Как это работает
Утечка означает, что часть вашего трафика обходит прокси или VPN, через который, как вы думаете, она идёт, уходит через локальную сеть и раскрывает ваш реальный IP другой стороне. Статус «подключено» в прокси-клиенте не означает, что он контролирует каждый запрос.
Прежде чем попасть на сайт, устройство преобразует домен в IP. Если этот шаг минует прокси, DNS-резолвер вашего провайдера видит каждый посещаемый вами домен — даже когда последующее соединение зашифровано и корректно идёт через прокси.
Обычные причины — системные настройки DNS, имеющие приоритет над правилами прокси, или прокси-клиент, который вообще не перехватывает DNS.
WebRTC — встроенный в браузер стек одноранговой связи, на котором работают видеозвонки и демонстрация экрана. Чтобы установить прямое соединение, он спрашивает у STUN-сервера «какой у меня публичный адрес», и этот запрос может пройти в обход прокси.
В результате страница видит IP прокси, а WebRTC выдаёт ваш реальный. Это классическая утечка, и её проще всего упустить.
Многие прокси обрабатывают только IPv4. Если в вашей сети есть и IPv6, а целевой сайт его поддерживает, браузер может предпочесть прямой маршрут по IPv6 — и прокси полностью останется в стороне.
Признак простой: если эта страница показывает и IPv4, и IPv6, принадлежащие разным сетям, ваш трафик разделяется между двумя стеками.
Строго говоря, это не утечка, а противоречие. Системный часовой пояс, язык браузера и местоположение IP должны совпадать. Американский IP с часами UTC+8 — сильный сигнал сам по себе: антифрод-системе не нужен ваш реальный IP, достаточно признаков того, что вы его маскируете.
Это значит, что пути, которые покрывает эта проверка, сейчас чисты. Расширения, другие приложения и обновления системы могут добавить новые пути утечки, поэтому после любых изменений проверьте снова.
Сначала включите в прокси-клиенте «разрешать DNS через прокси» или аналогичную опцию. Если это не помогает, укажите в системе DNS-адрес, который предоставляет прокси. Изменение настройки безопасного DNS в браузере касается только этого одного процесса.
Отключать не рекомендуется: браузер на Chromium без WebRTC сам по себе узнаваем. Вместо этого ограничьте, каким маршрутом он может пользоваться: в Chrome / Edge задайте корпоративной политике WebRtcIPHandling значение disable_non_proxied_udp, в Brave выберите «Отключить UDP без прокси», а в Firefox включите media.peerconnection.ice.proxy_only_if_behind_proxy в about:config. Самое надёжное решение — режим TUN в прокси-клиенте.
Либо пусть прокси обрабатывает и IPv6, либо отключите IPv6 в сетевых настройках системы. Второй вариант надёжнее, но ломает сервисы, работающие только по IPv6.