Vai al contenuto

Fughe di IP WebRTC

WebRTC leak test: cosa rivela del tuo indirizzo IP una chiamata dal browser

Fa parte di: Il VoIP è sicuro? Cosa protegge una chiamata dal browser, cosa espone e chi può intercettarla

Di · Aggiornato: · 13 min di lettura

Aggiungi callfrombrowser.org come fonte preferita su Google

In breve

Un WebRTC leak test elenca tutti gli indirizzi IP che il browser consegna a una pagina web tramite WebRTC, così puoi individuarne uno che volevi nascondere, di solito l'indirizzo del tuo provider internet mentre la VPN è attiva [1]. Una chiamata dal browser verso un numero di telefono mostra il tuo IP al servizio di chiamata, non alla persona che chiami, che riceve un ID chiamante [2]. Il test è uno dei controlli di privacy e sicurezza che consiglio prima di chiamare dal browser.

Dati chiave

Cos'è un WebRTC leak?

Prima di una chiamata WebRTC, il browser raccoglie i possibili percorsi di rete, chiamati candidati ICE, e li consegna alla pagina web perché li passi all'altra parte. Ognuno contiene un indirizzo IP, oppure un nome casuale .local al posto di un indirizzo locale nascosto. Un normale sito web vede solo l'indirizzo pubblico da cui è partita la tua richiesta; tramite WebRTC una pagina può scoprire di più [1]. Un leak è qualsiasi indirizzo di quell'elenco che non intendevi condividere.

Come viaggia il resto della chiamata lo spiego in WebRTC, SIP e la rete telefonica; per i leak conta solo l'elenco dei candidati. MDN fa notare che i loro indirizzi sono sempre esposti alla pagina [6].

Gli indirizzi elencati da un WebRTC leak test e cosa rivela ciascuno
Tipo di candidatoIndirizzo che mostraRischio per la privacy
hostL'indirizzo del tuo dispositivo sulla rete locale, oppure un nome casuale che termina in .local se il browser lo nasconde [7][3]Più basso di un indirizzo pubblico, ma l'IETF considera gli indirizzi IPv4 privati una superficie di fingerprinting piuttosto significativa [1]
srflx (server reflexive)L'indirizzo pubblico che il tuo router o la VPN mostrano a un server STUN [7]Alto se è l'indirizzo del tuo provider mentre la VPN è attiva [1]
relayUn indirizzo su un server TURN che inoltra i flussi multimediali [7]Basso: l'altra parte vede l'indirizzo del relay, non il tuo [6]; chi gestisce il relay, però, vede te

L'IETF considera il caso della VPN il più significativo, perché alcune persone usano una VPN per restare anonime [1]. Gli altri due casi sono il tuo indirizzo privato e un proxy che i controlli di WebRTC aggirano, rivelando il tuo vero indirizzo pubblico [1].

Una chiamata dal browser espone il tuo indirizzo IP?

Al servizio di chiamata sì: ogni sito web vede il tuo indirizzo pubblico [1], e una chiamata aggiunge una connessione multimediale verso i server del servizio. A chi chiami su un fisso o un cellulare no: la chiamata lascia internet al gateway del fornitore [8], e la rete telefonica trasmette un numero chiamante, non un indirizzo IP [2]. Le chiamate da app ad app, invece, possono collegare direttamente due dispositivi.

Chi può vedere il tuo indirizzo IP, per tipo di chiamata (pagine di assistenza ufficiali consultate il 1° novembre 2026)
Tipo di chiamataIl servizioLa persona che chiami
Dal browser a un numero di telefono (Google Voice, TwinPhone, Yolla)Sì: gestisce la connessione multimedialeNo: vede un ID chiamante [2]
Dialer web gratuiti (Call2Friends, Globfone)Sì: Call2Friends limita le chiamate gratuite per indirizzo IP, e l'informativa sulla privacy di Globfone elenca gli indirizzi IP tra i dati tecnici e i log che tratta [9][10]No: vede un ID chiamante
Messenger, chiamata 1:1SìSì: Meta dice che il tuo IP viene condiviso con l'altro dispositivo [4]
WhatsAppSìPuò vederlo, a meno che non sia attiva l'opzione Proteggi l'indirizzo IP nelle chiamate; le chiamate di gruppo passano sempre da un relay [5]
TelegramSìPuò vederlo: l'annuncio di Telegram del 2017 dice che le chiamate sono peer-to-peer ogni volta che è possibile [11]

Per le chiamate a numeri veri, la questione è cosa il servizio viene a sapere e cosa conserva; cosa vede invece la persona che chiami lo spiego in quale numero compare quando chiami dal browser.

