O que é um vazamento de DNS ou WebRTC?

Pense no DNS como a lista telefônica da internet. Toda vez que você digita um endereço da web, o seu dispositivo não consegue usar só o nome. Ele precisa transformar esse nome em um número, um endereço IP, e para isso pergunta a um resolvedor de DNS. Na maioria das redes, o resolvedor pertence a quem administra a rede. É o seu provedor em casa, ou o time de TI no trabalho.

Então aquela pequena requisição que diz “onde fica o example.com?” viaja até uma máquina que você não controla, e carrega o nome do site que você está prestes a abrir. Um vazamento de DNS é quando essa consulta escapa da proteção que você achava que tinha. Você pode estar usando algo que criptografa o tráfego em si, mas, se a consulta do hostname ainda sai para o resolvedor da própria rede, a rede continua descobrindo o nome de todo site que você acessa.

O importante é reparar no que vaza. Um vazamento de DNS não revela o que você enviou ou leu. Ele revela para onde você estava indo, o que para muita gente é a parte sensível.

O WebRTC é um conjunto de recursos embutido em todo navegador moderno para que chamadas de vídeo, conversas por voz e alguns compartilhamentos diretos de arquivo funcionem sem um aplicativo separado. Para conectar 2 pessoas, o WebRTC primeiro precisa descobrir os endereços em que cada lado pode ser alcançado. Ele reúne endereços candidatos, incluindo o endereço da sua rede local e, com a ajuda de um servidor chamado servidor STUN, o seu IP público.

O problema é que essa coleta de endereços pode rodar direto do JavaScript de uma página, e pode sair por um caminho próprio, e não pelo que o resto das suas ferramentas está usando. Então uma página pode perguntar discretamente ao navegador “qual é o IP real deste visitante?” e receber a resposta, mesmo quando a conexão principal parece bem trancada.

Isso é um vazamento de WebRTC. Ele pode entregar a uma página o seu endereço IP real por um recurso que você nunca ativou, e é exatamente por isso que já pegou de surpresa gente que achava que uma única ferramenta dava conta de tudo.

Coloque‑os lado a lado. Um vazamento de DNS conta à rede os nomes dos lugares que você visita. Um vazamento de WebRTC conta a um site o número que identifica a sua conexão. Se você está em um dispositivo ou em uma rede que outra pessoa controla, essa dupla já diz tudo.

Se você recorreu a um proxy ou a uma ferramenta de privacidade, foi justamente para manter em segredo um desses 2 fatos. Um vazamento em qualquer um dos canais desfaz esse esforço sem sinal nenhum. Nada parece quebrado. A página continua carregando. Você simplesmente entregou mais do que pretendia.

• Vazamento de DNS: o que vaza é o nome do site, quem vê é a rede (o seu provedor ou o resolvedor local), e você o flagra com um teste de vazamento de DNS.
• Vazamento de WebRTC: o que vaza é o seu endereço IP real, quem vê é a página que você está visitando, e você o flagra com um teste de vazamento de WebRTC.

É aqui que um proxy web com reescrita prova o seu valor, e onde vale ser preciso sobre o que ele faz e o que não faz.

Quando você abre um site pelo TrickyBird, na verdade está carregando o próprio endereço do TrickyBird. O endereço do destino fica codificado dentro do caminho, e quem resolve o nome do site somos nós: o que o seu dispositivo consulta é o nosso endereço. Então, se a sua pergunta é o que um proxy web faz por você aqui, é isto: ele esconde o seu IP do site que você abre e resolve o nome desse site do nosso lado. É o mesmo princípio do zero vazamento de domínio: onde quer que o endereço do destino precise ir, ele vai codificado, não escrito por extenso (veja quais sites carregam limpos hoje em /status). Não há download nem aplicativo, e é isso que importa quando o bloqueio está em um dispositivo que não deixa você instalar nada.

