Apple Pertahankan Hide My Email di @icloud.com, tetapi Sign in with Apple Pindah Domain

Apple memisahkan kembali rencana perubahan domain emailnya. Pada Juni, perusahaan mengumumkan bahwa alias iCloud+ Hide My Email dan alamat relay Sign in with Apple yang baru akan menggunakan @private.icloud.com. Namun, dalam pembaruan pada 24 Agustus, Apple menyatakan bahwa alias Hide My Email akan tetap memakai @icloud.com. Sementara itu, alamat baru Sign in with Apple tetap akan berpindah dari @privaterelay.appleid.com ke @private.icloud.com pada akhir 2026. Alamat relay lama akan terus berfungsi dan meneruskan email tanpa gangguan. 10

Apa yang berubah?

Rencana awal Apple adalah menyatukan domain untuk dua fitur privasi tersebut. Alias Hide My Email yang sudah ada di @icloud.com dan alamat Sign in with Apple yang sudah ada di @privaterelay.appleid.com tetap dijanjikan akan terus aktif. 15

Dalam rencana terbaru:

• iCloud+ Hide My Email: Alias baru tetap menggunakan @icloud.com.
• Sign in with Apple: Alamat relay baru akan menggunakan @private.icloud.com mulai akhir 2026.
• Alamat Sign in with Apple yang sudah ada: Alamat @privaterelay.appleid.com tetap valid dan terus meneruskan email.

Apple mengatakan keputusan mempertahankan @icloud.com diambil setelah “pertimbangan lebih lanjut” dan meninjau masukan komunitas. Apple tidak menyebut adanya pengungkapan keamanan tertentu sebagai penyebab pembatalan tersebut. 10

Mengapa pengguna menolak domain baru Hide My Email?

Masalah utamanya bukan bahwa perubahan domain otomatis akan membongkar alamat email asli di balik alias. Kekhawatirannya adalah @private.icloud.com akan langsung menandai sebuah alamat sebagai relay privasi milik Apple.

Situs atau aplikasi dapat mengenali domain itu hanya dengan pemeriksaan sederhana. Setelah itu, mereka bisa menolak alamat tersebut saat pendaftaran, meminta alamat email lain, atau menjadikannya sinyal dalam pemeriksaan risiko dan penipuan. Akibatnya, alias Hide My Email akan lebih mudah diblokir. 44

Berbeda dari itu, @icloud.com juga digunakan untuk alamat email iCloud biasa. Alias Hide My Email dengan akhiran tersebut lebih sulit dibedakan dari kotak masuk iCloud konvensional oleh layanan yang ingin menyaring alamat tersamarkan.

Di sinilah letak keberatan pengguna: meskipun sistem penerusan email Apple tidak berubah, domain khusus @private.icloud.com dinilai dapat mengurangi privasi praktis dan kemampuan alias untuk tetap terlihat seperti alamat email biasa. 35

Yang perlu diperbarui oleh pengembang Sign in with Apple

Pengembang sebaiknya memperlakukan perubahan ini sebagai masa transisi, bukan penggantian total domain lama.

Terima kedua domain relay

Sistem akun, validasi alamat email, ekspresi reguler, daftar izin, dan logika yang bergantung pada domain harus menerima alamat baru dengan akhiran @private.icloud.com, sekaligus tetap menerima alamat lama dengan akhiran @privaterelay.appleid.com.

Dokumentasi Apple juga menyebut @icloud.com dalam penanganan domain relay. Karena itu, sistem sebaiknya tidak berasumsi bahwa hanya ada satu akhiran email Apple yang valid. 810

Yang paling penting, jangan memindahkan atau menonaktifkan akun lama hanya karena alamat pengguna masih menggunakan domain lama. Apple menyatakan bahwa alamat @privaterelay.appleid.com yang sudah diterbitkan akan tetap berfungsi dan meneruskan email tanpa gangguan. 10

Periksa konfigurasi pengiriman email

Aplikasi atau situs yang mengirim pesan melalui relay email privat Apple harus mendaftarkan domain dan subdomain pengirim melalui akun developer Apple. Sumber email yang didaftarkan juga harus lolos pemeriksaan SPF. 6

Tim teknis perlu meninjau:

• Domain dan subdomain pengirim yang terdaftar
• Catatan DNS SPF
• Alur validasi email dan pemulihan akun
• Daftar izin serta daftar blokir
• Kolom atau skema basis data yang mengasumsikan domain email tertentu
• Sistem dukungan pelanggan dan pencarian akun berdasarkan akhiran alamat email

Dokumentasi Apple menjelaskan bahwa relay akan meneruskan pesan ke salah satu alamat email Akun Apple pengguna yang telah diverifikasi. 3

Bagaimana isu keamanan terbaru memengaruhi konteksnya?

