Langsung ke konten

Kebocoran WebRTC

Tes kebocoran WebRTC: apa yang diungkap panggilan browser tentang alamat IP Anda

Bagian dari: Apakah VoIP aman? Apa yang dilindungi dan apa yang terbuka saat menelepon dari browser

Oleh · Diperbarui · 11 menit baca

Tambahkan callfrombrowser.org sebagai sumber pilihan di Google

Ringkasan

Tes kebocoran WebRTC menampilkan setiap alamat IP yang diserahkan browser Anda ke halaman web lewat WebRTC, sehingga Anda bisa menemukan alamat yang sebenarnya ingin disembunyikan, biasanya alamat dari penyedia internet Anda saat VPN menyala [1]. Panggilan browser ke nomor telepon menunjukkan IP Anda kepada layanan telepon, bukan kepada orang yang Anda telepon, yang hanya menerima ID penelepon [2]. Tes ini termasuk pemeriksaan privasi dan keamanan yang saya sarankan sebelum menelepon dari browser.

Fakta utama

Apa itu kebocoran WebRTC?

Sebelum panggilan WebRTC dimulai, browser mengumpulkan rute jaringan yang mungkin dipakai, yang disebut kandidat ICE, lalu menyerahkannya ke halaman web untuk diteruskan ke pihak lain. Setiap kandidat membawa alamat IP, atau nama .local acak sebagai pengganti alamat lokal yang disembunyikan. Situs web biasa hanya melihat alamat publik asal permintaan Anda; lewat WebRTC, halaman bisa mengetahui lebih banyak [1]. Kebocoran adalah setiap alamat dalam daftar itu yang tidak ingin Anda bagikan.

Perjalanan bagian lain dari panggilan dijelaskan di WebRTC, SIP, dan jaringan telepon; untuk soal kebocoran, yang penting hanya daftar kandidat. MDN mencatat bahwa alamat-alamat di daftar itu selalu terlihat oleh halaman [6].

Alamat yang ditampilkan tes kebocoran WebRTC, dan apa yang diungkap masing-masing
Jenis kandidatAlamat yang ditampilkanRisiko privasi
hostAlamat perangkat Anda di jaringan lokal, atau nama acak berakhiran .local jika browser menyembunyikannya [7][3]Lebih rendah daripada alamat publik, tetapi IETF menyebut alamat IPv4 privat sebagai permukaan fingerprinting yang cukup signifikan [1]
srflx (server reflexive)Alamat publik yang ditunjukkan router atau VPN Anda ke server STUN [7]Tinggi jika itu alamat penyedia internet Anda saat VPN menyala [1]
relayAlamat di server TURN yang meneruskan media [7]Rendah: pihak lain melihat alamat relay, bukan alamat Anda [6]; operator relay tetap melihat Anda

IETF menyebut kasus VPN sebagai yang paling signifikan, karena sebagian orang memakai VPN agar tetap anonim [1]. Dua kasus lainnya adalah alamat privat Anda dan proxy yang dilewati begitu saja oleh pemeriksaan WebRTC, sehingga alamat publik Anda yang sebenarnya terungkap [1].

Apakah panggilan browser membuka alamat IP Anda?

Kepada layanan telepon, ya: setiap situs web melihat alamat publik Anda [1], dan panggilan menambahkan koneksi media ke server layanan. Kepada orang yang Anda telepon di telepon rumah atau ponsel, tidak: panggilan keluar dari internet di gateway penyedia [8], dan jaringan telepon meneruskan nomor penelepon, bukan alamat IP [2]. Panggilan antar-aplikasi bisa menghubungkan dua perangkat secara langsung.

