Apple da marcha atrás con el dominio de Hide My Email, pero mantiene el cambio para Sign in with Apple

Apple ha dividido en dos su plan de cambio de dominios de correo. Tras anunciar en junio que iCloud+ Hide My Email y Sign in with Apple usarían @private.icloud.com, la compañía confirmó el 24 de agosto que las direcciones de Hide My Email seguirán terminando en @icloud.com. Las nuevas direcciones de Sign in with Apple sí pasarán de @privaterelay.appleid.com a @private.icloud.com más adelante en 2026. Las direcciones antiguas de Sign in with Apple continuarán funcionando y reenviando mensajes sin interrupciones. 10

Qué ha cambiado

El plan original de Apple pretendía unificar bajo @private.icloud.com las nuevas direcciones generadas por las dos funciones. Las direcciones existentes de Hide My Email con @icloud.com y las de Sign in with Apple con @privaterelay.appleid.com seguirían operativas y reenviando el correo. 15

La decisión revisada queda así:

• iCloud+ Hide My Email: las nuevas direcciones seguirán usando @icloud.com.
• Sign in with Apple: las nuevas direcciones de retransmisión usarán @private.icloud.com más adelante en 2026.
• Direcciones existentes de Sign in with Apple: las que terminan en @privaterelay.appleid.com seguirán siendo válidas y continuarán reenviando mensajes.

Apple atribuyó el cambio de rumbo a una “mayor consideración” y a los comentarios de la comunidad. La empresa no ha dicho que una vulnerabilidad concreta haya provocado la decisión. 10

Por qué generó rechazo el dominio @private.icloud.com

El problema no era que cambiar el dominio revelara automáticamente la bandeja de entrada real del usuario. La preocupación era que @private.icloud.com identificaría claramente una dirección como una retransmisión de privacidad de Apple.

Una web o una aplicación podría detectar ese dominio con una comprobación sencilla y, a partir de ahí, rechazar la dirección, exigir otro correo o utilizarla como señal en sus sistemas de fraude y evaluación de riesgo. En la práctica, esto facilitaría bloquearla durante el registro. 44

En cambio, @icloud.com también se utiliza para direcciones de correo ordinarias de iCloud. Para un servicio que intenta distinguir entre direcciones enmascaradas y buzones convencionales, una dirección de Hide My Email resulta menos evidente con ese dominio.

Esa diferencia explica buena parte de la reacción de los usuarios: temían que el cambio redujera la privacidad práctica de la función y su capacidad para mantener una cierta negación plausible, aunque la infraestructura de reenvío de Apple no cambiara. 35

Qué deben actualizar los desarrolladores de Sign in with Apple

Los equipos que integran Sign in with Apple deberían tratar el cambio como una transición entre dominios de retransmisión, no como una sustitución inmediata del dominio antiguo.

Aceptar ambos dominios

Los sistemas de cuentas, las reglas de validación de correo, las expresiones regulares, las listas de permitidos y cualquier lógica basada en dominios deben aceptar tanto las nuevas direcciones terminadas en @private.icloud.com como las existentes con @privaterelay.appleid.com.

La documentación anterior de Apple también mencionaba @icloud.com en la gestión de dominios de retransmisión. Por eso, los sistemas no deberían asumir que existe un único sufijo válido para las direcciones privadas de Apple. 810

Sobre todo, no hay que migrar ni invalidar a los usuarios existentes solo porque su dirección utilice el dominio antiguo. Apple afirma que las direcciones con @privaterelay.appleid.com seguirán funcionando y reenviando correo sin interrupciones. 10

Revisar la configuración del correo saliente

Si una aplicación o una web envía mensajes a través de la retransmisión privada de correo de Apple, los desarrolladores deben registrar en la cuenta de Apple Developer los dominios y subdominios utilizados para enviar esos mensajes. Apple también exige que las fuentes de correo registradas superen una comprobación SPF. 6

Conviene revisar especialmente:

• Los dominios y subdominios de envío registrados.
• Los registros DNS de SPF.
• La validación del correo y los procesos de recuperación de cuentas.
• Las listas de permitidos y bloqueados.
• Los campos o esquemas de base de datos que presupongan un dominio fijo.
• Las herramientas de atención al cliente y búsqueda de cuentas que localicen usuarios por el sufijo de su correo.

Según la documentación de Apple, el servicio de retransmisión reenvía los mensajes a una de las direcciones verificadas de la cuenta de Apple del usuario. 3

El contexto de las recientes revelaciones de privacidad

La controversia sobre los dominios llegó junto con varios informes independientes sobre problemas en los sistemas de privacidad de Apple. Estos incidentes no demuestran que @private.icloud.com fuera a revelar por sí mismo una dirección de correo o una IP, pero ayudan a entender por qué los usuarios examinaron con tanta atención un cambio que podía hacer más fáciles de clasificar las direcciones ocultas.

La vulnerabilidad de los rebotes de spam de Hide My Email

Una vulnerabilidad reportada en Hide My Email podía exponer la dirección real detrás de un alias cuando un mensaje enviado a este era rechazado como spam. La dirección subyacente podía aparecer en los registros de transferencia de correo del remitente, debilitando la principal promesa de privacidad de la función. Apple afirmó que desplegó una solución el 3 de julio de 2026 y las pruebas posteriores indicaron que el problema ya no podía reproducirse. 474954

Sin embargo, aplicar un parche no elimina necesariamente la exposición histórica. Los sistemas de correo de terceros pueden conservar registros antiguos, por lo que las direcciones expuestas antes de la solución podrían seguir almacenadas fuera del control de Apple. 4860

Los informes sobre filtraciones de IP en Private Relay

Investigadores también informaron de que parte del tráfico relacionado con WebKit podía eludir iCloud Private Relay y revelar la dirección IP real del usuario. Entre las rutas señaladas estaban las solicitudes WebAuthn relacionadas con passkeys, WebTransport y la precarga de DNS. 192023

Un informe posterior describió una solución aparente en iOS 26.6.1. No obstante, las pruebas disponibles se refieren a un parche reportado y no a una explicación amplia de Apple sobre la arquitectura o el impacto del problema. 18

Son mecanismos distintos de la visibilidad del dominio de correo. El fallo de Hide My Email implicaba la exposición de la dirección mediante mensajes rebotados, mientras que los informes sobre Private Relay se referían a tráfico de red que podía salir de la ruta protegida. Ninguno demuestra que el dominio @private.icloud.com fuera a revelar directamente la identidad del usuario.

La lectura más clara del cambio de rumbo

La explicación directa es la oposición de la comunidad a que las direcciones fueran fáciles de bloquear: los usuarios señalaron que trasladar Hide My Email a un dominio exclusivo de privacidad permitiría a las webs identificar y rechazar los alias con facilidad. El propio anuncio de Apple confirma que la reversión llegó después de revisar los comentarios de la comunidad. 10

Las revelaciones de seguridad deben entenderse como contexto reputacional, no como una causa demostrada. Hicieron más frágil la confianza en las protecciones de privacidad de Apple, pero la compañía no ha vinculado esos informes con la decisión sobre el dominio.

El resultado práctico es un compromiso: Hide My Email conserva el sufijo menos llamativo @icloud.com, mientras que los desarrolladores de Sign in with Apple deben prepararse para admitir @private.icloud.com junto con el dominio de retransmisión antiguo.