Hopp til innholdet

WebRTC-lekkasjer

WebRTC-lekkasjetest: hva en samtale i nettleseren avslører om IP-adressen din

Del av: Er IP-telefoni trygt? Hva en samtale fra nettleseren beskytter og hva den avslører

Av · Oppdatert · 11 min lesetid

Legg til callfrombrowser.org som foretrukket kilde i Google

Kort fortalt

En WebRTC-lekkasjetest viser alle IP-adressene nettleseren din gir en nettside gjennom WebRTC, så du kan oppdage en du ville skjule, som regel adressen fra internettleverandøren mens en VPN er slått på [1]. En samtale fra nettleseren til et telefonnummer viser IP-en din til ringetjenesten, ikke til den du ringer, som får se en nummervisning [2]. Testen er en av sjekkene av personvern og sikkerhet jeg anbefaler før du ringer fra nettleseren.

Nøkkelfakta

Hva er en WebRTC-lekkasje?

Før en WebRTC-samtale samler nettleseren mulige nettverksruter, såkalte ICE-kandidater, og gir dem til nettsiden, som sender dem videre til den andre parten. Hver av dem har en IP-adresse, eller et tilfeldig .local-navn i stedet for en skjult lokal adresse. En vanlig nettside ser bare den offentlige adressen forespørselen din kom fra; gjennom WebRTC kan en side få vite mer [1]. En lekkasje er enhver adresse i den listen som du ikke mente å dele.

Hvordan resten av samtalen går fram, forklarer jeg under WebRTC, SIP og telefonnettet; når det gjelder lekkasjer, er det bare kandidatlisten som teller. MDN påpeker at adressene i den alltid er synlige for siden [6].

Adressene en WebRTC-lekkasjetest viser, og hva hver av dem avslører
KandidattypeAdressen den viserPersonvernrisiko
hostEnhetens adresse på det lokale nettverket, eller et tilfeldig navn som slutter på .local hvis nettleseren skjuler den [7][3]Lavere enn for en offentlig adresse, men IETF kaller private IPv4-adresser en ganske betydelig kilde til fingeravtrykk (fingerprinting) [1]
srflx (server reflexive)Den offentlige adressen ruteren eller VPN-en din viser til en STUN-server [7]Høy hvis det er adressen fra internettleverandøren mens en VPN er slått på [1]
relayEn adresse på en TURN-server som videresender lyden [7]Lav: den andre parten ser reléets adresse, ikke din [6]; den som driver reléet, ser deg likevel

IETF kaller VPN-tilfellet det mest alvorlige, fordi noen bruker VPN for å være anonyme [1]. De to andre tilfellene er den private adressen din og en proxy som WebRTC-sjekkene går utenom, noe som avslører den ekte offentlige adressen din [1].

Avslører en samtale i nettleseren IP-adressen din?

Overfor ringetjenesten, ja: alle nettsteder ser den offentlige adressen din [1], og en samtale legger til en lydforbindelse til tjenestens servere. Overfor den du ringer på fasttelefon eller mobil, nei: samtalen forlater internett ved leverandørens gateway [8], og telefonnettet sender videre et nummer, ikke en IP-adresse [2]. Samtaler fra app til app kan koble to enheter direkte sammen.

Hvem som kan se IP-adressen din, etter type samtale (offisielle hjelpesider lest 1. november 2026)
Type samtaleTjenestenDen du ringer
Fra nettleseren til et telefonnummer (Google Voice, TwinPhone, Yolla)Ja: den håndterer lydforbindelsenNei: de ser en nummervisning [2]
Gratis ringetjenester på nett (Call2Friends, Globfone)Ja: Call2Friends begrenser gratissamtaler per IP-adresse, og personvernerklæringen til Globfone nevner IP-adresser blant de tekniske dataene og loggene den behandler [9][10]Nei: de ser en nummervisning
Messenger, samtale mellom toJaJa: Meta sier at IP-en din deles med den andre enheten [4]
WhatsAppJaKan, med mindre «Protect IP address in calls» er slått på; gruppesamtaler går alltid via relé [5]
TelegramJaKan: kunngjøringen fra Telegram i 2017 sier at samtaler går direkte mellom enhetene (peer-to-peer) når det er mulig [11]

Ved samtaler til ekte numre er spørsmålet hva tjenesten får vite og tar vare på; hva den du ringer, ser i stedet, finner du under hvilket nummer som vises når du ringer fra nettleseren.

