docs: add Apple to brand tables and troubleshooting section (proxy-ARP)

- Add Apple ecosystem row in all three README brand tables
- Add Troubleshooting section explaining proxy-ARP false positives and
  the TCP check fix (fr/en/es)

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

README.es.md

@@ -318,6 +318,7 @@ Pueden aparecer varios logos simultáneamente si coinciden varias palabras clave
 | Correo | Servidor de correo | `mail`, `smtp`, `imap`, `postfix`, `dovecot`, `mailcow`, `mailu`, `roundcube` |
 | Base de datos | MariaDB | `mariadb`, `maria db` |
 | Orquestación | Kubernetes | `kubernetes`, `k8s`, `kubectl`, `k3s` |
+| Ecosistema Apple | Apple | `apple`, `iphone`, `ipad`, `ipados`, `macbook`, `imac`, `mac mini`, `mac pro`, `mac studio`, `macos`, `mac os`, `ios`, `icloud`, `airpods`, `airdrop` |
 | OS | Debian | `debian` |
 | OS | Ubuntu | `ubuntu` |
 | Automatización | Ansible | `ansible` |
@@ -393,6 +394,23 @@ npm run dev   # Servidor dev Vite en :5173, proxifica /api/ hacia :8000
 
 ---
 
+## 🔧 Solución de problemas
+
+### El escaneo devuelve cientos de falsos positivos (proxy-ARP / UniFi)
+
+**Síntoma** — El descubrimiento automático reporta tantos hosts como direcciones hay en la subred (por ejemplo 254 para un `/24`), cuando en realidad solo hay unas pocas máquinas presentes.
+
+**Causa** — Algunos equipos de red (especialmente UniFi Security Gateway, Dream Machine y equipos similares) activan el proxy-ARP y responden a los pings ICMP para **todas** las IPs de la subred, suplantando la IP de origen de la respuesta. La verificación de IP de origen integrada en el escáner no puede filtrar estos falsos positivos.
+
+**Solución** — Activar la opción **"Verificación TCP (anti proxy-ARP)"** en la pantalla de configuración del escaneo. Esta opción sondea cada host en los puertos TCP 22, 80, 443, 8080 y 8443 tras el ping ICMP:
+
+- Un **host real** responde con RST (puerto cerrado) o acepta la conexión → considerado activo.
+- Una **IP fantasma**: el gateway descarta silenciosamente el SYN sin responder → timeout → eliminada.
+
+> **Nota**: un equipo cuyo firewall descarte silenciosamente (*DROP*, sin RST) **todos** los puertos sondeados no será descubierto automáticamente y deberá añadirse manualmente.
+
+---
+
 ## 🏗️ Arquitectura
 
 Ver [`docs/architecture.md`](docs/architecture.md) para el flujo de solicitudes detallado, la configuración Docker y el modelo de autenticación.