Qué es una fuga de WebRTC
WebRTC es la tecnología del navegador que hay detrás de las videollamadas, los chats de voz y el uso compartido de pantalla. Para conectar dos dispositivos directamente necesita conocer las direcciones que pueden alcanzarlos, así que reúne candidatas: direcciones de la red local, direcciones descubiertas a través de un servidor STUN público y direcciones de retransmisión.
En circunstancias normales esto no tiene nada de malo. La fuga ocurre cuando el navegador entrega una dirección que no debería ser visible, casi siempre la dirección real de tu casa, mientras el resto del tráfico pasa por una VPN. El sitio ve la dirección de la VPN en las solicitudes normales y la real en WebRTC, y no coinciden.
No es un virus ni algo raro. Sucede porque el tráfico de WebRTC puede tomar un camino distinto del resto del navegador, sobre todo cuando la VPN solo cubre ciertas rutas o solo IPv4.
Cómo funciona esta prueba
La prueba abre una conexión WebRTC en tu navegador, la apunta a un servidor STUN público y anota las candidatas que recibe. Cada candidata se describe por tipo y dirección: las de tipo host son direcciones locales, las de tipo server-reflexive son la dirección pública vista desde fuera, y las de tipo relay vienen de un servidor TURN.
Después, los resultados se comparan con las direcciones IP que muestran las solicitudes web normales de tu conexión. Si una dirección pública de WebRTC coincide, no hay nada que reportar. Si no coincide, la página la lista para que decidas si esa dirección debería ser alcanzable. Las direcciones locales que aparecen como nombres .local aleatorios las genera el propio navegador para no exponer tu dirección de red privada.
La prueba tiene límites. Revisa señales de WebRTC, IPv6 y zona horaria en tu navegador. Todavía no prueba DNS: una prueba de fuga de DNS necesita otro método, que se explica más abajo.
Cómo controlar WebRTC en cada navegador
No hay un único interruptor que sirva para todos los navegadores. Estas son las opciones que cada uno ofrece realmente. Apagar WebRTC impide que funcionen las videollamadas dentro del navegador, así que cambia esto solo si necesitas la protección.
Chrome y Edge
Estos navegadores no tienen un ajuste de direcciones WebRTC para el usuario. Un administrador puede definir la política WebRtcIPHandlingPolicy para limitar o desactivar el UDP que no pasa por proxy, y las extensiones pueden bloquear candidatas de WebRTC, pero entonces la extensión necesita permiso para modificar páginas. La opción más confiable con Chrome o Edge es un cliente VPN que bloquee el tráfico que sale del túnel.
Firefox
Abre about:config, busca media.peerconnection.enabled y ponlo en false para desactivar WebRTC por completo. Una opción intermedia es media.peerconnection.ice.no_host, que evita compartir direcciones locales y mantiene las llamadas funcionando. Estas son preferencias avanzadas y una actualización o un restablecimiento del navegador puede devolverlas a su valor original.
Safari
Safari oculta las direcciones locales de forma predeterminada: las reemplaza por nombres mDNS, como una secuencia aleatoria que termina en .local. No hay un ajuste sencillo para desactivar WebRTC en Safari, así que una dirección pública todavía puede obtenerse a través de un servidor STUN si el navegador tiene permitido usarlo.
Brave
Brave expone una política de manejo de IP para WebRTC en sus ajustes, con opciones como usar solo la interfaz pública predeterminada o desactivar el UDP que no pasa por proxy. Elegir la opción más estricta impide que WebRTC revele direcciones fuera de tu proxy o tu VPN.
Clientes de VPN
Muchas aplicaciones de VPN incluyen una opción de protección contra fugas o de WebRTC, y algunas incluyen un interruptor de emergencia que corta el tráfico si el túnel se cae. Revisa los ajustes y la documentación del cliente. Si no ofrece ese control, restringe WebRTC en el navegador.
Fugas de IPv6
Una VPN que solo maneja IPv4 puede dejar el tráfico IPv6 en su camino original. Si tu red tiene IPv6 funcionando, los sitios que lo soportan pueden alcanzarte por tu operador mientras IPv4 va por el túnel, y las dos direcciones apuntan a redes diferentes.
