Lumaktaw sa nilalaman

WebRTC leak

WebRTC leak test: ano ang ibinubunyag ng browser call tungkol sa IP address mo

Bahagi ng: Ligtas ba ang VoIP? Ano ang pinoprotektahan at inilalantad ng pagtawag gamit ang browser

Ni · Na-update noong · 13 minutong pagbasa

Idagdag ang callfrombrowser.org bilang preferred source sa Google

Buod

Inililista ng WebRTC leak test ang bawat IP address na ibinibigay ng browser mo sa isang web page sa pamamagitan ng WebRTC, para makita mo ang address na gusto mo sanang itago, kadalasan ang address ng internet provider mo habang naka-on ang VPN [1]. Ang browser call sa isang phone number ay nagpapakita ng IP mo sa calling service, hindi sa taong tinatawagan mo, na caller ID ang nakikita [2]. Isa ang test na ito sa mga privacy at safety check na iminumungkahi ko bago tumawag mula sa browser.

Mahahalagang detalye

Ano ang WebRTC leak?

Bago ang WebRTC call, kinokolekta ng browser ang mga posibleng network route, na tinatawag na ICE candidate, at ibinibigay ang mga ito sa web page para ipasa sa kabilang panig. May dalang IP address ang bawat isa, o random na .local na pangalan kapalit ng nakatagong local address. Ang ordinaryong website ay nakikita lang ang public address kung saan galing ang request mo; sa pamamagitan ng WebRTC, puwedeng may malaman pang iba ang page [1]. Ang leak ay anumang address sa listahang iyon na hindi mo sinadyang ibahagi.

Kung paano bumibiyahe ang natitirang bahagi ng tawag, nasa WebRTC, SIP at ang phone network; para sa mga leak, ang listahan ng candidate lang ang mahalaga. Sinasabi ng MDN na laging nakalantad sa page ang mga address nito [6].

Ang mga address na inililista ng WebRTC leak test, at ang ibinubunyag ng bawat isa
Uri ng candidateAddress na ipinapakita nitoPanganib sa privacy
hostAng address ng device mo sa local network, o random na pangalang nagtatapos sa .local kung itinatago ito ng browser [7][3]Mas mababa kaysa sa public address, pero tinatawag ng IETF ang mga private IPv4 address na medyo malaking fingerprinting surface [1]
srflx (server reflexive)Ang public address na ipinapakita ng router o VPN mo sa isang STUN server [7]Mataas kung address ito ng provider mo habang naka-on ang VPN [1]
relayIsang address sa TURN server na nagpapasa ng media [7]Mababa: address ng relay ang nakikita ng kabilang panig, hindi ang sa iyo [6]; pero nakikita ka pa rin ng operator ng relay

Itinuturing ng IETF na pinakamabigat ang kaso ng VPN, dahil may mga taong gumagamit ng VPN para manatiling anonymous [1]. Ang dalawa pang kaso ay ang private address mo at ang proxy na nalalampasan ng mga check ng WebRTC, na nagbubunyag ng totoong public address mo [1].

Nakikita ba ang IP address mo sa browser call?

Sa calling service, oo: nakikita ng bawat website ang public address mo [1], at nagdadagdag ang tawag ng media connection papunta sa mga server ng serbisyo. Sa taong tinatawagan mo sa landline o mobile, hindi: lumalabas ang tawag sa internet sa gateway ng provider [8], at calling number ang ipinapasa ng phone network, hindi IP address [2]. Ang mga app-to-app call ay puwedeng direktang magkonekta sa dalawang device.

