Saltar al contenido principal

Apple Private Email Relay

Cuando alguien inicia sesión en tu app o sitio web con Sign in with Apple y elige Hide My Email, Apple te da una dirección de reenvío aleatoria en lugar de la real - por ejemplo [email protected]. El servicio Private Email Relay de Apple reenvía el correo enviado a esa dirección a la bandeja de entrada real de la persona, pero solo desde remitentes que hayas registrado en Apple. El correo de cualquier otro remitente lo rebota el relay y nunca llega a la persona.

Esta página explica qué hay que registrar, quién debe hacerlo y cómo comprobar que funciona con la forma en que tu espacio de trabajo envía email.

Nuevo dominio de relay

Apple anunció en agosto de 2026 que las nuevas direcciones de Sign in with Apple se emitirán en private.icloud.com en lugar de privaterelay.appleid.com, a partir de más adelante en el año. Las direcciones privaterelay.appleid.com existentes siguen funcionando. Ambos dominios son direcciones de relay y todo lo que dice esta página se aplica a los dos. Joryio acepta direcciones de cualquiera de los dos dominios como cualquier otra dirección de email.

Por qué el correo a direcciones de relay falla en silencio​

El relay no es un buzón normal. Por cada mensaje que recibe, Apple comprueba dos cosas:

  1. ¿Está autenticado el mensaje? Debe superar SPF o DKIM de la forma concreta que exige Apple (consulta Qué comprueba Apple).
  2. ¿Está registrado el remitente? El dominio o la dirección de envío debe estar en la lista de orígenes de email registrados para tu equipo de Apple Developer.

Si falla cualquiera de las dos comprobaciones, el relay devuelve un rebote. En tu campaña no se rompe nada: tu proveedor de email acepta el envío, el rebote llega más tarde y el contacto simplemente nunca recibe el mensaje. Como las direcciones de relay suelen ser una parte pequeña de una lista, el problema puede pasar desapercibido durante mucho tiempo.

Quién tiene que hacerlo​

El registro se hace en la cuenta de Apple Developer propietaria de la app o el sitio web que usa Sign in with Apple - es decir, tu cuenta, no la de Joryio. Joryio no puede registrar dominios en Apple en tu nombre.

  • Apple exige el rol de Account Holder o de Admin en esa cuenta de desarrollador.
  • Las direcciones de relay pertenecen a un equipo de desarrollador: la misma persona recibe la misma dirección de relay en todas las apps de un equipo, y una distinta en una app de otro equipo. Registra tus dominios de envío en el equipo cuyas apps recogen las direcciones. Si tus apps están repartidas entre varios equipos, regístralos en cada uno de ellos.
  • Apple permite hasta 32 orígenes de email en una inscripción individual y hasta 100 en una organización. Cada dominio, subdominio o dirección individual cuenta como un origen.

Qué comprueba Apple​

Apple acepta un mensaje si supera cualquiera de estas comprobaciones, y recomienda configurar las dos cuando sea posible:

ComprobaciónQué tiene que coincidirSe supera cuando
SPFEl dominio del remitente del sobre (también llamado MAIL FROM, Return-Path o dirección de rebote - no la dirección From que ven las personas)Ese dominio exacto está registrado en Apple y supera SPF
DKIMEl dominio d= de la firma DKIMLa firma se verifica, cubre el encabezado From y el dominio d= es exactamente el dominio de la dirección From, que está registrado en Apple

Tras la autenticación, Apple también compara el dominio o la dirección From con tus orígenes registrados. Así que, sea cual sea la comprobación en la que te apoyes, el dominio de cada dirección From desde la que envías debe estar registrado.

La coincidencia es exacta. Registrar acme.com no cubre news.acme.com: cada subdominio desde el que envías es un origen independiente y debe registrarse por separado (o bien registras las direcciones individuales).

Muchos proveedores de email usan su propio dominio como remitente del sobre, salvo que les des un dominio de rebote personalizado (también llamado MAIL FROM personalizado o dominio de return-path) en tu propio dominio. Sin él, solo puede superarse la comprobación DKIM. Con él, tanto SPF como DKIM pueden superarse en tus propios dominios, que es lo que recomienda Apple - así que configura un dominio de rebote personalizado siempre que tu proveedor lo ofrezca.

