WebRTC洩漏測試：瀏覽器通話會透露你哪些IP位址

什麼是WebRTC洩漏？

在WebRTC通話開始前，瀏覽器會收集可能的網路路徑，稱為ICE候選（ICE candidates），再交給網頁傳送給另一端。每個候選都帶有一個IP位址，或是用隨機的.local名稱代替被隱藏的區域網路位址。一般網站只看得到你發出請求的公開位址；透過WebRTC，網頁可以得知更多^[1]。只要清單中出現你不想分享的位址，就算是洩漏。

通話其餘部分如何傳送，請看WebRTC、SIP與電話網路；就洩漏而言，只有候選清單才重要。MDN指出，這些位址一律會暴露給網頁^[6]。

IETF認為VPN的情況最嚴重，因為有些人用VPN來保持匿名^[1]。另外兩種情況是你的私有位址，以及WebRTC的檢查繞過了代理伺服器，因而暴露你真正的公開位址^[1]。

瀏覽器通話會暴露你的IP位址嗎？

對通話服務來說，會：每個網站都看得到你的公開位址^[1]，而通話還會額外建立一條連到服務伺服器的媒體連線。對你撥打的市話或手機用戶來說，不會：通話在業者的閘道離開網際網路^[8]，電話網路傳遞的是來電號碼，不是IP位址^[2]。App對App的通話則可能讓兩台裝置直接連線。

撥打真實號碼時，關鍵在於服務業者會得知並保留哪些資訊；至於你撥打的對象看到的是什麼，請看用瀏覽器打電話時會顯示哪個號碼。

如何進行WebRTC洩漏測試

洩漏測試網頁做的事和撥號器在通話前做的一樣：建立WebRTC連線、詢問STUN伺服器看到的公開位址，然後把每個候選列出來，並與它透過一般HTTP看到的位址並列。請在每個你用來打電話的瀏覽器上測試，先關閉VPN，再開啟VPN各測一次。

1. 關閉VPN：開啟一個洩漏測試網頁，例如BrowserLeaks的WebRTC Leak Test。頂端的「Your Remote IP」和「Your WebRTC IP」下方的「Public IP Address」應該一致。
2. 開啟VPN：重新載入。「Your Remote IP」現在應該顯示VPN的位址。
3. 如果WebRTC區塊仍列出網路業者的位址，代表WebRTC繞過了通道^[1]。
4. 以.local結尾的區域網路項目代表位址已被隱藏^[3]；以192.168.或10.開頭的原始位址則沒有隱藏。
5. 如果網頁提供麥克風檢查，請允許後再測一次：撥號器需要麥克風權限，而這項權限可能解鎖更多位址^[1]。測完後到網站設定中移除這項權限^[12]。

允許麥克風後，Chrome有什麼變化

我在2026年11月1日用Mac上的Chrome 156載入一個本機測試網頁，沒有設定STUN伺服器，所以沒有任何位址傳到外部伺服器。在沒有麥克風權限時，網頁只看到一個host候選，名稱是以.local結尾的隨機字串^[3]。允許麥克風後，它就收到了我真正的區域網路IPv4位址。

這符合標準的規定：只有在取得同意（例如麥克風權限）時才提供完整的位址清單^[1]；Safari的引擎WebKit在2017年也描述過同樣的規則^[13]。所以你允許的撥號器看得到你的區域網路位址：風險比公開位址小^[1]。

限制WebRTC洩漏的瀏覽器設定

Brave為一般使用者提供了WebRTC IP設定的說明。Google的Chrome控制項說明是寫給擴充功能和管理員看的，Microsoft則把Edge的控制項列為管理員政策。Firefox預設就會隱藏區域網路位址，並在about:config保留一個關閉開關。有一條規則到哪裡都適用：關閉WebRTC也會讓瀏覽器撥號器停止運作，因為通話正是靠WebRTC傳送^[14]。

VPN對瀏覽器通話有什麼影響

如果VPN讓所有流量（包括WebRTC）都走它的通道，通話服務看到的就是VPN的位址，而不是你的。分流VPN則可能讓WebRTC找到你網路業者的位址^[1]，所以才要在開著VPN時做洩漏測試。VPN對通話也有副作用。

• 有些服務會限制VPN：TextNow的條款表示它可能限制或禁止VPN的使用^[21]。
• 有些免費撥號器依IP位址分配免費通話額度，Call2Friends就是如此^[9]，所以使用VPN時，你可能要和同一出口位址的其他使用者共用額度。
• 強制媒體經過無法傳送UDP的代理伺服器，會讓音訊改走TCP，IETF表示這會降低媒體品質^[1]。
• 服務仍看得到你的帳戶和通話紀錄；以Google為例，它可能記錄通話的號碼、時間和長度^[22]。

通話時如何保護IP位址隱私

依通話類型對症下藥。撥打電話號碼時，你撥給的人拿不到你的IP，所以要選一個你信得過的服務，並檢查VPN。App對App通話時，對方的裝置可能直接連到你的裝置，所以如果App有轉送設定，就把它打開。

1. 瀏覽器通話：開著VPN做洩漏測試；在Brave中選擇Default Public Interface Only^[15]。
2. 麥克風：只用一次的撥號器，請選「這次允許」授權^[12]；在我的Chrome檢查中，持有這項權限的網頁看得到區域網路位址。
3. WhatsApp：開啟「在通話中保護IP位址」。說明頁面涵蓋Android、iOS和Mac，不包括網頁版，並提醒轉送的通話品質可能略為下降^[5]。

常見問題

延伸閱讀

• 原理解說

  VoIP來電顯示：用瀏覽器打電話時，對方會看到哪個號碼

  瀏覽器通話的VoIP來電顯示，可能是共用號碼、服務商給你的號碼，或你驗證過的手機號碼。我逐一比較了每種情況下對方會看到什麼號碼，以及誰能回撥給你。

• 指南

  用電腦撥打911：哪些可行、哪些被封鎖，以及該改用什麼

  網路電話可以撥打緊急電話嗎？我查證了哪些瀏覽器撥號器與VoIP服務能接通911、112或999，美國、英國與歐盟的法規要求什麼，以及緊急時應該改用什麼方式。

• 原理解說

  免費5分鐘、1分鐘通話：試用分鐘數實際給你什麼

  標榜「免費通話5分鐘」的網路電話，多半只是每天兩三分鐘的額度或一次性試用。我查了現在網路上還有哪些免費試打通話，以及各自的時間限制與需要注意的陷阱。