trustd

Une rafale de nouvelles connexions sécurisées, un navigateur qui ouvre beaucoup de sites ou une app qui se synchronise avec de nombreux serveurs, c’est beaucoup de certificats à vérifier. Après une mise à jour de macOS, ses caches repartent de zéro : il revérifie donc ce qu’il avait gardé.

Un processeur élevé en permanence pour trustd est inhabituel. Cela peut venir d’un logiciel qui intercepte les connexions sécurisées, comme certains antivirus, VPN ou filtres réseau, qui présentent leurs propres certificats pour chaque connexion.

Pour un pic bref, rien : il se calme une fois les connexions vérifiées. Pour une charge constante, quittez les apps qui filtrent ou inspectent le trafic et voyez s’il se calme. Si c’est le cas, c’est dans les réglages de cette app, ou auprès de son éditeur, qu’il faut régler le problème.

Ne bloquez pas trustd avec un pare-feu. Sans lui, les apps n’arrivent pas à se connecter ou s’ouvrent lentement, comme l’a montré la panne de 2020.

Vous trouverez plus d’un trustd. L’un tourne sous le compte système _trustd, un autre sous votre compte, et certains services système ont le leur.

1. Ouvrez le Moniteur d’activité, choisissez Présentation → Toutes les opérations et tapez trustd dans le champ de recherche. La colonne Utilisateur indique quel compte chacun sert.
2. Dans l’onglet Processeur, notez quelle instance est occupée. Si c’est celle qui est sous votre nom, c’est une app que vous utilisez qui établit les connexions.
3. Cliquez sur l’onglet Réseau. Un trustd qui envoie et reçoit un peu, encore et encore, vérifie la révocation auprès d’un serveur de certificats.
4. Pour voir avec quels serveurs il communique, ouvrez le Terminal et lancez nettop -p trustd. Appuyez sur q pour quitter.
5. Pour ses propres messages, lancez log stream --predicate 'process == "trustd"'. Des erreurs répétées sur le même certificat ou le même serveur désignent l’app ou le réseau qui en est à l’origine. Appuyez sur Contrôle + C pour arrêter.

Normal : de courtes pointes quand vous ouvrez un navigateur, vous connectez à des comptes, ou installez et ouvrez un nouveau logiciel, puis le calme. Les réponses de révocation sont mises en cache : le même certificat n’est donc pas revérifié sur le réseau avant l’expiration de la réponse en cache.

À surveiller : il reste occupé longtemps, ou les apps s’ouvrent lentement et n’arrivent pas à se connecter. Les causes habituelles :

• Un logiciel qui inspecte le trafic sécurisé et émet son propre certificat pour chaque site, comme certains antivirus, VPN et filtres réseau.
• Un réseau qui bloque ou ralentit les serveurs de révocation, comme un portail Wi-Fi captif avant la connexion, ou un pare-feu d’entreprise strict.
• Une date et une heure erronées sur le Mac, qui font paraître des certificats valides comme expirés ou pas encore valides. Activez Régler la date et l’heure automatiquement dans Réglages Système → Général → Date et heure.

Apple publie les hôtes dont ses appareils ont besoin pour vérifier les certificats dans sa liste des exigences réseau pour les réseaux d’entreprise. On y trouve ocsp.apple.com, ocsp2.apple.com, valid.apple.com, crl.apple.com et certs.apple.com, ainsi que quelques serveurs de révocation gérés par d’autres autorités de certification.

Si vous utilisez une app de pare-feu ou gérez un réseau aux règles sortantes strictes, ce sont les connexions que vous verrez venir de trustd, et celles à autoriser.