Siapa yang bisa melihat alamat IP Anda, menurut jenis panggilan (halaman bantuan resmi dibaca pada 1 November 2026)
Jenis panggilanLayanannyaOrang yang Anda telepon
Browser ke nomor telepon (Google Voice, TwinPhone, Yolla)Ya: layanan menjalankan koneksi mediaTidak: mereka melihat ID penelepon [2]
Dialer web gratis (Call2Friends, Globfone)Ya: Call2Friends membatasi panggilan gratis per alamat IP, dan kebijakan privasi Globfone mencantumkan alamat IP di antara data teknis dan log yang diprosesnya [9][10]Tidak: mereka melihat ID penelepon
Messenger, panggilan 1:1YaYa: Meta menyebut IP Anda dibagikan ke perangkat lawan bicara [4]
WhatsAppYaBisa, kecuali Lindungi alamat IP dalam panggilan diaktifkan; panggilan grup selalu diteruskan lewat server [5]
TelegramYaBisa: pengumuman Telegram tahun 2017 menyebut panggilan berjalan peer-to-peer bila memungkinkan [11]

Untuk panggilan ke nomor sungguhan, pertanyaannya adalah apa yang diketahui dan disimpan layanan; apa yang dilihat orang yang Anda telepon dijelaskan di nomor mana yang tampil saat Anda menelepon dari browser.

Cara menjalankan tes kebocoran WebRTC

Halaman tes kebocoran melakukan hal yang sama seperti dialer sebelum panggilan: membuka koneksi WebRTC, menanyakan ke server STUN alamat publik mana yang terlihat, lalu menampilkan setiap kandidat di samping alamat yang dilihatnya lewat HTTP biasa. Jalankan tes di setiap browser yang Anda pakai untuk menelepon, pertama dengan VPN mati, lalu dengan VPN menyala.

  1. VPN mati: buka halaman tes kebocoran, misalnya WebRTC Leak Test dari BrowserLeaks. "Your Remote IP" di bagian atas dan "Public IP Address" di bawah "Your WebRTC IP" seharusnya sama.
  2. VPN menyala: muat ulang halaman. "Your Remote IP" sekarang seharusnya menampilkan alamat VPN.
  3. Jika bagian WebRTC masih mencantumkan alamat penyedia internet Anda, berarti WebRTC berjalan di luar terowongan VPN [1].
  4. Entri lokal berakhiran .local berarti alamatnya disembunyikan [3]; entri mentah yang diawali 192.168. atau 10. berarti tidak disembunyikan.
  5. Jika halaman menawarkan pengecekan mikrofon, izinkan lalu tes lagi: dialer memerlukan akses mikrofon, dan izin itu bisa membuka lebih banyak alamat [1]. Setelah itu, cabut izinnya di setelan situs [12].

Apa yang berubah di Chrome setelah mikrofon diizinkan

Pada , saya memuat halaman tes lokal di Chrome 156 di Mac, tanpa server STUN, sehingga tidak ada alamat yang dikirim ke server luar. Tanpa izin mikrofon, halaman itu melihat satu kandidat host dengan nama berupa string acak berakhiran .local [3]. Setelah mikrofon diizinkan, halaman itu menerima alamat IPv4 lokal saya yang sebenarnya.

Hal ini sesuai standar, yang hanya mengizinkan daftar alamat lengkap dengan persetujuan, seperti izin mikrofon [1]; WebKit, mesin Safari, menjelaskan aturan yang sama pada 2017 [13]. Jadi dialer yang Anda izinkan bisa melihat alamat lokal Anda: risikonya lebih kecil daripada alamat publik [1].

Pengaturan browser yang membatasi kebocoran WebRTC

Brave mendokumentasikan pengaturan IP WebRTC untuk pengguna. Google mendokumentasikan kontrol Chrome untuk ekstensi dan administrator, dan Microsoft mendokumentasikan kontrol Edge sebagai kebijakan administrator. Firefox menyembunyikan alamat lokal secara default dan menyediakan sakelar untuk mematikan WebRTC di about:config. Satu aturan berlaku di mana saja: mematikan WebRTC juga menghentikan dialer browser, karena WebRTC-lah yang membawa panggilan [14].

