Apple сохранила домен icloud.com для сервиса Hide My Email после жалоб пользователей

Решение закреплено в обновлении для разработчиков: новые адреса Sign in with Apple, ранее выпускавшиеся на privaterelay.appleid.com, начнут выдаваться на private.icloud.com до конца года, существующие — продолжат работать без перебоев. Для администраторов почтовой инфраструктуры это означает необходимость срочно пересмотреть политики приёма и фильтрации на стыке с экосистемой Apple.

Что именно отменено и что осталось

Первоначальный анонс середины июня предполагал единый домен private.icloud.com для обеих функций — Hide My Email и Sign in with Apple. До этого Hide My Email использовал общий с обычной почтой iCloud домен icloud.com, что затрудняло доменную блокировку: фильтр, режущий алиасы, одновременно отрезал бы легитимных пользователей. Перенос на private.icloud.com делал Hide My Email легко отличимым на уровне MTA и давал площадкам возможность точечно блокировать сервис.

Apple отступила после волны критики со стороны сообщества. В формулировке разработчикам компания сослалась на дальнейшее рассмотрение и обратную связь. Sign in with Apple, однако, миграцию проходит — частично и адресно: новые идентификаторы переезжают на private.icloud.com, старые privaterelay.appleid.com сохраняются как пересылающие.

Что проверить администратору

Обновите allowlist. Если в корпоративного шлюза, CRM или тикет-системы прописан privaterelay.appleid.com — добавьте private.icloud.com до конца года, не дожидаясь первой волны отказов в доставке.

Пересмотрите правила DMARC и фильтрации. Домен private.icloud.com будет источником легитимных регистраций, приходящих с валидной DKIM-подписью apple.com. Не заворачивайте его в greylist или challenge-response по доменному признаку — получите ложные отказы у пользователей экосистемы.

Не блокируйте icloud.com целиком. Отмена миграции сохраняет маскировку Hide My Email под обычные iCloud-ящики. Доменная блокировка по-прежнему режет легитимных пользователей. Используйте поведенческие сигналы и репутацию IP — не голый envelope-from.

Обновите формы регистрации и валидаторы. Если на стороне приложения стоит жёсткий regex на домен алиаса, он начнёт отсеивать новые адреса Sign in with Apple. Принимайте оба домена параллельно, как и рекомендует Apple.

Контекст ниши

Решение Apple — уступка, но не разворот стратегии. Компания сохраняет доменную сегрегацию для Sign in with Apple и фактически нормализует практику доменной блокировки алиасов как приемлемый инструмент антифрода. Это укрепляет позицию администраторов, предпочитающих точечные deny-листы широким запретам: инфраструктура Apple теперь сама подсказывает гранулярность.

Параллельно Brave анонсировал собственный Email Aliases в десктопной версии 1.94 — пересылаемые алиасы, генерируемые прямо в форме регистрации. Конкуренция на уровне приватности в почтовом стеке усиливается, и администраторам стоит ожидать роста числа алиасных доменов в трафике — соответственно, растёт и цена ошибки в allowlist.