Come fare un WebRTC leak test

Una pagina di leak test fa ciò che fa un dialer prima di una chiamata: apre una connessione WebRTC, chiede a un server STUN quale indirizzo pubblico vede e mostra ogni candidato accanto all'indirizzo che la pagina vede tramite normale HTTP. Eseguilo in ogni browser da cui chiami, prima con la VPN spenta e poi con la VPN accesa.

  1. VPN spenta: apri una pagina di leak test, come il WebRTC Leak Test di BrowserLeaks. «Your Remote IP» in alto e «Public IP Address» sotto «Your WebRTC IP» dovrebbero coincidere.
  2. VPN accesa: ricarica la pagina. «Your Remote IP» ora dovrebbe mostrare l'indirizzo della VPN.
  3. Se la sezione WebRTC elenca ancora l'indirizzo del tuo provider, WebRTC sta aggirando il tunnel [1].
  4. Una voce locale che termina in .local significa che l'indirizzo è nascosto [3]; un indirizzo in chiaro che inizia con 192.168. o 10. non lo è.
  5. Se la pagina offre un controllo del microfono, consentilo e ripeti il test: un dialer ha bisogno dell'accesso al microfono, e quel permesso può sbloccare altri indirizzi [1]. Alla fine revoca il permesso dalle impostazioni del sito [12].

Cosa è cambiato in Chrome dopo aver consentito il microfono

Il ho caricato una pagina di test in locale in Chrome 156 su un Mac, senza server STUN, quindi nessun indirizzo è stato inviato a un server esterno. Senza il permesso per il microfono, la pagina vedeva un solo candidato host, con un nome composto da una stringa casuale che termina in .local [3]. Con il microfono consentito, ha ricevuto il mio vero indirizzo IPv4 locale.

È quanto prevede lo standard, che consente l'elenco completo degli indirizzi solo con il consenso, per esempio con il permesso per il microfono [1]; WebKit, il motore di Safari, ha descritto la stessa regola nel 2017 [13]. Quindi un dialer a cui dai il permesso può vedere il tuo indirizzo locale: un rischio minore rispetto a quello pubblico [1].

Le impostazioni del browser che limitano i WebRTC leak

Brave documenta un'impostazione dell'IP WebRTC pensata per gli utenti. Google documenta i controlli di Chrome per estensioni e amministratori, e Microsoft quelli di Edge come criterio per amministratori. Firefox nasconde gli indirizzi locali per impostazione predefinita e prevede un interruttore per spegnere WebRTC in about:config. Una regola vale ovunque: disattivare WebRTC blocca anche i dialer nel browser, perché è WebRTC a trasportare la chiamata [14].

Controlli sugli indirizzi WebRTC per browser (documentazione dei produttori consultata il 1° novembre 2026)
BrowserControlloCosa cambiaEffetto sulle chiamate dal browser
BraveL'opzione WebRTC IP handling policy nelle impostazioni della privacy, secondo il wiki di Brave (ultima modifica nel 2018) [15]Il valore Default Public Interface Only non espone alcun indirizzo locale [15]I flussi multimediali possono ripiegare su un server relay [1]
ChromeLe estensioni possono impostare un criterio di gestione dell'IP WebRTC [16]; gli amministratori possono impostare il criterio WebRtcIPHandling [17]A seconda del valore, smette di usare gli indirizzi privati oppure invia i flussi multimediali solo tramite un proxy [17]I valori che impongono il proxy possono spostare l'audio su TCP, cosa che secondo l'IETF ne riduce la qualità [1]
EdgeCriterio per amministratori WebRtcLocalhostIpHandling [18]Due dei suoi valori smettono di esporre l'indirizzo IP locale [18]Come in Chrome
FirefoxIndirizzi locali nascosti per impostazione predefinita [19]; media.peerconnection.enabled in about:config [20]Impostare quella preferenza su false disattiva WebRTCI dialer nel browser smettono di funzionare
SafariRegola integrataLe pagine senza accesso a microfono o fotocamera non ricevono indirizzi host, come ha descritto WebKit nel 2017 [13]Nessuno

Cosa cambia una VPN per le chiamate dal browser

Una VPN che fa passare tutto il traffico nel suo tunnel, WebRTC compreso, mostra al servizio di chiamata l'indirizzo della VPN invece del tuo. Una VPN in split tunneling può anche permettere a WebRTC di trovare l'indirizzo del tuo provider [1]: ecco perché il leak test va fatto con la VPN accesa. Una VPN, poi, ha anche effetti collaterali sulle chiamate.

