Test de fugas WebRTC
WebRTC permite a tu navegador descubrir sus propias direcciones de red para establecer llamadas y videochats, y cualquier web puede activar ese descubrimiento sin que lo notes. Este test muestra exactamente qué direcciones revela tu navegador y si alguna es tu dirección real detrás de una VPN o un proxy.
Tu navegador recopila candidatos ICE contra nuestro propio servidor STUN; cada dirección pública que aparece en ellos se compara con la dirección que las webs ven por HTTP.
Comprobando
| Tipo | Dirección | Puerto | Protocolo | Familia | Ámbito |
|---|---|---|---|---|---|
| srflx | 203.0.113.5 | 51234 | udp | IPv4 | public |
Solución para tu navegador
Chrome
- Chrome no tiene ningún interruptor en sus ajustes. Instala una extensión que configure la política de gestión de IP de WebRTC —el propio «WebRTC Network Limiter» de Google la expone— y elige «Disable non-proxied UDP» (allí aparece como usar tu servidor proxy, forzando el UDP a través de él o recurriendo a TCP).
- Como alternativa, usa la extensión de navegador de tu proveedor de VPN si ofrece protección WebRTC o, en un dispositivo gestionado, la directiva WebRtcIPHandling (valor disable_non_proxied_udp; Chrome 135+ también acepta reglas por sitio con WebRtcIPHandlingUrl).
- Las direcciones locales ya están ocultas: Chrome 74+ las sustituye por nombres mDNS. Chrome para Android e iOS no tiene un ajuste equivalente; confía en el kill switch de la app de VPN.
- Vuelve a ejecutar este test.
Firefox
- Abre about:config y acepta la advertencia.
- Pon media.peerconnection.ice.default_address_only en true para que solo se use la ruta por defecto (la VPN mientras esté conectada), y media.peerconnection.ice.no_host en true para eliminar las direcciones locales.
- Si navegas a través de un proxy, pon también media.peerconnection.ice.proxy_only_if_behind_proxy en true para que WebRTC pase por el proxy o no funcione.
- Para desactivar WebRTC por completo, pon media.peerconnection.enabled en false (las llamadas desde el navegador dejan de funcionar). Firefox ya oculta las direcciones locales tras nombres mDNS.
- Vuelve a ejecutar este test.
Safari
- Safari no tiene interruptor de WebRTC. Entrega un candidato STUN (server-reflexive) sin pedir permiso y solo revela los candidatos locales —como nombres mDNS— después de que un sitio obtenga acceso a la cámara o al micrófono.
- Por tanto, una fuga detectada aquí significa que el UDP salió del túnel VPN: usa una VPN con kill switch y compatibilidad con IPv6, y evita los proxies para el anonimato (nunca transportan UDP).
- En iPhone y iPad, el modo Aislamiento (Ajustes › Privacidad y seguridad) desactiva WebRTC por completo, lo que también detiene la fuga.
- No actives Desarrollo › WebRTC › Disable ICE Candidate Restrictions: es una opción para desarrolladores que expone más, no menos.
- Vuelve a ejecutar este test.
Edge
- Edge tampoco tiene un interruptor para el usuario. Usa una extensión que ponga la política de gestión de IP de WebRTC en «Disable non-proxied UDP», o la extensión de tu proveedor de VPN.
- En dispositivos gestionados, configura la directiva WebRtcLocalhostIpHandling o, en Edge 135+, WebRtcIPHandlingUrl con la gestión disable_non_proxied_udp para el patrón *.
- Edge en Android e iOS no puede cambiar esto; usa la protección contra fugas de la app de VPN.
- Vuelve a ejecutar este test.
Brave
- Abre Ajustes › Privacidad y seguridad (brave://settings/privacy).
- En «Política de gestión de IP de WebRTC» elige «Disable non-proxied UDP». «Default public interface only» también evita exponer las direcciones locales manteniendo el UDP.
- Brave Shields con la protección contra la huella digital activada ya aplica la política non-proxied UDP; la misma opción existe en Brave para Android en Ajustes › Privacidad y seguridad.
- Vuelve a ejecutar este test.
Otros navegadores
- Los navegadores basados en Chromium (Opera, Vivaldi, Samsung Internet) aceptan las mismas extensiones y la directiva WebRtcIPHandling que Chrome.
- Si no existe ningún ajuste, la solución es el kill switch o la opción «bloquear WebRTC» de la app de VPN.
- Vuelve a ejecutar este test.
Después de cambiar un ajuste, ejecuta el test de nuevo: el resultado debería decir Sin fuga o Bloqueado.
Ejecuta el test de fugas WebRTC
El test se ejecuta en tu navegador. Abre una conexión WebRTC contra nuestro propio servidor STUN (nunca el de un tercero), reúne los candidatos ICE que genera el navegador y compara cada dirección pública de ellos con la dirección que las webs ven por HTTP. Tarda menos de un segundo; nada de los candidatos se envía a nuestro servidor.
Tus direcciones WebRTC
Cada fila de candidato muestra la dirección, su tipo y su ámbito. Solo las direcciones públicas cuentan para el veredicto; las entradas privadas y mDNS revelan como mucho la estructura de tu red, nunca tu identidad.
IP pública vía STUN
El candidato srflx (server-reflexive) es la dirección desde la que nuestro servidor STUN vio llegar tu paquete UDP. Con una VPN que funciona, es igual a tu dirección VPN. Si es distinta, el UDP salió de tu dispositivo fuera del túnel y la dirección real está expuesta: esa es la fuga.