Sino ang nakakakita ng IP address mo, ayon sa uri ng tawag (opisyal na help pages, binasa noong Nobyembre 1, 2026)
Uri ng tawagAng serbisyoAng taong tinatawagan mo
Browser papunta sa phone number (Google Voice, TwinPhone, Yolla)Oo: ito ang nagpapatakbo ng media connectionHindi: caller ID ang nakikita nila [2]
Mga libreng web dialer (Call2Friends, Globfone)Oo: nililimitahan ng Call2Friends ang libreng tawag kada IP address, at inililista ng privacy policy ng Globfone ang mga IP address sa mga technical data at log na pinoproseso nito [9][10]Hindi: caller ID ang nakikita nila
Messenger, 1:1 callOoOo: sinasabi ng Meta na ibinabahagi ang IP mo sa kabilang device [4]
WhatsAppOoPuwede, maliban kung naka-on ang Protect IP address in calls; laging naka-relay ang mga group call [5]
TelegramOoPuwede: sinasabi ng anunsyo ng Telegram noong 2017 na peer-to-peer ang mga tawag hangga't maaari [11]

Para sa mga tawag sa totoong numero, ang tanong ay kung ano ang nalalaman at itinatabi ng serbisyo; kung ano naman ang nakikita ng tinatawagan mo, nasa aling numero ang lumalabas kapag tumawag ka mula sa browser.

Paano gawin ang WebRTC leak test

Ginagawa ng leak test page ang ginagawa ng dialer bago ang tawag: nagbubukas ito ng WebRTC connection, tinatanong ang isang STUN server kung anong public address ang nakikita nito, at ipinapakita ang bawat candidate katabi ng address na nakikita nito sa plain HTTP. Gawin ito sa bawat browser na ginagamit mo sa pagtawag, una nang naka-off ang VPN mo at pagkatapos nang naka-on.

  1. Naka-off ang VPN: magbukas ng leak test page, tulad ng WebRTC Leak Test ng BrowserLeaks. Dapat magkatugma ang "Your Remote IP" sa itaas at ang "Public IP Address" sa ilalim ng "Your WebRTC IP".
  2. Naka-on ang VPN: i-reload. Dapat address na ng VPN ang ipinapakita ng "Your Remote IP".
  3. Kung inililista pa rin ng WebRTC section ang address ng provider mo, lumalampas ang WebRTC sa tunnel [1].
  4. Ang local entry na nagtatapos sa .local ay nangangahulugang nakatago ang address [3]; ang hilaw na address na nagsisimula sa 192.168. o 10. ay hindi nakatago.
  5. Kung may microphone check ang page, payagan ito at mag-test ulit: kailangan ng dialer ng access sa mikropono, at puwedeng magbukas ang permisong iyon ng mas maraming address [1]. Alisin ang permiso pagkatapos sa site settings [12].

Ano ang nagbago sa Chrome nang payagan ang mikropono

Noong , nag-load ako ng local test page sa Chrome 156 sa isang Mac, nang walang STUN server, kaya walang address na napunta sa server sa labas. Kung walang permiso sa mikropono, isang host candidate lang ang nakita ng page, na pinangalanan ng random na string na nagtatapos sa .local [3]. Nang payagan ang mikropono, natanggap nito ang totoong local IPv4 address ko.

Sumusunod iyon sa standard, na pinapayagan lang ang buong listahan ng address kapag may consent, tulad ng permiso sa mikropono [1]; inilarawan din ng WebKit, ang engine ng Safari, ang parehong patakaran noong 2017 [13]. Kaya nakikita ng dialer na pinayagan mo ang local address mo: mas maliit na panganib kaysa sa public address mo [1].

Mga setting ng browser na naglilimita sa WebRTC leak

May dokumentadong WebRTC IP setting ang Brave para sa mga user. Dinodokumento ng Google ang mga control ng Chrome para sa mga extension at administrator, at dinodokumento ng Microsoft ang sa Edge bilang administrator policy. Itinatago ng Firefox ang mga local address bilang default at may off switch ito sa about:config. Isang patakaran ang totoo saanman: kapag pinatay mo ang WebRTC, titigil din ang mga browser dialer, dahil WebRTC ang nagdadala ng tawag [14].