Kontrol alamat WebRTC per browser (dokumentasi vendor, dibaca 1 November 2026)
BrowserKontrolApa yang diubahPengaruh pada panggilan browser
BraveWebRTC IP handling policy di pengaturan privasi, menurut wiki Brave (terakhir diedit 2018) [15]Nilai Default Public Interface Only tidak membuka alamat lokal apa pun [15]Media bisa beralih ke server relay [1]
ChromeEkstensi bisa mengatur WebRTC IP handling policy [16]; administrator bisa mengatur kebijakan WebRtcIPHandling [17]Tergantung nilainya, browser berhenti memakai alamat privat atau mengirim media hanya lewat proxy [17]Nilai khusus proxy bisa memindahkan audio ke TCP, yang menurut IETF menurunkan kualitas [1]
EdgeKebijakan administrator WebRtcLocalhostIpHandling [18]Dua nilainya berhenti membuka alamat IP lokal [18]Sama seperti Chrome
FirefoxAlamat lokal disembunyikan secara default [19]; media.peerconnection.enabled di about:config [20]Mengubah preferensi itu menjadi false akan mematikan WebRTCDialer browser berhenti berfungsi
SafariAturan bawaanHalaman tanpa akses mikrofon atau kamera tidak mendapat alamat host, seperti dijelaskan WebKit pada 2017 [13]Tidak ada

Apa yang diubah VPN pada panggilan browser

VPN yang mengirim semua lalu lintas lewat terowongannya, termasuk WebRTC, menunjukkan alamat VPN kepada layanan telepon, bukan alamat Anda. VPN split-tunnel juga bisa membuat WebRTC menemukan alamat penyedia internet Anda [1], karena itulah tes kebocoran perlu dijalankan dengan VPN menyala. VPN juga punya efek samping pada panggilan.

Cara menjaga alamat IP tetap privat saat menelepon

Sesuaikan solusinya dengan jenis panggilan. Pada panggilan ke nomor telepon, orang yang Anda telepon tidak mendapat IP Anda, jadi pilih layanan yang Anda percayai untuk memegangnya dan cek VPN Anda. Pada panggilan antar-aplikasi, perangkat lawan bicara bisa terhubung langsung ke perangkat Anda, jadi pakai pengaturan relay aplikasi itu jika tersedia.

  1. Panggilan browser: jalankan tes kebocoran dengan VPN menyala; di Brave, pilih Default Public Interface Only [15].
  2. Mikrofon: untuk dialer yang hanya sekali Anda pakai, beri izin dengan "Izinkan kali ini" [12]; dalam pengecekan saya di Chrome, halaman yang memegang izin itu bisa melihat alamat lokal.
  3. WhatsApp: aktifkan Lindungi alamat IP dalam panggilan. Halaman bantuannya mencakup Android, iOS, dan Mac, bukan web, dan memperingatkan bahwa kualitas panggilan yang diteruskan lewat server bisa sedikit menurun [5].

Pertanyaan yang sering diajukan

Apa itu tes kebocoran WebRTC?

Tes kebocoran WebRTC adalah halaman web yang menjalankan proses penyiapan koneksi yang dipakai panggilan browser, lalu menampilkan setiap alamat IP yang ditawarkan browser Anda, di samping alamat yang dilihat halaman itu lewat HTTP biasa. Jika alamat penyedia internet Anda muncul di daftar itu saat VPN menyala, berarti WebRTC berjalan di luar terowongan VPN [1]; nama .local acak berarti alamat lokal Anda disembunyikan [3].

Bisakah orang yang saya telepon dari browser melihat alamat IP saya?

