Cómo funciona
Una fuga significa que parte de tu tráfico esquiva el proxy o la VPN que crees que está usando, sale por tu red local y entrega tu IP real al otro lado. Que un cliente proxy muestre "conectado" no significa que todas las solicitudes estén bajo su control.
Antes de llegar a un sitio, tu dispositivo resuelve el dominio a una IP. Si ese paso se salta el proxy, el resolutor de tu ISP ve todos los dominios que visitas, aunque la conexión posterior esté cifrada y pase correctamente por el proxy.
Las causas habituales son que la configuración DNS del sistema tenga prioridad sobre las reglas del proxy o que el cliente proxy nunca llegara a gestionar el DNS.
WebRTC es la pila peer-to-peer integrada en el navegador, sobre la que funcionan las videollamadas y la pantalla compartida. Para establecer una conexión directa, pregunta a un servidor STUN "¿cuál es mi dirección pública?", y esa solicitud puede esquivar el proxy.
El resultado: la página ve la IP del proxy, mientras que WebRTC entrega la real. Es la fuga clásica y la más fácil de pasar por alto.
Muchos proxies solo gestionan IPv4. Si tu red también tiene IPv6 y el destino lo admite, el navegador puede preferir una ruta IPv6 directa y dejar el proxy completamente al margen.
La señal es sencilla: si esta página muestra una IPv4 y una IPv6 que pertenecen a redes distintas, tu tráfico se está repartiendo entre las dos pilas.
En sentido estricto no es una fuga, sino una contradicción. La zona horaria del sistema, el idioma del navegador y la ubicación de la IP deberían concordar. Una IP estadounidense con un reloj en UTC+8 es una señal fuerte por sí sola: un sistema de control de riesgos no necesita tu IP real, solo pruebas de que la estás disfrazando.
Significa que las rutas que cubre esta comprobación están limpias en este momento. Las extensiones, otras aplicaciones y las actualizaciones del sistema pueden abrir nuevas vías de fuga, así que vuelve a probar después de cambiar algo.
Primero activa "resolver DNS a través del proxy" o la opción equivalente en tu cliente proxy. Si no es posible, apunta el DNS del sistema a la dirección que proporciona el proxy. Cambiar la configuración de DNS seguro del navegador solo cubre ese proceso.
No se recomienda desactivarlo: un navegador Chromium sin WebRTC ya es identificable por sí mismo. En su lugar, limita qué ruta puede usar: en Chrome / Edge, establece la política empresarial WebRtcIPHandling en disable_non_proxied_udp; en Brave, elige "Deshabilitar UDP sin proxy", y en Firefox, activa media.peerconnection.ice.proxy_only_if_behind_proxy en about:config. El modo TUN de tu cliente proxy es la solución más fiable.
O haces que el proxy gestione también IPv6, o desactivas IPv6 en la configuración de red del sistema. Lo segundo es más completo, pero deja sin funcionar los servicios que solo usan IPv6.