WebRTC-lektest: wat een browsergesprek over je IP-adres verraadt

Wat is een WebRTC-lek?

Vóór een WebRTC-gesprek verzamelt de browser mogelijke netwerkroutes, ICE-kandidaten genoemd, en geeft die aan de webpagina om door te sturen naar de andere kant. Elke kandidaat bevat een IP-adres, of een willekeurige .local-naam in plaats van een verborgen lokaal adres. Een gewone website ziet alleen het publieke adres waar je verzoek vandaan kwam; via WebRTC kan een pagina meer te weten komen ^[1]. Een lek is elk adres in die lijst dat je niet wilde delen.

Hoe de rest van een gesprek reist, lees je in WebRTC, SIP en het telefoonnet; voor lekken telt alleen de lijst met kandidaten. MDN merkt op dat de adressen daarin altijd zichtbaar zijn voor de pagina ^[6].

De IETF noemt het VPN-geval het belangrijkste, omdat sommige mensen een VPN gebruiken om anoniem te blijven ^[1]. De andere twee gevallen zijn je privéadres en een proxy die de controles van WebRTC omzeilen, waardoor je echte publieke adres zichtbaar wordt ^[1].

Geeft een browsergesprek je IP-adres prijs?

Aan de beldienst wel: elke website ziet je publieke adres ^[1], en een gesprek voegt daar een mediaverbinding met de servers van de dienst aan toe. Aan iemand die je op een vaste of mobiele lijn belt niet: het gesprek verlaat het internet bij de gateway van de aanbieder ^[8], en het telefoonnet geeft het nummer van de beller door, geen IP-adres ^[2]. Gesprekken van app naar app kunnen twee apparaten rechtstreeks met elkaar verbinden.

Bij gesprekken naar echte nummers gaat het erom wat de dienst te weten komt en bewaart; wat degene die je belt wél ziet, staat in welk nummer verschijnt als je via de browser belt.

Zo doe je een WebRTC-lektest

Een lektestpagina doet wat een webbeller vóór een gesprek doet: ze opent een WebRTC-verbinding, vraagt een STUN-server welk publiek adres die ziet, en toont elke kandidaat naast het adres dat de pagina via gewoon HTTP ziet. Doe de test in elke browser waarmee je belt, eerst met je VPN uit en daarna met je VPN aan.

1. VPN uit: open een lektestpagina, zoals de WebRTC Leak Test van BrowserLeaks. “Your Remote IP” bovenaan en “Public IP Address” onder “Your WebRTC IP” horen overeen te komen.
2. VPN aan: laad de pagina opnieuw. “Your Remote IP” hoort nu het adres van de VPN te tonen.
3. Staat het adres van je provider nog in het WebRTC-gedeelte, dan gaat WebRTC om de tunnel heen ^[1].
4. Een lokale vermelding die op .local eindigt, betekent dat het adres verborgen is ^[3]; een kaal adres dat begint met 192.168. of 10. is dat niet.
5. Biedt de pagina een microfoontest aan, sta die dan toe en test opnieuw: een webbeller heeft toegang tot de microfoon nodig, en die toestemming kan meer adressen vrijgeven ^[1]. Trek de toestemming daarna weer in via de site-instellingen ^[12].

Wat er in Chrome veranderde toen de microfoon was toegestaan

Op 1 november 2026 laadde ik een lokale testpagina in Chrome 156 op een Mac, zonder STUN-server, zodat er geen adres naar een externe server ging. Zonder toestemming voor de microfoon zag de pagina één host-kandidaat met een willekeurige naam die op .local eindigde ^[3]. Met toegestane microfoon kreeg ze mijn echte lokale IPv4-adres.

Dat volgt de standaard, die de volledige adreslijst alleen met toestemming vrijgeeft, zoals toestemming voor de microfoon ^[1]; WebKit, de engine van Safari, beschreef in 2017 dezelfde regel ^[13]. Een webbeller die je toestemming geeft, kan dus je lokale adres zien: een kleiner risico dan je publieke adres ^[1].

Browserinstellingen die WebRTC-lekken beperken

Brave documenteert een WebRTC-IP-instelling voor gebruikers. Google documenteert de instellingen van Chrome voor extensies en beheerders, en Microsoft die van Edge als beheerdersbeleid. Firefox verbergt lokale adressen standaard en heeft een uitschakelaar in about:config. Eén regel geldt overal: wie WebRTC uitzet, legt ook webbellers stil, want WebRTC draagt het gesprek ^[14].

Wat een VPN verandert aan browsergesprekken

Een VPN die al het verkeer door de tunnel stuurt, WebRTC inbegrepen, laat de beldienst het adres van de VPN zien in plaats van het jouwe. Bij een VPN met split tunneling kan WebRTC ook het adres van je provider vinden ^[1], vandaar de lektest met de VPN aan. Een VPN heeft ook bijwerkingen voor bellen.

• Sommige diensten beperken VPN's: volgens de voorwaarden van TextNow mag het het gebruik ervan begrenzen of beperken ^[21].
• Sommige gratis webbellers rantsoeneren gratis gesprekken per IP-adres, zoals Call2Friends doet ^[9], dus via een VPN deel je dat tegoed misschien met andere gebruikers van hetzelfde uitgangsadres.
• Dwing je audio en video via een proxy die geen UDP aankan, dan verhuist de audio naar TCP, wat volgens de IETF de mediakwaliteit verlaagt ^[1].
• De dienst ziet nog steeds je account en je gespreksgegevens; Google bijvoorbeeld kan de nummers, het tijdstip en de duur van gesprekken vastleggen ^[22].

Zo houd je je IP-adres privé tijdens gesprekken

Kies de oplossing die bij het gesprek past. Bij gesprekken naar telefoonnummers krijgt degene die je belt je IP niet, dus kies een dienst die je het toevertrouwt en controleer je VPN. Bij gesprekken van app naar app kan het andere apparaat rechtstreeks met het jouwe verbinden, dus gebruik de relay-instelling van de app als die er is.

1. Browsergesprekken: doe de lektest met de VPN aan; kies in Brave Default Public Interface Only ^[15].
2. Microfoon: geef webbellers die je maar één keer gebruikt toestemming met “Deze keer toestaan” ^[12]; bij mijn controle in Chrome kon een pagina met die toestemming het lokale adres zien.
3. WhatsApp: zet IP-adres beschermen in gesprekken aan. De hulppagina behandelt Android, iOS en Mac, niet het web, en waarschuwt dat gesprekken via een relay wat kwaliteit kunnen verliezen ^[5].

Veelgestelde vragen

Lees ook

• Uitleg

  VoIP-nummerweergave: welk nummer mensen zien als je via de browser belt

  VoIP-nummerweergave via de browser: een gedeeld nummer, een nummer van de dienst of je eigen mobiel. Ik vergelijk wat de ander ziet en wie kan terugbellen.

• Gidsen

  112 en 911 bellen via VoIP vanaf een computer: wat werkt, wat geblokkeerd is en wat je in plaats daarvan gebruikt

  Kun je 112 bellen vanaf een computer? Ik controleerde welke browser- en VoIP-diensten 911, 112 of 999 verbinden, wat de regels eisen en wat je beter gebruikt.

• Uitleg

  5 minuten of 1 minuut gratis bellen: wat proefminuten je echt geven

  5 minuten gratis bellen is meestal een dagtegoed van 2 à 3 minuten of een eenmalige proef. Ik zocht uit welke gratis proefgesprekken online er nog zijn.