Mga control sa WebRTC address ayon sa browser (dokumentasyon ng vendor, binasa noong Nobyembre 1, 2026)
BrowserControlAno ang binabago nitoEpekto sa browser call
BraveWebRTC IP handling policy sa privacy settings, ayon sa wiki ng Brave (huling na-edit noong 2018) [15]Walang inilalantad na local address ang Default Public Interface Only [15]Puwedeng mapunta ang media sa relay server [1]
ChromePuwedeng magtakda ang mga extension ng WebRTC IP handling policy [16]; puwedeng itakda ng mga administrator ang WebRtcIPHandling policy [17]Depende sa value, humihinto sa paggamit ng mga private address o nagpapadala lang ng media sa pamamagitan ng proxy [17]Puwedeng ilipat ng mga proxy-only value ang audio sa TCP, na ayon sa IETF ay nagpapababa ng kalidad [1]
EdgeAdministrator policy na WebRtcLocalhostIpHandling [18]Dalawa sa mga value nito ang humihinto sa paglalantad ng local IP address [18]Tulad sa Chrome
FirefoxNakatago ang mga local address bilang default [19]; media.peerconnection.enabled sa about:config [20]Pinapatay ang WebRTC kapag itinakda sa false ang preference na iyonHihinto sa paggana ang mga browser dialer
SafariBuilt-in na patakaranWalang natatanggap na host address ang mga page na walang access sa mikropono o camera, ayon sa paglalarawan ng WebKit noong 2017 [13]Wala

Ano ang binabago ng VPN sa browser call

Ang VPN na nagpapadaan ng lahat ng traffic sa tunnel nito, kasama ang WebRTC, ay nagpapakita sa calling service ng address ng VPN sa halip na sa iyo. Ang split-tunnel VPN ay puwede ring hayaang mahanap ng WebRTC ang address ng provider mo [1], kaya dapat gawin ang leak test nang naka-on ang VPN. May mga side effect din ang VPN sa pagtawag.

Paano panatilihing pribado ang IP address mo sa mga tawag

Itugma ang solusyon sa uri ng tawag. Sa mga tawag sa phone number, hindi nakukuha ng tinatawagan mo ang IP mo, kaya pumili ng serbisyong pinagkakatiwalaan mo rito at i-check ang VPN mo. Sa mga app-to-app call, puwedeng direktang kumonekta sa device mo ang kabilang device, kaya gamitin ang relay setting ng app kung mayroon.

  1. Browser call: gawin ang leak test nang naka-on ang VPN; sa Brave, piliin ang Default Public Interface Only [15].
  2. Mikropono: sa mga dialer na isang beses mo lang gagamitin, ibigay ito gamit ang "Allow this time" [12]; sa check ko sa Chrome, nakikita ng page na may hawak ng permisong iyon ang local address.
  3. WhatsApp: i-on ang Protect IP address in calls. Saklaw ng help page ang Android, iOS at Mac, hindi ang web, at nagbababala itong puwedeng bumaba nang kaunti ang kalidad ng mga naka-relay na tawag [5].

Mga madalas itanong

Ano ang WebRTC leak test?

Ang WebRTC leak test ay isang web page na nagpapatakbo ng connection set-up na ginagamit ng browser call at naglilista ng bawat IP address na iniaalok ng browser mo, katabi ng address na nakikita ng page sa ordinaryong HTTP. Kapag nasa listahang iyon ang address ng provider mo habang naka-on ang VPN, lumalampas ang WebRTC sa tunnel [1]; ang random na .local na pangalan ay nangangahulugang nakatago ang local address mo [3].

Nakikita ba ng tinatawagan ko mula sa browser ang IP address ko?

Hindi, kapag tawag ito sa landline o mobile. Ginagawang phone call ng provider ang audio ng browser mo sa gateway nito [23], at calling number ang ipinapasa ng phone network, hindi IP address [2]. Iba ang mga app-to-app call: sinasabi ng Messenger na ibinabahagi ng mga 1:1 call ang IP mo sa device ng kausap mo [4].

