فحص تسريب WebRTC: هل تكشف خدمة VPN عنوان IP الحقيقي الخاص بك؟
تستخدم أداة فحص تسريب WebRTC هذه آلية الاتصال المباشر بين النظراء (peer-to-peer) المماثلة تماماً لما تستخدمه نصوص التتبع البرمجية، وتتحقق مما إذا كان أي عنوان تم جمعه هو عنوانك الحقيقي الذي يُفترض بشبكة VPN إخفاؤه. تفتح الأداة اتصال RTCPeerConnection بقناة بيانات فارغة — دون تشغيل الكاميرا، ودون ميكروفون، ودون أي طلبات أذونات — وتستعلم من خادمي STUN عامين لمعرفة كيفية ظهور اتصالك من الخارج، ثم تقارن ذلك بعنوان IP الذي تصل منه طلبات HTTPS العادية.
كيفية قراءة مرشحي ICE المعروضين في هذا الفحص
يتعين على بروتوكول WebRTC استكشاف كل مسار شبكي محتمل يمكن لطرف آخر الاتصال بك من خلاله، مما يولد قائمة بمرشحي ICE (ICE candidates). تعرض هذه الصفحة القائمة الخام مصحوبة بنوع العنوان وبروتوكول النقل، وتتوقف عملية الجمع تلقائياً بعد مرور خمس ثوانٍ.
في الجزء العلوي، يظهر عنوانا IPv4 وIPv6 العاديان كما تم رصدهما عبر بروتوكول HTTP — وهي نفس القيم التي تعرضها صفحة ما هو عنوان IP الخاص بي. وتعد هذه الأرقام هي الأساس المرجعي؛ ويتم تحديد النتيجة النهائية من خلال المطابقة المباشرة بين المصدرين.
host وsrflx وrelay — دلالات الشارات التصنيفية
- محلي (host) — عنوان خاص ببطاقة الشبكة في جهازك: عنوان LAN محلي مثل
192.168.1.14أو اسم.localمموه. - عام (عبر STUN) — المرشح
srflx، وهو العنوان العام الذي سجل خادم STUN وصول الحزمة منه. وهو المعيار الحاسم عند تفعيل VPN. - مُرحّل (TURN) — حركة مرور تمر عبر خادم وسيط؛ نظراً لأن هذه الصفحة تعتمد على STUN فقط، فإن ظهور مرشح relay أمر نادر الحدوث.
دلالة كل نتيجة تقييم
- تم اكتشاف تسريب — مرشح STUN العام يختلف عن عنوان HTTP؛ عند تشغيل VPN، يعني هذا أن حزم WebRTC تجاوزت النفق المشفر.
- لا يوجد تسريب — يتطابق العنوانان تماماً.
- عنوان IP المحلي مكشوف — ظهر عنوان شبكة LAN الداخلي صراحة بدلاً من اسم mDNS المموه.
- محمي — عنوانك المحلي محجوب بأمان خلف اسم مضيف
.localعشوائي. - لا يوجد IP عام / WebRTC محجوب — تعذر الوصول إلى خوادم STUN أو تم تعطيل WebRTC في المتصفح.
لماذا يسرب WebRTC عنوان IP الذي تحاول شبكة VPN إخفاءه
تم تصميم بروتوكول WebRTC لتمكين مكالمات الفيديو والمحادثات الصوتية ونقل الملفات مباشرة بين المتصفحات. ولربط جهازين يقعان خلف جدران حماية وأجهزة توجيه منفصلة، لا بد من عبور تقنية NAT، وهو ما يتطلب إجابة من الخارج: من أي عنوان ينطلق هذا الاتصال؟ يجيب خادم STUN على هذا السؤال، وبإمكان أي صفحة ويب بدء هذا التبادل في الخلفية بهدوء عبر جافا سكريبت.
