Что такое WebRTC?

Аудио, видео и данные в реальном времени между браузерами: сервисы встреч, звонки в браузере, демонстрация экрана, некоторые сайты для передачи файлов и игр. Он встроен в каждый браузер, не требует плагина и шифрует всё, что передаёт. Чтобы соединение работало через домашние роутеры, браузер собирает ICE-кандидатов — свои локальные адреса и, через STUN-сервер, свой публичный адрес снаружи — и обе стороны обмениваются ими.

Утекает именно сбор кандидатов. Страница может создать объект соединения, запустить сбор и прочитать кандидатов — всё без запроса разрешения и без какого-либо звонка. STUN-запрос уходит тем маршрутом, который выбирает операционная система, и это может быть физический интерфейс, а не VPN-туннель, — а прокси вообще его не переносят, поскольку STUN работает по UDP. В результате страница видит публичный адрес, который не принадлежит VPN. Локальные адреса раньше утекали так же; современные браузеры теперь заменяют их случайными mDNS-именами. Проверка утечки WebRTC выполняет ровно такой сбор против нашего собственного STUN-сервера и сравнивает результат с адресом, который видят сайты.

Предпочитайте ограничение отключению, чтобы звонки продолжали работать. Chrome, Edge и Brave поддерживают политику обработки IP для WebRTC; установите её в disable non-proxied UDP (Brave — в настройках, Chrome и Edge — через расширение или корпоративную политику), и WebRTC будет использовать только маршрут по умолчанию — VPN, когда он подключён. Firefox: в about:config установите media.peerconnection.ice.default_address_only в true, а media.peerconnection.enabled в false, чтобы отключить WebRTC полностью. В Safari переключателя нет, но он скрывает локальные адреса и собирает публичных кандидатов только когда страница действительно устанавливает соединение. Многие приложения и расширения VPN применяют ту же политику за вас. Что бы вы ни изменили, повторите тест и убедитесь, что статус — утечки нет или заблокировано.