Cuando instalamos una aplicación solemos preocuparnos por qué permisos solicita, qué archivos puede leer o si necesita privilegios de administrador. Sin embargo, hay otra pregunta que muchas veces pasa desapercibida: ¿a qué servidores se está conectando realmente? Navegadores, clientes de correo, herramientas de desarrollo e incluso procesos en segundo plano pueden establecer conexiones a Internet sin que el usuario sea consciente de ello. Aquí es donde entra Little Snitch, la herramienta de Objective Development que permite visualizar y controlar las conexiones de red de las aplicaciones del sistema.

Qué es exactamente

Little Snitch es una combinación de monitor de red y firewall de aplicaciones. En lugar de trabajar solo con IP, puerto y protocolo como un firewall tradicional, responde a una pregunta más útil desde el punto de vista del usuario: ¿qué aplicación está intentando conectarse, dónde y para qué quiero permitirlo?

Podemos ver, por ejemplo, que Firefox se conecta a www.mozilla.org:443 o que Visual Studio Code llama a un dominio de telemetría por HTTPS. A partir de ahí, permitimos o bloqueamos esas comunicaciones y creamos reglas para conexiones futuras — lo que permite descubrir rápidamente programas que hacen telemetría, comprobaciones de actualización o conexiones que simplemente no esperábamos encontrar.

Un firewall convencional filtra por origen, destino y puerto. Little Snitch añade la variable que de verdad importa: qué aplicación concreta está iniciando la conexión.

Esa visibilidad extra ayuda a detectar aplicaciones comunicándose con dominios inesperados, programas enviando telemetría, procesos desconocidos iniciando conexiones nada más arrancar, o herramientas que técnicamente podrían funcionar sin acceso a Internet y aun así lo piden. No sustituye a un EDR, un IDS/IPS o un SIEM, pero aporta una capa adicional de control y visibilidad en el endpoint.

En macOS: la implementación más completa

Little Snitch nació en macOS y sigue siendo ahí donde su implementación es más madura. El Network Monitor visualiza conexiones de aplicaciones, comandos Unix y servicios del sistema, con destinos, puertos y tráfico transferido. También permite perfiles de reglas según el entorno de red — casa, trabajo, Wi-Fi pública — algo especialmente útil para quien se mueve entre redes de confianza distinta.

La novedad: Little Snitch llega a Linux

Desde abril de 2026 existe oficialmente Little Snitch for Linux, y no es un simple port de la versión de macOS. Objective Development ha construido una implementación específica basada en eBPF: el programa eBPF observa las conexiones desde el kernel, mientras un daemon recopila la información, aplica reglas, mantiene estadísticas y sirve la interfaz. La administración se hace desde una interfaz web local en http://localhost:3031/, que también puede instalarse como Progressive Web App para usarla casi como una aplicación de escritorio.

Cómo empezar sin volverse loco bloqueando cosas

Lo razonable no es empezar bloqueando todo, sino usarlo primero como herramienta de observación: abrir las aplicaciones habituales y dejar que Little Snitch recopile actividad. Después, para cada una, conviene preguntarse si debería conectarse a Internet, a qué servidores, y si realmente necesita comunicarse con todos ellos. Ahí es donde empiezan a aparecer sorpresas — servicio necesario, actualizaciones, CDN, telemetría, publicidad y, de vez en cuando, algún dominio directamente desconocido.

Blocklists, y por qué combina bien con Pi-hole

Little Snitch también admite listas de bloqueo de dominios asociados a publicidad, tracking u otro tráfico no deseado — un concepto similar a Pi-hole, aunque operan en capas distintas. La diferencia clave es que Little Snitch añade el contexto del proceso: sabe qué programa originó la conexión, algo que un servidor DNS como Pi-hole no puede determinar por sí solo. Combinar ambos tiene sentido: Little Snitch aporta visibilidad por proceso en el endpoint, Pi-hole aporta filtrado DNS para toda la red. Son tecnologías diferentes y perfectamente complementarias.

La limitación que el propio fabricante reconoce

Aquí conviene ser claro, porque el propio fabricante lo es: Little Snitch for Linux está pensado principalmente como herramienta de privacidad, no como mecanismo de seguridad frente a un atacante determinado. La implementación con eBPF tiene limitaciones técnicas relacionadas con los recursos disponibles y la asociación entre paquetes, procesos y nombres DNS. Bajo cargas elevadas, las tablas internas pueden saturarse y la herramienta puede no asociar correctamente todo el tráfico con un proceso concreto. Por eso no debería tratarse como sustituto de otros elementos de seguridad, sino como complemento.

¿Sustituye al firewall?

No. Un firewall tradicional protege el sistema y controla tráfico según parámetros de red. Little Snitch está orientado a responder una pregunta distinta: ¿quién está realizando esta conexión? Ambos controles conviven sin problema.