La promesa d'iCloud Private Relay era clara: amagar la teva adreça IP real mentre navegues amb Safari perquè les webs no et puguin rastrejar. Tot i això, una investigació recent ha destapat que aquesta protecció no sempre es compleix. Un grup d'experts en seguretat han trobat diverses vies per les quals la teva IP s'escapa , fins i tot amb el servei activat. El problema és més seriós del que sembla, perquè afecta tots els navegadors de iOS i macOS, i ja ha generat una gran preocupació entre els usuaris.
Els investigadors Tommy Mysk i Talal Haj Bakry, coneguts per les seves anà lisis de privadesa, han publicat un informe detallant tres errors a WebKit , el motor que usen tots els navegadors a iOS. Aquests errors permeten que un lloc web maliciós obtingui la teva IP real sense que te n'adonis, saltant completament el túnel de privadesa de Private Relay. La notÃcia ha fet la volta al món les últimes hores, i Apple ja ha reconegut que està investigant l'assumpte, encara que sense donar terminis de solució.
L'origen del problema: passkeys i altres vies de fugida
La decisió més greu i rellevant per a l'usuari mitjà té a veure amb les passkeys, el sistema d'autenticació sense contrasenya que cada cop guanya més adeptes. Quan un lloc web demana una passkey, la petició no es gestiona dins del navegador Safari, sinó que és el sistema operatiu del dispositiu el que la processa directament a nivell de sistema. Aquest procés, que utilitza l'està ndard WebAuthn, s'executa al marge del túnel de privadesa que crea Private Relay, per la qual cosa el web que realitza la sol·licitud pot veure l'adreça IP real del dispositiu sense cap problema.
La qüestió és especialment delicada perquè, com assenyalen els investigadors, qualsevol pà gina web pot simular que suporta passkeys per forçar aquesta petició i obtenir la IP del visitant. No es requereix cap interacció per part de l'usuari, cosa que converteix aquesta via en una porta del darrere silenciosa per al rastreig i la identificació. A més, els investigadors han documentat dues fallades addicionals més en WebKit que agreugen la situació: el DNS prefetching, que filtra les consultes al sistema de noms de domini, i WebTransport, un protocol de connexió directa que també se salta el proxy.
Des de Mysk i Haj Bakry han posat a disposició dels usuaris una pà gina web de prova, anomenada leaks.psylo.app, on qualsevol pot comprovar si la seva adreça IP s'està filtrant tot i tenir Private Relay activat. Les proves realitzades pels periodistes de Media 404 en aquest lloc van confirmar que l'eina mostrava la IP real d'un usuari que, en teoria, estava protegit pel servei d'Apple.
Abast a l'ecosistema iOS i més enllÃ
Una de les particularitats d'aquest problema és que no afecta només Safari. A causa de les polÃtiques de l'App Store, tots els navegadors disponibles a iOS , com ara Chrome, Firefox o Brave, estan obligats a utilitzar el motor WebKit. Això significa que la vulnerabilitat s'estén a prà cticament qualsevol navegador del sistema, incloent-hi opcions centrades en la privadesa com Onion Browser, un navegador que es connecta a la xarxa Tor. Els investigadors han confirmat que aquest navegador també pateix les fuites d'IP, i ja han contactat amb els desenvolupadors per buscar solucions.
Aquesta situació ha revifat el debat sobre la naturalesa d'iCloud Private Relay. A diferència d'una VPN tradicional, que protegeix tot el trà nsit de xarxa del dispositiu a nivell del sistema, Private Relay només actua sobre el trà nsit que passa per Safari. Aquesta diferència, que sovint passa per alt, és l'arrel del problema actual. Els experts insisteixen que un servei d'aquestes caracterÃstiques no s'ha de considerar un substitut d'una VPN completa, ja que el seu à mbit d'actuació és molt més limitat del que molts usuaris creuen.
A nivell europeu i espanyol, la situació té una rellevà ncia especial. La privadesa és un dret fonamental protegit pel Reglament General de Protecció de Dades (RGPD), i l'Agència Espanyola de Protecció de Dades (AEPD) és un dels organismes que més activament vigila el compliment d'aquestes normatives. Una fallada d'aquestes caracterÃstiques en un servei que es comercialitza precisament com un baluard de la privadesa podria tenir implicacions reguladores , especialment si es demostra que la funcionalitat no ofereix el nivell de protecció promès.
Resposta d'Apple i recomanacions
Apple ha confirmat a 404 Media que està investigant l'informe dels investigadors, encara que no ha ofert una data concreta per a la solució. Al portal de report de seguretat utilitzat pels investigadors, l'estat de la incidència indica que es planeja solucionar el problema a la tardor de 2026 . Tot i això, l'experiència prèvia amb una fallada similar al servei Hide My Email, que també va exposar dades dels usuaris i va trigar més d'un any a solucionar-se, genera dubtes sobre la rapidesa de la resposta.
Mentrestant, l'única manera de protegir completament la teva IP a iOS és fer servir una VPN que operi a nivell del sistema . Serveis com ProtonVPN, Mullvad o WireGuard, per exemple, són capaços de protegir tot el trà nsit del dispositiu, incloent-hi les peticions que es generen fora del navegador, com les relacionades amb les passkeys. Els investigadors confirmen que una VPN tradicional protegeix tot el trà nsit del dispositiu, incloent-hi les sol·licituds de passkeys que s'escapen del túnel de privadesa.
La comunitat de seguretat ja ha posat el focus en aquest assumpte, i no n'hi ha per menys. La filtració de la IP real pot permetre a les xarxes publicità ries i als serveis de rastreig vincular la identitat de l'usuari amb la seva activitat de navegació, desmuntant completament el propòsit de Private Relay. Encara que la decisió no ha estat explotada de forma massiva fins ara, el simple fet que hi hagi una pà gina web de demostració i que mitjans internacionals hagin verificat el problema, subratlla la gravetat de la situació.
Per acabar, és important recordar que aquest incident no invalida completament la utilitat d'iCloud Private Relay. La resta de la navegació a través de Safari continua protegida pel sistema de doble retransmissió, que impedeix que Apple i els llocs web puguin correlacionar la IP amb l'activitat de l'usuari. Tot i això, l'existència d'aquestes vies d'escapament, i en particular la relacionada amb les passkeys, demostra que la privadesa digital és un camp de batalla constant on les solucions aparentment sòlides poden tenir punts cecs. Els usuaris han de ser conscients d'aquestes limitacions i, si la seva amenaça és alta, considerar l'ús d'eines complementà ries com una VPN per garantir una protecció veritablement integral. La confiança en les promeses de privadesa ha de basar-se en un coneixement real de com funcionen aquestes tecnologies i quins són els seus lÃmits.