En un iPhone, una app de bloqueo construida sobre los frameworks de Tiempo de uso de Apple no puede ver qué apps elegiste. Y no por política, sino por arquitectura: el selector que tocas lo dibuja iOS, y lo que la app recibe de vuelta es un conjunto de tokens opacos, referencias selladas sin nombre, sin identificador de paquete y sin icono dentro. La app puede devolverle un token al sistema para levantar un escudo. No puede abrirlo. Tampoco recibe nunca tu uso por app. Esta es una de las pocas promesas de privacidad que no tienes que creerte a ciegas, y conviene entenderla antes de instalar nada.
¿Qué pasa de verdad cuando tocas «elegir apps» en un bloqueador?
Casi nada de lo que te imaginas.
Todo bloqueador legítimo de iPhone se apoya en tres frameworks de Apple: FamilyControls para el permiso y la selección, ManagedSettings para el escudo y DeviceActivity para los horarios y los umbrales. El flujo es así:
- La app pide la autorización de Tiempo de uso. La apruebas con Face ID o con tu código: una única concesión visible.
- La app presenta un selector. Y aquí está la clave: la app no dibuja ese selector; es una vista del sistema. Tu lista de apps la pinta iOS detrás de una frontera que la app de terceros no puede cruzar de lectura. El desarrollador pone el marco y nada de lo que hay dentro.
- Haces tu selección y cierras el selector. Lo que la app recibe es un
FamilyActivitySelection: una bolsa de tokens.
El paso tres es donde se rompe la intuición. Parece que le has dado una lista a una app. No se la has dado. Le has dado una lista a iOS, e iOS le ha dado a la app un puñado de resguardos.
¿Qué es un token opaco, en lenguaje llano?
Piensa en el resguardo del guardarropa. Corresponde exactamente a un abrigo y te permite actuar sobre él: devuelves el resguardo y recuperas el abrigo. Pero el resguardo no dice nada del abrigo: ni el color, ni la marca, ni de quién es.
Un ApplicationToken funciona igual. La app puede entregárselo a ManagedSettings y decir escuda esto, entregárselo a DeviceActivity y decir avísame cuando esto cruce los quince minutos, contar cuántos tiene y guardarlo para volver a aplicar el mismo escudo mañana. No puede convertirlo en un nombre, un icono, un identificador ni una cifra de uso. Los tokens además tienen ámbito propio: la misma app de tu móvil produce un token distinto dentro de otro bloqueador, así que no sirven para correlacionarte entre servicios.
Pero mi bloqueador me enseña los nombres y los iconos, ¿cómo?
Esta es la objeción que convence a casi todo el mundo de que la promesa de privacidad es marketing, y la respuesta es elegante. SwiftUI ofrece una vista Label que acepta un token y dibuja el nombre y el icono correctos en pantalla, dentro de una vista controlada por el sistema. Los píxeles aparecen en la interfaz de la app; el texto de debajo nunca entra en el código de la app, no se puede registrar en un log y no se puede enviar a ninguna parte.
Así que tú ves Instagram y el código del desarrollador ve un token ilegible que apunta a él. Las dos cosas son ciertas a la vez. Es la diferencia entre una ventana y una copia.
¿Qué puede ver un bloqueador y qué no podrá ver nunca?
| Puede ver | No podrá ver nunca |
|---|---|
| Que concediste la autorización de Tiempo de uso | Qué apps seleccionaste, por nombre o identificador |
| Cuántas apps, categorías y dominios elegiste | El icono ni la categoría de una selección concreta |
| Que se ha cruzado un umbral que él mismo registró | Los minutos exactos por app ni tu historial por app |
| Que se aplicó o se retiró un escudo | Qué hiciste dentro de ninguna app |
| Lo que tú escribas en la propia app: metas, notas, ajustes | Tu historial de navegación, tus mensajes o tu tráfico de red |
El modelo mental correcto es que el bloqueador está ciego y sujetando un interruptor. Sabe que el interruptor se accionó y más o menos cuánto tiempo se ha acumulado contra un contador que él mismo puso. No sabe qué hay al otro lado del muro.
¿Por qué los números de una app de tiempo de uso externa son solo estimaciones?
