Apple, Hide My Email kararından geri adım attı: Sign in with Apple için değişiklik sürüyor

Apple, e-posta alan adlarıyla ilgili planını ikiye böldü. Şirket haziran ayında hem iCloud+ Hide My Email hem de Sign in with Apple tarafından oluşturulan yeni adresleri @private.icloud.com altında birleştireceğini açıklamıştı. Ancak 24 Ağustos’ta yapılan güncellemeyle iCloud+ Hide My Email takma adreslerinin @icloud.com uzantısını koruyacağı duyuruldu. 10

Buna karşılık Sign in with Apple için planlanan değişiklik devam ediyor: 2026’nın ilerleyen dönemlerinde oluşturulacak yeni yönlendirme adresleri @privaterelay.appleid.com yerine @private.icloud.com uzantısını kullanacak. Mevcut Sign in with Apple adresleri ise çalışmaya ve e-postaları kesintisiz biçimde yönlendirmeye devam edecek. 10

Apple tam olarak neyi değiştirdi?

Apple’ın haziran ayındaki ilk planı, iki gizlilik özelliği için oluşturulan yeni adresleri tek bir alan adında toplamaktı. Bu plana göre:

• iCloud+ Hide My Email: Yeni takma adresler @icloud.com yerine @private.icloud.com kullanacaktı.
• Sign in with Apple: Yeni yönlendirme adresleri @privaterelay.appleid.com yerine @private.icloud.com uzantısına geçecekti.
• Mevcut adresler: Eski alan adlarını kullanan adresler geçerliliğini koruyacak ve e-posta yönlendirmesi kesilmeyecekti. 15

Revize edilen plan ise daha dar kapsamlı:

• Hide My Email adresleri @icloud.com uzantısında kalacak.
• Yeni Sign in with Apple adresleri 2026’nın ilerleyen dönemlerinde @private.icloud.com uzantısını kullanacak.
• Mevcut @privaterelay.appleid.com adresleri çalışmaya devam edecek.

Apple, Hide My Email kararından geri adım atmasını “daha fazla değerlendirme” ve topluluk geri bildirimleriyle açıkladı. Şirket, karara belirli bir güvenlik açığının neden olduğunu söylemedi. 10

Kullanıcılar neden @private.icloud.com değişikliğine karşı çıktı?

Tepkinin nedeni, alan adı değişikliğinin tek başına gerçek e-posta adresini açığa çıkaracak olması değildi. Asıl endişe, @private.icloud.com uzantısının bir adresin Apple’ın gizlilik aktarım sisteminden geldiğini açıkça belli etmesiydi.

Bir internet sitesi veya uygulama, alan adını basit bir kontrolle tanıyabilir. Ardından bu adresleri kayıt sırasında reddedebilir, kullanıcıdan farklı bir e-posta isteyebilir ya da adresi dolandırıcılık ve risk değerlendirmelerinde bir sinyal olarak kullanabilir. Böylece Hide My Email adreslerini toplu biçimde engellemek kolaylaşabilirdi. 44

@icloud.com ise Apple’ın standart iCloud e-posta adreslerinde de kullanılıyor. Bu nedenle aynı uzantıyı kullanan bir Hide My Email adresi, maskeli bir adresi özellikle ayırt etmeye çalışan hizmetler için daha az dikkat çekici. Kullanıcıların itirazının merkezinde bu fark vardı: Yönlendirme altyapısı değişmese bile yeni alan adı, özelliğin pratikteki gizliliğini ve adresin normal bir posta kutusu gibi görünmesini sağlayan belirsizliği azaltabilirdi. 35

Sign in with Apple kullanan geliştiriciler ne yapmalı?

Geliştiriciler bu süreci eski alan adının tamamen kaldırılması olarak değil, iki alan adının birlikte kullanılacağı bir geçiş dönemi olarak ele almalı.

Her iki yönlendirme alan adını kabul edin

Hesap sistemleri, e-posta doğrulama kuralları, düzenli ifadeler, izin listeleri ve alan adına özel tüm kontroller şu adresleri kabul edecek şekilde güncellenmeli:

• @privaterelay.appleid.com
• @private.icloud.com
• Apple’ın önceki yönlendirme belgelerinde belirtilen @icloud.com uzantısı 810

Özellikle mevcut kullanıcılar yalnızca adresleri eski alan adını taşıyor diye taşınmamalı veya pasifleştirilmemeli. Apple, @privaterelay.appleid.com adreslerinin çalışmayı ve e-posta yönlendirmesini kesintisiz sürdüreceğini belirtiyor. 10

Giden e-posta ve SPF ayarlarını kontrol edin

Bir uygulama veya web sitesi Apple’ın özel e-posta yönlendirme hizmeti üzerinden kullanıcıların gerçek gelen kutularına mesaj gönderecekse, giden e-postalarda kullanılan alan adlarını ve alt alan adlarını Apple geliştirici hesabına kaydetmeli. Apple ayrıca kayıtlı e-posta kaynaklarının SPF kontrolünden geçmesini istiyor. 6