Kontroversi domain ini muncul bersamaan dengan laporan terpisah mengenai kelemahan pada sistem privasi Apple. Laporan-laporan tersebut tidak membuktikan bahwa @private.icloud.com akan membocorkan alamat email atau alamat IP secara langsung. Namun, isu tersebut membantu menjelaskan mengapa pengguna semakin kritis terhadap perubahan yang dapat membuat alias privasi lebih mudah diklasifikasikan.

Kerentanan Hide My Email melalui email yang ditolak sebagai spam

Sebuah kelemahan yang dilaporkan pada Hide My Email memungkinkan alamat asli di balik alias terlihat ketika email yang dikirim ke alias ditolak sebagai spam. Alamat tersebut dapat muncul dalam log transfer email di sisi pengirim, sehingga melemahkan janji utama fitur untuk menyembunyikan alamat pengguna. Apple mengatakan telah menerapkan perbaikan pada 3 Juli 2026, dan pengujian berikutnya melaporkan bahwa masalah itu tidak lagi dapat direproduksi. 474954

Perbaikan tersebut tidak otomatis menghapus data yang sudah telanjur tersimpan. Sistem email pihak ketiga mungkin masih menyimpan log pengiriman lama. Karena itu, alamat yang terekspos sebelum perbaikan masih dapat berada dalam catatan di luar kendali Apple. 4860

Laporan kebocoran alamat IP melalui Private Relay

Peneliti juga melaporkan bahwa sebagian lalu lintas yang terkait dengan WebKit dapat melewati iCloud Private Relay dan membocorkan alamat IP asli pengguna. Jalur yang disebut mencakup permintaan WebAuthn terkait passkey, WebTransport, dan pramuat DNS. 192023

Laporan berikutnya menyebut adanya perbaikan pada iOS 26.6.1. Namun, bukti yang tersedia lebih menunjukkan adanya patch yang dilaporkan daripada penjelasan menyeluruh dari Apple mengenai arsitektur atau dampak masalah tersebut. 18

Kedua isu ini bekerja melalui mekanisme yang berbeda dari visibilitas domain email. Kerentanan Hide My Email berkaitan dengan terbongkarnya alamat melalui email yang ditolak, sedangkan laporan Private Relay berkaitan dengan lalu lintas jaringan yang dapat keluar dari jalur relay.

Dengan demikian, tidak satu pun dari laporan tersebut membuktikan bahwa domain @private.icloud.com akan secara langsung mengungkap identitas pengguna.

Kesimpulan: kompromi untuk menjaga fungsi privasi

Penjelasan paling langsung atas pembalikan keputusan Apple adalah penolakan komunitas terhadap risiko alias menjadi mudah diblokir. Pengguna menilai domain privasi khusus akan memberi situs dan aplikasi cara sederhana untuk mengenali serta menolak alamat Hide My Email. Apple sendiri mengonfirmasi bahwa keputusan tersebut diambil setelah meninjau masukan komunitas. 10

Sementara itu, pengungkapan keamanan yang terjadi pada periode yang sama lebih tepat dipahami sebagai konteks reputasi, bukan penyebab yang sudah terbukti. Isu-isu tersebut dapat memperlemah kepercayaan terhadap perlindungan privasi Apple, tetapi Apple tidak mengaitkannya secara langsung dengan keputusan domain.

Hasil akhirnya adalah sebuah kompromi: Hide My Email tetap memakai akhiran yang lebih sulit dikenali, yaitu @icloud.com, sedangkan pengembang Sign in with Apple harus bersiap mendukung @private.icloud.com bersama domain relay lama @privaterelay.appleid.com.