Test de fugas WebRTC: ¿tu navegador está revelando tu IP real?

Qué es realmente una fuga de WebRTC

WebRTC es la parte de tu navegador que hace que las videollamadas funcionen sin un complemento. Para que dos personas hablen directamente, cada navegador tiene que averiguar cómo se puede llegar a él, y eso implica recopilar todas las direcciones por las que podría ser accesible: la que le asignó tu router, la que tu proveedor de internet asignó a tu router y todo lo que haya en medio. Esas direcciones se llaman candidatos ICE, y el navegador las reúne antes de que nadie haya aceptado una llamada.

El problema es que reunirlas no requiere permiso. Una cámara requiere una autorización. Un micrófono requiere una autorización. Una lista de tus propias direcciones IP requiere unas tres líneas de JavaScript y ninguna autorización, porque desde el punto de vista del navegador no ocurre nada privado: solo se prepara para hacer una conexión.

No hay problema hasta que presentas deliberadamente otra dirección. Si has configurado un proxy en el navegador, le has indicado que enrute a través de una extensión o has conectado una VPN que solo cubre el navegador, la idea es precisamente que los sitios vean la dirección del proxy y no la tuya. WebRTC nunca formó parte de ese acuerdo. Pregunta al sistema operativo qué direcciones hay disponibles, obtiene la tuya real y la ofrece a cualquier página que mire. El sitio pasa a tener dos direcciones tuyas: la que muestras y la que escondes, lo cual es peor que no mostrar ningún proxy, porque ahora la propia discrepancia es la señal.

Cómo lo comprueba esta página y qué va a dónde

La prueba es una comparación, y sus dos mitades se ven arriba. La primera mitad es la dirección a la que se sirvió esta página: la que registró nuestro servidor cuando tu navegador pidió esta URL, y es la que ve cualquier sitio normal. La segunda mitad es lo que tu navegador ofrece por iniciativa propia cuando empieza a reunir candidatos ICE.

Para reunir un candidato enrutable, el navegador tiene que preguntar a un servidor STUN «¿desde qué dirección llegó mi paquete?», porque nada dentro de tu red conoce la respuesta. No hay prueba de fuga de WebRTC sin esa pregunta: una página que dice probar fugas sin contactar con nada no está probando nada. Esta página pregunta al servidor STUN público de Cloudflare, directamente desde tu navegador. La pregunta y la respuesta no pasan por nosotros, y el resultado no se guarda en ningún sitio: pulsa el botón y lo único que cambia es el texto de la pantalla.

Todo lo demás ocurre en local. Tu navegador recopila candidatos, nosotros los clasificamos en enrutables y privados, y comparamos los enrutables con la dirección que aparece arriba en la página. Si coinciden, no hay nada oculto ni nada que se esté filtrando. Si un candidato enrutable difiere de la dirección a la que se sirvió la página, tu navegador está ofreciendo algo que no estás mostrando, y decimos cuál es.

El detalle en el que fallan casi todas las pruebas de fugas

Chrome, Edge y Safari ya no ofrecen la dirección de tu red local como un simple 192.168.x.x. La sustituyen por un nombre aleatorio terminado en .local, que solo resuelven por mDNS las máquinas de tu propia red. Es una mejora real de privacidad, y rompe cualquier prueba que dé por hecho que «no se ve ninguna dirección LAN» significa «no se filtra nada». La ausencia demuestra que el navegador la está ocultando, lo que no dice nada sobre la dirección enrutable, la que de verdad te identifica. Informamos de las dos por separado, así que una dirección LAN oculta se presenta como lo que es en lugar de contarse discretamente como una prueba superada.

Cómo leer el resultado

La misma dirección que la página. No hay fuga. Es también lo que se ve sin ningún proxy, y conviene decirlo sin rodeos: la prueba no puede decirte que estás protegido, solo que WebRTC no te lleva la contraria. Si no estás enrutando el tráfico a ninguna parte, una coincidencia es simplemente tu propia dirección, informada correctamente dos veces.

Una dirección enrutable distinta. Esta es la fuga. Tu proxy cubre las peticiones de página y no tus candidatos WebRTC. La causa más habitual es un proxy configurado dentro del navegador, o una extensión que lo configura: ambos interceptan HTTP, ninguno intercepta el UDP que usa WebRTC.

Ninguna dirección enrutable. No hay nada que leer, y es el resultado más limpio que existe. Normalmente significa que WebRTC está desactivado, que una extensión bloquea la petición STUN o que tu red la descarta. Algunas redes corporativas producen este resultado por accidente.

Una dirección privada visible. Por sí sola no te identifica: 10.0.0.4 describe varios cientos de millones de máquinas. Lo que sí hace es decirle a un sitio cómo está organizada tu red, y es un valor más dentro de una huella.

Cómo evitarlo

No hay ningún ajuste del navegador que enrute WebRTC a través de un proxy HTTP, así que «configura bien el proxy» no es la solución que la gente espera. Lo que funciona:

• Desactivar WebRTC. En Firefox, pon media.peerconnection.enabled en false dentro de about:config. Chrome no tiene un interruptor equivalente y necesita una extensión. Las videollamadas dejan de funcionar en ese navegador, y ese es el intercambio.
• Enrutar el dispositivo entero, no el navegador. Un túnel a nivel de sistema o un proxy aplicado en el sistema operativo o en el router se lleva el tráfico UDP de WebRTC junto con todo lo demás, así que los candidatos que reúne son las direcciones del túnel.
• Usar un navegador pensado para ello. Los navegadores antidetect enlazan WebRTC a la misma dirección que el resto de la sesión a propósito; es la mayor parte de lo que estás pagando.
• No fiarse de una extensión que solo oculta el resultado. Varias extensiones falsean el candidato que se informa en lugar de impedir que se reúna, y la discrepancia entre el valor falseado y el resto de tu huella es en sí misma detectable.

Vuelve a ejecutar esta prueba después de cualquier cambio. El fallo que conviene evitar es creer que el ajuste funcionó, y la prueba entera tarda menos de un segundo.