Bu nedenle ekiplerin şu noktaları gözden geçirmesi gerekiyor:

• Kayıtlı gönderim alan adları ve alt alan adları
• SPF için kullanılan DNS kayıtları
• E-posta doğrulama ve hesap kurtarma akışları
• İzin ve engelleme listeleri
• Sabit bir e-posta alan adı varsayan veritabanı alanları veya şemalar
• Kullanıcıları e-posta uzantısına göre arayan destek ve hesap yönetimi araçları

Apple’ın belgelerine göre özel yönlendirme hizmeti, mesajları kullanıcının doğrulanmış Apple Hesabı e-posta adreslerinden birine iletir. 3

Son güvenlik açıklamaları bu tartışmaya nasıl bir bağlam sağlıyor?

Alan adı tartışması, Apple’ın gizlilik sistemleriyle ilgili iki ayrı güvenlik raporunun ardından gündeme geldi. Bu olaylar @private.icloud.com alan adının kendi başına e-posta adresini veya IP adresini sızdıracağını göstermiyor. Ancak kullanıcıların, gizlilik özelliklerinde yapılacak yeni bir değişikliği daha yakından incelemesine neden olan güven ortamını açıklamaya yardımcı oluyor.

Hide My Email’de spam geri dönüşü açığı

Hide My Email’de raporlanan bir açık, takma ad üzerinden gönderilen bir mesaj spam olarak reddedildiğinde adresin arkasındaki gerçek e-posta adresinin açığa çıkmasına yol açabiliyordu. Gerçek adres, gönderen tarafın e-posta aktarım günlüklerinde görünebildiği için özelliğin temel gizlilik vaadi zedeleniyordu. Apple, 3 Temmuz 2026’da bir düzeltme dağıttığını söyledi; sonraki testlerde açığın yeniden üretilemediği bildirildi. 474954

Ancak bir yamanın geçmişteki sızıntıları ortadan kaldırması gerekmiyor. Üçüncü taraf e-posta sistemleri eski teslimat günlüklerini saklayabileceğinden, düzeltmeden önce açığa çıkan adresler Apple’ın kontrolü dışındaki kayıtlarda bulunmaya devam edebilir. 4860

Private Relay üzerinden bildirilen IP sızıntıları

Araştırmacılar ayrıca WebKit’le ilişkili bazı trafik türlerinin iCloud Private Relay’i atlayarak kullanıcının gerçek IP adresini açığa çıkarabildiğini bildirdi. Raporda passkey olarak bilinen geçiş anahtarı doğrulamalarına dayanan WebAuthn istekleri, WebTransport ve DNS ön getirme işlemleri öne çıktı. 192023

Daha sonraki bir haberde sorunun iOS 26.6.1’de görünüşe göre giderildiği aktarıldı. Ancak mevcut bilgiler, Apple’ın mimariyi veya etkinin kapsamını ayrıntılı biçimde açıklamasından çok raporlanan bir yamaya işaret ediyor. 18

Bu iki konu, e-posta alan adının görünürlüğünden farklı mekanizmalarla ilgili. Hide My Email açığı, geri dönen e-postalar üzerinden gerçek adresin açığa çıkmasını kapsıyordu. Private Relay raporları ise bazı ağ trafiğinin aktarım yolunun dışına çıkıp gerçek IP adresini gösterebilmesiyle ilgiliydi. Dolayısıyla hiçbiri, önerilen @private.icloud.com alan adının doğrudan kullanıcı kimliğini ortaya çıkaracağını kanıtlamıyor.

Apple’ın geri adımının en güçlü açıklaması

Apple’ın resmi açıklamasına göre doğrudan neden, topluluk geri bildirimleri oldu. Kullanıcıların temel itirazı, Hide My Email adreslerinin özel bir gizlilik alan adı altında toplanmasının internet sitelerine bu adresleri tanıyıp engellemek için kolay bir yol verecek olmasıydı. 10

Eş zamanlı güvenlik açıklamaları ise kanıtlanmış bir neden değil, itibar ve güven bağlamı olarak değerlendirilmeli. Bu raporlar Apple’ın gizlilik korumalarına duyulan güveni zayıflatmış olabilir; ancak Apple, söz konusu olaylarla alan adı kararını ilişkilendirmedi.

Pratik sonuç bir uzlaşma niteliğinde: Hide My Email, daha az dikkat çeken @icloud.com uzantısını koruyor. Sign in with Apple kullanan geliştiricilerin ise yeni @private.icloud.com adreslerini mevcut @privaterelay.appleid.com adresleriyle birlikte desteklemeye hazırlanması gerekiyor.