¿Qué es una fuga de WebRTC?

Por qué importa

Una VPN cambia la IP pública que ven los sitios web normales. WebRTC es distinto: las páginas pueden pedir al navegador las direcciones de conexión que usa en llamadas entre pares.

Si esas direcciones incluyen tu IP pública real o una dirección de la red local, la protección de la VPN queda incompleta en esa página, aunque la consulta habitual de «cuál es mi IP» se vea bien.

Qué es WebRTC

WebRTC es una tecnología del navegador para audio, vídeo y datos entre pares, sin plugins. Para encontrar un camino que funcione, el navegador reúne candidatos ICE: posibles direcciones que podría usar el otro extremo.

Reunir esos candidatos suele pasar por un servidor STUN en internet. Eso sirve para las llamadas y es un riesgo para la privacidad cuando una página cualquiera puede leer la misma lista.

Exposición local y pública

Un candidato host suele ser una dirección LAN (por ejemplo 192.168.x.x). Verla significa que la página aprendió algo de tu red local: contexto útil, pero no es lo mismo que revelar la IP pública de tu ISP.

Un candidato reflexivo de servidor (srflx) es una dirección pública tal como se ve desde internet. Para quien usa VPN, la pregunta importante es si esa dirección pública coincide con la dirección por la que se cargó la página: normalmente la salida de la VPN si el túnel cubre el sitio. Los tests de fuga comparan la misma familia de IP (IPv4 con IPv4, IPv6 con IPv6); la otra familia se lista para que la compruebes, no se marca sola.

Los nombres mDNS no son lo principal

Muchos navegadores ocultan las IP LAN en bruto detrás de nombres que acaban en .local (mDNS). Eso reduce la exposición casual de las direcciones 192.168, pero no arregla una fuga de IP pública.

Cuando leas un test de fuga, trata el mDNS como «identidad local oculta», no como prueba de que no se compartió nada sensible.

Qué puedes hacer

Prefiere ajustes del navegador o de la VPN que limiten qué IP puede compartir WebRTC, en lugar de apagar WebRTC salvo que nunca necesites llamadas en el navegador.

Chrome y Edge ya no ofrecen el antiguo interruptor de WebRTC en chrome://flags; los navegadores administrados pueden fijar una política de manejo de IP de WebRTC. Firefox puede limitar los candidatos ICE de host en about:config: desactivar media.peerconnection.enabled rompe las llamadas. Algunas apps VPN incluyen protección WebRTC: úsala cuando exista.

Después de cambiar un ajuste, vuelve a ejecutar un test de fuga de WebRTC y compara cualquier candidato público con tu IP de VPN.

Cómo comprobarlo

Abre un test de fuga de WebRTC conectado a tu VPN. Anota la IP pública que la página informa para tu conexión y mira si WebRTC listó una dirección pública distinta.

Si solo aparecen direcciones LAN o nombres mDNS, ten claro qué implica eso para lo que quieres proteger. Si una dirección pública difiere de la salida de la VPN, esa es la corrección prioritaria.

Recuerda

• Un resultado limpio de «cuál es mi IP» no demuestra que WebRTC esté a salvo.
• Desactivar WebRTC por completo rompe muchas llamadas dentro del navegador: es mejor limitar qué IP se expone.
• Cada sitio puede usar WebRTC de otra forma; una página de prueba muestra lo que este navegador revelará a un script parecido.
• Vuelve a comprobar después de actualizar el navegador o la VPN.

Guías relacionadas