Private Relay fue diseñado para ofrecer una capa adicional de privacidad al navegar desde un iPhone, pero una investigación de seguridad publicada en agosto de 2026 puso el foco en una situación que puede preocupar a quienes utilizan esta función como protección frente al rastreo. El problema está relacionado con WebKit, el motor utilizado por los navegadores de iOS, y puede hacer que una página web obtenga la dirección IP real del usuario en determinados escenarios.
La situación fue documentada por los investigadores Talal Haj Bakry y Tommy Mysk, quienes informaron de tres problemas relacionados con WebKit. El caso que más atención recibió está vinculado con las passkeys, un sistema utilizado para iniciar sesión en determinados servicios sin depender exclusivamente de una contraseña. De acuerdo con la información presentada por los investigadores, una solicitud relacionada con este método de autenticación puede realizarse fuera del contexto protegido por Private Relay y revelar la IP al sitio web.
El hallazgo resulta especialmente relevante porque la dirección IP forma parte de la información que muchas personas buscan mantener protegida cuando activan herramientas de privacidad. No significa que todos los usuarios estén constantemente expuestos ni que una cuenta de Apple haya sido tomada, pero sí muestra que una función diseñada para ocultar la IP puede tener límites que no resultan evidentes para quien la utiliza.
Qué es Private Relay y qué protección ofrece
Private Relay es una función incluida en los planes iCloud+ de Apple que busca proteger la privacidad durante la navegación con Safari. Su objetivo es evitar que un sitio web pueda identificar directamente la dirección IP real del usuario y, al mismo tiempo, impedir que Apple conozca tanto la identidad del usuario como el sitio que está visitando.
Sin embargo, Private Relay no funciona exactamente igual que una VPN tradicional. Su protección está centrada en el tráfico de navegación compatible y no cubre todas las comunicaciones que realiza un iPhone. Esta diferencia resulta importante para comprender el problema descubierto por los investigadores, porque determinadas solicitudes pueden producirse fuera del recorrido habitual que protege el servicio de Apple.
En este caso, el punto de atención está en las passkeys. Cuando un usuario utiliza una passkey para identificarse ante una página web, el dispositivo puede realizar una solicitud relacionada con la autenticación a nivel del sistema. Según la investigación, esa comunicación puede quedar fuera de la protección de Private Relay y permitir que el servidor conozca la dirección IP real.
Para el usuario, la situación puede resultar difícil de detectar. No necesariamente aparece una advertencia en pantalla ni existe un mensaje que indique que la IP está siendo compartida. La persona puede simplemente visitar una página y utilizar una función de inicio de sesión mientras considera que su conexión continúa protegida.
Cómo funciona el problema con las passkeys
Las passkeys se han convertido en una alternativa a las contraseñas tradicionales porque permiten utilizar mecanismos de autenticación integrados en el dispositivo. El usuario puede identificarse mediante una función de seguridad disponible en su teléfono, sin tener que escribir una contraseña cada vez que entra a un servicio.
El problema señalado en la investigación aparece porque esa autenticación no necesariamente se desarrolla dentro del mismo espacio que la navegación protegida por Private Relay. La página puede solicitar una passkey y el sistema operativo procesa parte de esa operación de manera independiente.
Según los investigadores, incluso una página que simplemente simule ser compatible con passkeys podría provocar que el dispositivo genere la solicitud correspondiente. En ese escenario, el sitio podría recibir la dirección IP real aunque el usuario tenga Private Relay activado.
La investigación también señala otros dos problemas relacionados con WebKit. Uno está relacionado con DNS Prefetching, una función destinada a anticipar determinadas conexiones para acelerar la carga de páginas. El otro involucra WebTransport, una tecnología utilizada para determinadas comunicaciones en internet. Ambos pueden tener implicaciones relacionadas con la información de red que queda expuesta.
Private Relay: qué pueden hacer los usuarios mientras tanto
La información disponible señala que Apple reconoció el reporte y comunicó que está investigando los problemas. También se indicó que la compañía planea solucionar el problema mediante una actualización prevista para otoño de 2026.
Mientras llega una solución, los usuarios pueden tomar algunas medidas sencillas para reducir riesgos y entender mejor qué protección están utilizando. Lo primero es recordar que Private Relay no debe considerarse automáticamente como equivalente a una VPN que cubre todo el tráfico del dispositivo.
También resulta recomendable mantener actualizado el sistema operativo del iPhone. Cuando una compañía identifica un problema de seguridad en componentes como WebKit, las actualizaciones son una de las principales vías para recibir las correcciones correspondientes.
Quienes dependen especialmente de la privacidad de su dirección IP pueden considerar una VPN que funcione a nivel del sistema. La diferencia práctica es que una VPN de este tipo puede proteger comunicaciones que no están limitadas al tráfico de Safari, mientras que Private Relay tiene un alcance diferente.
Qué significa para empresas y usuarios
El problema también tiene importancia fuera del uso personal. Empresas, profesionales y organizaciones pueden utilizar dispositivos Apple dentro de sus actividades diarias y establecer determinadas expectativas sobre la protección de datos y las conexiones de sus empleados.
Si una organización considera Private Relay como parte de su estrategia de privacidad, conviene conocer exactamente qué tráfico protege y cuáles son sus límites. Esto es especialmente importante cuando los trabajadores utilizan servicios que incorporan passkeys u otras funciones que interactúan directamente con el sistema operativo.
Para los usuarios particulares ocurre algo parecido. La principal lección es no asumir que activar una función de privacidad significa que absolutamente toda la información de conexión queda oculta. Las herramientas de protección tienen un alcance concreto y ese alcance puede cambiar cuando aparecen nuevas tecnologías o cuando una función del sistema interactúa con ellas.
La investigación sobre Private Relay pone precisamente este punto sobre la mesa: una función de privacidad puede funcionar correctamente en determinadas circunstancias y, al mismo tiempo, presentar problemas en escenarios específicos. Por ello, conocer qué hace realmente cada herramienta es tan importante como activarla.
La respuesta de Apple y el siguiente paso
La respuesta de Apple será determinante para saber cómo termina este episodio. De acuerdo con la información proporcionada, los investigadores reportaron los problemas y la compañía confirmó que está trabajando en una solución. El calendario señalado apunta a otoño de 2026.
Hasta entonces, el escenario no cambia por completo para todos los usuarios de iPhone. El problema principal descrito está relacionado con determinados sitios y el uso de passkeys, mientras que los otros fallos identificados tienen características diferentes. Por eso, no sería correcto presentar la situación como si cada persona con Private Relay activado tuviera automáticamente su IP expuesta durante toda su navegación.
Lo que sí queda claro es que la privacidad digital depende de varias capas y no de una única función. Mantener actualizado el celular, conocer las herramientas utilizadas, prestar atención a las páginas donde se introducen datos y elegir una protección adicional cuando sea necesario son medidas que pueden ayudar a reducir la exposición.
Para quienes utilizan Private Relay, la noticia sirve como recordatorio de que una herramienta de privacidad no es una garantía absoluta frente a todos los escenarios posibles. Mientras Apple prepara la corrección, conocer sus límites permite tomar decisiones más informadas sobre la protección de la información personal y empresarial.
En definitiva, Private Relay continúa siendo una función de privacidad con un propósito concreto, pero los fallos descubiertos muestran por qué es importante entender cómo funcionan estas protecciones y mantenerse atento a las actualizaciones de seguridad.
