Cos'è un WebRTC leak, e come lo fermo?

Scritto da Aldo · threat hunter in un blue team
Ultimo aggiornamento: 9 novembre 2026 · 5 min di lettura

Attivi la VPN, controlli il tuo IP e vedi l'indirizzo della VPN. Bene. Ma una pagina può fare al tuo browser una domanda diversa, tramite WebRTC, e ricevere una risposta diversa. Quella differenza è il leak.

Cosa fa WebRTC

WebRTC è la funzione del browser dietro le videochiamate e la condivisione dello schermo in strumenti come Google Meet e Microsoft Teams sul web. Per collegare direttamente due persone, ogni browser deve capire su quali indirizzi può essere raggiunto: il suo indirizzo nella rete locale e l'indirizzo pubblico che vede internet. Trova quello pubblico chiedendo a un piccolo server pubblico, detto server STUN, “da che indirizzo mi vedi arrivare?”

Una pagina web può avviare questo processo senza chiedere permesso e senza usare fotocamera o microfono. Si limita a leggere le risposte.

Come avviene il leak

La pagina si carica attraverso il proxy, ma il controllo dell'indirizzo di WebRTC no. Gli indirizzi di documentazione sostituiscono quelli reali.

Che succeda o no dipende dal tipo di VPN che usi:

Un'app VPN che copre tutto il dispositivo manda tutto il traffico, compresa la domanda di WebRTC, nel suo tunnel. Il server STUN vede l'indirizzo della VPN, e non c'è niente da far trapelare. È il caso normale per le app VPN serie con le impostazioni predefinite.
Un'estensione “VPN” del browser di solito è un proxy solo per le pagine web. Il traffico di WebRTC non è traffico di pagine web, quindi può aggirare il proxy e mostrare il tuo indirizzo reale. È il leak classico.
Una VPN con split tunneling (alcune app o siti esclusi) può avere lo stesso leak se il browser è escluso.

E gli indirizzi locali come 192.168.1.20? I browser più vecchi li davano a qualsiasi pagina. Le versioni attuali di Chrome, Edge, Firefox e Safari li nascondono dietro nomi casuali che finiscono in .local, a meno che tu non abbia permesso alla pagina di usare fotocamera o microfono, quindi quella parte del vecchio problema è quasi sparita.

Fai il test

La homepage di iplover fa il test nel tuo browser: chiede al server STUN di Cloudflare (la stessa azienda che ospita il sito), raccoglie ogni indirizzo che WebRTC riporta, ignora i nomi casuali .local e confronta il resto con l'indirizzo pubblico che il nostro server ha visto per la tua richiesta della pagina. Gli esiti possibili sono tre:

Risultato	Cosa significa	Cosa fare
Nessun leak	WebRTC non ha riportato nulla oltre all'indirizzo che i siti vedono già	Niente.
Leak trovato, con un indirizzo elencato	WebRTC può rivelare un indirizzo diverso da quello pubblico	Se sei su una VPN e l'indirizzo elencato è quello reale, rimedia come spiegato sotto. Se non sei su una VPN, potrebbe essere il tuo indirizzo IPv6 o una seconda connessione; non è una fuga di privacy.
WebRTC non è disponibile	Il browser lo blocca (o è disattivato)	Niente: da lì non può trapelare nulla.

Fai il test due volte, con la VPN accesa e spenta. Se l'indirizzo elencato con la VPN accesa coincide con quello mostrato con la VPN spenta, sta trapelando il tuo indirizzo reale.

Come fermarlo, browser per browser

Qualsiasi browser: usa un'app VPN per tutto il dispositivo invece di un'estensione del browser, e lascia disattivato lo split tunneling per il browser. Così risolvi la causa, non il sintomo.
Firefox: gli utenti esperti possono disattivare WebRTC del tutto nella configurazione avanzata di Firefox. In questo modo si fermano anche le videochiamate web in Firefox finché non lo riattivi. Mozilla descrive l'impostazione nella sua pagina sulla privacy di WebRTC; impostazioni come questa possono cambiare tra le versioni, quindi verifica lì.
Brave: le impostazioni di privacy includono la scelta di come WebRTC può usare i tuoi indirizzi di rete, compresa un'opzione che impedisce a WebRTC di aggirare un proxy. Brave spiega le opzioni nella sua documentazione sulle impostazioni WebRTC.
Chrome ed Edge: non c'è un interruttore per questo nelle impostazioni normali. Le organizzazioni possono gestirlo centralmente con la policy WebRtcIPHandling di Chrome. Esistono estensioni che limitano WebRTC; controlla chi pubblica un'estensione prima di installarla.
Safari: nasconde già gli indirizzi locali; per il tuo indirizzo pubblico usa una VPN per tutto il dispositivo.

Dopo ogni modifica, rifai il test per assicurarti che abbia fatto ciò che ti aspettavi.

Cosa un WebRTC leak non può fare

Il leak rivela un indirizzo, la stessa cosa che vede ogni sito quando non sei su una VPN: più o meno dove sei e quale provider usi. Non espone i tuoi file, le tue password o la cronologia di navigazione. Conta se lo scopo della tua VPN è che i siti non conoscano il tuo indirizzo, e quasi per niente se usi una VPN solo per proteggerti sul Wi-Fi pubblico.

Fonti

Documenti ufficiali usati per verificare i fatti di questa guida.