IP local / candidatos mDNS
Los candidatos host son las direcciones de tus interfaces locales. Chrome, Edge, Firefox y Safari actuales las sustituyen por un nombre mDNS aleatorio ….local para que las webs no puedan leer las direcciones de tu LAN; los navegadores antiguos y algunos ajustes siguen mostrando direcciones del tipo 192.168.x.x, lo que expone la estructura de tu red doméstica pero no tu identidad pública.
¿Qué es una fuga de WebRTC?
Una VPN o un proxy interceptan el tráfico que envías a través de ellos; WebRTC pide al sistema operativo la mejor ruta directa hasta un servidor STUN, y el sistema puede responder por la interfaz física. Un proxy nunca transporta UDP, así que para un usuario de proxy cualquier resultado STUN público está, por definición, fuera del proxy. El resultado es que una web descubre tu dirección pública real mientras la barra de direcciones, las cookies y todo lo demás muestran la VPN. La guía qué es WebRTC explica el protocolo.
Cómo detener las fugas de WebRTC
Puedes impedir que WebRTC use interfaces no tunelizadas o desactivarlo por completo. Desactivarlo rompe las videollamadas en el navegador, así que es preferible restringirlo.
Chrome y Edge
Chrome no tiene interruptor integrado. Instala una extensión que fije la política de gestión de IP de WebRTC en Disable non-proxied UDP (la política que expone la API de extensiones de Chrome), o usa la extensión de tu proveedor de VPN si ofrece protección WebRTC. Los administradores pueden fijar la directiva WebRtcIPHandling de forma centralizada.
Firefox
Abre about:config. Pon media.peerconnection.ice.default_address_only en true para restringir WebRTC a la ruta predeterminada (la VPN cuando está conectada), y media.peerconnection.ice.no_host en true para ocultar las direcciones locales. Para desactivar WebRTC por completo, pon media.peerconnection.enabled en false.
Safari
Safari oculta las direcciones locales tras mDNS y solo reúne candidatos STUN cuando una página establece de verdad una llamada o un canal de datos. No hay interruptor para el usuario; en iOS, el modo Aislamiento bloquea WebRTC por completo. Si este test indica una fuga en Safari, la solución está en cómo gestiona tu VPN IPv6/UDP, no en un ajuste del navegador.
Brave
Ajustes › Privacidad y seguridad › Política de gestión de IP de WebRTC: elige Desactivar UDP sin proxy. Brave Shields ya bloquea los usos más comunes de huella digital.
Extensiones
Las extensiones que bloquean WebRTC funcionan fijando la misma política de gestión de IP; no pueden hacer más de lo que el navegador permite. Comprueba que una extensión no se limite a ocultar el resultado a este test mientras la fuga continúa: después de instalarla, repite el test y confirma que el estado es bloqueado o sin fuga, no simplemente una lista vacía.
Preguntas frecuentes
¿Cómo desactivo WebRTC?
Firefox: pon media.peerconnection.enabled en false en about:config. Chrome, Edge y Brave: fija la política de gestión de IP de WebRTC en Disable non-proxied UDP (Brave en sus ajustes, Chrome/Edge mediante una extensión o directiva corporativa). Safari no tiene interruptor; el modo Aislamiento de iOS lo desactiva. Repite este test para confirmarlo.
¿Es WebRTC un riesgo de seguridad?
WebRTC en sí es seguro: el audio, el vídeo y los datos van cifrados. El problema de privacidad es el descubrimiento de direcciones: una página puede conocer tu dirección pública y a veces las locales sin pedir permiso, lo que importa sobre todo si dependes de una VPN o un proxy para ocultarlas.
¿Es bueno bloquear WebRTC?
Si usas una VPN o un proxy y este test muestra una fuga, restringir WebRTC es lo correcto. Bloquearlo por completo impide las llamadas desde el navegador y algunos sitios de videoconferencia; la política disable non-proxied UDP mantiene las llamadas a través del túnel y es la mejor opción por defecto.
¿Qué ocurre cuando se detecta una fuga de IP por WebRTC?
La dirección expuesta por WebRTC es visible para la web: puede registrarla, geolocalizarla y combinarla con la dirección vista por HTTP. Nuestro test no «envía» nada a ningún sitio; la fuga solo existe entre tu navegador y las webs que decidan recogerla. Aplica una de las soluciones de arriba y repite el test.
¿Qué hace la extensión de WebRTC?
Una extensión de WebRTC fija la política de gestión de IP del navegador para que los candidatos se reúnan solo por la ruta predeterminada (tunelizada), o no se reúnan en absoluto. Algunas también eliminan las direcciones locales. No pueden cifrar ni redirigir el tráfico; eso lo hace una VPN.
¿Qué es WebRTC Shield?
«WebRTC Shield» y nombres parecidos los usan varias extensiones y apps de VPN para la función que aplica la política restrictiva descrita arriba. Se llame como se llame, confirma que funciona repitiendo este test: el estado debe ser sin fuga o bloqueado.
Candidatos ICE: tu navegador contra stun.checkmyip.com (nuestro propio servidor, UDP y TCP, IPv4 e IPv6); dirección HTTP: probe.checkmyip.com. La comparación se hace en tu navegador; los candidatos nunca se nos envían.