Apple permitirá motores de navegador de terceros como Chromium en la UE

Para cumplir con la próxima ley DMA en la UE, Apple hoy anunció cambios importantes en sus políticas de App Store.

En primer lugar, los desarrolladores de aplicaciones podrán utilizar motores de navegador alternativos. Hasta ahora, incluso los navegadores web de terceros en iOS utilizaban el WebKit de Apple. Con este nuevo cambio, se pueden utilizar motores de navegador alternativos como Chromium para aplicaciones de navegador dedicadas y aplicaciones que brindan experiencias de navegación dentro de la aplicación en la UE.

Sin embargo, Apple sólo autorizará a los desarrolladores a implementar motores de navegador alternativos después de cumplir con criterios específicos y comprometerse con una serie de requisitos continuos de privacidad y seguridad, incluidas actualizaciones de seguridad oportunas para abordar amenazas y vulnerabilidades emergentes. Lea acerca de los requisitos de Apple para motores de navegador de terceros a continuación.

Para calificar para el derecho, su aplicación debe:

• Estar disponible en iOS solo en la Unión Europea
• Ser un binario separado de cualquier aplicación que utilice el motor de navegador web proporcionado por el sistema.
• tener el predeterminado derecho al navegador web
• Cumpla con los siguientes requisitos funcionales para garantizar que su aplicación utilice un motor de navegador web que proporcione una base de funcionalidad web:
  • Pase un porcentaje mínimo de pruebas disponibles en conjuntos de pruebas estándar de la industria:
    • 90% de Pruebas de plataforma web
    • y 80% de Test262
  • Cumpla con el requisito del conjunto de pruebas anterior si la compilación Justo a tiempo (JIT) no está disponible (por ejemplo, si el usuario habilita el modo de bloqueo)
• Usted y su aplicación deben cumplir los siguientes requisitos de seguridad:
  • Comprométase con procesos de desarrollo seguros, incluido el monitoreo de la cadena de suministro de software de su aplicación para detectar vulnerabilidades y seguir las mejores prácticas en torno al desarrollo de software seguro (como realizar modelos de amenazas en nuevas funciones en desarrollo).
  • Proporcione una URL a una política de divulgación de vulnerabilidades publicada que incluya información de contacto para informarle sobre vulnerabilidades y problemas de seguridad por parte de terceros (que pueden incluir a Apple), qué información proporcionar en un informe y cuándo esperar actualizaciones de estado.
  • Comprométase a mitigar las vulnerabilidades que se están explotando dentro de su aplicación o el motor de navegador web alternativo que está utilizando de manera oportuna (por ejemplo, 30 días para las clases más simples de vulnerabilidades que se explotan activamente).
  • Proporcionar una URL a una página web (o páginas) disponibles públicamente que proporcione información sobre qué vulnerabilidades reportadas se han resuelto en versiones específicas del motor del navegador y la versión de la aplicación asociada, si es diferente.
  • Si su motor de navegador web alternativo utiliza un almacén de certificados raíz al que no se accede a través del SDK de iOS, debe hacer que la política de certificado raíz sea accesible públicamente y el propietario de esa política debe participar como navegador en la autoridad de certificación/foro de navegadores.
  • Demostrar compatibilidad con los protocolos modernos de seguridad de la capa de transporte para proteger las comunicaciones de datos en tránsito cuando el motor del navegador está en uso.

Requisitos de seguridad del programa

Debes hacer lo siguiente:

• Usar lenguajes de programación seguros para la memoria, o funciones que mejoren la seguridad de la memoria dentro de otros lenguajes, dentro del motor de navegador web alternativo como mínimo para todo el código que procesa contenido web;
• Adopte las últimas mitigaciones de seguridad (por ejemplo, códigos de autenticación de puntero) que eliminan clases de vulnerabilidades o dificultan mucho el desarrollo de una cadena de explotación;
• Siga las mejores prácticas de diseño seguro y codificación segura;
• Utilizar la separación de procesos para limitar los efectos de la explotación y validar la comunicación entre procesos (IPC) dentro del motor de navegador web alternativo;
• Supervise las vulnerabilidades en cualquier dependencia de software de terceros y en la cadena de suministro de software más amplia de su aplicación, migrando a versiones más nuevas si una vulnerabilidad afecta su aplicación;
• No utilizar marcos o bibliotecas de software que ya no reciban actualizaciones de seguridad en respuesta a vulnerabilidades; y
• Priorice la resolución de vulnerabilidades reportadas con rapidez, sobre el desarrollo de nuevas funciones. Por ejemplo, cuando el motor de navegador web alternativo une capacidades entre el SDK de la plataforma y el contenido web para habilitar las API web, previa solicitud, debe eliminar la compatibilidad con dicha API web si se identifica que presenta una vulnerabilidad. La mayoría de las vulnerabilidades deberían resolverse en 30 días, pero algunas pueden ser más complejas y tardar más.

Requisitos de privacidad del programa

Debes hacer lo siguiente:

• Bloquear las cookies entre sitios (es decir, cookies de terceros) de forma predeterminada, a menos que el usuario opte expresamente por permitir dichas cookies con su consentimiento informado;
• Dividir cualquier almacenamiento o estado observable por sitios web por sitio web de nivel superior, o bloquear dicho almacenamiento o estado para su uso y observabilidad entre sitios;
• No sincronizar cookies ni estados entre el navegador y otras aplicaciones, incluso otras aplicaciones del desarrollador;
• No compartir identificadores de dispositivos con sitios web sin el consentimiento informado y la activación del usuario;
• Etiquetar las conexiones de red utilizando las API proporcionadas para generar un Informe de privacidad de la aplicación en iOS; y
• Siga los estándares web comúnmente adoptados sobre cuándo exigir la activación del usuario informado para las API web (por ejemplo, portapapeles o acceso a pantalla completa), incluidas aquellas que brindan acceso a PII.

Apple también proporcionará a los desarrolladores autorizados de aplicaciones de navegador dedicadas acceso a capacidades y mitigaciones de seguridad que les permitan crear motores de navegador seguros y acceder a funciones como claves de acceso para el inicio de sesión seguro del usuario, capacidades de sistemas multiproceso para mejorar la seguridad y la estabilidad, entornos de pruebas de contenido web que combaten la evolución. amenazas a la seguridad y más.

Además de permitir motores de navegador de terceros, Apple mostrará una nueva pantalla de elección donde los usuarios podrán elegir un navegador web predeterminado de una lista de opciones. Cuando los usuarios de la UE abran Safari por primera vez en iOS 3, se les pedirá que elijan su navegador predeterminado.