O que é um vazamento de WebRTC, e como eu evito?

Escrito por Aldo · threat hunter em um blue team
Última atualização: 9 de novembro de 2026 · 5 min de leitura

Você liga a VPN, confere o seu IP e aparece o endereço da VPN. Ótimo. Mas uma página ainda pode fazer ao navegador outra pergunta, pelo WebRTC, e receber outra resposta. Essa diferença é o vazamento.

O que o WebRTC faz

O WebRTC é o recurso do navegador por trás das chamadas de vídeo e do compartilhamento de tela em ferramentas como o Google Meet e o Microsoft Teams na web. Para ligar duas pessoas diretamente, cada navegador precisa descobrir em quais endereços pode ser encontrado: o endereço na rede local e o endereço público que a internet vê. Ele descobre o público perguntando a um pequeno servidor público, chamado servidor STUN: “de qual endereço você me vê chegando?”

Uma página pode iniciar esse processo sem pedir permissão e sem usar a sua câmera ou o seu microfone. Ela só lê as respostas.

Como o vazamento acontece

A página carrega pelo proxy, mas a verificação de endereço do WebRTC não. Endereços de documentação substituem os reais.

Se isso acontece depende do tipo de VPN que você usa:

Um app de VPN que cobre o aparelho inteiro manda todo o tráfego, inclusive a pergunta do WebRTC, pelo túnel. O servidor STUN vê o endereço da VPN e não há nada para vazar. Esse é o caso normal dos apps de VPN sérios nas configurações padrão.
Uma “VPN” em forma de extensão do navegador costuma ser um proxy só para páginas web. O tráfego do WebRTC não é tráfego de página web, então ele pode contornar o proxy e mostrar o seu endereço real. É o vazamento clássico.
Uma VPN com split tunneling (alguns apps ou sites fora do túnel) pode vazar do mesmo jeito se o navegador estiver de fora.

E os endereços locais como 192.168.1.20? Navegadores antigos entregavam esses também para qualquer página. As versões atuais do Chrome, Edge, Firefox e Safari escondem esses endereços atrás de nomes aleatórios terminados em .local, a menos que você tenha permitido que a página use a câmera ou o microfone, então essa parte do problema antigo praticamente acabou.

Teste

A página inicial do iplover faz o teste no seu navegador: ela pergunta ao servidor STUN da Cloudflare (a mesma empresa que hospeda o site), reúne cada endereço que o WebRTC informa, ignora os nomes aleatórios .local e compara o resto com o endereço público que o nosso servidor viu no pedido da página. Há três resultados possíveis:

Resultado	O que significa	O que fazer
Nenhum vazamento	O WebRTC não informou nada além do endereço que os sites já veem	Nada.
Vazamento encontrado, com um endereço	O WebRTC pode revelar um endereço diferente do seu endereço público	Se você está numa VPN e o endereço mostrado é o seu real, corrija (veja abaixo). Se você não está numa VPN, pode ser o seu endereço IPv6 ou uma segunda conexão; isso não é vazamento de privacidade.
O WebRTC não está disponível	O navegador bloqueia (ou ele está desligado)	Nada: nada pode vazar por ali.

Faça o teste duas vezes, com a VPN ligada e desligada. Se o endereço mostrado com a VPN ligada for o mesmo que aparece com ela desligada, é o seu endereço real vazando.

Evite, navegador por navegador

Qualquer navegador: use um app de VPN para o aparelho inteiro em vez de uma extensão do navegador, e não deixe o navegador fora do túnel. Isso corrige a causa, não o sintoma.
Firefox: usuários avançados podem desligar o WebRTC por completo na configuração avançada do Firefox. Isso também impede chamadas de vídeo pela web no Firefox até você religar. A Mozilla descreve a configuração na página sobre privacidade do WebRTC (em inglês); configurações assim podem mudar entre versões, então confira lá.
Brave: as configurações de privacidade dele permitem escolher como o WebRTC pode usar os seus endereços de rede, inclusive uma opção que impede o WebRTC de contornar um proxy. O Brave explica as opções na documentação sobre as configurações de WebRTC (em inglês).
Chrome e Edge: não há uma chave para isso nas configurações normais. Organizações podem controlar isso de forma centralizada com a política WebRtcIPHandling do Chrome. Existem extensões que limitam o WebRTC; confira quem publica uma antes de instalar.
Safari: já esconde os endereços locais; para o seu endereço público, use uma VPN para o aparelho inteiro.

Depois de qualquer mudança, faça o teste de novo para ter certeza de que funcionou como você esperava.

O que um vazamento de WebRTC não consegue fazer

O vazamento revela um endereço, a mesma coisa que qualquer site vê quando você não está numa VPN: mais ou menos onde você está e qual provedor usa. Ele não expõe os seus arquivos, as suas senhas nem o seu histórico. Importa se o objetivo da sua VPN é que os sites não saibam o seu endereço, e quase nada se você usa VPN só para se proteger em Wi-Fi público.

Fontes

Documentos oficiais que usamos para conferir os fatos deste guia.