Teste de fugas WebRTC: o que uma chamada no browser revela sobre o seu endereço IP

O que é uma fuga WebRTC?

Antes de uma chamada WebRTC, o browser recolhe as rotas de rede possíveis, chamadas candidatos ICE, e entrega-as à página web para que as passe ao outro lado. Cada uma traz um endereço IP, ou um nome .local aleatório em vez de um endereço local escondido. Um site comum só vê o endereço público de onde veio o pedido; através do WebRTC, uma página pode ficar a saber mais ^[1]. Uma fuga é qualquer endereço dessa lista que não queria partilhar.

O resto do percurso de uma chamada está em WebRTC, SIP e a rede telefónica; para as fugas, só interessa a lista de candidatos. A MDN nota que os endereços dessa lista ficam sempre expostos à página ^[6].

O IETF considera o caso da VPN o mais significativo, porque há quem use uma VPN para se manter anónimo ^[1]. Os outros dois casos são o seu endereço privado e um proxy que as verificações do WebRTC contornam, o que revela o seu verdadeiro endereço público ^[1].

Uma chamada no browser expõe o seu endereço IP?

Ao serviço de chamadas, sim: todos os sites veem o seu endereço público ^[1], e uma chamada acrescenta uma ligação multimédia aos servidores do serviço. A quem atende num telefone fixo ou num telemóvel, não: a chamada sai da internet no gateway do fornecedor ^[8], e a rede telefónica transmite o número de quem liga, não um endereço IP ^[2]. As chamadas entre apps podem ligar dois dispositivos diretamente.

Nas chamadas para números reais, a questão é o que o serviço fica a saber e guarda; o que a pessoa para quem liga vê está explicado em que número aparece quando liga a partir do browser.

Como fazer um teste de fugas WebRTC

Uma página de teste de fugas faz o mesmo que um marcador antes de uma chamada: abre uma ligação WebRTC, pergunta a um servidor STUN que endereço público vê e mostra cada candidato ao lado do endereço que ela própria vê por HTTP simples. Faça o teste em cada browser que usa para ligar, primeiro com a VPN desativada e depois com ela ativa.

1. VPN desativada: abra uma página de teste de fugas, como o WebRTC Leak Test do BrowserLeaks. «Your Remote IP», no topo, e «Public IP Address», em «Your WebRTC IP», devem coincidir.
2. VPN ativa: recarregue a página. «Your Remote IP» deve agora mostrar o endereço da VPN.
3. Se a secção WebRTC continuar a listar o endereço do seu fornecedor, o WebRTC está a contornar o túnel ^[1].
4. Uma entrada local terminada em .local significa que o endereço está escondido ^[3]; uma entrada em bruto a começar por 192.168. ou 10. não está.
5. Se a página oferecer uma verificação do microfone, autorize-a e volte a testar: um marcador precisa de acesso ao microfone, e essa permissão pode desbloquear mais endereços ^[1]. Depois, retire a permissão nas definições do site ^[12].

O que mudou no Chrome depois de autorizar o microfone

Em 1 de novembro de 2026, carreguei uma página de teste local no Chrome 156 num Mac, sem servidor STUN, por isso nenhum endereço foi enviado para um servidor externo. Sem permissão de microfone, a página viu um único candidato host, com um nome formado por uma sequência aleatória terminada em .local ^[3]. Com o microfone autorizado, recebeu o meu endereço IPv4 local real.

Isto segue a norma, que só permite a lista completa de endereços com consentimento, como a permissão de microfone ^[1]; o WebKit, o motor do Safari, descreveu a mesma regra em 2017 ^[13]. Assim, um marcador que autorize pode ver o seu endereço local: um risco menor do que o do seu endereço público ^[1].

Definições do browser que limitam as fugas WebRTC

O Brave documenta uma definição de IP do WebRTC para os utilizadores. A Google documenta os controlos do Chrome para extensões e administradores, e a Microsoft documenta os do Edge como política de administrador. O Firefox esconde os endereços locais por predefinição e mantém um interruptor para o desativar em about:config. Há uma regra que vale para todos: desativar o WebRTC também impede os marcadores no browser de funcionar, porque é o WebRTC que transporta a chamada ^[14].

O que uma VPN muda nas chamadas no browser

Uma VPN que envia todo o tráfego pelo seu túnel, incluindo o WebRTC, mostra ao serviço de chamadas o endereço da VPN em vez do seu. Uma VPN com split tunneling pode também deixar o WebRTC encontrar o endereço do seu fornecedor ^[1], daí o teste de fugas com a VPN ativa. E uma VPN também tem efeitos secundários nas chamadas.

• Alguns serviços restringem as VPN: os termos do TextNow dizem que pode limitar ou restringir a sua utilização ^[21].
• Alguns marcadores grátis racionam as chamadas grátis por endereço IP, como faz o Call2Friends ^[9], por isso, numa VPN, pode partilhar essa quota com outros utilizadores do mesmo endereço de saída.
• Forçar o áudio e o vídeo a passar por um proxy que não transporta UDP leva o áudio para TCP, o que, segundo o IETF, reduz a qualidade ^[1].
• O serviço continua a ver a sua conta e os registos de chamadas; a Google, por exemplo, pode registar os números, a hora e a duração das chamadas ^[22].

Como manter o seu endereço IP privado nas chamadas

Escolha a solução conforme a chamada. Nas chamadas para números de telefone, a pessoa para quem liga não recebe o seu IP, por isso escolha um serviço a quem confie esse dado e verifique a VPN. Nas chamadas entre apps, o outro dispositivo pode ligar-se diretamente ao seu, por isso use a opção de relay da app, se existir.

1. Chamadas no browser: faça o teste de fugas com a VPN ativa; no Brave, escolha Default Public Interface Only ^[15].
2. Microfone: nos marcadores que usa uma única vez, dê a permissão com «Permitir desta vez» ^[12]; na minha verificação no Chrome, uma página com essa permissão conseguia ver o endereço local.
3. WhatsApp: ative «Proteger endereço IP nas chamadas». A página de ajuda abrange Android, iOS e Mac, não a versão web, e avisa que as chamadas retransmitidas podem perder alguma qualidade ^[5].

Perguntas frequentes

Leituras relacionadas

• Conceitos

  Identificação de chamada VoIP: que número vê a pessoa quando liga a partir do browser

  Numa chamada no browser, a identificação VoIP pode ser um número partilhado, um número do serviço ou o seu telemóvel verificado. Comparo o que cada uma mostra.

• Guias

  Ligar para o 911 ou o 112 pela internet: o que funciona, o que está bloqueado e o que usar em vez disso

  É possível ligar para o 911 a partir de um computador? Verifiquei que serviços web e VoIP ligam ao 911, ao 112 ou ao 999, o que exigem as regras e o que usar.

• Conceitos

  Chamadas grátis de 5 e de 1 minuto: o que os minutos de teste dão de facto

  Uma chamada grátis de 5 minutos é quase sempre um saldo diário de 2–3 minutos ou um teste único. Vi que ofertas ainda existem, os limites e as armadilhas.