¿Qué es Homebrew? Una Guía para Responsables de TI
El gestor de paquetes presente en casi todos los Macs de desarrolladores, explicado para quienes tienen que gestionar esos Macs: cómo funciona, por qué los desarrolladores dependen de él y qué implica para TI.
Si gestionas Macs, Homebrew ya está en ellos. Es el gestor de paquetes de facto para macOS — la herramienta que los desarrolladores usan para instalar compiladores, bases de datos, CLIs y miles de otros programas de código abierto con un solo comando. Esta guía explica qué es y cómo funciona, escrita para responsables de TI y seguridad, no para los desarrolladores que ya lo conocen.
La versión en un párrafo
Homebrew es un gestor de paquetes gratuito y de código abierto para macOS y Linux. Un desarrollador escribe brew install postgresql y Homebrew descarga el software, resuelve sus dependencias, instala todo en un directorio dedicado y lo mantiene actualizable con brew upgrade. Es para un Mac lo que apt es para Ubuntu — salvo que lo instala el desarrollador, no la plataforma, y por defecto no rinde cuentas a nadie.
El vocabulario que encontrarás
| Término | Qué significa |
|---|---|
| Formula | Una receta que describe cómo instalar una pieza de software de código abierto (p. ej. git, node, openssl). |
| Cask | Una receta para instalar una aplicación macOS normal (p. ej. un navegador o un editor) en lugar de una herramienta de línea de comandos. |
| Bottle | Un binario precompilado de una fórmula, de modo que la máquina descarga y desempaqueta en lugar de compilar desde el código fuente. La mayoría de las instalaciones usan bottles. |
| Tap | Un repositorio adicional de fórmulas. homebrew-core es el oficial; cualquiera puede alojar su propio tap, con su propio proceso de revisión (o ninguno). |
| Prefix | El directorio donde Homebrew instala todo — /opt/homebrew en los Macs con Apple Silicon. |
| brewfile | Una lista de paquetes versionada en el repositorio, usada para reproducir la configuración de Homebrew de una máquina. |
Por qué los desarrolladores dependen de él
Nada en Homebrew es de nicho. Es la forma en que se construyen los entornos de desarrollo modernos en un Mac:
- Es el camino más rápido hacia una cadena de herramientas funcional. De portátil nuevo a desarrollador productivo hay un puñado de comandos
brew install— a menudo automatizados en los propios documentos de incorporación de la empresa. - El catálogo es enorme. Miles de fórmulas, mantenidas activamente, que cubren esencialmente todas las herramientas de código abierto que un desarrollador necesita.
- Se mantiene al día. Las versiones upstream llegan rápido a Homebrew, lo que importa tanto para las funcionalidades como para las correcciones de seguridad.
- La CI también lo usa. Los pipelines de compilación en runners de macOS instalan rutinariamente sus dependencias con Homebrew, así que está integrado en la infraestructura de entrega, no solo en los portátiles.
Quítalo y ninguna de esas necesidades desaparece — los desarrolladores recurren a descargas manuales y a scripts de instalación canalizados con curl, que son estrictamente peores para la seguridad. Ese intercambio es el tema de Por Qué Bloquear Homebrew Empeora tu Postura de Seguridad.
Qué significa Homebrew para TI
Aquí está la parte que importa para esta audiencia: Homebrew es el mayor canal de software en tus Macs de desarrolladores que tu pila de gestión no puede ver.
Tu MDM gobierna las aplicaciones que empaquetas y distribuyes. La App Store gobierna las aplicaciones de consumo. Homebrew queda fuera de ambos. En su estado por defecto:
- No hay inventario — ningún registro de qué está instalado en qué máquina.
- No hay política — cualquier desarrollador puede instalar cualquier fórmula desde cualquier tap.
- No hay registro de auditoría — nada atribuye una instalación a una persona, una hora o un dispositivo.
- No hay proceso de vulnerabilidades — los paquetes se instalan limpios y envejecen silenciosamente hasta acumular sus CVE.
Nada de esto es un defecto de Homebrew; fue construido como una herramienta personal y es excelente siéndolo. Pero las herramientas personales que alcanzan escala de flota se convierten en el problema de TI, y toda conversación de cumplimiento — SOC 2, ISO 27001, revisiones de seguridad de clientes — llega tarde o temprano a la pregunta "¿qué código abierto se está ejecutando en tus endpoints y quién lo aprobó?" Con el Homebrew estándar, la respuesta honesta es encogerse de hombros. Analizamos si ese estado de cosas es peligroso en ¿Es Seguro Homebrew? Una Revisión de Seguridad para Equipos de TI.
Cómo lo ponen bajo gestión las empresas
El patrón emergente no es reemplazar Homebrew sino enrutarlo: los desarrolladores conservan exactamente el mismo flujo de trabajo de brew install, mientras cada solicitud pasa por un plano de control que opera TI. Esa capa proporciona lo que la herramienta por defecto omite — una política de permitir/bloquear verificada en el momento de la instalación, un inventario de paquetes por dispositivo sincronizado con el MDM que ya utilizas, verificaciones de vulnerabilidades contra los mejores datos de vulnerabilidades disponibles y un registro de auditoría que asocia cada instalación a un usuario y una máquina reales.
Ese es el modelo que implementa EnterpriseBrew. Los desarrolladores no notan nada; TI por fin tiene para Homebrew las mismas respuestas que tiene para cualquier otro canal de software: qué, dónde, quién y si está permitido.
La conclusión
Homebrew no es una curiosidad de shadow IT — es infraestructura central para el desarrollo en macOS, y es casi seguro que hoy está en uso productivo en toda tu flota. La pregunta para un responsable de TI no es si permitirlo. Es si el mayor pipeline de paquetes en tus endpoints funciona con gobernanza o sin ella.