Apple mantém o Hide My Email no @icloud.com, mas Sign in with Apple terá novo domínio

A Apple cancelou o plano de migrar novos aliases do iCloud+ Hide My Email de @icloud.com para @private.icloud.com. Após analisar comentários da comunidade, a empresa confirmou que o recurso continuará usando @icloud.com, o mesmo domínio empregado pelo e-mail padrão do iCloud. A migração independente de novos endereços de retransmissão do Sign in with Apple, porém, seguirá adiante. 181924

O que mudou

Em junho, a Apple havia anunciado que unificaria os domínios usados pelos dois recursos de privacidade sob @private.icloud.com. Pela proposta original, novos aliases do Hide My Email deixariam @icloud.com, enquanto novos endereços do Sign in with Apple deixariam @privaterelay.appleid.com. Os endereços já existentes continuariam funcionando e encaminhando mensagens normalmente. 17

O plano revisado separa novamente os serviços:

• Hide My Email: novos aliases continuarão usando @icloud.com; a migração proposta para @private.icloud.com foi cancelada. 1819
• Sign in with Apple: novos endereços de retransmissão ainda serão transferidos de @privaterelay.appleid.com para @private.icloud.com. 1819
• Endereços existentes: segundo a política de transição informada pela Apple, os endereços antigos continuarão funcionando e encaminhando mensagens. Desenvolvedores e provedores de e-mail deverão aceitar o novo domínio do Sign in with Apple, em vez de tratá-lo como um endereço desconhecido. 1725

Por que os usuários rejeitaram o @private.icloud.com

A principal preocupação não era que os aliases deixassem de encaminhar mensagens. O problema era que um domínio explicitamente associado à privacidade tornaria esses endereços mais fáceis de identificar.

Atualmente, os aliases do Hide My Email usam @icloud.com, o mesmo domínio de endereços comuns do iCloud. Isso dificulta que um site ou administrador de e-mail bloqueie seletivamente aliases privados sem correr o risco de afetar também usuários comuns do iCloud. Com um domínio exclusivo como @private.icloud.com, bastaria uma regra baseada no domínio para localizar esses endereços e, potencialmente, bloqueá-los ou tratá-los de forma diferente. 2429

Essa diferença é importante porque o Hide My Email foi criado para permitir que cada serviço receba um endereço diferente, mantendo a caixa de entrada real do usuário protegida. Para usuários e desenvolvedores, a mudança poderia reduzir a privacidade prática do recurso, mesmo sem eliminar o mecanismo de encaminhamento. 1821

O que acontece com cada recurso da Apple

O Hide My Email continua no @icloud.com

Quem criar novos aliases pelo iCloud+ deverá continuar recebendo endereços com o conhecido domínio @icloud.com. A emissão de novos aliases em @private.icloud.com não ocorrerá de acordo com a política revisada da Apple. Os aliases já existentes também permanecem dentro do esquema de encaminhamento de endereços antigos descrito pela empresa. 1718

O Sign in with Apple ainda mudará para @private.icloud.com

A reversão vale apenas para o Hide My Email. O Sign in with Apple continuará emitindo novos endereços privados em @private.icloud.com, substituindo @privaterelay.appleid.com. Os endereços antigos do Sign in with Apple devem continuar funcionando e encaminhando mensagens, mas serviços que validam ou filtram domínios de e-mail precisam estar preparados para aceitar o novo endereço. 1725

Na prática, os dois recursos de privacidade da Apple não serão mais concentrados em um único domínio: o Hide My Email continuará associado a @icloud.com, enquanto novos endereços do Sign in with Apple adotarão @private.icloud.com.

Qual é a relação com as preocupações recentes de privacidade

A Apple não afirmou publicamente que a reversão foi causada pelos relatórios de segurança recentes. Portanto, há uma relação de timing e de confiança dos usuários, mas não uma ligação técnica ou causal comprovada.

Em julho, relatos descreveram uma falha do Hide My Email que poderia expor o endereço de e-mail real quando uma mensagem enviada a um alias fosse rejeitada como spam e gerasse informações em registros de entrega ou de remetentes. A Apple afirmou que uma correção distribuída em 3 de julho resolveu completamente o problema. Testes posteriores indicaram que a falha não podia mais ser reproduzida, embora houvesse divergências sobre o momento exato em que o reparo foi aplicado. 353948

Pesquisas separadas também apontaram que certos comportamentos do WebKit poderiam contornar o iCloud Private Relay. Entre os caminhos relatados estão solicitações relacionadas a passkeys e WebAuthn, o pré-carregamento de DNS e conexões WebTransport. Essas solicitações poderiam sair da rota esperada pelo proxy e revelar o endereço IP real do usuário a um site. 1414

São problemas de naturezas diferentes: o caso do Hide My Email envolvia encaminhamento de e-mails e mensagens devolvidas, enquanto os problemas do Private Relay envolviam proteção de IP e DNS. Nenhum deles demonstra que a mudança de domínio, por si só, criaria as mesmas vulnerabilidades. Ainda assim, os relatos ajudam a explicar por que os usuários ficaram especialmente atentos a uma alteração que poderia tornar aliases de privacidade mais fáceis de identificar.

O que fica de mais importante

A decisão da Apple preserva a característica que os usuários mais queriam manter no Hide My Email: novos aliases não serão transferidos para um domínio que os identifique claramente como endereços privados. O Sign in with Apple, por outro lado, ainda passará por uma mudança de domínio. Por isso, desenvolvedores devem aceitar @private.icloud.com como um domínio válido para novos endereços de retransmissão e continuar dando suporte aos endereços antigos durante a transição. 1725