Cypher VPNFuga de WebRTC: cómo tu navegador entrega tu IP real
WebRTC permite llamadas directas entre navegadores. Para lograrlo necesita conocer tus direcciones, incluida la real que hay detrás de la VPN, y se la pide al sistema operativo saltándose el túnel. Cualquier página puede hacerlo en silencio.
En resumen
- WebRTC es la tecnología de llamadas y videollamadas dentro del navegador, sin instalar nada.
- Para conectar a dos personas directamente necesita descubrir sus direcciones, y pregunta al sistema, no al túnel.
- Cualquier página puede iniciar ese descubrimiento sin pedir permiso, sin acceder a la cámara y sin que se vea nada en pantalla.
- Lo que se expone es tu IP pública real junto a la de la VPN, y a veces también la privada de tu red local.
- Una VPN no puede arreglarlo por ti, porque ocurre dentro del navegador. Se desactiva en el navegador y se comprueba en el test de fugas.
Para qué sirve WebRTC
Antes, una videollamada en el navegador exigía un plugin. WebRTC eliminó eso: ahora la llamada ocurre en el propio navegador y, cuando es posible, directamente entre los dos participantes, sin pasar por un servidor intermedio.
Esa conexión directa es justamente lo que lo hace rápido, y también lo que crea el problema.
Por qué necesita tu dirección y cómo la consigue
Para hablar directamente con otro equipo hay que saber dónde está cada uno. WebRTC recoge una lista de direcciones candidatas: las locales de tu red, la pública que ven los demás, y las que descubre preguntando a servidores STUN.
El detalle importante: esa recolección la hace el sistema operativo, no el túnel. Si tu VPN funciona a nivel de aplicación o si el navegador consulta por la interfaz equivocada, aparece tu dirección real aunque el resto del tráfico vaya cifrado por la VPN.
Y no hace falta que aceptes nada. No hay aviso, no se enciende la cámara, no cambia nada visible. Basta con que la página ejecute unas líneas de JavaScript.
Qué se filtra exactamente
Tu IP pública real, la que la VPN debería estar ocultando. Es lo grave: un sitio puede ver a la vez la dirección del servidor VPN y la tuya, y eso confirma no solo quién eres sino que estás usando una VPN.
Tu IP privada, del tipo 192.168.1.x. Por sí sola no identifica nada, pero sirve como una señal más para el fingerprinting.
La existencia del túnel. Ver dos direcciones distintas a la vez es una pista clara, y en algunos contextos eso ya es información suficiente.
Cómo desactivarlo, navegador por navegador
Firefox es el único que lo permite de forma limpia. Abre about:config, busca media.peerconnection.enabled y ponlo en false. Las llamadas dentro del navegador dejarán de funcionar.
Chrome y Edge no tienen interruptor nativo. Hace falta una extensión que limite las direcciones candidatas. Elígela con cuidado: una extensión con permiso sobre todo tu tráfico es un riesgo distinto que quizá no quieras asumir.
Safari pide permiso antes de exponer direcciones, así que su comportamiento por defecto es el mejor de los tres.
Brave trae un control propio en la configuración de escudos.
El intercambio que estás haciendo
Desactivar WebRTC no es gratis. Dejan de funcionar las llamadas en el navegador: reuniones, salas de voz, pantalla compartida y algunos chats de soporte.
La decisión razonable depende del uso. Si hablas por Zoom o Meet en el navegador a diario, desactivarlo del todo te va a molestar. En ese caso, un navegador separado y sin WebRTC para lo sensible es mejor idea que pelearte con los ajustes cada semana.
Por qué la VPN no puede arreglarlo
Esta es la parte que más confunde y conviene decirla claro: ningún proveedor de VPN puede cerrar esto por ti.
La fuga ocurre dentro del navegador, antes de que el tráfico llegue al túnel. Una VPN enruta paquetes; no puede impedir que una página pregunte al sistema operativo por sus direcciones.
Lo que sí puede hacer un proveedor honesto es decírtelo y darte una forma de comprobarlo. Nuestro test de fugas mira WebRTC junto con la dirección pública, el DNS y el IPv6, y no guarda nada.
Cualquier servicio que venda «protección contra fugas de WebRTC» como una característica del servidor está describiendo mal cómo funciona.
Disciplina de prueba
- Conecta el túnel.
- Abre el test y apunta las direcciones que aparecen.
- Si ves una dirección pública que no es la del servidor, esa es la fuga.
- Desactiva WebRTC o instala el control correspondiente.
- Vuelve a probar en una ventana nueva, porque el navegador cachea candidatas.
- Repite tras cada cambio de red, porque el comportamiento varía entre wifi y datos móviles.
Preguntas frecuentes
¿Pueden ver mi IP real sin que yo haga nada?
Sí, ese es el problema. No hay permiso, ni aviso, ni acceso a la cámara. Basta con cargar la página.
¿El incógnito lo evita?
No. El incógnito gestiona historial y cookies, no el acceso a las direcciones de red.
¿Pasa también en el móvil?
Sí, en los navegadores móviles. Firefox para Android permite el mismo ajuste; en Safari para iOS el comportamiento por defecto ya es más restrictivo.
Si lo desactivo, ¿se rompe algo?
Las llamadas dentro del navegador. Las aplicaciones de escritorio de Zoom, Telegram o Discord no se ven afectadas, porque no usan el WebRTC del navegador.
¿Es peor una fuga de WebRTC que una de DNS?
Suelen ser peores. El DNS revela los nombres de los sitios; WebRTC revela quién eres. Sobre la otra, en el test de fugas de DNS.
Compruébalo antes de confiar
Nuestro test mira IP, DNS, IPv6 y WebRTC a la vez y no guarda nada. Si decides quedarte, una hora de prueba gratis y planes desde 1,99 $ la semana.