Slik kjører du en WebRTC-lekkasjetest

En side for lekkasjetest gjør det samme som en ringetjeneste gjør før en samtale: den åpner en WebRTC-forbindelse, spør en STUN-server hvilken offentlig adresse den ser, og skriver ut hver kandidat ved siden av adressen den ser over vanlig HTTP. Kjør testen i hver nettleser du ringer fra, først med VPN-en av og deretter med den på.

  1. VPN av: åpne en side for lekkasjetest, for eksempel WebRTC Leak Test fra BrowserLeaks. «Your Remote IP» øverst og «Public IP Address» under «Your WebRTC IP» skal være like.
  2. VPN på: last inn siden på nytt. «Your Remote IP» skal nå vise VPN-ens adresse.
  3. Hvis WebRTC-delen fortsatt viser adressen fra internettleverandøren, går WebRTC utenom tunnelen [1].
  4. En lokal oppføring som slutter på .local, betyr at adressen er skjult [3]; en rå adresse som begynner med 192.168. eller 10., er ikke det.
  5. Hvis siden tilbyr en mikrofonsjekk, tillat den og test på nytt: en ringetjeneste trenger tilgang til mikrofonen, og den tillatelsen kan åpne for flere adresser [1]. Fjern tillatelsen etterpå i nettstedsinnstillingene [12].

Hva som endret seg i Chrome da mikrofonen ble tillatt

lastet jeg inn en lokal testside i Chrome 156 på en Mac, uten STUN-server, så ingen adresse gikk til en ekstern server. Uten mikrofontillatelse så siden én host-kandidat med et tilfeldig navn som sluttet på .local [3]. Med mikrofonen tillatt fikk den min ekte lokale IPv4-adresse.

Det er i tråd med standarden, som bare tillater hele adresselisten med samtykke, for eksempel mikrofontillatelse [1]; WebKit, motoren i Safari, beskrev den samme regelen i 2017 [13]. En ringetjeneste du gir tillatelse, kan altså se den lokale adressen din: en mindre risiko enn at den offentlige blir kjent [1].

Nettleserinnstillinger som begrenser WebRTC-lekkasjer

Brave dokumenterer en innstilling for WebRTC-IP for brukerne. Google dokumenterer kontrollene i Chrome for utvidelser og administratorer, og Microsoft dokumenterer kontrollen i Edge som en administratorpolicy. Firefox skjuler lokale adresser som standard og har en av-bryter i about:config. Én regel gjelder overalt: slår du av WebRTC, slutter også ringetjenestene i nettleseren å virke, fordi det er WebRTC som bærer samtalen [14].

Kontroller for WebRTC-adresser per nettleser (leverandørenes dokumentasjon, lest 1. november 2026)
NettleserKontrollHva den endrerVirkning på samtaler i nettleseren
BravePolicy for håndtering av WebRTC-IP i personverninnstillingene, ifølge wikien til Brave (sist redigert 2018) [15]Default Public Interface Only viser ingen lokale adresser [15]Lyden kan falle tilbake på en reléserver [1]
ChromeUtvidelser kan angi en policy for håndtering av WebRTC-IP [16]; administratorer kan angi policyen WebRtcIPHandling [17]Avhengig av verdien slutter nettleseren å bruke private adresser eller sender lyden bare gjennom en proxy [17]Verdier som bare tillater proxy, kan flytte lyden over på TCP, noe IETF sier gir dårligere kvalitet [1]
EdgeAdministratorpolicyen WebRtcLocalhostIpHandling [18]To av verdiene slutter å vise den lokale IP-adressen [18]Som i Chrome
FirefoxLokale adresser skjult som standard [19]; media.peerconnection.enabled i about:config [20]Settes innstillingen til false, slås WebRTC avRingetjenester i nettleseren slutter å virke
SafariInnebygd regelSider uten tilgang til mikrofon eller kamera får ingen host-adresser, slik WebKit beskrev det i 2017 [13]Ingen

Hva en VPN endrer for samtaler i nettleseren

En VPN som sender all trafikk gjennom tunnelen, WebRTC inkludert, viser ringetjenesten VPN-ens adresse i stedet for din. En VPN med delt tunnel kan i tillegg la WebRTC finne adressen fra internettleverandøren din [1], og derfor bør du kjøre lekkasjetesten med VPN-en på. En VPN har også bivirkninger for samtaler.

