Teste de vazamento WebRTC
O WebRTC permite que o navegador descubra os próprios endereços de rede para montar chamadas e videochamadas — e qualquer site pode disparar essa descoberta em silêncio. Este teste mostra exatamente quais endereços o seu navegador revela e se um deles é o seu endereço real por trás de uma VPN ou um proxy.
Seu navegador reúne candidatos ICE contra o nosso próprio servidor STUN; todo endereço público neles é comparado com o endereço que os sites veem por HTTP.
Verificando
| Tipo | Endereço | Porta | Protocolo | Família | Escopo |
|---|---|---|---|---|---|
| srflx | 203.0.113.5 | 51234 | udp | IPv4 | public |
Correção para o seu navegador
Chrome
- O Chrome não tem uma chave nas configurações. Instale uma extensão que defina a política de tratamento de IP do WebRTC — a “WebRTC Network Limiter”, do próprio Google, a expõe — e escolha “Desativar UDP sem proxy” (listada lá como usar o seu servidor proxy, forçando o UDP por ele ou recorrendo a TCP).
- Como alternativa, use a extensão de navegador do seu serviço de VPN, se ela oferecer proteção WebRTC, ou, em um aparelho gerenciado, a política WebRtcIPHandling (valor disable_non_proxied_udp; o Chrome 135+ também aceita regras por site com WebRtcIPHandlingUrl).
- Os endereços locais já ficam escondidos: o Chrome 74+ os substitui por nomes mDNS. O Chrome para Android e iOS não tem configuração equivalente; conte com o kill switch do aplicativo da VPN.
- Execute este teste de novo.
Firefox
- Abra about:config e aceite o aviso.
- Defina media.peerconnection.ice.default_address_only como true, para que só a rota padrão (a VPN, enquanto conectada) seja usada, e media.peerconnection.ice.no_host como true, para remover os endereços locais.
- Se você navega por um proxy, defina também media.peerconnection.ice.proxy_only_if_behind_proxy como true, para que o WebRTC passe pelo proxy ou não passe por lugar nenhum.
- Para desligar o WebRTC por completo, defina media.peerconnection.enabled como false (as chamadas no navegador param de funcionar). O Firefox já esconde os endereços locais atrás de nomes mDNS.
- Execute este teste de novo.
Safari
- O Safari não tem chave de WebRTC. Ele entrega um candidato STUN (server-reflexive) sem nenhum pedido de permissão e só revela candidatos locais — como nomes mDNS — depois que um site obtém acesso à câmera ou ao microfone.
- Um vazamento reportado aqui, portanto, significa que o UDP saiu do túnel da VPN: use uma VPN com kill switch e suporte a IPv6, e evite proxies para anonimato (eles nunca transportam UDP).
- No iPhone e no iPad, o Modo de Isolamento (Ajustes › Privacidade e Segurança) desativa o WebRTC por completo, o que também acaba com o vazamento.
- Não ative Desenvolvedor › WebRTC › Desativar restrições de candidatos ICE: é uma opção para desenvolvedores que expõe mais, não menos.
- Execute este teste de novo.
Edge
- O Edge também não tem uma chave para o usuário. Use uma extensão que defina a política de tratamento de IP do WebRTC como “Desativar UDP sem proxy”, ou a extensão do seu serviço de VPN.
- Em aparelhos gerenciados, defina a política WebRtcLocalhostIpHandling ou, no Edge 135+, WebRtcIPHandlingUrl com o tratamento disable_non_proxied_udp para o padrão *.
- O Edge no Android e no iOS não consegue mudar isso; use a proteção contra vazamento do aplicativo da VPN.
- Execute este teste de novo.
Brave
- Abra Configurações › Privacidade e segurança (brave://settings/privacy).
- Em Política de tratamento de IP do WebRTC, escolha “Desativar UDP sem proxy”. “Apenas interface pública padrão” também impede a exposição dos endereços locais mantendo o UDP.
- Os Shields do Brave com a proteção contra fingerprinting ligada já aplicam a política de UDP sem proxy; a mesma opção existe no Brave para Android, em Configurações › Privacidade e segurança.
- Execute este teste de novo.
Outros navegadores
- Navegadores baseados em Chromium (Opera, Vivaldi, Samsung Internet) aceitam as mesmas extensões e a política WebRtcIPHandling do Chrome.
- Se não existir nenhuma configuração, a correção é o kill switch ou a opção “bloquear WebRTC” do aplicativo da VPN.
- Execute este teste de novo.
Depois de mudar uma configuração, execute o teste de novo: o resultado deve ser Sem vazamento ou Bloqueado.
Execute o teste de vazamento WebRTC
O teste roda no seu navegador. Ele abre uma conexão WebRTC contra o nosso próprio servidor STUN (nunca o de terceiros), coleta os candidatos ICE que o navegador produz e compara cada endereço público neles com o endereço que os sites veem por HTTP. Leva menos de um segundo; nada dos candidatos é enviado ao nosso servidor.
Seus endereços IP no WebRTC
Cada linha de candidato mostra o endereço, o tipo e o escopo. Só os endereços públicos importam para o veredito; entradas privadas e mDNS revelam, no máximo, a estrutura da sua rede, nunca a sua identidade.
IP público via STUN
O candidato srflx (server-reflexive) é o endereço de onde o nosso servidor STUN viu o seu pacote UDP chegar. Com uma VPN funcionando, ele é igual ao seu endereço de VPN. Se for diferente, o UDP saiu do seu aparelho fora do túnel e o endereço real está exposto — esse é o vazamento.
