diff do `nettop` acima para o que restar. ### Atividade de rede alta é sinal de malware? Raramente é o primeiro sinal, e as explicações habituais acima cobrem quase todo caso. Percorra-as antes de tratar tráfego constante em segundo plano como suspeito. --- Canonical HTML page: https://mole.fit/pt-br/blog/what-app-is-using-my-network-mac Blog index for agents: https://mole.fit/pt-br/blog/llms.txt Site index for agents: https://mole.fit/llms.txt