Por que um proxy ainda pode expor o IP: teste e proteção WebRTC

Um teste comum mostra o proxy, mas o teste WebRTC lista outro IP ou um nome .local. Isso não prova um vazamento sem identificar o tipo de candidato ICE e a rota usada.

Revisado em julho de 2026. Repita o teste após alterações no navegador, proxy ou rede.

Como surgem rotas diferentes

Um proxy HTTP normalmente transporta requisições web. O WebRTC reúne candidatos ICE de interfaces locais, STUN e TURN para áudio, vídeo e dados, usando UDP ou TCP. Se UDP ou IPv6 não passarem pelo proxy, o STUN pode observar o mapeamento público da rede original.

Tipo	Interpretação
`host`	Interface local, IP privado, IPv6 ou mDNS; não comprova sozinho exposição pública
`srflx`	Mapeamento NAT descoberto pelo STUN; IP público do provedor aqui é forte evidência
`prflx`	Candidato aprendido durante o teste de conectividade
`relay`	Endereço do servidor TURN, não do dispositivo final

A W3C alerta que candidatos podem revelar localização e topologia e ampliar o fingerprinting. Veja privacidade de IP no WebRTC.

Teste reproduzível

Registre privadamente os IPv4 e IPv6 originais.
Ative o proxy, reinicie o perfil e confira HTTP, DNS, IPv4 e IPv6.
Colete candidatos com type, protocol e endereço.
Compare com rede original, saída proxy e TURN.
Reinicie totalmente após cada mudança.

srflx com o IP público original indica risco. IP privado ou .local é host/mDNS e precisa de contexto. relay representa TURN. Consulte tipos RTCIceCandidate.

Proteção

Use túnel que cubra explicitamente UDP e IPv6 necessários, revise split tunneling e bloqueie UDP fora do proxy quando houver suporte. Desativar WebRTC quebra reuniões e compartilhamento de tela. Desenvolvedores podem impor iceTransportPolicy: relay com TURN, ao custo de latência e banda.

O PurpleMark oferece Forward, Replace, Real, Disable e Proxy UDP. Replace alinha o IPv4 visível à saída proxy; Real mantém dados reais; Disable impede leitura; Proxy UDP bloqueia UDP não proxy e requer Patch 2.8.2.0+; Forward mantém WebRTC pela configuração definida. Teste cada escolha na rede real.

Checklist

A saída HTTP é a esperada?
IPv4 e IPv6 seguem a rota planejada?
Algum srflx mostra o IP original?
O outro valor é privado, mDNS, proxy ou TURN?
O proxy suporta UDP de fato?
As funções de comunicação ainda operam?

Conclusão

Um segundo endereço não significa automaticamente vazamento. É preciso classificar o candidato e compará-lo com a rede original e o proxy. O PurpleMark ajuda a isolar ambientes autorizados, mas não substitui testes nem regras das plataformas.