Sale del mismo diseño, y es la contrapartida honesta del beneficio de privacidad. Un bloqueador no recibe un contador de minutos en directo. Registra umbrales con DeviceActivity — avísame cuando las apps seleccionadas lleguen a cinco minutos en este intervalo — e iOS le devuelve la llamada cuando se cruza uno, así que el uso se infiere de qué umbrales han saltado. iOS además mide el uso acumulado dentro de un intervalo, no por sentada, así que para una app de terceros no existe siquiera un concepto limpio de esta sesión.
Cualquier app de iPhone que enseñe precisión al segundo por app o está usando la extensión de informes de Apple, que corre en un aislamiento tan estricto que no puede enviar esos datos a ninguna parte, o está sacando los números por una vía sobre la que merece la pena preguntar. Los números gruesos son un síntoma de un buen modelo de privacidad, no un defecto.
¿Por qué algunas apps piden un perfil VPN o un perfil de configuración?
Porque están haciendo algo que FamilyControls no puede hacer, y aquí es donde el cálculo de confianza cambia de verdad.
Perfiles de VPN o de filtrado de contenido. Bloquear páginas web obliga a interceptar una petición del navegador, y el escudo de apps de Apple no llega al tráfico de Safari. Una configuración de VPN encamina tu actividad de red por un filtro capaz de inspeccionar los dominios que visitas. Las herramientas multiplataforma que cubren Windows, Android e iOS suelen usarlo, porque los frameworks de Apple solo existen en las plataformas de Apple. Funciona y es legítimo, pero es una superficie fundamentalmente mayor: quien maneje ese filtro puede llegar a ver dónde entras.
Perfiles de configuración o de MDM. Son cargas de gestión de dispositivos pensadas para hardware de empresas y colegios. Según la carga, un perfil puede imponer restricciones que el usuario no puede quitar y exponer muchísimo sobre el dispositivo. Una app de consumo que le pide a un particular que instale uno está pidiendo algo que nunca se diseñó para esa relación.
Ninguna de las dos es automáticamente siniestra: un producto de control parental, o un bloqueador que tiene que cubrir también el portátil del trabajo, puede que no tenga alternativa. Pero conviene saber qué trato estás haciendo: un bloqueador basado en FamilyControls es estructuralmente incapaz de averiguar gran cosa de ti, mientras que uno basado en VPN te está pidiendo que confíes en él.
Una advertencia: este es un artículo sobre iOS. En Android, los bloqueadores suelen apoyarse en el servicio de accesibilidad y en UsageStatsManager, y los dos entregan nombres de paquete y uso por app en claro. La garantía de los tokens opacos es una propiedad de la plataforma de Apple y no se transfiere.
«Trabajo en un hospital y la mitad de lo que tengo en el móvil es del trabajo. Daba por hecho que todas las apps de concentración iban montando un perfil mío en silencio, así que nunca instalé ninguna. Lo que me hizo cambiar de idea fue leer cómo funciona de verdad el selector: la app no puede ver mi selección porque iOS no se la da nunca. Eso es un tipo de promesa distinto a una política de privacidad.» — Elena, farmacéutica hospitalaria, 38 años
¿Cómo se evalúan las promesas de privacidad de cualquier app de este tipo?
Una lista de cinco minutos para cualquier app de la categoría:
- ¿Qué permisos pide? La autorización de Tiempo de uso a secas es una concesión estrecha y bien delimitada. Un perfil VPN, un perfil de configuración, permisos de accesibilidad o acceso completo a la red la amplían mucho. Pregúntate qué te compra ese permiso extra.
- ¿Hace falta una cuenta para bloquear? Si tienes que registrarte antes de poder escudar una sola app, hay estado yéndose a algún sitio. Puede estar bien — la sincronización lo necesita — pero es una decisión, no una necesidad.
- ¿Cómo de precisos son sus números? En iOS, las gráficas con minutos exactos por app son una señal para mirar más de cerca, no una función que premiar.
- Lee la etiqueta de privacidad de la App Store, en concreto el apartado «Datos vinculados a ti» (en inglés, «Data Linked to You»). La analítica y los informes de fallos son normales; los datos de uso atados a una identidad, o cualquier cosa bajo «Datos usados para rastrearte» (en inglés, «Data Used to Track You»), son otra historia.
- Mira la política sobre terceros. Los SDK de publicidad y los socios de atribución son la vía realista por la que se escapan los datos de conducta de una app por lo demás bien construida.
- Pregúntate qué pasa si la empresa desaparece. Un modelo en el dispositivo degrada a que la app deje de funcionar. Un modelo en la nube significa que tu historial vive dentro de la adquisición de alguien.