تظهر الثغرة عندما تحاول حجب عنوانك الفعلي. تقوم شبكة VPN بتوجيه حركة مرور HTTP المعتادة عبر نفقها المشفر، لكن WebRTC يرسل حزم UDP المستقلة مباشرة إلى خوادم STUN، وفي بيئات النفق المجزأ (split-tunneling)، تسلك هذه الحزم مسار مزود الإنترنت المعتاد. وتعد إضافات VPN للمتصفحات المثال الأبرز: فهي تعمل كبروكسي لطلبات الويب فقط ولا تعيد توجيه حزم UDP للنظام — مما يؤدي إلى تناقض نتيجتها مع نتائج فحص VPN القائم على HTTP.
اسم المضيف العشوائي .local لا يُعد تسريباً للبيانات
إذا ظهر في خانة مرشح المضيف اسم مثل 7b3f9c21-4d0a-48e7.local بدلاً من 192.168.1.14، فإن نظام الحماية يعمل بكفاءة تامة. يُعرف هذا بتمويه mDNS: حيث ينشئ المتصفح اسم DNS عشوائياً مؤقتاً لبطاقة الشبكة المحلية ويقدمه بدلاً من عنوان LAN الحقيقي. تطبق متصفحات كروم وإيدج وبريف وفيرفوكس وسفاري هذه الميزة تلقائياً — حتى أن إضافة uBlock Origin أزالت خيار WebRTC الخاص بها في الإصدار v1.38 بعد أن تولت المتصفحات هذه المهمة. تذكر: هذا يحمي عنوان الشبكة الداخلية فقط (ولا يمنع تسريب IP العام عبر VPN)، كما أن أي موقع يُمنح إذن الكاميرا أو الميكروفون سيتمكن من قراءة عنوان LAN الحقيقي.
كيفية معالجة تسريب WebRTC في متصفحي Chrome وEdge
لا يوفر أي من المتصفحين زراً بسيطاً للإيقاف في الإعدادات العادية، كما لم تعد خيارات chrome://flags أو edge://flags تعطل WebRTC. توجد ثلاثة حلول عملية فعالة:
- استخدم تطبيق VPN للنظام بالكامل (Full-Tunnel) بدلاً من ملحقات المتصفح. إذا تم توجيه جميع حزم UDP عبر النفق المشفر، فلن يرى خادم STUN سوى عنوان خادم VPN.
- اضبط سياسة التعامل مع IP عبر إضافة مخصصة. تقوم أدوات مثل WebRTC Leak Prevent بتعديل
chrome.privacy.network.webRTCIPHandlingPolicyإلىdefault_public_interface_onlyأوdisable_non_proxied_udpلمنع كشف العناوين المحلية. - طبق سياسات النظام (GPO). في نظام ويندوز، اضبط سياسة
WebRtcIPHandlingلمتصفح Chrome أوWebRtcLocalhostIpHandlingتحتSOFTWARE\Policies\Microsoft\Edgeعلى القيمةAllowPublicInterfaceOnlyأوDisableNonProxiedUdp. يتطلب ذلك إعادة تشغيل المتصفح؛ تحقق عبرedge://policy.
كيفية تعطيل WebRTC تماماً في متصفح Firefox
يعد فيرفوكس المتصفح المكتبي الرئيسي الوحيد الذي يحتوي على زر إيقاف مباشر وحقيقي. اكتب about:config في شريط العناوين، واقبل التحذير، وابحث عن media.peerconnection.enabled، ثم انقر نقراً مزدوجاً لتحويل القيمة إلى false. سيتم إيقاف WebRTC فوراً لجميع المواقع دون الحاجة لإعادة التشغيل، وسيبلغ هذا الاختبار بأنه محجوب.
هذا إجراء حاسم: ستتوقف خدمات الاجتماعات عبر الويب مثل Meet وTeams وDiscord وZoom عن إجراء المكالمات حتى تعيد تفعيلها. وللحفاظ على المكالمات قيد العمل، اترك الخيار السابق مفعلاً وغير بدلاً منه media.peerconnection.ice.default_address_only إلى true — وسيقوم فيرفوكس حينها بتقديم عنوان المسار الافتراضي فقط (أي نفق VPN).
