Hoppa till innehållet

WebRTC-läckor

WebRTC-läcktest: vad ett samtal i webbläsaren avslöjar om din IP-adress

Del av: Är IP-telefoni säkert? Vad ett samtal i webbläsaren skyddar och vad det avslöjar

Av · Uppdaterad · 11 min läsning

Lägg till callfrombrowser.org som föredragen källa på Google

I korthet

Ett WebRTC-läcktest listar varje IP-adress som din webbläsare lämnar ut till en webbsida via WebRTC, så att du kan upptäcka en som du ville dölja, oftast internetleverantörens adress medan ett VPN är på [1]. Ett samtal från webbläsaren till ett telefonnummer visar din IP för ringtjänsten, inte för den du ringer, som i stället ser en nummerpresentation [2]. Testet är en av de kontroller av integritet och säkerhet som jag föreslår innan du ringer från webbläsaren.

Viktiga fakta

Vad är en WebRTC-läcka?

Före ett WebRTC-samtal samlar webbläsaren in möjliga nätverksvägar, så kallade ICE-kandidater, och lämnar dem till webbsidan, som skickar dem vidare till den andra sidan. Var och en bär en IP-adress, eller ett slumpmässigt .local-namn i stället för en dold lokal adress. En vanlig webbplats ser bara den publika adress som din förfrågan kom från; via WebRTC kan en sida få veta mer [1]. En läcka är varje adress i den listan som du inte tänkt dela.

Hur resten av samtalet färdas beskriver jag i WebRTC, SIP och telefonnätet; för läckor är det bara kandidatlistan som spelar roll. MDN påpekar att adresserna i den alltid är synliga för sidan [6].

Adresserna som ett WebRTC-läcktest listar, och vad var och en avslöjar
KandidattypAdress som visasIntegritetsrisk
hostEnhetens adress i det lokala nätverket, eller ett slumpmässigt namn som slutar på .local om webbläsaren döljer den [7][3]Lägre än för en publik adress, men IETF kallar privata IPv4-adresser en ganska betydande yta för fingerprinting [1]
srflx (server reflexive)Den publika adress som din router eller ditt VPN visar för en STUN-server [7]Hög om det är leverantörens adress medan VPN är på [1]
relayEn adress på en TURN-server som vidarebefordrar mediaströmmen [7]Låg: den andra sidan ser reläets adress, inte din [6]; den som driver reläet ser dig ändå

IETF kallar VPN-fallet det allvarligaste, eftersom vissa använder VPN för att vara anonyma [1]. De två andra fallen är din privata adress och en proxy som WebRTC:s kontroller går förbi, vilket avslöjar din riktiga publika adress [1].

Avslöjar ett samtal från webbläsaren din IP-adress?

För ringtjänsten, ja: varje webbplats ser din publika adress [1], och ett samtal lägger till en medieanslutning till tjänstens servrar. För den du ringer på en fast telefon eller mobil, nej: samtalet lämnar internet vid leverantörens gateway [8], och telefonnätet skickar vidare ett uppringande nummer, inte en IP-adress [2]. Samtal mellan appar kan koppla ihop två enheter direkt.

Vem som kan se din IP-adress, per typ av samtal (officiella hjälpsidor lästa 1 november 2026)
Typ av samtalTjänstenDen du ringer
Från webbläsaren till ett telefonnummer (Google Voice, TwinPhone, Yolla)Ja: den sköter medieanslutningenNej: mottagaren ser en nummerpresentation [2]
Gratis ringtjänster på webben (Call2Friends, Globfone)Ja: Call2Friends begränsar gratissamtal per IP-adress, och Globfones integritetspolicy räknar upp IP-adresser bland de tekniska data och loggar som tjänsten behandlar [9][10]Nej: mottagaren ser en nummerpresentation
Messenger, samtal mellan två personerJaJa: Meta säger att din IP delas med den andra enheten [4]
WhatsAppJaKan, om inte Skydda IP-adress i samtal är påslaget; gruppsamtal går alltid via relä [5]
TelegramJaKan: Telegrams tillkännagivande från 2017 säger att samtal går direkt mellan enheterna (peer-to-peer) när det är möjligt [11]

För samtal till riktiga nummer är frågan vad tjänsten får veta och sparar; vad den du ringer ser i stället beskriver jag i vilket nummer som visas när du ringer från webbläsaren.