Slik holder du IP-adressen din privat i samtaler

Tilpass tiltaket til samtalen. Ved samtaler til telefonnumre får ikke den du ringer, IP-en din, så velg en tjeneste du stoler på med den, og sjekk VPN-en. Ved samtaler fra app til app kan den andre enheten koble seg direkte til din, så bruk appens reléinnstilling der den finnes.

  1. Samtaler i nettleseren: kjør lekkasjetesten med VPN-en på; i Brave velger du Default Public Interface Only [15].
  2. Mikrofon: på ringetjenester du bruker én gang, gir du tillatelse med «Tillat denne gangen» [12]; i sjekken min i Chrome kunne en side med den tillatelsen se den lokale adressen.
  3. WhatsApp: slå på «Protect IP address in calls». Hjelpesiden dekker Android, iOS og Mac, ikke nettversjonen, og advarer om at samtaler via relé kan miste noe kvalitet [5].

Ofte stilte spørsmål

Hva er en WebRTC-lekkasjetest?

En WebRTC-lekkasjetest er en nettside som kjører det samme oppsettet av forbindelsen som en samtale i nettleseren bruker, og viser alle IP-adressene nettleseren din tilbyr, ved siden av adressen siden ser over vanlig HTTP. Står adressen fra internettleverandøren i den listen mens en VPN er på, går WebRTC utenom tunnelen [1]; et tilfeldig .local-navn betyr at den lokale adressen din er skjult [3].

Kan den jeg ringer fra nettleseren, se IP-adressen min?

Nei, ikke ved en samtale til fasttelefon eller mobil. Leverandøren gjør om lyden fra nettleseren til en telefonsamtale i sin gateway [23], og telefonnettet sender videre et nummer, ikke en IP-adresse [2]. Samtaler fra app til app er annerledes: Messenger sier at samtaler mellom to personer deler IP-en din med den andres enhet [4].

Stopper en VPN WebRTC-lekkasjer?

En VPN som sender all trafikk, WebRTC inkludert, gjennom tunnelen, gjør det. En VPN med delt tunnel gjør det kanskje ikke, fordi WebRTC kan finne den offentlige adressen fra internettleverandøren din ved siden av VPN-ens [1]. Den eneste måten å vite det på er en lekkasjetest med VPN-en tilkoblet, i hver nettleser du bruker, og på nytt etter oppdateringer.

Er det farlig at den lokale IP-adressen lekker?

Mindre enn at en offentlig adresse lekker. En privat adresse som 192.168.1.20 sier ikke hvor du er, men IETF kaller private IPv4-adresser en ganske betydelig kilde til fingeravtrykk som kan knytte vanlige og private nettleserøkter på samme enhet sammen [1]. Firefox skjuler lokale adresser som standard [19], Safari skjuler dem for sider uten tilgang til mikrofon eller kamera [13], og det gjorde Chrome også i sjekken min.

Stopper inkognitomodus eller privat surfing WebRTC-lekkasjer?

Nei. IETF påpeker at en privat adresse som avsløres gjennom WebRTC, kan fungere som en identifikator som forteller et nettsted at et vanlig vindu og et privat vindu er på samme enhet [1], så privat modus alene skjuler den ikke. Bruk nettleserinnstillingene over, og kjør deretter en lekkasjetest i et privat vindu også.

Fungerer utvidelser mot WebRTC-lekkasjer?

Delvis. I Chrome kan en utvidelse angi nettleserens policy for håndtering av WebRTC-IP, noe Google beskriver som en avveining mellom ytelsen for lyd og video og hvor mye informasjon om lokale adresser som blir synlig [16]. Avhengig av verdien skjuler det lokale adresser eller tvinger lyden gjennom en proxy, som kan flytte den over på TCP og gi dårligere kvalitet [1]. Kjør en lekkasjetest etter at du har installert en, for å bekrefte endringen.

Hvordan slår jeg av WebRTC i Firefox?

Skriv about:config i adressefeltet, søk etter media.peerconnection.enabled og sett den til false. Kildekoden til Mozilla beskriver den innstillingen som bryteren for RTCPeerConnection, og når den slås av, mister nettsider også tilgangen til mikrofon-API-et [20]. Alle ringetjenester i nettleseren slutter da å virke, så de fleste som ringer, har det bedre med standardinnstillingen i Firefox, som allerede skjuler lokale adresser [19].

Hvordan stopper jeg WebRTC-lekkasjer i Chrome?