¿Cómo ayuda Unscrol?
Respuesta honesta primero: la herramienta de tiempo de uso más privada de tu iPhone es la que Apple ya trae. El Tiempo de uso, los Límites de uso de apps y el Tiempo de inactividad no implican a ningún tercero, no cuestan nada y mantienen todo dentro del sistema de Apple. Si una franja de Tiempo de inactividad y un código en manos de tu pareja resuelven tu problema, esa es la respuesta correcta y puedes dejar de leer aquí.
Unscrol es una app para iPhone y Apple Watch para el caso en que la pantalla de límite de Apple dejó de cambiar nada, y está construida dentro de la frontera descrita arriba en lugar de rodeándola.
Eliges dos números, un total diario y un máximo por sesión, e iOS aplica los dos: gasta un bloque del presupuesto del tamaño de una sesión y tus apps elegidas se bloquean 15 minutos; gasta el presupuesto diario entero y se bloquean hasta mañana. Un Escudo programable cubre franjas como el sueño o el trabajo, y apagarlo a mitad de sesión es lento a propósito: un ejercicio de respiración y una espera, no un toque.
En lo que toca a privacidad, Unscrol solicita la autorización de Tiempo de uso y nada más. Ni VPN. Ni perfil de configuración. El selector que ves es el del sistema, y la app solo recibe tokens opacos, así que no puede leer qué apps elegiste, ni sus nombres, ni sus iconos, ni tu uso por app. Las listas de bloqueo y los datos de uso los procesa iOS en el dispositivo y nunca llegan a los servidores de Unscrol. La contrapartida está dicha claramente dentro de la app: las cifras de uso son estimaciones derivadas de umbrales cruzados y no de un cronómetro, porque es el único número que esta arquitectura puede producir. Descarga gratuita; el plan premium opcional añade el seguro de racha para un día perdido y cinco huecos de retos a la vez en lugar de uno.
Preguntas frecuentes
¿Una app de tiempo de uso puede ver qué apps he bloqueado?
En iOS, no. Un bloqueador construido sobre el framework FamilyControls de Apple nunca recibe identidades de apps. Cuando eliges apps, el selector que estás tocando lo dibuja el sistema y no la app, y lo que vuelve es un conjunto de tokens opacos: referencias selladas que la app puede devolverle a iOS para aplicar un escudo, pero que no puede descifrar en un nombre, un identificador de paquete ni un icono. La app sabe cuántas cosas seleccionaste y nada sobre qué son. Esto lo impone el sistema operativo, no lo promete una política de privacidad.
¿Qué es un token opaco en la API de Tiempo de uso de Apple?
Un token opaco es una referencia sin significado que hace de sustituto de una app, de un dominio web o de una categoría que seleccionaste. El framework FamilyControls de Apple los emite para que una app de terceros pueda actuar sobre tu selección sin llegar a saber nunca qué es. El token se le puede devolver a iOS para escudar la app o para fijar un umbral de uso, y eso es todo. Además tienen ámbito propio: la misma app genera tokens distintos dentro de bloqueadores distintos, así que no sirven para correlacionarte entre servicios.
¿Por qué algunos bloqueadores te piden instalar un perfil VPN?
Normalmente porque bloquean páginas web, o porque bloquean también en plataformas como Windows y Android, donde los frameworks de Tiempo de uso de Apple no existen. Encaminar tu tráfico por un filtro es la única forma de interceptar una petición del navegador. Es una técnica legítima, pero supone dar mucha más confianza que un escudo en el dispositivo: quien maneje ese filtro puede llegar a ver los dominios que solicitas. Lo mismo vale para cualquier app de consumo que te pida instalar un perfil de configuración o de gestión, una tecnología pensada para equipos de empresa.
¿Cómo sé si una app de tiempo de uso es realmente privada?
Mira lo que te pide y lo que te enseña. Una app que solo solicita la autorización de Tiempo de uso y nunca te pide una VPN, un perfil de configuración ni permisos de accesibilidad está estructuralmente limitada en lo que puede averiguar. Comprueba si hace falta una cuenta para poder bloquear siquiera, y lee la etiqueta de privacidad de la App Store, sobre todo el apartado de datos vinculados contigo. Y desconfía de las gráficas con minutos exactos por app en iOS: ese nivel de detalle suele significar que los datos se están tratando en algún sitio que el sistema operativo no protege.