Så kör du ett WebRTC-läcktest

En sida för läcktest gör samma sak som en ringtjänst före ett samtal: den öppnar en WebRTC-anslutning, frågar en STUN-server vilken publik adress den ser och skriver ut varje kandidat bredvid adressen som sidan ser över vanlig HTTP. Kör testet i varje webbläsare du ringer från, först med VPN avstängt och sedan med VPN påslaget.

  1. VPN av: öppna en sida för läcktest, till exempel BrowserLeaks WebRTC Leak Test. ”Your Remote IP” högst upp och ”Public IP Address” under ”Your WebRTC IP” ska stämma överens.
  2. VPN på: ladda om sidan. ”Your Remote IP” ska nu visa VPN:ets adress.
  3. Om WebRTC-avsnittet fortfarande listar leverantörens adress går WebRTC förbi tunneln [1].
  4. En lokal post som slutar på .local betyder att adressen är dold [3]; en rå adress som börjar med 192.168. eller 10. är inte dold.
  5. Om sidan erbjuder en mikrofonkontroll, tillåt den och testa igen: en ringtjänst behöver tillgång till mikrofonen, och den behörigheten kan låsa upp fler adresser [1]. Ta bort behörigheten efteråt i webbplatsinställningarna [12].

Vad som ändrades i Chrome när mikrofonen tilläts

Den laddade jag en lokal testsida i Chrome 156 på en Mac, utan STUN-server, så att ingen adress skickades till en extern server. Utan mikrofonbehörighet såg sidan en host-kandidat vars namn var en slumpmässig teckensträng som slutade på .local [3]. Med mikrofonen tillåten fick den min riktiga lokala IPv4-adress.

Det följer standarden, som tillåter hela adresslistan bara med samtycke, till exempel mikrofonbehörighet [1]; WebKit, Safaris motor, beskrev samma regel 2017 [13]. En ringtjänst som du ger tillåtelse kan alltså se din lokala adress: en mindre risk än att den publika syns [1].

Inställningar i webbläsaren som begränsar WebRTC-läckor

Brave dokumenterar en inställning för WebRTC-IP för användare. Google dokumenterar Chromes kontroller för tillägg och administratörer, och Microsoft dokumenterar Edges som en administratörspolicy. Firefox döljer lokala adresser som standard och har en avstängningsknapp i about:config. En regel gäller överallt: stänger du av WebRTC slutar också ringtjänsterna i webbläsaren att fungera, eftersom det är WebRTC som bär samtalet [14].

Kontroller för WebRTC-adresser per webbläsare (leverantörernas dokumentation, läst 1 november 2026)
WebbläsareKontrollVad den ändrarEffekt på samtal i webbläsaren
BraveWebRTC IP handling policy i integritetsinställningarna, enligt Braves wiki (senast redigerad 2018) [15]Default Public Interface Only exponerar inga lokala adresser [15]Mediaströmmen kan få gå via en reläserver [1]
ChromeTillägg kan ställa in en WebRTC IP handling policy [16]; administratörer kan ställa in policyn WebRtcIPHandling [17]Beroende på värdet slutar den använda privata adresser eller skickar media bara via en proxy [17]Värden som bara tillåter proxy kan flytta ljudet till TCP, vilket enligt IETF försämrar kvaliteten [1]
EdgeAdministratörspolicyn WebRtcLocalhostIpHandling [18]Två av dess värden slutar exponera den lokala IP-adressen [18]Som i Chrome
FirefoxLokala adresser dolda som standard [19]; media.peerconnection.enabled i about:config [20]Om inställningen sätts till false stängs WebRTC avRingtjänster i webbläsaren slutar fungera
SafariInbyggd regelSidor utan åtkomst till mikrofon eller kamera får inga host-adresser, som WebKit beskrev det 2017 [13]Ingen

Vad ett VPN ändrar för samtal i webbläsaren

Ett VPN som skickar all trafik genom sin tunnel, även WebRTC, visar ringtjänsten VPN:ets adress i stället för din. Ett VPN med delad tunnel kan dessutom låta WebRTC hitta leverantörens adress [1], därav läcktestet med VPN påslaget. Ett VPN har också bieffekter för samtal.