Tidak, jika panggilan ditujukan ke telepon rumah atau ponsel. Penyedia mengubah audio browser Anda menjadi panggilan telepon di gateway-nya [23], dan jaringan telepon meneruskan nomor penelepon, bukan alamat IP [2]. Panggilan antar-aplikasi berbeda: Messenger menyebut panggilan 1:1 membagikan IP Anda ke perangkat lawan bicara [4].

Apakah VPN menghentikan kebocoran WebRTC?

VPN yang mengarahkan semua lalu lintas, termasuk WebRTC, lewat terowongannya bisa menghentikannya. VPN split-tunnel mungkin tidak, karena WebRTC bisa menemukan alamat publik penyedia internet Anda di samping alamat VPN [1]. Satu-satunya cara untuk memastikannya adalah tes kebocoran dengan VPN tersambung, di setiap browser yang Anda pakai, dan diulang setelah setiap pembaruan.

Apakah kebocoran alamat IP lokal berbahaya?

Tidak seberbahaya kebocoran alamat publik. Alamat privat seperti 192.168.1.20 tidak menunjukkan lokasi Anda, tetapi IETF menyebut alamat IPv4 privat sebagai permukaan fingerprinting yang cukup signifikan, yang bisa menautkan sesi penjelajahan biasa dan pribadi di satu perangkat [1]. Firefox menyembunyikan alamat lokal secara default [19], Safari menyembunyikannya dari halaman tanpa akses mikrofon atau kamera [13], dan begitu pula Chrome dalam pengecekan saya.

Apakah mode penyamaran atau jendela pribadi mencegah kebocoran WebRTC?

Tidak. IETF mencatat bahwa alamat privat yang terungkap lewat WebRTC bisa berfungsi sebagai pengenal yang memberi tahu situs bahwa jendela biasa dan jendela pribadi berada di perangkat yang sama [1], jadi mode pribadi saja tidak menyembunyikannya. Pakai pengaturan browser di atas, lalu jalankan tes kebocoran di jendela pribadi juga.

Apakah ekstensi anti kebocoran WebRTC berfungsi?

Sebagian. Di Chrome, ekstensi bisa mengatur WebRTC IP handling policy browser, yang oleh Google digambarkan sebagai kompromi antara performa media dan seberapa banyak informasi alamat lokal yang terbuka [16]. Tergantung nilainya, ekstensi itu menyembunyikan alamat lokal atau memaksa media lewat proxy, yang bisa memindahkan audio ke TCP dan menurunkan kualitas [1]. Jalankan tes kebocoran setelah memasangnya untuk memastikan perubahannya.

Bagaimana cara mematikan WebRTC di Firefox?

Ketik about:config di bilah alamat, cari media.peerconnection.enabled, lalu ubah nilainya menjadi false. Kode sumber Mozilla menggambarkan preferensi itu sebagai sakelar untuk RTCPeerConnection, dan mematikannya juga menghapus akses halaman ke API mikrofon [20]. Semua dialer browser lalu berhenti berfungsi, jadi bagi sebagian besar penelepon, pengaturan default Firefox, yang sudah menyembunyikan alamat lokal, adalah pilihan yang lebih baik [19].

Bagaimana cara mencegah kebocoran WebRTC di Chrome?

Lewat ekstensi atau kebijakan (policy), karena Google mendokumentasikan pengaturan alamat WebRTC di Chrome untuk keduanya. Ekstensi bisa mengatur kebijakan penanganan IP WebRTC [16], dan administrator bisa mengatur WebRtcIPHandling, yang nilai default_public_interface_only-nya mencegah WebRTC memakai alamat privat [17]. Dalam pemeriksaan saya di Chrome, halaman tanpa izin mikrofon sudah hanya melihat nama .local acak [3]. Di balik VPN, solusi sebenarnya adalah tunnel yang membawa semua lalu lintas [1]. Apa pun yang memblokir WebRTC sepenuhnya juga menghentikan panggilan dari browser [14].

Bisakah situs web melihat IP saya lewat WebRTC tanpa meminta izin?

