Come capire se un'app per Mac è sicura
Verificata il 30 ottobre 2026
Nessun singolo controllo dimostra che un'app per Mac è sicura. Scaricala dal Mac App Store o dal sito reale del creatore, verifica che sia firmata e notarizzata, e presta attenzione ai permessi che chiede. La notarizzazione significa che la scansione automatica di Apple non ha trovato malware noti, non che una persona abbia esaminato l'app. E non incollare mai un comando del Terminale da una pagina web per installare qualcosa.
1. Controlla da dove arriva
Apple definisce l'App Store la fonte più sicura, perché lì Apple verifica e firma ogni app, e può rimuovere rapidamente quelle problematiche. Fuori dallo store, vai al sito del creatore. Digita l'indirizzo o segui un link da una fonte di cui ti fidi. Gli attaccanti copiano davvero i siti veri. Una campagna 2020 ha usato un sosia del sito di Homebrew.
2. Controlla firma e notarizzazione
Trascina l'app in Applicazioni, ma non aprirla ancora. Poi esegui questo nel Terminale, con il nome della tua app:
spctl -a -vv /Applications/YourApp.app
| Risultato | Che cosa significa |
|---|---|
accepted e source=Notarized Developer ID | Firmata da uno sviluppatore registrato e notarizzata da Apple |
accepted e source=Developer ID | Firmata, ma non notarizzata, come da la guida di Xcode di Apple |
accepted e source=Apple System | Parte di macOS |
rifiutata | Gatekeeper non l'avrebbe consentito secondo le sue regole normali |
La riga origin= indica chi l'ha firmata. Verifica che corrisponda all'azienda o alla persona che ti aspettavi. Abbiamo eseguito questo test su macOS 26.7.1 il 30 ottobre 2026, e Google Chrome mostrava origin=Developer ID Application: Google LLC.
Per vedere l'intera catena di firma, oppure per verificare solo la notarizzazione:
codesign -dv --verbose=2 /Applications/YourApp.app codesign --test-requirement="=notarized" --verify /Applications/YourApp.app
Il secondo comando non stampa nulla quando l'app supera il test. Le app integrate di Apple non superano quel test perché sono firmate in modo diverso, quindi è utile solo per le app di terze parti.
3. Sappi che cosa la notarizzazione non dimostra
Apple dichiara chiaramente che la notarizzazione non è la App Review. È una scansione automatica di contenuti dannosi e di problemi di firma del codice. Non dice nulla sulla qualità, sulla privacy o se l'app fa ciò che promette. Anche il malware è passato: nel 2020, il ricercatore Patrick Wardle ha segnalato malware Shlayer notarizzato, e Apple ha revocato i certificati che aveva segnalato.
4. Fai attenzione a ciò che chiede l'app
La sandbox è richiesta nel Mac App Store, ma molti buoni download diretti non la usano, perché hanno bisogno di più accesso per fare il loro lavoro. Quindi chiediti se ogni richiesta ha senso. Un window manager che chiede l'Accessibilità ha senso. Una calcolatrice che vuole i tuoi contatti no. Puoi controllare e rimuovere gli accessi in Impostazioni di Sistema, sotto Privacy e sicurezza.
5. Non incollare mai comandi di installazione da una pagina web
Un attacco comune in 2026 salta del tutto l'app. Una pagina ti dice di incollare un comando nel Terminale, o di eseguire uno script che apre per te, come «correzione» o «verifica». Quella strada evita i controlli sopra. Alcuni strumenti per sviluppatori veri si installano dal Terminale, quindi usa solo il comando del sito ufficiale, e solo se intendevi installare quello strumento. Se hai già eseguito un comando sconosciuto, considera il Mac potenzialmente compromesso e cambia le password da un altro dispositivo.
Che cosa significa la spunta blu di MacPip
Significa che una persona ha controllato quell'app nella data indicata. Ogni app con la spunta mostra un rapporto datato che elenca ciò che è stato confermato per essa. Firma e notarizzazione compaiono solo quando le abbiamo confermate su una copia scaricata. Le app contrassegnate come Verifica in attesa non hanno ancora ricevuto questo controllo. La spunta non garantisce che un'app sia sicura, come dicono i nostri termini. È solo un'altra prova, con una data.
Se macOS ti ha già mostrato un avviso, leggi che cosa significa «Apple non ha potuto verificare».
App per Mac su MacPip
Lanciate di recente: Seedlore, Phosphor, Vexilo Code, MightyBench, Pixtamer. Una scheda non è una raccomandazione, quindi controllane ciascuna da te.
By category: Produttività.
Fonti
- Supporto Apple: aprire app in sicurezza sul Mac
- Apple Platform Security: Gatekeeper e protezione in fase di esecuzione
- Apple Developer: notarizzazione del software macOS prima della distribuzione
- Guida di Xcode di Apple: testare un'app firmata con Developer ID
- Apple: App Review Guidelines, sezione 2.4.5
- Objective-See: Apple ha approvato malware (30 agosto 2020)
- Malwarebytes: ClickFix trova un nuovo modo per infettare i Mac (aprile 2026)