Mode d'emploi
Une fuite signifie qu'une partie de votre trafic contourne le proxy ou le VPN par lequel vous pensez qu'il passe, sort par votre réseau local et livre votre IP réelle au serveur distant. Qu'un client proxy affiche « connecté » ne signifie pas que chaque requête est sous son contrôle.
Avant d'accéder à un site, votre appareil résout le domaine en adresse IP. Si cette étape contourne le proxy, le résolveur de votre FAI voit chaque domaine que vous visitez — même lorsque la connexion qui suit est chiffrée et passe correctement par le proxy.
Les causes habituelles : des réglages DNS au niveau du système qui priment sur les règles du proxy, ou un client proxy qui n'a jamais pris en charge le DNS.
WebRTC est la pile de communication pair à pair intégrée au navigateur, sur laquelle reposent les appels vidéo et le partage d'écran. Pour établir une connexion directe, il demande à un serveur STUN « quelle est mon adresse publique ? », et cette requête peut contourner le proxy.
Résultat : la page voit l'IP du proxy, tandis que WebRTC livre votre IP réelle. C'est la fuite classique par excellence, et celle qu'on néglige le plus facilement.
De nombreux proxys ne gèrent que l'IPv4. Si votre réseau dispose aussi de l'IPv6 et que le site de destination est compatible, le navigateur peut préférer une route IPv6 directe — et laisser complètement le proxy de côté.
L'indice est simple : si cette page affiche à la fois une IPv4 et une IPv6 appartenant à des réseaux différents, votre trafic se répartit entre les deux piles.
À proprement parler, il ne s'agit pas d'une fuite mais d'une contradiction. Le fuseau horaire du système, la langue du navigateur et la localisation de l'IP doivent concorder. Une IP américaine avec une horloge en UTC+8 est à elle seule un signal fort : un système antifraude n'a pas besoin de votre IP réelle, seulement de la preuve que vous la dissimulez.
Cela signifie seulement que les chemins couverts par cette vérification ne présentent aucune fuite pour l'instant. Les extensions, d'autres applications et les mises à jour du système peuvent toutes introduire de nouveaux chemins de fuite ; refaites donc le test après tout changement.
Activez d'abord l'option « résoudre le DNS via le proxy » ou son équivalent dans votre client proxy. À défaut, configurez le DNS du système sur l'adresse fournie par le proxy. Modifier l'option « Utiliser un DNS sécurisé » du navigateur ne couvre que ce seul processus.
Ce n'est pas recommandé : un navigateur Chromium sans WebRTC est lui-même identifiable. Limitez plutôt la route qu'il peut emprunter : sur Chrome / Edge, réglez la stratégie d'entreprise WebRtcIPHandling sur disable_non_proxied_udp ; sur Brave, choisissez « Disable non-proxied UDP » ; sur Firefox, activez media.peerconnection.ice.proxy_only_if_behind_proxy dans about:config. Le mode TUN de votre client proxy reste la solution la plus fiable.
Deux solutions : faire aussi prendre en charge l'IPv6 par le proxy, ou désactiver l'IPv6 dans les paramètres réseau du système. La seconde est plus radicale, mais rend inaccessibles les services uniquement IPv6.