Så håller du din IP-adress privat vid samtal

Anpassa lösningen efter samtalet. Vid samtal till telefonnummer får den du ringer inte din IP, så välj en tjänst som du litar på med den och kontrollera ditt VPN. Vid samtal mellan appar kan den andra enheten ansluta direkt till din, så använd appens reläinställning där en sådan finns.

  1. Samtal i webbläsaren: kör läcktestet med VPN påslaget; i Brave väljer du Default Public Interface Only [15].
  2. Mikrofon: för ringtjänster du bara använder en gång, ge behörighet med ”Tillåt den här gången” [12]; i min kontroll i Chrome kunde en sida med den behörigheten se den lokala adressen.
  3. WhatsApp: slå på Skydda IP-adress i samtal. Hjälpsidan gäller Android, iOS och Mac, inte webben, och varnar för att samtal via relä kan förlora en del i kvalitet [5].

Vanliga frågor

Vad är ett WebRTC-läcktest?

Ett WebRTC-läcktest är en webbsida som kör samma uppkoppling som ett samtal i webbläsaren använder och listar varje IP-adress som din webbläsare erbjuder, bredvid adressen som sidan ser över vanlig HTTP. Finns leverantörens adress i listan medan ett VPN är på går WebRTC förbi tunneln [1]; ett slumpmässigt .local-namn betyder att din lokala adress är dold [3].

Kan den jag ringer från webbläsaren se min IP-adress?

Nej, inte vid ett samtal till en fast telefon eller mobil. Leverantören gör om ljudet från webbläsaren till ett telefonsamtal i sin gateway [23], och telefonnätet skickar vidare ett uppringande nummer, inte en IP-adress [2]. Samtal mellan appar är annorlunda: Messenger säger att samtal mellan två personer delar din IP med den andra personens enhet [4].

Stoppar ett VPN WebRTC-läckor?

Ett VPN som skickar all trafik genom sin tunnel, även WebRTC, gör det. Ett VPN med delad tunnel gör det kanske inte, eftersom WebRTC kan upptäcka leverantörens publika adress bredvid VPN:ets [1]. Det enda sättet att veta är ett läcktest med VPN anslutet, i varje webbläsare du använder, upprepat efter uppdateringar.

Är det farligt om en lokal IP-adress läcker?

Mindre farligt än om en publik adress läcker. En privat adress som 192.168.1.20 säger inte var du är, men IETF kallar privata IPv4-adresser en ganska betydande yta för fingerprinting som kan koppla ihop vanliga och privata surfsessioner på samma enhet [1]. Firefox döljer lokala adresser som standard [19], Safari döljer dem för sidor utan åtkomst till mikrofon eller kamera [13], och det gjorde även Chrome i min kontroll.

Stoppar inkognitoläge eller privat surfning WebRTC-läckor?

Nej. IETF påpekar att en privat adress som avslöjas via WebRTC kan fungera som en identifierare som talar om för en webbplats att ett vanligt fönster och ett privat fönster finns på samma enhet [1], så privat läge döljer den inte på egen hand. Använd inställningarna ovan och kör sedan ett läcktest i ett privat fönster också.

Fungerar tillägg mot WebRTC-läckor?

Delvis. I Chrome kan ett tillägg ställa in webbläsarens WebRTC IP handling policy, som Google beskriver som en avvägning mellan mediaprestanda och hur mycket information om lokala adresser som exponeras [16]. Beroende på värdet döljer det lokala adresser eller tvingar media genom en proxy, vilket kan flytta ljudet till TCP och försämra kvaliteten [1]. Kör ett läcktest efter installationen för att bekräfta ändringen.

Hur stänger jag av WebRTC i Firefox?

Skriv about:config i adressfältet, sök efter media.peerconnection.enabled och sätt den till false. Mozillas källkod beskriver den inställningen som strömbrytaren för RTCPeerConnection, och när den stängs av försvinner också sidornas åtkomst till mikrofon-API:et [20]. Alla ringtjänster i webbläsaren slutar då fungera, så de flesta som ringer klarar sig bättre med Firefox standardinställning, som redan döljer lokala adresser [19].

Hur stoppar man WebRTC-läckor i Chrome?