Há um limite, e vale dizer isso com clareza. O próprio gateway ainda precisa resolver e se conectar ao destino para buscá‑lo, então essa etapa não fica oculta. Guardamos um registro deliberadamente pequeno dela: um endereço IP encurtado, reduzido a um /24 ou /48 para apontar para uma vizinhança em vez de uma única casa, mais o hostname de destino e detalhes básicos da resposta, por no máximo 48 horas. Os detalhes completos de retenção e exclusão estão em /security. Isso é registro mínimo, de curta duração e verificável, e o que importa é que você pode conferir em vez de acreditar na nossa palavra. É uma postura bem diferente de uma promessa absoluta que você não tem como conferir. Compare as políticas.

Não, e vale deixar isso claro. O TrickyBird reescreve as páginas que serve, mas não intercepta o WebRTC. O WebRTC funciona como um subsistema separado do navegador, pelo seu próprio caminho de rede, então uma página que você abre pelo proxy ainda consegue se conectar diretamente a um servidor STUN e obter o seu IP real, mesmo enquanto o resto dessa página carrega pelo TrickyBird.

Então trate o WebRTC como algo que você mesmo desliga, não como algo de que o proxy cuida por você. Desligue‑o no seu navegador com os passos abaixo e depois rode um teste de vazamento de WebRTC justamente no dispositivo e na rede que importam para você, para confirmar que o seu IP real não aparece mais. Vale verificar por conta própria em vez de confiar em qualquer afirmação, esta incluída.

Você não precisa depender de uma única ferramenta. O WebRTC também pode ser limitado no próprio navegador, e vale saber como. No Firefox, você pode abrir about:config e definir media.peerconnection.enabled como false, o que desliga o recurso. O Chrome não tem uma opção nativa para isso, então as pessoas costumam recorrer a uma extensão bem avaliada que bloqueia o WebRTC, embora em um dispositivo gerenciado você talvez não possa adicionar uma.

No celular, o quadro varia conforme a plataforma. O Safari no iOS é mais restritivo sobre o que o WebRTC entrega a uma página, enquanto o Chrome no Android se comporta de forma bem parecida com a versão para computador. Então, se a pergunta é se o iOS vaza pelo WebRTC, ele pode vazar, só que em menor grau do que um navegador no computador.

O DNS tem a própria opção no nível do navegador que vale mencionar. O DNS over HTTPS, ou DoH, envia as suas consultas a um resolvedor por um canal criptografado em vez do canal padrão da rede, e é por aí que muita gente começa ao ler pela primeira vez sobre vazamentos de DNS. Nenhuma dessas opções substitui o teste. São ajustes para experimentar e depois verificar.

Você não precisa confiar em uma frase de marketing, e não deveria ter que confiar. Um teste de vazamento leva cerca de um minuto. Abra uma página de teste de vazamento de DNS e WebRTC, um verificador neutro como browserleaks.com ou ipleak.net, e ela vai mostrar a quais resolvedores as suas consultas estão chegando e qual IP público uma página consegue ver, WebRTC incluído.

Faça isso uma vez na rede que realmente importa para você. Se o resolvedor listado for o do seu provedor ou o da rede local, o seu DNS está vazando. Se o IP público mostrado for o seu próprio endereço, o WebRTC ou a conexão está expondo isso. Ligue a sua ferramenta e rode a mesma verificação de novo para ver se os números mudam.

A página /proof do TrickyBird verifica outra coisa, e vale não confundi‑las. Ela mostra para onde vai de fato o endereço do site que você abre: na barra de endereços e nos cabeçalhos Referer e Origin que o seu navegador envia, ele vai codificado dentro do nosso próprio endereço, não escrito por extenso, e no código‑fonte da página ele aparece no único lugar que a página indica para você. É uma verificação de vazamento de domínio, não um teste de DNS ou WebRTC, e não mostra nenhum IP nem diz se o WebRTC está expondo o seu. Para isso, use uma das páginas de teste de vazamento acima e desligue o WebRTC no seu navegador. A ferramenta que vale usar é a que passa no teste de quem abre as ferramentas de desenvolvedor para olhar. Esse é o mesmo padrão que vale aplicar a qualquer proxy web gratuito, o nosso incluído.

Continue lendo se quiser entender os conceitos por trás deste guia.

• O que é um proxy web?
• Proxy web vs VPN
• Usar um proxy web é legal ou ilegal?
• Desbloquear um site
• Nossa política de registro e segurança