Qué dominios registrar​

En Joryio el email se envía de una de dos formas, configuradas para tu organización por Joryio: a través del email gestionado de Joryio (Amazon SES operado por Joryio), o a través de la cuenta de proveedor propia de tu organización (Amazon SES, SendGrid, Mailgun o Bird). Si no sabes cuál usa tu espacio de trabajo, pregunta al soporte de Joryio.

Cómo envía tu espacio de trabajoRegistrar en AppleComprobación que se superaNotas
Email gestionado de JoryioCada dominio From que usan tus remitentes, exactamente como está asociado (por ejemplo mail.acme.com), y su dominio de rebote e.<sending domain> (por ejemplo e.mail.acme.com)DKIM - Joryio firma con tu dominio asociado; también SPF en cuanto los registros del dominio de rebote de abajo estén en tu DNSCada dominio asociado recibe un dominio de rebote (MAIL FROM) e.<sending domain>. Añade sus dos registros DNS y SPF se supera en tu propio dominio. Sin ellos el correo se sigue enviando, pero el remitente del sobre vuelve al propio dominio de Amazon SES y solo puede superarse DKIM.
Tu propia cuenta de Amazon SESCada dominio FromDKIM, cuando el propio dominio From es una identidad de SES verificada con Easy DKIMSi en SES solo está verificado el dominio principal, SES firma el correo de los subdominios con el dominio principal y la coincidencia exacta de Apple falla - verifica el subdominio como identidad propia. Configura un dominio MAIL FROM personalizado en la identidad en SES y registra también ese dominio en Apple, para que SPF también se supere.
Tu propia cuenta de SendGridCada dominio From; opcionalmente el subdominio de return-path que creó SendGrid (por ejemplo em1234.acme.com)DKIM tras la autenticación de dominio de SendGrid; también SPF si registras el subdominio de return-pathSin autenticación de dominio, SendGrid firma con su propio dominio y fallan las dos comprobaciones. La autenticación de dominio también configura el subdominio de return-path personalizado - mantenlo activado.
Tu propia cuenta de MailgunCada dominio From y el dominio de envío de Mailgun configurado para tu organización (por ejemplo mg.acme.com)SPF en el dominio de envío de Mailgun; DKIM solo cuando el dominio From es el propio dominio de MailgunMailgun usa su dominio de envío como remitente del sobre y normalmente firma DKIM con él. Si tu dirección From está en otro dominio (por ejemplo acme.com), DKIM no coincide exactamente, así que la vía que se supera es SPF a través del dominio de Mailgun registrado. Asegúrate de que los registros SPF y MX propios del dominio de Mailgun estén configurados.
Tu propia cuenta de BirdCada dominio FromDKIM, cuando Bird firma con tu dominio FromComprueba con qué dominio firma Bird y qué dominio de sobre usa (consulta Prueba antes de confiar en ello). Si Bird ofrece un dominio de return-path (rebote) personalizado, configúralo en tu propio dominio y regístralo también, para que SPF también se supere.

Cada dominio From significa cada dominio desde el que tu espacio de trabajo envía realmente: tu remitente predeterminado, cada remitente guardado en Configuración → Configuración de email y cualquier From personalizado usado en una campaña o un recorrido. El filtro de dominio de envío en Analítica → Entregabilidad enumera los dominios desde los que enviaste realmente en un rango de fechas, lo que es una forma rápida de encontrar uno que hayas olvidado.

Registros DNS para el email gestionado​

En el email gestionado, cada dominio de envío asociado tiene un dominio de rebote (el remitente del sobre, o MAIL FROM) en e.<sending domain> - para mail.acme.com es e.mail.acme.com. Necesita dos registros DNS, que Joryio te envía junto con los tres registros CNAME de DKIM y el registro DMARC cuando se asocia tu dominio:

TipoNombreValorPrioridad
MXe.<sending domain>feedback-smtp.<region>.amazonses.com (por ejemplo feedback-smtp.eu-central-1.amazonses.com)10
TXTe.<sending domain>v=spf1 include:amazonses.com ~all-

Usa los valores exactos de los registros que te envía Joryio; la región del valor MX es aquella desde la que se envía tu correo.