Napipigilan ba ng VPN ang WebRTC leak?

Oo, kung ang VPN ay nagpapadaan ng lahat ng traffic, kasama ang WebRTC, sa tunnel nito. Baka hindi kaya ng split-tunnel VPN, dahil puwedeng matuklasan ng WebRTC ang public address ng provider mo katabi ng sa VPN [1]. Ang tanging paraan para malaman ay leak test habang nakakonekta ang VPN, sa bawat browser na ginagamit mo, na inuulit pagkatapos ng mga update.

Delikado ba ang leak ng local IP address?

Mas hindi delikado kaysa sa leak ng public address. Hindi sinasabi ng private address tulad ng 192.168.1.20 kung nasaan ka, pero tinatawag ng IETF ang mga private IPv4 address na medyo malaking fingerprinting surface na puwedeng mag-ugnay sa normal at private-browsing session sa iisang device [1]. Itinatago ng Firefox ang mga local address bilang default [19], itinatago ito ng Safari sa mga page na walang access sa mikropono o camera [13], at ganoon din ang Chrome sa check ko.

Napipigilan ba ng incognito o private browsing ang WebRTC leak?

Hindi. Sinasabi ng IETF na ang private address na nabunyag sa WebRTC ay puwedeng magsilbing identifier na nagsasabi sa site na nasa iisang device ang normal na window at private-browsing window [1], kaya hindi ito naitatago ng private mode lang. Gamitin ang mga setting ng browser sa itaas, at gumawa rin ng leak test sa private window.

Gumagana ba ang mga extension laban sa WebRTC leak?

Bahagya. Sa Chrome, puwedeng itakda ng extension ang WebRTC IP handling policy ng browser, na inilalarawan ng Google bilang pagtitimbang sa pagitan ng media performance at kung gaano karaming local address information ang nalalantad [16]. Depende sa value, itinatago nito ang mga local address o pinipilit dumaan ang media sa proxy, na puwedeng maglipat ng audio sa TCP at magpababa ng kalidad [1]. Gumawa ng leak test pagkatapos mag-install ng isa para makumpirma ang pagbabago.

Paano i-off ang WebRTC sa Firefox?

I-type ang about:config sa address bar, hanapin ang media.peerconnection.enabled at itakda ito sa false. Inilalarawan ng source code ng Mozilla ang preference na iyon bilang switch ng RTCPeerConnection, at kapag in-off ito, naaalis din ang access ng mga page sa microphone API [20]. Titigil sa paggana ang bawat browser dialer, kaya para sa karamihan ng tumatawag, mas mainam ang default ng Firefox, na nagtatago na ng mga local address [19].

Paano pigilan ang WebRTC leak sa Chrome?

Sa pamamagitan ng extension o policy, dahil para sa dalawang iyon idinodokumento ng Google ang mga kontrol ng Chrome sa WebRTC address. Puwedeng i-set ng extension ang WebRTC IP handling policy [16], at puwedeng i-set ng mga administrator ang WebRtcIPHandling, na pinipigilan ng default_public_interface_only value nito ang WebRTC na gumamit ng private address [17]. Sa check ko sa Chrome, random na .local name lang ang nakita ng page na walang pahintulot sa mikropono [3]. Kapag naka-VPN, ang tunay na solusyon ay tunnel na nagdadala ng lahat ng traffic [1]. Anumang tuluyang humaharang sa WebRTC ay pumipigil din sa tawag sa browser [14].

Makikita ba ng website ang IP ko sa WebRTC nang hindi nagtatanong?

