Test de fuite WebRTC : ce qu'un appel depuis le navigateur révèle de votre adresse IP

Qu'est-ce qu'une fuite WebRTC ?

Avant un appel WebRTC, le navigateur rassemble les chemins réseau possibles, appelés candidats ICE, et les remet à la page web pour qu'elle les transmette à l'autre partie. Chacun porte une adresse IP, ou un nom aléatoire en .local à la place d'une adresse locale masquée. Un site ordinaire ne voit que l'adresse publique d'où vient votre requête ; via WebRTC, une page peut en apprendre davantage ^[1]. Une fuite, c'est toute adresse de cette liste que vous ne vouliez pas partager.

Le trajet du reste de l'appel est expliqué dans WebRTC, SIP et le réseau téléphonique ; pour les fuites, seule la liste des candidats compte. MDN précise que leurs adresses sont toujours exposées à la page ^[6].

L'IETF juge le cas du VPN le plus grave, parce que certaines personnes utilisent un VPN pour rester anonymes ^[1]. Les deux autres cas sont votre adresse privée et un proxy que les vérifications de WebRTC contournent, ce qui révèle votre véritable adresse publique ^[1].

Un appel depuis le navigateur expose-t-il votre adresse IP ?

Au service d'appel, oui : tout site voit votre adresse publique ^[1], et un appel ajoute une connexion média vers les serveurs du service. À la personne que vous appelez sur un fixe ou un mobile, non : l'appel quitte internet à la passerelle du fournisseur ^[8], et le réseau téléphonique transmet un numéro d'appelant, pas une adresse IP ^[2]. Les appels d'appli à appli, eux, peuvent relier directement deux appareils.

Pour les appels vers de vrais numéros, la question est de savoir ce que le service apprend et conserve ; ce que voit à la place la personne appelée est expliqué dans quel numéro s'affiche quand vous appelez depuis un navigateur.

Comment faire un test de fuite WebRTC

Une page de test de fuite fait ce que fait un service d'appel avant chaque appel : elle ouvre une connexion WebRTC, demande à un serveur STUN quelle adresse publique il voit, et affiche chaque candidat à côté de l'adresse qu'elle voit en simple HTTP. Faites le test dans chaque navigateur depuis lequel vous appelez, d'abord VPN coupé, puis VPN activé.

1. VPN coupé : ouvrez une page de test de fuite, par exemple le WebRTC Leak Test de BrowserLeaks. « Your Remote IP » en haut et « Public IP Address » sous « Your WebRTC IP » doivent correspondre.
2. VPN activé : rechargez la page. « Your Remote IP » doit maintenant afficher l'adresse du VPN.
3. Si la section WebRTC affiche encore l'adresse de votre fournisseur d'accès, WebRTC contourne le tunnel ^[1].
4. Une entrée locale se terminant par .local signifie que l'adresse est masquée ^[3] ; une adresse brute commençant par 192.168. ou 10. ne l'est pas.
5. Si la page propose un test du micro, autorisez-le et refaites le test : un service d'appel a besoin du micro, et cette autorisation peut débloquer d'autres adresses ^[1]. Retirez ensuite l'autorisation dans les paramètres du site ^[12].

Ce qui a changé dans Chrome une fois le micro autorisé

Le 1 novembre 2026, j'ai chargé une page de test locale dans Chrome 156 sur un Mac, sans serveur STUN, donc sans qu'aucune adresse parte vers un serveur extérieur. Sans autorisation d'accès au micro, la page voyait un seul candidat host, nommé par une chaîne aléatoire se terminant par .local ^[3]. Une fois le micro autorisé, elle recevait ma véritable adresse IPv4 locale.

C'est conforme à la norme, qui ne permet de livrer la liste complète des adresses qu'avec un consentement, comme l'autorisation d'accès au micro ^[1] ; WebKit, le moteur de Safari, décrivait la même règle en 2017 ^[13]. Un service d'appel que vous autorisez peut donc voir votre adresse locale : un risque moindre que pour votre adresse publique ^[1].

Les réglages des navigateurs qui limitent les fuites WebRTC

Brave documente un réglage d'adresse IP WebRTC destiné aux utilisateurs. Google documente les contrôles de Chrome pour les extensions et les administrateurs, et Microsoft ceux d'Edge sous forme de stratégie d'administration. Firefox masque les adresses locales par défaut et garde un interrupteur dans about:config. Une règle vaut partout : désactiver WebRTC bloque aussi les services d'appel dans le navigateur, car c'est WebRTC qui transporte l'appel ^[14].

Ce qu'un VPN change pour les appels dans le navigateur

Un VPN qui fait passer tout le trafic par son tunnel, WebRTC compris, montre au service d'appel l'adresse du VPN au lieu de la vôtre. Un VPN en split tunneling peut aussi laisser WebRTC trouver l'adresse de votre fournisseur d'accès ^[1], d'où l'intérêt du test de fuite VPN activé. Un VPN a aussi des effets secondaires sur les appels.

• Certains services restreignent les VPN : les conditions de TextNow indiquent qu'il peut en limiter ou en restreindre l'usage ^[21].
• Certains services d'appel gratuits rationnent les appels gratuits par adresse IP, comme Call2Friends ^[9] : derrière un VPN, vous risquez de partager ce quota avec les autres utilisateurs de la même adresse de sortie.
• Forcer le flux média par un proxy incapable de transporter l'UDP fait passer l'audio en TCP, ce qui, selon l'IETF, dégrade la qualité ^[1].
• Le service voit toujours votre compte et votre historique d'appels ; Google, par exemple, peut enregistrer les numéros, l'heure et la durée des appels ^[22].

Comment garder votre adresse IP privée pendant les appels

Adaptez la solution au type d'appel. Pour les appels vers des numéros de téléphone, la personne appelée ne reçoit pas votre IP : choisissez donc un service à qui vous la confiez sans crainte, et vérifiez votre VPN. Pour les appels d'appli à appli, l'autre appareil peut se connecter directement au vôtre : utilisez le réglage de relais de l'appli quand il existe.

1. Appels dans le navigateur : faites le test de fuite VPN activé ; dans Brave, choisissez Default Public Interface Only ^[15].
2. Micro : sur les services d'appel que vous n'utilisez qu'une fois, accordez-le avec « Autoriser cette fois » ^[12] ; lors de mon test sous Chrome, une page disposant de cette autorisation pouvait voir l'adresse locale.
3. WhatsApp : activez « Protéger l'adresse IP dans les appels ». La page d'aide couvre Android, iOS et Mac, pas la version web, et prévient que les appels relayés peuvent perdre un peu en qualité ^[5].

Questions fréquentes

À lire aussi

• Explications

  Numéro affiché en VoIP : ce que voit votre correspondant quand vous appelez depuis un navigateur

  Numéro affiché en VoIP : partagé, fourni par le service ou votre mobile vérifié. Je compare ce que voit la personne appelée et qui peut vous rappeler.

• Guides

  Appeler le 112 ou le 911 depuis un ordinateur : ce qui fonctionne, ce qui est bloqué et que faire à la place

  Peut-on appeler le 911 ou le 112 depuis un ordinateur ? J'ai vérifié quels services web et VoIP joignent le 911, 112 ou 999, ce qu'exige la loi et que faire.

• Explications

  Appels gratuits de 5 minutes et de 1 minute : ce que valent vraiment les minutes d'essai

  Un appel gratuit de 5 minutes, c'est souvent 2 à 3 minutes par jour ou un essai unique. J'ai vérifié les essais d'appels en ligne encore actifs et leurs pièges.