Como funciona
Um vazamento significa que parte do seu tráfego contorna o proxy ou a VPN que você acredita estar usando, sai pela sua rede local e entrega o seu IP real à outra parte. Um cliente de proxy mostrando “conectado” não significa que todas as requisições estão sob o controle dele.
Antes de chegar a um site, o seu dispositivo resolve o domínio para um IP. Se essa etapa não passa pelo proxy, o resolvedor do seu provedor de internet enxerga todos os domínios que você visita — mesmo quando a conexão seguinte é criptografada e passa corretamente pelo proxy.
As causas habituais são configurações de DNS no nível do sistema que têm precedência sobre as regras do proxy, ou um cliente de proxy que nunca assumiu o DNS desde o início.
O WebRTC é a pilha peer-to-peer embutida no navegador, a base das videochamadas e do compartilhamento de tela. Para estabelecer uma conexão direta, ele pergunta a um servidor STUN “qual é o meu endereço público”, e essa requisição pode contornar o proxy.
O resultado: a página vê o IP do proxy, enquanto o WebRTC entrega o seu IP real. Esse é o vazamento clássico, e o mais fácil de passar despercebido.
Muitos proxies tratam apenas IPv4. Se a sua rede também tem IPv6 e o destino o suporta, o navegador pode preferir uma rota IPv6 direta — deixando o proxy totalmente fora do caminho.
O sinal é simples: se esta página mostra um IPv4 e um IPv6 que pertencem a redes diferentes, o seu tráfego está se dividindo entre as duas pilhas.
A rigor, isso não é um vazamento, e sim uma contradição. O fuso horário do sistema, o idioma do navegador e a localização do IP devem concordar. Um IP americano com um relógio em UTC+8 já é, por si só, um sinal forte — um sistema de risco não precisa do seu IP real, só de indícios de que você está disfarçando um.
Significa que os caminhos cobertos por esta verificação estão limpos agora. Extensões, outros aplicativos e atualizações do sistema podem introduzir novos caminhos de vazamento, então teste de novo depois de mudar qualquer coisa.
Primeiro, ative “resolver DNS pelo proxy” ou a opção equivalente no seu cliente de proxy. Se isso não for possível, aponte o DNS do sistema para o endereço fornecido pelo proxy. Mudar a configuração de DNS seguro do navegador cobre apenas esse processo.
Não é recomendável desativá-lo: um navegador Chromium sem WebRTC é, por si só, identificável. Em vez disso, restrinja a rota que ele pode usar: no Chrome / Edge, defina a política corporativa WebRtcIPHandling como disable_non_proxied_udp; no Brave, escolha “Disable non-proxied UDP”; e no Firefox, ative media.peerconnection.ice.proxy_only_if_behind_proxy em about:config. O modo TUN no seu cliente de proxy é a correção mais confiável.
Ou faça o proxy tratar também o IPv6, ou desative o IPv6 nas configurações de rede do sistema. A segunda opção é mais completa, mas quebra serviços que funcionam só com IPv6.