Três falhas no WebKit permitem que sites descubram seu IP real apesar do iCloud Private Relay da Apple

Como o iCloud Private Relay deveria funcionar

O iCloud Private Relay roteia o tráfego do Safari por meio de dois hops (saltos) de proxy separados para ocultar seu IP e DNS do site de destino. Ele não é uma VPN para o dispositivo todo; ele só protege o tráfego dentro do Safari . Essas novas falhas no WebKit permitem que requisições de rede saiam completamente do processo do navegador antes que o roteamento do proxy seja aplicado. Isso significa que o servidor de destino vê o seu IP real, e não o IP de saída do relay .

As três vulnerabilidades

1. Requisições de Origem Relacionada a Passkeys / WebAuthn (A Mais Grave)

Quando um site suporta — ou simplesmente finge suportar — passkeys (chaves de acesso), o serviço de credenciais do sistema no iOS busca um arquivo de validação diretamente do endereço IP real do dispositivo, ignorando completamente o caminho do proxy do Private Relay . Essa requisição é feita pelo gerenciador de credenciais do sistema operacional, e não pelo Safari, portanto ela nunca entra na rota protegida do Private Relay . Qualquer site pode disparar esse vazamento sem nenhuma interação do usuário; não é necessário nem tentar fazer login de verdade . Mysk resumiu o problema de forma direta: "Resumindo: qualquer site que suporte, ou finja suportar, passkeys pode ver o endereço IP real do usuário, mesmo com o iCloud Private Relay ligado" .

2. Pré-carregamento de DNS (DNS Prefetching — iOS 26.0)

O WebKit resolve nomes de host (como www.exemplo.com) usando o caminho de DNS normal do dispositivo, revelando os servidores DNS reais do usuário em vez dos servidores do proxy . Isso expõe o IP real e as informações de DNS do usuário mesmo com o Private Relay ativo . Um site pode "plantar" um endereço único e simplesmente observar a requisição DNS chegar da rede real do usuário .

3. Conexões WebTransport (iOS 26.4)

Sessões do WebTransport iniciadas dentro do navegador podem ignorar o proxy do Private Relay abrindo uma conexão HTTP/3 direta, vazando as informações reais de rede do dispositivo .

Demonstração e Impacto no Mundo Real

A Mysk criou um site de teste público onde qualquer pessoa pode verificar se seu endereço IP real vaza mesmo com o Private Relay ativado. O TechCrunch verificou que o site conseguiu revelar o endereço IP real deles . Além do Safari, os problemas também afetam o OnionBrowser (um navegador Tor para iOS) e outros navegadores baseados em proxy, tudo por causa da obrigatoriedade do WebKit .

O Que Você Pode Fazer Agora

Como a Apple ainda não lançou uma correção, a única mitigação confiável no momento é usar uma VPN de dispositivo inteiro (full-device VPN) que não dependa das configurações de proxy do WebKit. O navegador de terceiros Psylo lançou a versão 1.3.1, que bloqueia as dicas de dns-prefetch e desativa o WebTransport como uma solução alternativa .