كيفية إيقاف تسريب WebRTC في متصفح Brave
يقدم متصفح Brave عناصر التحكم التي يخفيها كروم في واجهة الاستخدام. افتح brave://settings/privacy وابحث عن قسم WebRTC IP handling policy. الخياران الأنسب عند تشغيل VPN أو بروكسي هما:
- Default — قد يفحص جميع بطاقات الشبكة ويكشف العناوين المحلية.
- Default Public and Private Interfaces — يستخدم المسار الافتراضي لكنه لا يزال يعرض العنوان الخاص المطابق.
- Default Public Interface Only — يستخدم المسار الافتراضي فقط مع إخفاء العناوين المحلية، وتستمر المكالمات بالعمل. الإعداد الأمثل للاستخدام اليومي.
- Disable Non-Proxied UDP — يفرض استخدام بروتوكول TCP عبر البروكسي ما لم يكن يدعم UDP. وهو الأكثر صرامة (مطبق بنوافذ Tor)، لكنه قد يعطل مكالمات P2P.
ملاحظات هامة لأجهزة Safari وiPhone وAndroid
على الأجهزة المحمولة ومحرك WebKit، غالباً ما تفقد النصائح التقليدية الموجهة للحواسيب المكتبية فاعليتها.
سفاري على نظام macOS
لا تتوفر في متصفح Safari الحديث أزرار إيقاف دائمة عامة. الخيارات الموجودة في قائمة المطور تنتهي صلاحيتها بإغلاق الجلسة. وبما أن سفاري يحجب العناوين المحلية خلف mDNS تلقائياً حتى تمنح الإذن للكاميرا أو الميكروفون، فإن الإجراء الأفضل هو مراجعة أذونات المواقع في Safari > الإعدادات > مواقع الويب واستخدام VPN على مستوى النظام.
أجهزة iPhone وiPad (نظام iOS)
تلتزم جميع المتصفحات على نظام iOS باستخدام محرك WebKit. لذلك لا يمتلك كروم أو فيرفوكس على آيفون صفحة about:config أو ملحقات، كما لا تستطيع أدوات حظر المحتوى فلترة WebRTC. لمنع التسريب، فعّل ملف تعريف VPN في الإعدادات > VPN يقوم بتوجيه حزم UDP كاملة، ثم أعد الفحص في سفاري.
نظام أندرويد
لا يحتوي متصفح كروم على أندرويد على ملحقات أو إعدادات لـ WebRTC. بينما يتيح متصفح Brave على أندرويد قائمة سياسات معالجة IP نفسها في إعدادات الخصوصية. في فيرفوكس أندرويد لا تتوفر صفحة about:config إلا في إصدارات Beta وNightly. الحل الجذري هو تفعيل VPN الدائم مع حظر الاتصالات بدون VPN في إعدادات الهاتف.
ما لا يمكن لهذا الاختبار اكتشافه
ترصد هذه الصفحة فقط البيانات التي يقدمها متصفحك للنصوص البرمجية المنفذة في هذا النطاق. ولا يمكنها كشف التسريبات الواقعة تحت طبقة المتصفح — مثل الأخطاء في توجيه اتصالات نظام التشغيل أو مسارات IPv6 التي لا تدعمها شبكة VPN — كما أنها لا تختبر تسريبات استعلامات DNS. إذا كان الجدار الناري يحظر STUN، فستظهر رسالة „لا يوجد IP عام“، وهي تعني فقط عدم تلقي رد من الخادم. علاوة على ذلك، يعد عنوان IP معياراً واحداً بين معايير عديدة: فأبعاد الشاشة والخطوط والترويسات المفصلة في صفحة ما هو متصفحي قادرة على تمييز جهازك حتى مع وجود عنوان VPN نظيف.
