URnetwork vs Apple iCloud Private Relay

Private Relay es el pariente de gran tecnológica más cercano al diseño repartido de URnetwork; URnetwork aplica la misma idea a todo el dispositivo, en código abierto, con salidas residenciales que eliges tú.

Elige Private Relay si vives en Safari sobre hardware de Apple, quieres protección que viene con un plan iCloud+ que quizá ya pagas, y prefieres infraestructura operada a escala de Apple y de CDN. Elige URnetwork si quieres cubrir todas las apps en todas las plataformas, una salida residencial en la ciudad que elijas, y un reparto que puedes comprobar en código abierto. Ambos reparten la ruta entre dos partes en lugar de confiar en una. Private Relay exige menos esfuerzo. URnetwork cubre más y publica su código.

iCloud Private Relay viene con todos los planes iCloud+ de pago, desde 0,99 $ al mes; el plan gratuito de 5 GB de iCloud no lo incluye. La página de soporte de Apple dice que está "diseñado para proteger tu privacidad garantizando que, cuando navegas por la web en Safari, ninguna parte por sí sola —ni siquiera Apple— pueda ver a la vez quién eres y qué sitios estás visitando". Dos saltos sostienen ese diseño: Apple opera el primero, que ve tu dirección IP, y una red de distribución de contenidos contratada opera el segundo, que asigna tu dirección de salida y te conecta con el sitio. Apple no nombra a sus socios de salida; Akamai, Cloudflare y Fastly se identifican por las publicaciones de los propios socios y por mediciones externas.

URnetwork usa salidas gestionadas por miembros. El proveedor no recibe tu IP de origen en la ruta retransmitida. Las apps nativas sellan el tráfico hasta el proveedor por defecto. Cómo funciona URnetwork explica el diseño completo. El modelo de amenazas guarda el registro completo de qué se almacena y qué se aplica.

Seis diferencias que afectan a la elección

Salvedades bajo la tabla:

• Las cuentas difieren mucho. Private Relay exige una cuenta de Apple con sesión iniciada y un plan iCloud+ de pago; dentro de la ruta, unos tokens de firma ciega permiten a los relés confirmar una suscripción "sin identificar realmente al usuario". La Cuenta instantánea (Instant Account) de URnetwork es un toque sin correo, respaldada por una frase de recuperación (la credencial propia de URnetwork; nunca pide la frase semilla ni la clave de una cartera cripto), y Pro puede pagarse en USDC en cadena. Los precios vigentes de URnetwork están en ur.io/products.
• El cifrado poscuántico corre del lado de URnetwork: la sesión cliente-proveedor X25519MLKEM768 es el valor por defecto en las apps nativas, y un proveedor con el que no se puede sellar queda descartado en vez de usarse sin sellar. La extensión de navegador no tiene sesión sellada; allí, la ruta de datos del operador no registra nada, fijado por un test en el código abierto. Los intercambios de claves de Private Relay (TLS 1.3, HPKE) son clásicos, y Apple no hace ninguna afirmación poscuántica sobre él.
• Los dos no se apilan. La propia nota de Apple es que el tráfico sobre una VPN "no usará Private Relay"; mientras URnetwork está conectada, transporta ella misma el tráfico de Safari. El patrón práctico es Private Relay siempre activado, y URnetwork conectada cuando necesites lo que añade.

Dos saltos, y qué impone el reparto

La separación de Private Relay está construida con cifrado, no solo prometida. La visión general de arquitectura de Apple describe la mecánica: los nombres de sitio web que solicitas van cifrados en el primer salto y "no pueden ser vistos por ninguna de las dos partes", el segundo salto "no tiene conocimiento de la dirección IP original del usuario", tu dispositivo valida la clave pública TLS 1.3 de cada proxy contra valores esperados, el DNS viaja como Oblivious DNS over HTTPS, y unos tokens RSA de firma ciega autentican a los suscriptores sin identificarlos. Dentro de la ruta, ningún salto por sí solo está situado para reunir tu dirección y tus destinos. Ese es un paso estructural real más allá de la VPN de una sola empresa, y la sesión sellada de URnetwork le queda conceptualmente cerca: el mismo movimiento de cifrado por capas, aplicado a todo lo que envía el dispositivo.

Lo que la construcción no puede hacer es atar a los dos operadores el uno al otro. La salida termina tus conexiones, así que observa qué sitios visitan los usuarios de Private Relay, como hace cualquier salida, incluido un proveedor de URnetwork. Mantener sin combinar las vistas de entrada y de salida es una propiedad organizativa: contratos y, en palabras de la propia Apple, "una política de registro mínima" (su documento también enumera lo que los proxies sí registran). Apple selecciona y paga a ambas partes, escribe el cliente y puede sustituir a un socio en cualquier momento. Las implementaciones son cerradas, así que nada permite a alguien de fuera confirmar que el despliegue coincide con el documento. Y una medición universitaria de 2022, publicada en el blog de APNIC, encontró direcciones de entrada en la red de Akamai además de en la de Apple; Akamai opera también relés de salida, y los investigadores concluyeron que una sola entidad podría observar ambos lados a nivel de red.

Las diferencias de URnetwork están en quiénes son las partes y en qué puedes comprobar. Sus salidas son plurales: el tráfico sale por varios hogares de miembros a la vez, cada uno transportando una porción, en lugar de por tres corporaciones de CDN que agregan cada una la navegación de todos los usuarios que terminan. Su código es abierto por ambos lados, cliente y servidor. Y la salida la colocas tú, en un país o en una ciudad buscada, desde una dirección residencial.