Alamat publik Anda, ya, tetapi situs web memang sudah melihatnya: Safari, misalnya, hanya memberi halaman tanpa akses mikrofon alamat yang memang sudah bisa dikumpulkan situs web [13]. Masalahnya ada pada proxy browser. Jika akses internet langsung diizinkan, pemeriksaan STUN WebRTC bisa melewati proxy dan mengungkap alamat publik Anda yang sebenarnya [1]. Alamat lokal lebih terjaga: standarnya mengaitkan daftar lengkapnya dengan persetujuan seperti izin mikrofon [1], dan dalam pemeriksaan saya di Chrome, halaman tanpa izin itu hanya melihat nama .local acak [3].

Tanyakan riset ini ke AI

Setiap tombol membuka asisten di tab baru dan memintanya meringkas halaman ini, dengan tautan ke halaman ini sebagai sumbernya.

Sumber

  1. RFC 8828: WebRTC IP Address Handling Requirements · IETF (RFC Editor) · diperiksa 1 November 2026
  2. 47 CFR 64.1601 -- Delivery requirements and privacy restrictions | eCFR · US Code of Federal Regulations (eCFR) · diperiksa 1 November 2026
  3. Using Multicast DNS to protect privacy when exposing ICE candidates (draft-ietf-mmusic-mdns-ice-candidates) · IETF (Internet-Draft, work in progress) · diperiksa 1 November 2026
  4. Voice call someone or a group on Messenger - Messenger Help Center (Computer) · diperiksa 1 November 2026
  5. How to protect your IP address on WhatsApp calls | WhatsApp Help Center · WhatsApp · diperiksa 1 November 2026
  6. RTCIceCandidate: address property - Web APIs | MDN · MDN Web Docs (Mozilla) · diperiksa 1 November 2026
  7. RTCIceCandidate: type property - Web APIs | MDN · MDN Web Docs (Mozilla) · diperiksa 1 November 2026
  8. Make calls | Sonetel help · diperiksa 1 November 2026
  9. Free call | Call2Friends - Online call · diperiksa 1 November 2026
  10. Privacy Policy | Globfone · diperiksa 1 November 2026
  11. Voice Calls: Secure, Crystal-Clear, AI-Powered | Telegram Blog (30 March 2017) · Telegram · diperiksa 1 November 2026
  12. Use your camera and microphone in Chrome - Computer - Google Chrome Help · Google · diperiksa 1 November 2026
  13. A Closer Look Into WebRTC | WebKit (3 July 2017) · WebKit (Apple) · diperiksa 1 November 2026
  14. WebRTC API - Web APIs | MDN · MDN Web Docs (Mozilla) · diperiksa 1 November 2026
  15. WebRTC Custom Settings · brave/brave-browser Wiki · Brave Software (official GitHub wiki) · diperiksa 1 November 2026
  16. chrome.privacy | API | Chrome for Developers · Google (Chrome for Developers) · diperiksa 1 November 2026
  17. Chrome Enterprise policy list: WebRtcIPHandling (WebRTC IP handling) · Google (Chrome Enterprise) · diperiksa 1 November 2026
  18. Microsoft Edge Browser Policy Documentation WebRtcLocalhostIpHandling | Microsoft Learn · Microsoft · diperiksa 1 November 2026
  19. Firefox source: modules/libpref/init/all.js (mozilla-firefox/firefox) · Mozilla (official Firefox source repository) · diperiksa 1 November 2026
  20. Firefox source: modules/libpref/init/StaticPrefList.yaml (mozilla-firefox/firefox) · Mozilla (official Firefox source repository) · diperiksa 1 November 2026
  21. Terms of Use – TextNow · diperiksa 1 November 2026
  22. Privacy Policy – Privacy & Terms – Google · Google · diperiksa 1 November 2026
  23. Call From Your Browser Without a SIM Card - TwinPhone · diperiksa 1 November 2026