Qu'est-ce qu'une fuite WebRTC, et comment l'éviter ?

Écrit par Aldo · threat hunter en blue team
Dernière mise à jour le 9 novembre 2026 · 5 min de lecture

Vous activez votre VPN, vérifiez votre IP, et c'est bien l'adresse du VPN qui s'affiche. Parfait. Mais une page peut encore poser à votre navigateur une autre question, via WebRTC, et obtenir une autre réponse. Cet écart, c'est la fuite.

Ce que fait WebRTC

WebRTC est la fonction du navigateur derrière les appels vidéo et le partage d'écran dans des outils comme Google Meet et Microsoft Teams sur le web. Pour relier directement deux personnes, chaque navigateur doit trouver les adresses sur lesquelles on peut le joindre : son adresse sur le réseau local, et l'adresse publique que voit internet. Il trouve la publique en demandant à un petit serveur public, appelé serveur STUN : « depuis quelle adresse me vois-tu arriver ? »

Une page web peut lancer ce processus sans demander d'autorisation et sans utiliser votre caméra ni votre micro. Elle lit simplement les réponses.

Comment la fuite se produit

La page se charge via le proxy, mais la vérification d'adresse de WebRTC, non. Des adresses de documentation remplacent les vraies.

Que cela arrive dépend du type de VPN que vous utilisez :

Une application VPN qui couvre tout l'appareil fait passer tout le trafic, y compris la question de WebRTC, par son tunnel. Le serveur STUN voit l'adresse du VPN, et il n'y a rien à faire fuiter. C'est le cas normal des applications VPN sérieuses avec leurs réglages par défaut.
Un « VPN » en extension de navigateur est généralement un proxy limité aux pages web. Le trafic WebRTC n'est pas du trafic de pages web : il peut donc contourner le proxy et montrer votre vraie adresse. C'est la fuite classique.
Un VPN avec tunnel fractionné (certaines applications ou certains sites exclus) peut fuiter de la même façon si le navigateur est exclu.

Et les adresses locales comme 192.168.1.20 ? Les anciens navigateurs les donnaient aussi à n'importe quelle page. Les versions actuelles de Chrome, Edge, Firefox et Safari les cachent derrière des noms aléatoires se terminant par .local, sauf si vous avez autorisé la page à utiliser votre caméra ou votre micro : cette partie de l'ancien problème a donc presque disparu.

Le tester

La page d'accueil d'iplover fait le test dans votre navigateur : elle interroge le serveur STUN de Cloudflare (l'entreprise qui héberge aussi le site), recueille chaque adresse signalée par WebRTC, ignore les noms aléatoires en .local et compare le reste avec l'adresse publique que notre serveur a vue pour votre requête de page. Trois résultats sont possibles :

Résultat	Ce que ça signifie	Que faire
Aucune fuite	WebRTC n'a rien signalé de plus que l'adresse que les sites voient déjà	Rien.
Fuite détectée, avec une adresse	WebRTC peut révéler une adresse différente de votre adresse publique	Si vous êtes sur un VPN et que l'adresse affichée est votre vraie adresse, corrigez-le (plus bas). Si vous n'êtes pas sur un VPN, il peut s'agir de votre adresse IPv6 ou d'une seconde connexion ; ce n'est pas une fuite de confidentialité.
WebRTC n'est pas disponible	Le navigateur le bloque (ou il est désactivé)	Rien : rien ne peut fuiter par là.

Faites-le deux fois, VPN activé puis désactivé. Si l'adresse affichée avec le VPN activé correspond à celle affichée sans, c'est votre vraie adresse qui fuit.

L'empêcher, navigateur par navigateur

Tous les navigateurs : utilisez une application VPN pour tout l'appareil plutôt qu'une extension de navigateur, et n'excluez pas votre navigateur du tunnel. Cela règle la cause, pas le symptôme.
Firefox : les utilisateurs avancés peuvent désactiver complètement WebRTC dans la configuration avancée de Firefox. Cela bloque aussi les appels vidéo web dans Firefox jusqu'à ce que vous le réactiviez. Mozilla décrit ce réglage sur sa page consacrée à la confidentialité de WebRTC (en anglais) ; ce genre de réglage peut changer d'une version à l'autre, vérifiez donc là-bas.
Brave : ses réglages de confidentialité permettent de choisir comment WebRTC peut utiliser vos adresses réseau, avec une option qui empêche WebRTC de contourner un proxy. Brave explique ces options dans sa documentation sur les réglages WebRTC (en anglais).
Chrome et Edge : aucun interrupteur pour cela dans les réglages normaux. Les organisations peuvent le contrôler de façon centralisée avec la règle WebRtcIPHandling de Chrome. Il existe des extensions qui limitent WebRTC ; vérifiez qui publie l'une d'elles avant de l'installer.
Safari : masque déjà les adresses locales ; pour votre adresse publique, utilisez un VPN pour tout l'appareil.

Après chaque changement, refaites le test pour vérifier qu'il a eu l'effet attendu.

Ce qu'une fuite WebRTC ne peut pas faire

La fuite révèle une adresse, ce que voit n'importe quel site quand vous n'êtes pas sur un VPN : à peu près où vous êtes et quel fournisseur vous utilisez. Elle n'expose ni vos fichiers, ni vos mots de passe, ni votre historique. Elle compte si le but de votre VPN est que les sites ne connaissent pas votre adresse, et presque pas si vous n'utilisez un VPN que pour vous protéger sur les Wi-Fi publics.

Sources

Documents officiels utilisés pour vérifier les faits de ce guide.