Come tenere privato il tuo indirizzo IP durante le chiamate

Scegli la soluzione in base alla chiamata. Nelle chiamate verso numeri di telefono la persona che chiami non riceve il tuo IP, quindi scegli un servizio a cui lo affidi con fiducia e controlla la VPN. Nelle chiamate da app ad app l'altro dispositivo può collegarsi direttamente al tuo, quindi usa l'impostazione di relay dell'app, dove esiste.

  1. Chiamate dal browser: esegui il leak test con la VPN accesa; in Brave, scegli Default Public Interface Only [15].
  2. Microfono: sui dialer che usi una sola volta, concedilo con «Consenti questa volta» [12]; nella mia verifica con Chrome, una pagina con quel permesso poteva vedere l'indirizzo locale.
  3. WhatsApp: attiva Proteggi l'indirizzo IP nelle chiamate. La pagina di assistenza riguarda Android, iOS e Mac, non il web, e avverte che le chiamate inoltrate tramite relay possono perdere un po' di qualità [5].

Domande frequenti

Cos'è un WebRTC leak test?

Un WebRTC leak test è una pagina web che esegue la stessa procedura di connessione usata da una chiamata dal browser ed elenca tutti gli indirizzi IP offerti dal browser, accanto all'indirizzo che la pagina vede tramite normale HTTP. Se in quell'elenco compare l'indirizzo del tuo provider mentre la VPN è attiva, WebRTC sta aggirando il tunnel [1]; un nome casuale .local significa che il tuo indirizzo locale è nascosto [3].

La persona che chiamo dal browser può vedere il mio indirizzo IP?

No, non in una chiamata verso un fisso o un cellulare. Il fornitore trasforma l'audio del browser in una chiamata telefonica al suo gateway [23], e la rete telefonica trasmette un numero chiamante, non un indirizzo IP [2]. Le chiamate da app ad app sono diverse: Messenger dice che le chiamate 1:1 condividono il tuo IP con il dispositivo dell'altra persona [4].

Una VPN blocca i WebRTC leak?

Sì, se instrada tutto il traffico nel suo tunnel, WebRTC compreso. Una VPN in split tunneling potrebbe non farlo, perché WebRTC può scoprire l'indirizzo pubblico del tuo provider accanto a quello della VPN [1]. L'unico modo per saperlo è un leak test con la VPN connessa, in ogni browser che usi, da ripetere dopo gli aggiornamenti.

Un leak dell'indirizzo IP locale è pericoloso?

Meno di un leak dell'indirizzo pubblico. Un indirizzo privato come 192.168.1.20 non dice dove ti trovi, ma l'IETF considera gli indirizzi IPv4 privati una superficie di fingerprinting piuttosto significativa, capace di collegare sessioni normali e in navigazione privata sullo stesso dispositivo [1]. Firefox nasconde gli indirizzi locali per impostazione predefinita [19], Safari li nasconde alle pagine senza accesso a microfono o fotocamera [13], e lo stesso ha fatto Chrome nella mia verifica.

La modalità in incognito o la navigazione privata bloccano i WebRTC leak?

No. L'IETF osserva che un indirizzo privato rivelato tramite WebRTC può fare da identificativo e dire a un sito che una finestra normale e una finestra di navigazione privata si trovano sullo stesso dispositivo [1], quindi la modalità privata da sola non lo nasconde. Usa le impostazioni del browser descritte sopra, poi esegui un leak test anche in una finestra privata.

Le estensioni contro i WebRTC leak funzionano?

In parte. In Chrome, un'estensione può impostare il criterio di gestione dell'IP WebRTC del browser, che Google descrive come un compromesso tra le prestazioni dei flussi multimediali e la quantità di informazioni esposte sugli indirizzi locali [16]. A seconda del valore, nasconde gli indirizzi locali o forza i flussi multimediali attraverso un proxy, il che può spostare l'audio su TCP e ridurne la qualità [1]. Dopo averne installata una, esegui un leak test per confermare la modifica.

Come disattivo WebRTC in Firefox?

Digita about:config nella barra degli indirizzi, cerca media.peerconnection.enabled e impostalo su false. Il codice sorgente di Mozilla descrive quella preferenza come l'interruttore di RTCPeerConnection, e disattivarla toglie anche alle pagine l'accesso all'API del microfono [20]. A quel punto tutti i dialer nel browser smettono di funzionare, quindi alla maggior parte di chi chiama conviene restare sull'impostazione predefinita di Firefox, che nasconde già gli indirizzi locali [19].

Come blocco le fughe WebRTC in Chrome?