IP local / candidatos mDNS
Candidatos host são os endereços das suas interfaces locais. As versões atuais de Chrome, Edge, Firefox e Safari os substituem por um nome mDNS aleatório ….local para que os sites não leiam os endereços da sua LAN; navegadores antigos e algumas configurações ainda mostram endereços do tipo 192.168.x.x, o que expõe a estrutura da sua rede doméstica, mas não a sua identidade pública.
O que é um vazamento WebRTC?
Uma VPN ou um proxy intercepta o tráfego que você envia por eles; o WebRTC pede ao sistema operacional a melhor rota até um servidor STUN diretamente, e o sistema pode responder pela interface física. Um proxy nunca transporta UDP, então, para quem usa proxy, qualquer resultado STUN público está, por definição, fora do proxy. O resultado é um site descobrindo o seu endereço público real enquanto a barra de endereços, os cookies e todo o resto do navegador mostram a VPN. O guia o que é WebRTC explica o protocolo.
Como impedir vazamentos WebRTC
Você pode impedir que o WebRTC use interfaces fora do túnel ou desativá-lo por completo. Desativar quebra as videochamadas no navegador, então prefira as opções de restrição.
Chrome e Edge
O Chrome não tem uma chave nativa. Instale uma extensão que configure a política de tratamento de IP do WebRTC como Desativar UDP sem proxy (a política exposta pela API de extensões do Chrome), ou use a extensão do seu serviço de VPN, se ela oferecer proteção WebRTC. Administradores corporativos podem definir a política WebRtcIPHandling centralmente.
Firefox
Abra about:config. Defina media.peerconnection.ice.default_address_only como true para restringir o WebRTC à rota padrão (a VPN, quando conectada) e media.peerconnection.ice.no_host como true para esconder os endereços locais. Para desativar o WebRTC por completo, defina media.peerconnection.enabled como false.
Safari
O Safari esconde os endereços locais atrás do mDNS e só reúne candidatos STUN quando uma página realmente monta uma chamada ou um canal de dados. Não há chave para o usuário; no iOS, o Modo de Isolamento (Lockdown Mode) bloqueia o WebRTC por completo. Se este teste reportar um vazamento no Safari, a correção está no tratamento de IPv6/UDP da própria VPN, não em uma configuração do navegador.
Brave
Configurações › Privacidade e segurança › Política de tratamento de IP do WebRTC: escolha Desativar UDP sem proxy. Os Shields do Brave já bloqueiam os usos mais comuns de fingerprinting.
Extensões
Extensões que bloqueiam o WebRTC funcionam definindo a mesma política de tratamento de IP; elas não conseguem fazer mais do que o navegador permite. Confira se uma extensão não está apenas escondendo o resultado deste teste enquanto o vazamento continua: depois de instalar uma, execute de novo e confirme que o status é bloqueado ou sem vazamento, e não apenas uma lista vazia.
Perguntas frequentes
Como desativo o WebRTC?
Firefox: defina media.peerconnection.enabled como false em about:config. Chrome, Edge e Brave: defina a política de tratamento de IP do WebRTC como Desativar UDP sem proxy (o Brave nas configurações dele, o Chrome/Edge por uma extensão ou política corporativa). O Safari não tem chave; o Modo de Isolamento do iOS o desativa. Execute este teste de novo para confirmar.
O WebRTC é um risco de segurança?
O WebRTC em si é seguro — mídia e dados são criptografados. O problema de privacidade é a descoberta de endereços: uma página consegue descobrir os seus endereços públicos e, às vezes, locais sem pedir permissão, o que importa principalmente se você depende de uma VPN ou um proxy para escondê-los.
Bloquear o WebRTC é bom?
Se você usa VPN ou proxy e este teste mostra um vazamento, restringir o WebRTC é a atitude certa. Bloqueá-lo por completo impede chamadas no navegador e alguns sites de videoconferência; a política desativar UDP sem proxy mantém as chamadas funcionando pelo túnel e é o melhor padrão.
O que acontece quando um vazamento de IP pelo WebRTC é detectado?
O endereço exposto pelo WebRTC fica visível para o site — ele pode registrá-lo, geolocalizá-lo e combiná-lo com o endereço visto por HTTP. Nada é "enviado" a lugar nenhum pelo nosso teste; o vazamento só existe entre o seu navegador e os sites que decidem coletá-lo. Aplique uma das correções acima e teste de novo.
O que a extensão de WebRTC faz?
Uma extensão de WebRTC define a política de tratamento de IP do navegador para que os candidatos sejam reunidos apenas pela rota padrão (tunelada), ou nem isso. Algumas também removem os endereços locais. Elas não conseguem criptografar nem redirecionar tráfego; quem faz isso é a VPN.
O que é WebRTC Shield?
"WebRTC Shield" e nomes parecidos são usados por várias extensões e por aplicativos de VPN para o recurso que aplica a política de restrição descrita acima. Seja qual for o nome, confirme que funciona executando este teste de novo: o status deve ser sem vazamento ou bloqueado.
Candidatos ICE: seu navegador contra stun.checkmyip.com (nosso próprio servidor, UDP e TCP, IPv4 e IPv6); endereço HTTP: probe.checkmyip.com. A comparação roda no seu navegador; os candidatos nunca são enviados para nós.