Por qué importa

Private Relay es parte de iCloud+, un servicio de suscripción que Apple promociona como una capa extra de privacidad para navegar. Pero el fallo demuestra que solo protege el tráfico dentro de Safari; las solicitudes de credenciales que maneja el sistema operativo quedan fuera de ese túnel.

Además, como Apple exige que todos los navegadores en iOS usen WebKit, el problema se extiende a cualquier app de navegación, incluidos navegadores centrados en privacidad como OnionBrowser (basado en Tor). Las VPN tradicionales que corren a nivel de sistema no se ven afectadas.

Entre líneas

Los investigadores optaron por no reportar el fallo a Apple antes de publicarlo. Según Mysk, su experiencia previa con la compañía incluye meses de retrasos y respuestas inconsistentes. En vez de eso, lanzaron un sitio web para que los usuarios comprueben si su IP se filtra, y su propio navegador Psylo ya incluye mitigaciones.

Los números que importan

Tres características de WebKit exponen datos del usuario:

  • Prefetching DNS (iOS 26): revela los servidores DNS reales del dispositivo.
  • WebAuthn Related Origin Requests (iOS 18): la consulta de llaves de paso sale directamente del sistema, sin pasar por el proxy.
  • WebTransport (iOS 26.4): establece conexiones HTTP/3 que ignoran cualquier proxy configurado.

Qué sigue

Apple confirmó a 404 Media que investiga el reporte. No hay aún una fecha para una corrección. Mientras tanto, los usuarios que quieran proteger su IP deben considerar una VPN que opere a nivel de sistema, o usar navegadores alternativos como Psylo que ya implementaron parches.