Con un'estensione o con un criterio, perché Google documenta i controlli degli indirizzi WebRTC di Chrome per questi due strumenti. Un'estensione può impostare il criterio di gestione degli IP del WebRTC[16], e gli amministratori possono impostare WebRtcIPHandling, il cui valore default_public_interface_only impedisce al WebRTC di usare indirizzi privati[17]. Nella mia verifica su Chrome, una pagina senza permesso per il microfono vedeva già solo un nome .local casuale[3]. Dietro una VPN, la vera soluzione è un tunnel che trasporti tutto il traffico[1]. Qualsiasi cosa blocchi del tutto il WebRTC blocca anche le chiamate dal browser[14].

Un sito può vedere il mio IP tramite WebRTC senza chiedere?

Il tuo indirizzo pubblico sì, ma i siti lo vedono comunque: Safari, per esempio, dà alle pagine senza accesso al microfono solo indirizzi che un sito potrebbe già raccogliere[13]. Il problema è il proxy del browser. Se è consentito l'accesso diretto a internet, i controlli STUN del WebRTC possono aggirare il proxy e rivelare il tuo vero indirizzo pubblico[1]. Gli indirizzi locali sono più protetti: lo standard lega l'elenco completo a un consenso come il permesso per il microfono[1], e nella mia verifica su Chrome una pagina senza quel permesso vedeva solo un nome .local casuale[3].

Chiedi a un'IA di questa ricerca

Ogni pulsante apre l'assistente in una nuova scheda e gli chiede di riassumere questa pagina, citandola come fonte con il link.

Fonti

  1. RFC 8828: WebRTC IP Address Handling Requirements · IETF (RFC Editor) · verifica: 1 novembre 2026
  2. 47 CFR 64.1601 -- Delivery requirements and privacy restrictions | eCFR · US Code of Federal Regulations (eCFR) · verifica: 1 novembre 2026
  3. Using Multicast DNS to protect privacy when exposing ICE candidates (draft-ietf-mmusic-mdns-ice-candidates) · IETF (Internet-Draft, work in progress) · verifica: 1 novembre 2026
  4. Voice call someone or a group on Messenger - Messenger Help Center (Computer) · verifica: 1 novembre 2026
  5. How to protect your IP address on WhatsApp calls | WhatsApp Help Center · WhatsApp · verifica: 1 novembre 2026
  6. RTCIceCandidate: address property - Web APIs | MDN · MDN Web Docs (Mozilla) · verifica: 1 novembre 2026
  7. RTCIceCandidate: type property - Web APIs | MDN · MDN Web Docs (Mozilla) · verifica: 1 novembre 2026
  8. Make calls | Sonetel help · verifica: 1 novembre 2026
  9. Free call | Call2Friends - Online call · verifica: 1 novembre 2026
  10. Privacy Policy | Globfone · verifica: 1 novembre 2026
  11. Voice Calls: Secure, Crystal-Clear, AI-Powered | Telegram Blog (30 March 2017) · Telegram · verifica: 1 novembre 2026
  12. Use your camera and microphone in Chrome - Computer - Google Chrome Help · Google · verifica: 1 novembre 2026
  13. A Closer Look Into WebRTC | WebKit (3 July 2017) · WebKit (Apple) · verifica: 1 novembre 2026
  14. WebRTC API - Web APIs | MDN · MDN Web Docs (Mozilla) · verifica: 1 novembre 2026
  15. WebRTC Custom Settings · brave/brave-browser Wiki · Brave Software (official GitHub wiki) · verifica: 1 novembre 2026
  16. chrome.privacy | API | Chrome for Developers · Google (Chrome for Developers) · verifica: 1 novembre 2026
  17. Chrome Enterprise policy list: WebRtcIPHandling (WebRTC IP handling) · Google (Chrome Enterprise) · verifica: 1 novembre 2026
  18. Microsoft Edge Browser Policy Documentation WebRtcLocalhostIpHandling | Microsoft Learn · Microsoft · verifica: 1 novembre 2026
  19. Firefox source: modules/libpref/init/all.js (mozilla-firefox/firefox) · Mozilla (official Firefox source repository) · verifica: 1 novembre 2026
  20. Firefox source: modules/libpref/init/StaticPrefList.yaml (mozilla-firefox/firefox) · Mozilla (official Firefox source repository) · verifica: 1 novembre 2026
  21. Terms of Use – TextNow · verifica: 1 novembre 2026
  22. Privacy Policy – Privacy & Terms – Google · Google · verifica: 1 novembre 2026
  23. Call From Your Browser Without a SIM Card - TwinPhone · verifica: 1 novembre 2026