الأسئلة الشائعة (FAQ)
هل يمكن لـ WebRTC كشف عنوان IP الحقيقي حتى مع الاتصال بشبكة VPN؟
نعم، هذا وارد وبكثرة. يقوم WebRTC بإرسال حزم UDP مستقلة مباشرة إلى خوادم STUN. وفي حال استخدام ملحقات المتصفح أو خاصية تقسيم النفق، تسلك هذه الحزم مسار الاتصال المحلي العادي خارج النفق المشفر. يتعرف خادم STUN على عنوان IP الحقيقي الخاص بك، ويستطيع أي موقع قراءته عبر جافا سكريبت. استخدام تطبيق VPN لكامل النظام يحل المشكلة جذرياً.
هل هناك طريقة لإيقاف تشغيل WebRTC تماماً في متصفح Edge؟
ليس من خلال الإعدادات العادية: لا يحتوي Edge على مفتاح إيقاف وتمت إزالة الخيار القديم من about:flags. في نظام ويندوز، يمكنك تعيين السياسة WebRtcLocalhostIpHandling على AllowPublicInterfaceOnly أو DisableNonProxiedUdp في السجل تحت SOFTWARE\Policies\Microsoft\Edge. يتطلب ذلك إعادة تشغيل المتصفح والتحقق من edge://policy.
أين يمكنني تعطيل WebRTC وPeerConnection في Firefox؟
في صفحة about:config: ابحث عن media.peerconnection.enabled وانقر نقراً مزدوجاً لتحويلها إلى false. يؤدي هذا لتعطيل WebRTC فوراً دون إعادة تشغيل المتصفح، ولكن مكالمات الفيديو عبر الويب ستتوقف عن الاتصال. للاحتفاظ بالمكالمات، اتركها مفعلة واضبط media.peerconnection.ice.default_address_only على true.
كيف يمكنني تعطيل WebRTC نهائياً في Safari؟
لا يمكن إيقافه بشكل دائم في الإصدارات الحديثة من سفاري. تم حذف القائمة التجريبية السابقة، وخيارات قائمة المطور تتم إعادة ضبطها بمجرد إغلاق البرنامج. وبما أن سفاري يحجب العناوين المحلية عبر تقنية mDNS، فإن أفضل إجراء هو تقييد أذونات المواقع عبر سفاري > الإعدادات > مواقع الويب مع تشغيل VPN للنظام.
ما هي أفضل الإعدادات لمنع تسريب WebRTC في Brave؟
افتح brave://settings/privacy واضبط WebRTC IP handling policy على „Disable Non-Proxied UDP“ عند استخدام VPN أو بروكسي. سيستخدم WebRTC حينها بروتوكول TCP عبر البروكسي ولن يرى STUN عنوانك الحقيقي أبداً. خيار „Default Public Interface Only“ هو البديل الأنسب لضمان استمرار عمل المكالمات الصوتية.
أي سياسة للتعامل مع IP في WebRTC يجب أن أختار؟
يناسب خيار „Default Public Interface Only“ أغلب المستخدمين: فهو يحجب بطاقات الشبكة المحلية، ويحافظ على اتصال UDP، ويبقي مكالمات الفيديو تعمل دون مشاكل. اختر „Disable Non-Proxied UDP“ فقط إذا كنت تبحث عن أقصى درجات الخصوصية خلف بروكسي أو VPN. الخيارات الافتراضية الأخرى تظل تكشف عناوين شبكتك المحلية.
لماذا يتم الكشف عن عنوان IP الخاص بي علناً بواسطة WebRTC؟
في المتصفحات الحديثة، لم يعد هذا يحدث بشكل مكشوف. تستبدل متصفحات Chrome وEdge وBrave وFirefox وSafari عنوان الشبكة الداخلية الصريح باسم مضيف mDNS مؤقت ينتهي بـ .local. لا ترى المواقع سوى هذا الاسم الرمزي بدلاً من 192.168.1.14. وإذا ظهر في الاختبار عنوان LAN صريح، فهذا يعني أن حماية mDNS معطلة.