FindMyWeb: Find My de Apple con ingeniería inversa

¿Qué es FindMyWeb y qué reimplementa de Apple Find My?

FindMyWeb es un proyecto de código abierto alojado en Codeberg que reimplementa el sistema de rastreo Find My de Apple. Su repositorio combina cuatro lenguajes: Python (38,9% del código), Vue (35,5%), C (13,1%) y TypeScript (11,4%), según la composición que reporta la propia página del proyecto, firmado por el desarrollador que publica como Misom.

La estructura de carpetas confirma una arquitectura de tres capas: backend, frontend, firmware, más docs y scripts. Los mensajes de commit dejan ver las piezas: el backend corre sobre FastAPI y maneja modelos de ubicación; el frontend incluye componentes como AccessoryConfig y FruityTagRolling.vue, orientados a configurar accesorios; el firmware trabaja sobre un bootloader de Adafruit; y hay scripts para migrar bases de datos SQLite desde un esquema anterior. El archivo example.config.toml ya expone opciones de compresión y CORS, señal de que el proyecto se piensa como un servicio web autoalojado y no como una app de escritorio.

El ritmo de commits importa: el commit inicial de la licencia es del 21 de julio de 2025 y el último cambio del README, una corrección de errores de tipeo, es del 22 de octubre de 2026. No es un experimento abandonado.

Un detalle de contexto: la propia página del repositorio muestra un aviso de que Codeberg cambió sus términos de uso para restringir el contenido generado por LLM y prohibir los proyectos de criptomonedas. La decisión no afecta a FindMyWeb, pero marca el tono del momento: las plataformas de código abierto están redefiniendo qué aceptan alojar.

¿Cómo funciona la red Find My que estos proyectos desarman?

Según la documentación de OpenHaystack, el framework del Secure Mobile Networking Lab (SEEMOO) de la TU Darmstadt que abrió este camino, el sistema se apoya en tres piezas: anuncios Bluetooth Low Energy, criptografía de clave pública sobre la curva P-224 y una base de datos central de reportes de ubicación cifrados.

El mecanismo es elegante. El accesorio emite por Bluetooth su clave pública, comprimida en 28 bytes. Cualquier iPhone cercano toma su propia ubicación por GPS, la cifra con esa clave pública y sube el reporte cifrado a los servidores de Apple. Apple no puede asociar esos reportes a una cuenta ni a un dispositivo, y como todo está cifrado de punta a punta, solo quien tenga la clave privada puede descifrarlos.

Ese diseño —pensado para proteger la privacidad del dueño— es justamente lo que permite que un tercero construya su propio rastreador sin pedirle permiso a Apple. La red no distingue entre un AirTag y un dispositivo que imita su protocolo.

¿Qué encontró la investigación académica detrás de estos proyectos?

OpenHaystack nació de un trabajo de análisis que SEEMOO empezó tras el anuncio inicial del offline finding de Apple en junio de 2019. El equipo identificó cómo los dispositivos Apple pueden ser localizados por iPhones incluso estando desconectados, documentó las partes cerradas del protocolo y publicó su análisis de seguridad y privacidad en PoPETs 2021, bajo el título Who Can Find My Devices? Security and Privacy of Apple's Crowd-Sourced Bluetooth Location Tracking System.

Encontraron dos vulnerabilidades distintas. La más grave permitía que una aplicación maliciosa accediera a datos de ubicación; Apple la corrigió y quedó registrada como CVE-2020-9986.

También hay letra chica técnica que conviene conocer. OpenHaystack requiere macOS 11 (Big Sur) y un plugin de Apple Mail para descargar los reportes vía una API privada. Su firmware soporta BBC micro:bit v1 (chip nRF51), ESP32 y máquinas Linux vía HCI, como una Raspberry Pi 4. Su versión móvil, construida en Flutter para Android e iOS, necesita un servidor proxy corriendo en un Mac. La licencia es AGPL v3.0.