Med en utvidelse eller en policy, fordi Google dokumenterer Chromes WebRTC-adressekontroller for nettopp de to. En utvidelse kan angi WebRTC-policyen for IP-håndtering[16], og administratorer kan angi WebRtcIPHandling, der verdien default_public_interface_only hindrer WebRTC i å bruke private adresser[17]. Da jeg sjekket Chrome, så en side uten mikrofontillatelse allerede bare et tilfeldig .local-navn[3]. Bak en VPN er den egentlige løsningen en tunnel som fører all trafikk[1]. Alt som blokkerer WebRTC helt, stopper også nettlesersamtaler[14].

Kan et nettsted se IP-adressen min gjennom WebRTC uten å spørre?

Den offentlige adressen din, ja, men den ser nettsteder uansett: Safari gir for eksempel sider uten mikrofontilgang bare adresser et nettsted allerede kunne samle inn[13]. Haken er en proxy i nettleseren. Hvis direkte internettilgang er tillatt, kan WebRTCs STUN-sjekker gå utenom proxyen og avsløre den virkelige offentlige adressen din[1]. Lokale adresser er bedre beskyttet: standarden knytter hele listen til samtykke, for eksempel mikrofontillatelse[1], og da jeg sjekket Chrome, så en side uten den tillatelsen bare et tilfeldig .local-navn[3].

Spør KI om denne gjennomgangen

Hver knapp åpner assistenten i en ny fane og ber den oppsummere denne siden med en lenke hit som kilde.

Kilder

  1. RFC 8828: WebRTC IP Address Handling Requirements · IETF (RFC Editor) · sjekket 1. november 2026
  2. 47 CFR 64.1601 -- Delivery requirements and privacy restrictions | eCFR · US Code of Federal Regulations (eCFR) · sjekket 1. november 2026
  3. Using Multicast DNS to protect privacy when exposing ICE candidates (draft-ietf-mmusic-mdns-ice-candidates) · IETF (Internet-Draft, work in progress) · sjekket 1. november 2026
  4. Voice call someone or a group on Messenger - Messenger Help Center (Computer) · sjekket 1. november 2026
  5. How to protect your IP address on WhatsApp calls | WhatsApp Help Center · WhatsApp · sjekket 1. november 2026
  6. RTCIceCandidate: address property - Web APIs | MDN · MDN Web Docs (Mozilla) · sjekket 1. november 2026
  7. RTCIceCandidate: type property - Web APIs | MDN · MDN Web Docs (Mozilla) · sjekket 1. november 2026
  8. Make calls | Sonetel help · sjekket 1. november 2026
  9. Free call | Call2Friends - Online call · sjekket 1. november 2026
  10. Privacy Policy | Globfone · sjekket 1. november 2026
  11. Voice Calls: Secure, Crystal-Clear, AI-Powered | Telegram Blog (30 March 2017) · Telegram · sjekket 1. november 2026
  12. Use your camera and microphone in Chrome - Computer - Google Chrome Help · Google · sjekket 1. november 2026
  13. A Closer Look Into WebRTC | WebKit (3 July 2017) · WebKit (Apple) · sjekket 1. november 2026
  14. WebRTC API - Web APIs | MDN · MDN Web Docs (Mozilla) · sjekket 1. november 2026
  15. WebRTC Custom Settings · brave/brave-browser Wiki · Brave Software (official GitHub wiki) · sjekket 1. november 2026
  16. chrome.privacy | API | Chrome for Developers · Google (Chrome for Developers) · sjekket 1. november 2026
  17. Chrome Enterprise policy list: WebRtcIPHandling (WebRTC IP handling) · Google (Chrome Enterprise) · sjekket 1. november 2026
  18. Microsoft Edge Browser Policy Documentation WebRtcLocalhostIpHandling | Microsoft Learn · Microsoft · sjekket 1. november 2026
  19. Firefox source: modules/libpref/init/all.js (mozilla-firefox/firefox) · Mozilla (official Firefox source repository) · sjekket 1. november 2026
  20. Firefox source: modules/libpref/init/StaticPrefList.yaml (mozilla-firefox/firefox) · Mozilla (official Firefox source repository) · sjekket 1. november 2026
  21. Terms of Use – TextNow · sjekket 1. november 2026
  22. Privacy Policy – Privacy & Terms – Google · Google · sjekket 1. november 2026
  23. Call From Your Browser Without a SIM Card - TwinPhone · sjekket 1. november 2026