WebRTC is een browsertechnologie die is gebouwd voor realtime videogesprekken en peer-to-peer-bestandsoverdracht. Om twee computers rechtstreeks te verbinden moet die elk netwerkadres ontdekken waarop beide kanten bereikbaar kunnen zijn, dus vraagt die aan een publieke STUN-server "welk IP heeft deze verbinding van buitenaf gezien?" en verzamelt het antwoord als ICE-kandidaat. Die uitwisseling verloopt normaal onzichtbaar tussen twee deelnemers aan een gesprek — maar elke website kan die ook stilletjes op de achtergrond starten, de kandidaten uitlezen en je adressen eruit halen.

Dit wordt vooral een privacyprobleem voor VPN-gebruikers. Een VPN leidt je gewone HTTP-verkeer door de tunnel, zodat websites het IP van de VPN zien in plaats van dat van jou. WebRTC praat echter via een eigen verbinding met de STUN-server, en bij sommige opstellingen omzeilt die verbinding de VPN-tunnel volledig — waardoor je echte internet-IP lekt terwijl de adresbalk suggereert dat je "beschermd" bent. Moderne browsers proberen ook je lokale netwerkadres te verbergen door het te vervangen door een willekeurige, eenmalige mDNS-hostnaam die eindigt op .local in plaats van een IP als 192.168.1.5; die vervanging is een echte privacyverbetering, geen teken dat er iets kapot is.

Deze tool voert precies hetzelfde ICE-verzamelproces uit dat een kwaadaardige pagina zou kunnen uitvoeren, met twee onafhankelijke STUN-servers voor betrouwbaarheid, en vergelijkt elke verzamelde publieke kandidaat met je werkelijke HTTP-IP-adres. Komen ze overeen, dan voegt WebRTC geen extra blootstelling toe bovenop wat elke website al ziet. Verschillen ze terwijl je denkt dat je op een VPN zit, dan is dat verschil het lek — en de oplossingen hierboven leggen uit hoe je het in jouw browser dicht.

Deze test toont alleen wat je eigen browser blootgeeft via het ICE-verzamelen van WebRTC; lekken op het niveau van het besturingssysteem of de router kan hij niet detecteren.