Med ett tillägg eller en policy, eftersom Google dokumenterar Chromes adressinställningar för WebRTC för just de två. Ett tillägg kan ställa in policyn för hantering av IP-adresser i WebRTC [16], och administratörer kan ställa in WebRtcIPHandling, där värdet default_public_interface_only hindrar WebRTC från att använda privata adresser [17]. När jag kontrollerade Chrome såg en sida utan mikrofonbehörighet redan bara ett slumpat .local-namn [3]. Bakom en VPN är den verkliga lösningen en tunnel som bär all trafik [1]. Allt som blockerar WebRTC helt stoppar också samtal från webbläsaren [14].

Kan en webbplats se min IP-adress via WebRTC utan att fråga?

Din publika adress, ja, men den ser webbplatser ändå: Safari ger till exempel sidor utan mikrofonåtkomst bara adresser som en webbplats redan kunde samla in [13]. Haken är en proxy i webbläsaren. Om direkt internetåtkomst är tillåten kan WebRTC:s STUN-kontroller gå förbi proxyn och avslöja din verkliga publika adress [1]. Lokala adresser är bättre skyddade: standarden knyter hela listan till ett samtycke som mikrofonbehörighet [1], och när jag kontrollerade Chrome såg en sida utan den behörigheten bara ett slumpat .local-namn [3].

Fråga en AI om undersökningen

Varje knapp öppnar assistenten i en ny flik och ber den sammanfatta sidan med en länk hit som källa.

Källor

  1. RFC 8828: WebRTC IP Address Handling Requirements · IETF (RFC Editor) · kontrollerad 1 november 2026
  2. 47 CFR 64.1601 -- Delivery requirements and privacy restrictions | eCFR · US Code of Federal Regulations (eCFR) · kontrollerad 1 november 2026
  3. Using Multicast DNS to protect privacy when exposing ICE candidates (draft-ietf-mmusic-mdns-ice-candidates) · IETF (Internet-Draft, work in progress) · kontrollerad 1 november 2026
  4. Voice call someone or a group on Messenger - Messenger Help Center (Computer) · kontrollerad 1 november 2026
  5. How to protect your IP address on WhatsApp calls | WhatsApp Help Center · WhatsApp · kontrollerad 1 november 2026
  6. RTCIceCandidate: address property - Web APIs | MDN · MDN Web Docs (Mozilla) · kontrollerad 1 november 2026
  7. RTCIceCandidate: type property - Web APIs | MDN · MDN Web Docs (Mozilla) · kontrollerad 1 november 2026
  8. Make calls | Sonetel help · kontrollerad 1 november 2026
  9. Free call | Call2Friends - Online call · kontrollerad 1 november 2026
  10. Privacy Policy | Globfone · kontrollerad 1 november 2026
  11. Voice Calls: Secure, Crystal-Clear, AI-Powered | Telegram Blog (30 March 2017) · Telegram · kontrollerad 1 november 2026
  12. Use your camera and microphone in Chrome - Computer - Google Chrome Help · Google · kontrollerad 1 november 2026
  13. A Closer Look Into WebRTC | WebKit (3 July 2017) · WebKit (Apple) · kontrollerad 1 november 2026
  14. WebRTC API - Web APIs | MDN · MDN Web Docs (Mozilla) · kontrollerad 1 november 2026
  15. WebRTC Custom Settings · brave/brave-browser Wiki · Brave Software (official GitHub wiki) · kontrollerad 1 november 2026
  16. chrome.privacy | API | Chrome for Developers · Google (Chrome for Developers) · kontrollerad 1 november 2026
  17. Chrome Enterprise policy list: WebRtcIPHandling (WebRTC IP handling) · Google (Chrome Enterprise) · kontrollerad 1 november 2026
  18. Microsoft Edge Browser Policy Documentation WebRtcLocalhostIpHandling | Microsoft Learn · Microsoft · kontrollerad 1 november 2026
  19. Firefox source: modules/libpref/init/all.js (mozilla-firefox/firefox) · Mozilla (official Firefox source repository) · kontrollerad 1 november 2026
  20. Firefox source: modules/libpref/init/StaticPrefList.yaml (mozilla-firefox/firefox) · Mozilla (official Firefox source repository) · kontrollerad 1 november 2026
  21. Terms of Use – TextNow · kontrollerad 1 november 2026
  22. Privacy Policy – Privacy & Terms – Google · Google · kontrollerad 1 november 2026
  23. Call From Your Browser Without a SIM Card - TwinPhone · kontrollerad 1 november 2026