Ang public address mo, oo, pero nakikita na iyon ng mga website kahit paano: ang Safari, halimbawa, ay nagbibigay lang sa mga page na walang access sa mikropono ng mga address na makukuha na ng website [13]. Ang problema ay browser proxy. Kung pinapayagan ang direktang internet access, puwedeng lampasan ng STUN check ng WebRTC ang proxy at ibunyag ang totoong public address mo [1]. Mas protektado ang local address: iniuugnay ng standard ang buong listahan sa pahintulot gaya ng permiso sa mikropono [1], at sa check ko sa Chrome, random na .local name lang ang nakita ng page na walang permisong iyon [3].

Magtanong sa AI tungkol sa research na ito

Binubuksan ng bawat button ang assistant sa bagong tab at hinihiling ditong ibuod ang pahinang ito, kasama ang link nito bilang sanggunian.

Mga sanggunian

  1. RFC 8828: WebRTC IP Address Handling Requirements · IETF (RFC Editor) · sinuri noong Nobyembre 1, 2026
  2. 47 CFR 64.1601 -- Delivery requirements and privacy restrictions | eCFR · US Code of Federal Regulations (eCFR) · sinuri noong Nobyembre 1, 2026
  3. Using Multicast DNS to protect privacy when exposing ICE candidates (draft-ietf-mmusic-mdns-ice-candidates) · IETF (Internet-Draft, work in progress) · sinuri noong Nobyembre 1, 2026
  4. Voice call someone or a group on Messenger - Messenger Help Center (Computer) · sinuri noong Nobyembre 1, 2026
  5. How to protect your IP address on WhatsApp calls | WhatsApp Help Center · WhatsApp · sinuri noong Nobyembre 1, 2026
  6. RTCIceCandidate: address property - Web APIs | MDN · MDN Web Docs (Mozilla) · sinuri noong Nobyembre 1, 2026
  7. RTCIceCandidate: type property - Web APIs | MDN · MDN Web Docs (Mozilla) · sinuri noong Nobyembre 1, 2026
  8. Make calls | Sonetel help · sinuri noong Nobyembre 1, 2026
  9. Free call | Call2Friends - Online call · sinuri noong Nobyembre 1, 2026
  10. Privacy Policy | Globfone · sinuri noong Nobyembre 1, 2026
  11. Voice Calls: Secure, Crystal-Clear, AI-Powered | Telegram Blog (30 March 2017) · Telegram · sinuri noong Nobyembre 1, 2026
  12. Use your camera and microphone in Chrome - Computer - Google Chrome Help · Google · sinuri noong Nobyembre 1, 2026
  13. A Closer Look Into WebRTC | WebKit (3 July 2017) · WebKit (Apple) · sinuri noong Nobyembre 1, 2026
  14. WebRTC API - Web APIs | MDN · MDN Web Docs (Mozilla) · sinuri noong Nobyembre 1, 2026
  15. WebRTC Custom Settings · brave/brave-browser Wiki · Brave Software (official GitHub wiki) · sinuri noong Nobyembre 1, 2026
  16. chrome.privacy | API | Chrome for Developers · Google (Chrome for Developers) · sinuri noong Nobyembre 1, 2026
  17. Chrome Enterprise policy list: WebRtcIPHandling (WebRTC IP handling) · Google (Chrome Enterprise) · sinuri noong Nobyembre 1, 2026
  18. Microsoft Edge Browser Policy Documentation WebRtcLocalhostIpHandling | Microsoft Learn · Microsoft · sinuri noong Nobyembre 1, 2026
  19. Firefox source: modules/libpref/init/all.js (mozilla-firefox/firefox) · Mozilla (official Firefox source repository) · sinuri noong Nobyembre 1, 2026
  20. Firefox source: modules/libpref/init/StaticPrefList.yaml (mozilla-firefox/firefox) · Mozilla (official Firefox source repository) · sinuri noong Nobyembre 1, 2026
  21. Terms of Use – TextNow · sinuri noong Nobyembre 1, 2026
  22. Privacy Policy – Privacy & Terms – Google · Google · sinuri noong Nobyembre 1, 2026
  23. Call From Your Browser Without a SIM Card - TwinPhone · sinuri noong Nobyembre 1, 2026