Como bloquear o Dock num Mac de biblioteca ou público

Resposta curta: as mesmas quatro chaves defaults que bloqueiam qualquer Dock do Mac, mais uma que aqui importa muito mais do que em qualquer outro lado: desative as apps recentes, porque numa máquina de acesso livre essa secção mostra à pessoa seguinte aquilo em que a anterior estava a trabalhar.

Se o Mac for restaurado a partir de uma imagem ao reiniciar, defina os bloqueios antes de a imagem ser criada, senão o restauro remove-os todas as noites.

Um Mac público falha de outra forma

Num Mac de sala de aula há trinta pessoas a quem se pode dizer que não façam algo. Num Mac de biblioteca ou de uso livre não há nada disso, o que muda aquilo de que se está a defender.

Ninguém o comunica. Um aluno diz que o Dock está esquisito. Alguém do público que encontra um Dock a metade do tamanho assume que o computador é assim, usa-o na mesma e vai-se embora. As alterações acumulam-se em silêncio durante meses.
A Dock é a interface inteira. Quem nunca usou um Mac não tem o hábito do Launchpad nem do Spotlight e não faz ideia para que serve a barra de menus. Se a app de que precisa foi arrastada para fora da Dock, para essa pessoa não existe.
As sessões são curtas e anónimas. Ninguém se importa o suficiente para repor, e ninguém é identificável o suficiente para se lhe perguntar.
A má intenção quase nunca é a causa. A causa é uma mão pousada no divisor, um ícone arrastado dois píxeis a mais, um gesto de pinça involuntário no trackpad.

O único caso em que um Mac público é mais fácil

As máquinas públicas costumam ter uma única conta com sessão sempre iniciada, que nunca termina sessão. Com uma só conta, o caminho normal com defaults é aqui mais duradouro do que numa sala de aula com sessões por aluno, porque só há uma conta onde as definições ficam.

defaults write com.apple.dock size-immutable -bool true
defaults write com.apple.dock position-immutable -bool true
defaults write com.apple.dock contents-immutable -bool true
defaults write com.apple.dock autohide-immutable -bool true
killall Dock

Cada um põe a cinzento o controlo correspondente nas Definições do Sistema, por isso não pode ser alterado pela interface. Resistem a um reinício, ao repouso e a uma atualização do macOS. A lista completa, com o tipo de cada chave, está em todos os comandos defaults da Dock do Mac.

A secção de apps recentes, que aqui é um problema de privacidade

O macOS acrescenta uma secção de aplicações usadas recentemente à direita da Dock. No seu próprio Mac é uma comodidade. Num Mac de uso livre é uma lista do que a pessoa anterior abriu, mostrada à próxima que se senta.

defaults write com.apple.dock show-recents -bool false
killall Dock

Os quatro bloqueios acima não a removem, porque é uma definição à parte. Desative-a de propósito. Mais sobre isso em como impedir que apareçam apps recentes na Dock.

A armadilha da imagem de restauro

Muitos Macs públicos estão configurados para voltar a um estado conhecido, através de software de imagens ou restaurando uma cópia instantânea do disco ao reiniciar. É a forma certa de gerir uma máquina destas, e tem uma consequência que muita gente descobre da pior maneira:

Tudo o que configurar depois de capturada a base é desfeito da próxima vez que a máquina for restaurada. Os bloqueios da Dock são configuração. Defina-os, confirme-os e só então capture a imagem. Se o Mac já estiver em uso, ponha a alteração na base. Uma alteração feita na sessão em curso é desfeita no restauro seguinte, e vai estar a defini-la de novo todas as manhãs.

O mesmo se aplica à definição das apps recentes e ao próprio conteúdo da Dock. Organize a Dock exatamente como o público a deve encontrar e só depois capture.

Quem pode anular o quê

Os três mecanismos comportam-se de forma diferente, por isso os pormenores contam.

Um comando defaults desfaz-se com outro comando defaults. Qualquer pessoa que consiga abrir o Terminal pode levantar os quatro num minuto.
Um perfil de configuração instalado à mão resiste ao Terminal, a um reinício e à remoção do que o criou. Aplica-se à conta que o instalou, e pode sempre ser removido de propósito em Definições do Sistema, Geral, Gestão de dispositivos. A remoção é deliberada: ninguém deve ficar com uma Dock que não consegue desbloquear.
Um perfil de configuração enviado por um MDM é a única versão que pode ser tornada de facto impossível de remover e abranger todas as contas do dispositivo. Se a biblioteca já gere estes Mac de forma centralizada, é aí que isto deve ficar.

Para uma máquina pública sem acesso ao Terminal, os bloqueios normais costumam bastar. Para uma onde o Terminal está acessível, não bastam.

Uma configuração sensata para um Mac de acesso livre

Organize o Dock exatamente como o público o deve encontrar e remova o que não precisam.
Desative as apps recentes, para que a secção deixe de mostrar o trabalho da última pessoa.
Aplique os quatro bloqueios.
Se o Terminal estiver acessível, aplique os bloqueios por perfil de configuração.
Capture a imagem de restauro depois de definir os bloqueios.
Anote o que definiu e onde. Um bloqueio sem registo é um mistério para quem herdar a máquina.

Perguntas frequentes

Isto impede alguém de abrir apps que não devia?

Não. Impede que o Dock mude. Restringir que apps podem ser abertas é outra questão, e isso cabe ao Tempo de ecrã ou à sua ferramenta de gestão. Os dois funcionam bem em conjunto e resolvem problemas diferentes.

O Mac apaga-se sozinho ao reiniciar de qualquer forma. Ainda preciso disto?

Só se o reinício acontecer com frequência suficiente. Uma máquina que é restaurada todas as noites continua a passar um dia inteiro a sofrer alterações, e são piores à tarde, quando já foi usada por mais pessoas.

Os bloqueios resistem a uma atualização do macOS?

Sim. Ficam nas preferências da conta, por isso uma atualização não lhes toca. Já uma imagem de restauro substitui-as pelo que estiver na imagem base.

E se houver uma conta de convidado ou de visitante à parte?

As preferências são guardadas por conta, por isso o que é definido numa sessão não aparece noutra. Defina os bloqueios na conta que o público usa de facto. Se essa conta for das que o macOS limpa entre sessões, as definições vão com ela, e a solução é um perfil com âmbito de dispositivo de uma ferramenta de gestão.

Isto é diferente de um Mac de sala de aula ou de receção?

Os comandos são idênticos. As situações não: uma sala de aula tem contas, supervisão e alguém a quem avisar, e um balcão de receção tem um segundo ecrã que um cliente consegue ver. Consulte bloquear o Dock num Mac de sala de aula, num Mac de receção ou de exposição, num Mac da família ou o guia do Mac partilhado para o caso geral.