Очистка кэша Quick Look на macOS

Кэш Quick Look в каталоге /var/folders

Почему стоит очищать кэш Quick Look на macOS

Служба Quick Look генерирует превью файлов для быстрого просмотра в Finder. Эти превью сохраняются в кэше — в базе SQLite, расположенной в системных папках (см. ниже). Проблема в том, что превью сохраняются в незашифрованном виде. Это значит, что даже если сам файл хранится на зашифрованном томе, его уменьшенное изображение (thumbnail) может остаться доступным для чтения без расшифровки исходного файла.

Ключевой агент: com.apple.quicklook.ThumbnailsAgent — он «обходит» систему и создаёт превью. Кэш доступен в разных подпапках внутри var/folders, поиск конкретной папки требует навигации по путям пользователя и временным каталогам.

Поиск папки кэша Quick Look в /var/folders

Важно: кэш сохраняет превью для многих типов файлов — как изображений, так и других форматов. Кэшированные превью могут оставаться даже после удаления исходных файлов или после извлечения USB-накопителя.

В чём состоит риск

Изображения: даже уменьшённые превью могут раскрыть содержимое фотографий, скриншотов и документов. Небольшие размеры не гарантируют приватности — часто достаточно, чтобы распознать лицо, текст или важные детали.
Накопители USB: Quick Look создаёт превью файлов на внешних носителях и сохраняет их после извлечения носителя. Это оставляет цифровые следы подключённого устройства.
Несанкционированный доступ: к файлу базы кэша обычно может обратиться локальный пользователь с соответствующими правами, что делает эксплуатацию уязвимости возможной при физическом доступе или при наличии компрометированного аккаунта.

Пример кэшированных превью текстовых файлов и иконок

Как один раз очистить кэш Quick Look (шаг за шагом)

Откройте Terminal: Программы → Утилиты → Terminal.app или через Spotlight.
Вставьте команду и нажмите Enter:

qlmanage -r cache

Эта команда немедленно остановит службу Quick Look и удалит файлы кэша. После выполнения команда выведет служебную информацию; в большинстве случаев дополнительных действий не требуется.

Важно: после очистки система снова начнёт генерировать превью при дальнейшем использовании Quick Look — кэш появится вновь.

Как отключить кэш Quick Look навсегда

Если вы хотите предотвратить дальнейшее накопление незашифрованных превью, можно отключить кэш целенаправленно. Это может немного замедлить генерацию предварительных просмотров, но устранит источник хранения следов.

В Terminal выполните:

qlmanage -r disablecache

Чтобы вернуть поведение по умолчанию и включить кэш снова, используйте:

qlmanage -r enablecache

Альтернативные подходы и когда они полезны

Не отключать кэш, но регулярно очищать его механизмом очистки (скрипт/cron/launchd). Подходит, если вам важна скорость Quick Look, но вы хотите ограничить окно риска.
Использовать контейнеры/виртуальные машины для работы с чувствительными файлами — системы изолированы, и превью будут сохранены в другом окружении, что снижает риск утечки из основной ОС.
Привычка: при работе с конфиденциальными данными не открывать превью и не просматривать файлы через Quick Look — тогда соответствующие превью не будут сгенерированы в полном размере.

Когда очистка не решит проблему (ограничения)

Если злоумышленник получил полный доступ к диску до включения шифрования, очистка кэша уже не вернёт утраченные данные.
Если используются сторонние приложения, создающие свои собственные превью или кэши, то команды qlmanage не затрагивают их.
Удалённый эксплойт, получивший права администратора, может снять копию кэша до его удаления — регулярная ручная очистка не защитит от активной компрометации.

Playbook: сценарий для безопасного рабочего процесса с USB-накопителями

Перед подключением: убедитесь, что на машине включён FileVault и установлены последние обновления macOS.
Подключили USB — работаем с файлами, по завершении явно удаляем или безопасно извлекаем носитель.
Сразу выполняем очистку кэша:

qlmanage -r cache

Для минимизации риска — выключаем кэш на постоянной основе (если приемлемо):

qlmanage -r disablecache

Логируем событие: время, пользователь, идентификатор носителя.

Автоматизация: пример скрипта и расписания

Простой скрипт для периодической очистки /usr/local/bin/ql-clean.sh:

#!/bin/sh
# Очистка кэша Quick Look, грубая безопасность
/usr/bin/qlmanage -r cache
# дополнительные шаги: очистить временные папки, уменьшить права доступа
find /var/folders -type f -name "com.apple.QuickLook.thumbnailcache*" -delete 2>/dev/null

Дать права на выполнение:

chmod +x /usr/local/bin/ql-clean.sh

Добавить в crontab (ежедневно в 3:00):

0 3 * * * /usr/local/bin/ql-clean.sh >/dev/null 2>&1

Примечание: в macOS предпочтительнее использовать launchd и plist-файлы для надёжного запуска, если нужна интеграция с системой.

Роли и чеклист: кто за что отвечает

Обычный пользователь: выполнять ручную очистку после работы с конфиденциальными файлами; избегать открытия превью на незнакомых носителях.
Системный администратор: при необходимости массово отключить кэш через конфигурационные профили или развернуть скрипт на всех рабочих станциях.
Информационная безопасность: документировать политику, проводить периодический аудит логов и проверять наличие следов подключений внешних носителей.

Пример шаблона политики (короткая версия)

Все внешние носители должны подключаться только под наблюдением уполномоченного сотрудника.
По завершении работы с внешним носителем — выполнить qlmanage -r cache и зафиксировать событие в журнале.
На рабочих станциях с повышенными требованиями к безопасности — отключить кэш через qlmanage -r disablecache.

Приватность и соответствие (коротко)

Кэш Quick Look хранит визуальные представления файлов. Если вы обрабатываете персональные данные граждан ЕС или других юрисдикций с законами о защите данных, нужно учитывать, что даже кешированные превью могут считаться утечкой персональных данных. Планируйте процессы удаления и логирования в соответствии с внутренними требованиями по защите данных.

Небольшой глоссарий — 1 строка каждый

Quick Look — системный механизм macOS для быстрого просмотра файлов без их открытия.
Thumbnail — миниатюрное изображение-превью файла.
FileVault — встроенное в macOS шифрование диска.

Краткое объявление (100–200 слов)

Если вы используете macOS и подключаете внешние носители или храните важные файлы на зашифрованных томах, обратите внимание: системный кэш Quick Look может сохранить незашифрованные превью этих файлов. Это особенно критично для изображений и документов, превью которых остаётся доступным даже после удаления исходных файлов и извлечения USB-накопителей. Вы можете вручную очистить кэш командой qlmanage -r cache, а при желании отключить кэш навсегда через qlmanage -r disablecache. Для корпоративной среды рекомендуется внедрить автоматическую очистку и политику обращения с внешними носителями. Эти меры снижают риск утечки визуальной информации и помогают соответствовать требованиям по защите данных.

Итог и рекомендации

Выполните qlmanage -r cache сразу после работы с конфиденциальными файлами или извлечения USB.
Если вам важна максимальная приватность — отключите кэш qlmanage -r disablecache.
Для регулярной защиты автоматизируйте очистку через launchd/cron и документируйте события.

Важно: это обходной путь на стороне пользователя; окончательное исправление лежит на стороне поставщика ОС. Тем не менее, приведённые шаги помогают снизить риск утечки превью-файлов.