WebRTC 泄漏检测指南
看到一个 IP，不等于发生泄漏。先弄清地址从哪里来，再判断它是否走了预期的网络出口。
什么是 WebRTC 泄漏？
WebRTC 是浏览器用于实时音视频和数据传输的一组技术。为了建立连接，浏览器会收集可用的网络地址，这些地址称为 ICE 候选。
当你希望流量只经过 VPN 或代理时，WebRTC 仍可能通过其他网络路径公开地址。这里需要检查的是：它公开的公网地址，是否与同一地址版本的网页访问出口一致。
IPv4 对比 IPv4，IPv6 对比 IPv6。
如何看懂检测结果？
结论以本次实际获取的地址为依据，不把缺少数据当作安全证明。
- 已泄漏
- WebRTC 公开了与网页出口不同的同版本公网地址。它说明存在需要复核的出口差异，但不能单凭这一项确定该地址就是你的家庭 IP。
- 本地 IP 已暴露
- 浏览器返回了私有或本地网络地址。它与公网 IP 泄漏是不同问题：本地地址通常不能在公网直接路由，但可能暴露部分内网信息。
- 未泄漏
- 本次获取的可比公网候选与网页出口一致，且未触发其他地址暴露判断。这个结论只适用于本次可观测结果，不代表整个设备或所有应用都已通过隐私检查。
- 无法确认
- 可能只有 mDNS 掩码、没有候选地址、缺少可信出口，或只拿到了无法配对比较的 IPv4 / IPv6。浏览器不支持或检测失败时，也不能推断为安全。
发现异常，先检查这四件事
VPN 已连接，不代表所有连接都经过同一路径。浏览器代理、分流设置和 IPv6 支持都可能影响结果。
确认你希望使用的出口
查看 VPN 或代理当前使用的节点，再对照上方的网页出口和 WebRTC 公网地址。先区分 IPv4 与 IPv6，不要直接比较两种地址格式。
检查代理覆盖与 IPv6 设置
确认使用的是整机 VPN、应用代理还是仅浏览器代理，检查分流规则及 IPv6 是否按预期处理。仅代理网页请求，不一定覆盖 WebRTC 使用的连接。
按需调整 WebRTC 策略
优先使用 VPN 提供的泄漏防护或浏览器支持的网络策略。不同浏览器没有统一的关闭方法；限制 WebRTC 可能影响视频会议、语音通话和实时协作。
重新检测，并交叉核对
调整设置后重新打开页面或点击“重新检测”，检查地址是否变化，再结合 DNS 泄漏检测判断其他路径。不要用一个工具的绿色结论替代完整验证。
CHA.LA 是怎样检测的？
页面在你的浏览器中建立临时 RTCPeerConnection，使用数据通道触发 ICE 候选收集，并在配置可用时使用 STUN 服务观察网络地址。检测结束后会关闭这条临时连接。
收集到的地址会区分为公网、本地地址或 mDNS 掩码，再与本次请求及出口探测得到的可信公网地址按 IPv4 / IPv6 分别比较。本项检查不需要开启摄像头或麦克风。
常见问题
关于 VPN、浏览器设置和检测差异，你可能还想知道这些。
开了 VPN，页面显示 IP 就说明泄漏了吗？
不是。网站和 WebRTC 都可能看到 VPN 的出口 IP，这本身是正常现象。需要判断的是是否公开了预期之外的公网地址，并按同一地址版本比较。即使地址不同，也应结合分流、双栈网络和节点配置进一步确认。
看到 192.168.x.x 或 10.x.x.x，需要担心吗？
这些通常是私有网络地址，不等于公网访问者可以直接连接到你的设备。但它们可能透露部分网络结构，因此本工具将本地 IP 暴露单独显示，不与公网 IP 泄漏混为一谈。
为什么只有 .local 地址，或显示“无法确认”？
浏览器可能用 mDNS 主机名遮蔽本地地址，网络也可能限制候选收集。如果没有足够的公网候选和可信出口，工具就无法完成比较。没有采集到地址，与已经验证没有泄漏，是两回事。
为什么不同网站的检测结果不一样？
工具采用的 STUN 服务、采样时长、出口基准及 IPv6 支持可能不同。浏览器版本、网络切换和 VPN 分流也会影响采样。建议在同一网络条件下比较具体地址及判断依据，不只比较“安全”或“泄漏”的标签。
手机可以检测吗？需要摄像头权限吗？
支持 WebRTC 的手机浏览器通常可以运行这项检查，实际可见地址取决于浏览器和系统策略。本项检测使用数据通道，不需要开启摄像头或麦克风。
关闭 WebRTC，会影响正常上网吗？
普通网页浏览通常不依赖 WebRTC，但浏览器视频会议、语音通话和部分实时协作功能可能受到影响。不要只为得到一个检测标签而一律关闭；应根据实际需求选择限制策略，再验证常用功能。
WebRTC 泄漏和 DNS 泄漏是一回事吗？
不是。WebRTC 检查实时连接可能公开的网络地址；DNS 检查域名解析请求被哪些解析器处理。两者观察的是不同路径，通过其中一项并不代表另一项也没有问题。