  • Con estos registros, el remitente del sobre está en tu propio dominio, así que SPF se supera y se alinea ahí, y DKIM se supera gracias a los registros CNAME de Easy DKIM. Las dos comprobaciones de Apple pueden superarse. Para que Apple cuente la comprobación SPF, registra e.<sending domain> como origen de email además del dominio de envío.
  • Sin ellos, el correo se sigue enviando: el remitente del sobre vuelve al dominio predeterminado de Amazon SES (amazonses.com). DKIM se sigue superando, pero SPF no está en tu dominio.

Si tu dominio se asoció antes de que existieran estos registros, pide al soporte de Joryio los dos registros nuevos.

La tabla Email Sources de Apple muestra un resultado SPF para cada dominio registrado. El dominio de rebote lo supera en cuanto se publica su registro TXT. Si la tabla muestra además una comprobación SPF fallida en el propio dominio de envío (el email gestionado no pone ningún registro SPF ahí), puedes añadir el mismo TXT v=spf1 include:amazonses.com ~all en el dominio de envío. Un dominio solo puede tener un registro SPF: si ya tiene uno (lo habitual cuando envías desde tu dominio raíz), añade include:amazonses.com al registro existente en lugar de crear un segundo.

Registra tus dominios en Apple​

Hazlo en la cuenta de Apple Developer propietaria de tu app de Sign in with Apple, con la sesión iniciada como Account Holder o Admin.

  1. Ve a Certificates, Identifiers & Profiles.
  2. Haz clic en Services en la barra lateral.
  3. En Sign in with Apple for Email Communication, haz clic en Configure.
  4. En la sección Email Sources, haz clic en el botón de añadir (+).
  5. Introduce tus dominios y subdominios como una lista separada por comas - por ejemplo acme.com, mail.acme.com - y haz clic en Next.
  6. Revisa la lista y haz clic en Register.
  7. La tabla muestra cada origen y si superó la comprobación SPF de Apple.

Apple no te pide subir ningún archivo a tu servidor para registrar un dominio.

Registrar direcciones individuales en su lugar​

Si no controlas el DNS de un dominio desde el que envías, puedes registrar direcciones From individuales en lugar del dominio completo. Sigue los mismos pasos y, en el paso 5, introduce las direcciones (por ejemplo [email protected], [email protected]). Cada dirección cuenta como un origen de email, así que con muchos remitentes registrar el dominio consume menos de tus 32 o 100 orígenes.

El mensaje debe seguir superando SPF o DKIM como se describe en Qué comprueba Apple.

Comprueba la autenticación en Joryio​

Tus dominios de envío y su estado DNS están en Analítica → Entregabilidad, en la sección Estado del dominio: SPF, DKIM, DMARC y, en el email gestionado, el MX del dominio de rebote (Bounce MX) para cada dominio asociado, con Comprobar ahora para actualizar. Consulta Autenticación DNS.

Dos cosas que conviene tener en cuenta:

  • Joryio comprueba los registros DNS; Apple comprueba cada mensaje. Un estado DKIM en verde en Joryio significa que tus registros DKIM están publicados. Apple exige además que el dominio d= de la firma sea exactamente igual al dominio From, lo que depende de cómo firme tu proveedor. La prueba de abajo lo confirma.
  • En el email gestionado, SPF aparece como "gestionado por Amazon SES". Estado del dominio lee el SPF del propio dominio de envío, mientras que el SPF del email gestionado está en el dominio de rebote e.<sending domain>. Estado del dominio comprueba el MX de ese dominio de rebote (Bounce MX), pero no su registro SPF TXT. Para confirmar el SPF, consulta el registro TXT del dominio de rebote en DNS, o revisa smtp.mailfrom en un mensaje de prueba (ver abajo).

