Come funziona
Una perdita significa che parte del tuo traffico aggira il proxy o la VPN che credi di usare, esce dalla tua rete locale e consegna il tuo IP reale all'altra parte. Se un client proxy mostra «connesso», non significa che ogni richiesta sia sotto il suo controllo.
Prima di raggiungere un sito, il dispositivo risolve il dominio in un IP. Se questo passaggio salta il proxy, il resolver del tuo ISP vede ogni dominio che visiti, anche quando la connessione successiva è cifrata e passa correttamente dal proxy.
Le cause abituali sono impostazioni DNS di sistema che hanno la precedenza sulle regole del proxy, oppure un client proxy che non ha mai preso in carico il DNS.
WebRTC è lo stack peer-to-peer integrato nel browser, quello su cui si basano videochiamate e condivisione dello schermo. Per stabilire una connessione diretta chiede a un server STUN «qual è il mio indirizzo pubblico», e quella richiesta può aggirare il proxy.
Il risultato: la pagina vede l'IP del proxy, mentre WebRTC consegna quello reale. È la perdita classica, e la più facile da trascurare.
Molti proxy gestiscono solo IPv4. Se la tua rete ha anche IPv6 e la destinazione lo supporta, il browser può preferire un percorso IPv6 diretto, lasciando il proxy completamente fuori.
Il segnale è semplice: se questa pagina mostra sia un IPv4 sia un IPv6 che appartengono a reti diverse, il tuo traffico si sta dividendo tra i due stack.
A rigore non è una perdita ma una contraddizione. Fuso orario di sistema, lingua del browser e posizione dell'IP dovrebbero concordare. Un IP americano con l'orologio su UTC+8 è di per sé un segnale forte: a un sistema antifrode non serve il tuo IP reale, basta la prova che lo stai mascherando.
Significa che i percorsi coperti da questa verifica sono puliti in questo momento. Estensioni, altre applicazioni e aggiornamenti di sistema possono introdurre nuovi percorsi di perdita, quindi ripeti il test dopo ogni modifica.
Per prima cosa attiva «risolvi il DNS tramite il proxy» o l'opzione equivalente nel tuo client proxy. Se non basta, imposta il DNS di sistema sull'indirizzo fornito dal proxy. Modificare l'impostazione DNS sicuro del browser copre solo quel processo.
Disattivarlo non è consigliato: un browser Chromium senza WebRTC è di per sé identificabile. Limita invece il percorso che può usare: su Chrome / Edge imposta il criterio aziendale WebRtcIPHandling su disable_non_proxied_udp, su Brave scegli «Disable non-proxied UDP» e su Firefox attiva media.peerconnection.ice.proxy_only_if_behind_proxy in about:config. La modalità TUN del client proxy è la soluzione più affidabile.
Fai gestire anche IPv6 al proxy, oppure disattiva IPv6 nelle impostazioni di rete del sistema. La seconda soluzione è più radicale, ma rende inutilizzabili i servizi solo IPv6.