Alcance, ubicación y disponibilidad

La página para desarrolladores de Apple declara el alcance con exactitud: "Private Relay protege la navegación web de los usuarios en Safari, las consultas de resolución DNS y el tráfico http inseguro de las apps". Chrome, Firefox y el tráfico corriente de las apps lo esquivan, y el propio documento de Apple es directo al decir que no es una VPN. La frase de marketing "Solo actívalo y estarás protegido al instante" no lleva nada de ese alcance; las páginas de soporte y de desarrolladores sí.

No poder elegir ubicación es un rechazo de diseño, no una carencia: Private Relay "no proporciona ningún método para falsear la ubicación", y las direcciones de salida se eligen para representar por defecto tu ubicación aproximada a nivel de ciudad. Apple publica la lista completa de salidas y la suministra a las bases de datos de geolocalización, así que los sitios web pueden reconocer a los usuarios de Private Relay como clase, y las bases de datos de terceros siguen colocando mal las direcciones de los relés con la frecuencia suficiente como para que Apple mantenga una guía de corrección. La disponibilidad también tiene bordes: la función no se ofrece en China continental, Rusia y algunos otros países a mediados de 2026, y cualquier red puede desactivarla con la cooperación de Apple, ya que Apple documenta cómo. En enero de 2022, T-Mobile US la restringió en los planes con filtrado de contenidos, y algunas operadoras europeas la bloquearon en algunos planes después de recurrir a la Comisión Europea contra la función.

El alcance de URnetwork es el dispositivo entero en Android, iOS, macOS, Windows y Linux, más una extensión de navegador emparejada con su app web. Eliges el país de salida o buscas una ciudad, y la dirección desde la que apareces es la residencial de un miembro. Una ubicación existe solo mientras el dispositivo de un miembro está en línea en ella, y la plataforma geolocaliza la conexión que observa en lugar de fiarse de una ciudad declarada.

Dónde gana Private Relay

• Una mejora estructural sobre la VPN de una sola empresa para el tráfico que cubre, impuesta por el cifrado en la ruta y activada automáticamente dentro de su alcance.
• Cero configuración y coste efectivamente cero para quien ya paga iCloud+.
• Fiabilidad a escala de Apple; amable con la batería y el rendimiento.
• El extremo lejano es una CDN gestionada profesionalmente bajo contrato y no un hogar desconocido, si esa es tu preferencia.

Dónde gana URnetwork

• Cobertura: todas las apps y navegadores del dispositivo, en Android, iOS, macOS, Windows y Linux, más la extensión de navegador y la app web.
• Código abierto por ambos lados, así que las afirmaciones pueden comprobarse en lugar de aceptarse por la descripción de las empresas.
• Salidas residenciales plurales, cada una viendo una porción; ningún punto de agregación de CDN, y ninguna parte seleccionada y pagada por la otra.
• Elección de ubicación hasta una ciudad buscada; Private Relay no ofrece ninguna, por diseño.
• Ninguna cuenta de Apple en ninguna parte: una cuenta de un toque sin correo, inicio de sesión por firma de cartera, pago en USDC en cadena.
• Ofrecida, y construida para ser accesible, en lugares donde Private Relay no está disponible.

Límites y evidencia

Los límites principales de URnetwork:

• Ninguna auditoría independiente cubre el protocolo, el motor connect ni el código de servidor del operador. Dos evaluaciones de terceros de 2025 cubren otras superficies: una prueba de penetración de la aplicación web y la API (abril–mayo de 2025), y la evaluación MASA AL2 de Leviathan sobre la app de Android, que la superó. Leviathan escribe que su evaluación "no debe leerse como una evaluación de seguridad integral ni una prueba de penetración exhaustiva". Ninguna de las dos examinó registros, retención ni la ruta de datos.
• El reparto asume que el operador y los proveedores de tu ventana son independientes. Nada en el sistema certifica esa independencia, y ninguna parte externa ha medido la flota. Ver el modelo de amenazas, §6.1.
• El endpoint de respaldo compatible con WireGuard asigna una dirección de túnel estable, así que varios proveedores podrían reconocer al mismo cliente entre sesiones. El túnel nativo es la ruta recomendada.
• Los recuentos de cobertura son autopublicados, sin medición externa. La lista de salidas de Apple, en cambio, es pública y comprobable dirección por dirección.

Los límites de Private Relay son de alcance y de verificación más que de estructura. El diseño separa las dos vistas por construcción, pero la implementación es cerrada, así que no puede comprobarse desde fuera si el despliegue coincide con el documento. A los dos operadores los selecciona y los paga uno de ellos, y mantener sus vistas sin combinar es una propiedad de contrato y de política, con un solapamiento ya medido en el registro. El producto cubre Safari, el DNS y el HTTP inseguro de las apps en hardware de Apple, no ofrece elección de ubicación, y sale únicamente por direcciones de CDN. La mayor parte de esto está declarado en los propios documentos de Apple.

Probar URnetwork no cuesta nada: la Cuenta instantánea es un toque y ningún correo, así que puedes ejecutarla junto a Private Relay y ver qué cubre cada uno en tus propios sitios. Más preguntas están respondidas en las preguntas frecuentes.