El propio README advierte una limitación crítica: los accesorios de OpenHaystack emiten una clave pública fija, por lo que pueden ser rastreados por otros dispositivos en proximidad. Es exactamente la protección anti-stalking que Apple sí implementa en sus AirTags con rotación de claves.

¿Cuánto cuesta hoy rastrear con Find My?

El mercado de accesorios compatibles ya es un negocio medible. Según Tidbits, la red Find My se apoya en más de mil millones de dispositivos Apple en uso, y el AirTag de segunda generación, presentado el 26 de enero de 2026, mantuvo el precio de la generación anterior: US$29 por unidad y US$99 el pack de cuatro.

Alrededor de esa red creció un ecosistema de terceros con precios de referencia claros, siempre según Tidbits:

• Nomad Leather Mag Wallet: US$85, con rastreo Find My completo.
• Nomad Tracking Card Air: US$29, con 5 meses de batería; Tracking Card Pro: US$39, con 16 meses.
• KeySmart SmartCard (Gen 3): US$39,99 la unidad y US$119,97 el pack de tres.
• Twelve South PlugBug: desde US$59,99 en la versión de 50W.
• KeySmart iPro: US$49,99, con espacio para hasta 14 llaves.
• KeySmart SmartLock: US$29,99, un candado de equipaje aprobado por la TSA.

Ese rango —entre US$29 y US$85 por accesorio— es el punto de comparación que cualquier equipo de hardware debería tener a mano antes de decidir si integra Find My vía un accesorio certificado o construye su propio firmware.

¿Qué significa esto para tu startup?

1. Evalúa el costo real de integrar rastreo. Si tu producto es hardware y quieres ofrecer localización, la vía certificada te obliga a pasar por el programa de accesorios de Apple. La alternativa —firmware propio sobre BLE, como hacen FindMyWeb u OpenHaystack— elimina el costo por unidad, pero te traslada el trabajo de ingeniería y el mantenimiento del protocolo.

2. Revisa la licencia antes de copiar código. OpenHaystack se publica bajo AGPL v3.0, una licencia copyleft fuerte. Si tu plan es empaquetar ese código dentro de un servicio comercial, conviene que un abogado revise las obligaciones antes de escribir la primera línea.

3. Diseña pensando en la rotación de claves. La advertencia del README de OpenHaystack es la lección de producto más valiosa: una clave pública fija convierte tu rastreador en un dispositivo que cualquiera puede seguir. Si construyes sobre estos protocolos, la rotación de claves no es un detalle de seguridad: es un requisito para no exponer a tus usuarios.

4. Aprovecha el patrón para trazabilidad interna. El esquema de backend propio más firmware abierto más frontend web sirve para mucho más que llaves perdidas: equipos de laboratorio, herramientas de obra, inventario en bodega o flotas de dispositivos. Es rastreo de activos sin suscripción celular, aprovechando iPhones que ya están en la calle.

5. Cuida el terreno legal. Rastrear personas sin consentimiento viola leyes de privacidad en la mayoría de las jurisdicciones. Los accesorios Find My, además, participan en las notificaciones de rastreo no deseado que se activan cuando un dispositivo desconocido viaja con alguien, según Tidbits. Documenta tu caso de uso antes de desplegar.

Conclusión

FindMyWeb es un recordatorio de que los protocolos cerrados son, tarde o temprano, materia de estudio. Lo que empezó como un paper académico hace unos años hoy se traduce en repositorios con backend, frontend y firmware que cualquier equipo puede leer, adaptar y desplegar.

Para un founder, la señal no es copiar el protocolo de Apple. Es más simple y más útil: la infraestructura de rastreo dejó de ser un producto y se volvió una capa. Cuando eso pasa, el valor se mueve al caso de uso —qué rastreas, para quién y con qué garantías— y no al hardware. Quien entienda esa capa antes que su competencia tiene una ventaja concreta: puede integrar localización en su producto sin negociar con Apple ni pagar una suscripción por dispositivo.

Fuentes

• FindMyWeb en Codeberg (fuente original)
• OpenHaystack - seemoo-lab
• Third-Party Gadgets Bring Find My Tracking to Wallets, Chargers, and More - Tidbits