Glosario
Flag de aprobación del usuario (0x0040)
El bit 0x0040 de los flags de com.apple.quarantine, que se activa cuando el usuario aprueba o anula una decisión de Gatekeeper.
0x0040 es el bit de los flags de cuarentena llamado QTN_FLAG_USER_APPROVED en el QuarantineSPI.h de WebKit. El código abierto Security de Apple (policyengine.cpp) activa el bit que denomina QTN_FLAG_ASSESSMENT_OK cuando el usuario aprueba o anula una decisión de Gatekeeper, y el valor 0x0040 es coherente entre estas fuentes. Apple no documenta estos flags públicamente.
Un cambio de 0083 a 00c3 en el mismo archivo significa que el usuario lo aprobó a través de Gatekeeper. La inferencia contraria no vale: la ausencia de 0x0040 no demuestra que un documento no se abriera nunca, porque solo los ejecutables, instaladores y aplicaciones pasan por esa aprobación. Consulte .LastGKReject y las huellas de Gatekeeper.