Prueba antes de confiar en ello​

  1. Consigue una dirección de relay que controles. En un iPhone, inicia sesión en tu propia app con Sign in with Apple y elige Hide My Email. La dirección aparece en los ajustes de tu Apple Account (en iPhone: Settings → tu nombre → iCloud → Hide My Email, y luego la app). El artículo de soporte de Apple Manage your apps with Sign in with Apple describe dónde encontrarla.
  2. Envíale un email de prueba desde el editor de email de la campaña o del recorrido (Enviar prueba), usando el remitente que quieras comprobar. Consulta Pruebas y vista previa de Email.
  3. Confirma que llega a la bandeja de entrada real a la que reenvía la Apple Account.
  4. Si no llega, lee los encabezados de una copia normal. Envía la misma prueba a un buzón normal (con Mostrar original de Gmail, por ejemplo) y fíjate en:
    • DKIM-Signature: ... d= - debe ser exactamente tu dominio From para la vía DKIM.
    • Authentication-Results: ... smtp.mailfrom= - el dominio del sobre; debe estar registrado en Apple y superar SPF para la vía SPF.
    • From: - su dominio debe estar registrado en Apple.

Repite la prueba para cada dominio From, y de nuevo cada vez que añadas un remitente en un dominio o subdominio nuevo.

Cómo trata Joryio las direcciones de relay​

  • Son direcciones de email normales. Joryio no detecta, reescribe ni filtra las direcciones privaterelay.appleid.com o private.icloud.com. Se almacenan, validan, segmentan y reciben envíos como cualquier otra dirección.
  • Una dirección de relay no es la dirección real de la persona. Si la misma persona también te da su email real en otro lugar, las dos direcciones no coinciden. Identifica a las personas por tu propio ID de usuario en lugar de por la dirección de email, para que ambas acaben en un mismo perfil.
  • En el desglose por proveedor de correo de Analítica → Entregabilidad, las direcciones de relay se cuentan en Otros, no en Apple iCloud, porque se agrupan por el dominio del destinatario.
  • Los rebotes del relay se gestionan como cualquier rebote. Si tu proveedor informa de un rebote del relay como permanente (duro), Joryio marca la dirección como inválida y deja de enviarle correo, en todo el espacio de trabajo. Consulta Gestión de rebotes.

Problemas habituales​

El correo llega a todos menos a las direcciones de relay. El dominio From no está registrado en Apple, o el mensaje no supera ninguna de las dos comprobaciones de Apple. Compara los dominios From, d= y smtp.mailfrom de un mensaje de prueba con tus orígenes registrados.

Funcionaba y dejó de funcionar en una campaña. Probablemente esa campaña usa un remitente en un dominio o subdominio que no has registrado - por ejemplo un From personalizado en promo.acme.com. Regístralo.

La tabla de Apple muestra que la comprobación SPF falló en un dominio de email gestionado. Para el dominio de rebote e.<sending domain>: faltan sus registros MX y TXT - añade los registros DNS para el email gestionado. Para el propio dominio de envío: el email gestionado no pone ningún registro SPF ahí; DKIM se sigue superando, y puedes añadir el registro TXT descrito en esa misma sección.

DKIM se supera en todas partes, pero el relay sigue rebotando. El dominio d= se parece pero no es igual al dominio From - normalmente el dominio principal (acme.com) firmando correo de un subdominio (mail.acme.com), o el propio dominio del proveedor. Configura DKIM en el dominio From exacto en tu proveedor.

Tras corregir el registro, algunas direcciones de relay siguen sin recibir correo. Los mensajes que rebotaron antes de la corrección pueden haber marcado esas direcciones como inválidas, y Joryio no levanta un rebote duro por sí solo. Bórralo en el contacto: abre el perfil en Usuarios, haz clic en Editar en la tarjeta Suscripciones, marca Clear bounce status and mark email as valid y guarda. También puedes hacerlo a través de la API con el endpoint de borrado de rebote. Los envíos de prueba a estas direcciones se rechazan hasta que se borre el rebote.

Una persona nunca recibe correo, todos los demás sí. Puede que la persona haya desactivado el reenvío para tu app en su Apple Account, o que haya cambiado la dirección a la que se reenvía. Es su decisión y no se puede cambiar desde tu lado.

Te quedas sin orígenes de email. Registra dominios en lugar de direcciones individuales, y elimina los orígenes desde los que ya no envías.

Fuentes​