El resumen de privacidad lo señala cuando las direcciones IPv4 e IPv6 pertenecen a redes distintas. La solución depende del cliente: busca una opción de IPv6 en los ajustes de la VPN o desactiva IPv6 en la conexión cuando el túnel no lo transporte. Bloquear IPv6 del todo es un intercambio, porque los servicios solo IPv6 quedarán fuera de alcance.
Fugas de DNS
El DNS es el sistema que convierte nombres en direcciones. Cuando abres un sitio, tu dispositivo le pregunta a un resolutor qué dirección corresponde a ese nombre. Si esas preguntas van al resolutor del operador en lugar de pasar por el túnel, el operador puede ver todos los nombres que consultas aunque tu tráfico web esté cifrado.
El DNS cifrado, con DNS sobre HTTPS o DNS sobre TLS, protege la pregunta en el camino entre tu dispositivo y el resolutor, pero por sí solo no evita el desajuste entre el resolutor que elegiste y el túnel que usas. Una VPN bien configurada envía el DNS por el túnel; una mal configurada puede filtrarlo.
Este sitio todavía no ejecuta una prueba de fuga de DNS. Hacerlo bien requiere consultar dominios de prueba dedicados y observar qué resolutor responde, y está planificado como una función aparte. Por ahora la página de fugas informa solo desajustes de WebRTC, IPv6 y zona horaria, y lo dice en lugar de adivinar.
Desajustes de zona horaria e idioma
Tu navegador informa una zona horaria y una lista de idiomas, y los sitios pueden compararlas con el país inferido de tu dirección IP. Una salida de VPN en otro país suele dejar intactas la zona horaria y el idioma del navegador, así que el propio desajuste puede revelar que hay un túnel en uso.
No es una fuga en el mismo sentido que una dirección expuesta, porque estos valores están disponibles a propósito para cualquier página. Es contexto útil: si quieres que el perfil sea coherente, ajusta la zona horaria y el idioma del navegador a la ubicación de salida, o acepta que la combinación es poco común.
Preguntas frecuentes
¿WebRTC revela mi dirección real aunque tenga una VPN conectada?
Puede hacerlo. WebRTC reúne direcciones candidatas de forma independiente del resto del tráfico del navegador, así que si la VPN no captura ese tráfico, la dirección pública obtenida por STUN puede ser la tuya real. La prueba de esta página existe justamente para mostrar si las direcciones coinciden.
¿Desactivar WebRTC rompe las videollamadas?
Las llamadas y el uso compartido de pantalla dentro del navegador que usan WebRTC dejarán de funcionar, incluidas muchas herramientas de videoconferencia. Si solo quieres evitar que se compartan direcciones locales, prefiere un ajuste más específico, como media.peerconnection.ice.no_host en Firefox o la política estricta de manejo de IP en Brave.
¿Qué es una candidata mDNS?
Es una dirección local que el navegador oculta detrás de un nombre aleatorio que termina en .local, resoluble solo en tu propia red. Safari lo usa de forma predeterminada y otros navegadores lo usan en algunas condiciones. Ver un nombre mDNS significa que tu dirección privada no se entregó de forma legible.
¿Puedo probar fugas de DNS en este sitio?
Todavía no. La prueba actual cubre señales de WebRTC, IPv6 y zona horaria en el navegador. Una prueba de fuga de DNS requiere dominios de prueba dedicados y otro tipo de consulta, y está en el plan en lugar de omitirse en silencio.
¿Qué es una fuga de IPv6?
Ocurre cuando un túnel protege IPv4 pero el tráfico IPv6 sigue saliendo por tu conexión original. Los sitios que soportan IPv6 pueden alcanzarte en la dirección sin proteger, así que la red que ve WebRTC o la solicitud IPv6 es distinta de la que se ve por IPv4.
¿Los proxies y Tor evitan las fugas de WebRTC?
No de forma automática. Un proxy suele cubrir solo las solicitudes normales del navegador, y WebRTC puede saltarlo igual que salta una VPN parcial. Por eso el navegador de Tor viene con WebRTC desactivado de forma predeterminada. Sea cual sea la herramienta que uses, ejecuta la prueba después y verifica que las direcciones coincidan.