Vazamento de IP: como testar WebRTC, DNS e IPv6 na VPN

Para saber se a sua VPN vaza o seu IP, anote o IPv4 e o IPv6 com a VPN desligada na página Meu IP detalhado, ligue a VPN e faça três testes: o IP público (que deve ser o da VPN nos dois protocolos), o teste de vazamento WebRTC e um teste de vazamento de DNS. Se qualquer um deles mostrar um endereço que você anotou, ou servidores DNS da sua operadora, há vazamento, e cada tipo tem uma correção diferente.

Sem VPN, não existe vazamento: todo site que você visita vê o seu IP, porque é assim que a internet entrega as respostas. E esse IP revela o provedor e uma região aproximada, não o seu nome ou endereço. O guia abaixo mostra como testar, como ler o resultado e como corrigir cada caso.

O que é, de fato, um vazamento de IP

Fala-se em vazamento quando você usa uma VPN, um proxy ou o Tor para que os sites vejam outro endereço, mas parte do tráfego escapa por fora e revela o IP real da sua conexão, ou quando as consultas DNS continuam indo para a sua operadora. O problema não é um site ver um IP, e sim ver o IP que você queria esconder.

Vale calibrar o risco. Com um IP, alguém descobre o provedor e uma localização aproximada, às vezes errada. Só a operadora sabe qual cliente usava aquele IP em determinado horário: pelo Marco Civil da Internet, ela guarda esses registros por 1 ano (art. 13) e só pode entregá-los por ordem judicial (arts. 10 e 22). O guia o que alguém pode fazer com seu IP separa os riscos reais dos exagerados.

Como testar sua VPN em 5 minutos

Os tipos de vazamento

Vazamento de IPv6

Hoje é o vazamento mais comum. Segundo as estatísticas do Google, 56,5% dos acessos vindos do Brasil usavam IPv6 em outubro de 2026. Se a VPN só cria o túnel para IPv4 e não bloqueia o IPv6, o navegador acessa por IPv6, direto pela sua operadora, todos os sites que têm IPv6, e eles veem o seu endereço real. A correção é usar uma VPN que leve o IPv6 pelo túnel ou que bloqueie o IPv6 enquanto está conectada. As diferenças entre os protocolos estão em IPv4 vs IPv6.

Vazamento por WebRTC

O WebRTC é a tecnologia que permite chamadas de voz e vídeo direto no navegador. Para conectar uma chamada, ele reúne os possíveis caminhos até o seu aparelho (os candidatos ICE), inclusive o endereço público visto por um servidor externo (STUN). Os navegadores atuais já não revelam o IP local para sites sem permissão de câmera ou microfone: no lugar dele aparece um nome aleatório terminado em .local, técnica descrita pela IETF.

Com uma VPN que cobre todo o aparelho, o pedido ao servidor STUN também passa pelo túnel e revela só o IP da VPN. O vazamento aparece em situações específicas:

• VPN como extensão do navegador: muitas extensões são proxies que levam só o tráfego web comum. O WebRTC usa UDP e pode sair por fora.
• Túnel dividido (split tunneling): se o navegador ficou na lista de apps que não passam pela VPN.
• IPv6 fora do túnel: o STUN responde pelo IPv6 real.
• VPN caída sem kill switch: o navegador continua funcionando, agora pela conexão normal.

No resultado do teste, endereços terminados em .local são normais. O que importa são os IPs públicos: eles devem ser os mesmos que a página Meu IP mostra com a VPN ligada.

Vazamento de DNS

Toda vez que você abre um site, o aparelho pergunta a um servidor DNS qual é o IP daquele nome. Com a VPN ligada, essas perguntas devem ir pelo túnel para o DNS da VPN. Há vazamento de DNS quando elas continuam indo para o DNS da operadora: o IP que os sites veem é o da VPN, mas a operadora fica sabendo quais domínios você consulta.

As causas mais comuns são VPNs que não forçam o próprio DNS, DNS IPv6 da operadora que continua configurado, e o Windows, que pode enviar consultas por mais de uma interface de rede ao mesmo tempo. Configurar manualmente 1.1.1.1 ou 8.8.8.8 não resolve: com a VPN ligada, um DNS fora do túnel continua sendo vazamento. A correção é ativar a proteção de DNS da própria VPN, o kill switch e o tratamento de IPv6. Como DNS criptografado funciona e como configurá-lo fora da VPN está no guia como mudar o DNS.

Quando a VPN cai ou ainda não conectou

Se a VPN cai por alguns segundos (troca de Wi-Fi para dados móveis, por exemplo) ou demora a conectar quando o aparelho liga, os apps usam a conexão normal nesse intervalo. Por isso o kill switch é essencial. No Android, além do kill switch do app, ative nas configurações de VPN do sistema as opções VPN sempre ativa e Bloquear conexões sem VPN. No iPhone e no computador, procure a opção equivalente no app da VPN; os nomes variam.

Redes Wi-Fi hostis (TunnelVision)

Em 2024 foi divulgada a falha conhecida como TunnelVision (CVE-2024-3661): um atacante na mesma rede local pode usar uma opção do DHCP (a 121, de rotas estáticas) para fazer parte do tráfego sair pela interface física, fora da VPN. É um risco de redes que você não controla, como Wi-Fi público. VPNs que bloqueiam por firewall tudo o que não passa pelo túnel reduzem o problema; em locais públicos, usar os dados móveis do celular também é uma alternativa. Mais cuidados estão em riscos do Wi-Fi público.

Como corrigir cada vazamento

Para restringir o WebRTC sem perder as chamadas no navegador:

• Firefox: em about:config, defina media.peerconnection.ice.default_address_only e media.peerconnection.ice.no_host como true. Desligar media.peerconnection.enabled também funciona, mas desativa todas as chamadas.
• Brave: em Configurações → Privacidade e segurança, ajuste a política de tratamento de IP do WebRTC. Com a proteção contra impressão digital ativada, o Brave já passa sozinho para o modo que impede o WebRTC de usar UDP fora do proxy.
• Chrome e Edge: não há opção nas configurações comuns. A política corporativa WebRtcIPHandling e as extensões das próprias VPNs limitam o WebRTC à interface pública ou ao proxy.

Outras formas comuns de um IP ficar visível

Alguns caminhos mostram o seu IP por design, com ou sem falha de VPN. Em torrents, todos os participantes de um compartilhamento veem os IPs uns dos outros. Algumas chamadas e jogos conectam os participantes diretamente, e cada um enxerga o IP do outro. E links desconhecidos, inclusive encurtados, levam a sites que registram o IP de quem clica, como qualquer site. Nada disso permite descobrir quem você é, mas é bom saber, especialmente se você usa VPN justamente para não expor o IP nessas situações.

E quando o vazamento é de dados?

Muita gente procura “IP vazado” depois de saber que um serviço sofreu um vazamento de dados. Nesses casos, o IP costuma aparecer junto com e-mail, senha e outros dados cadastrais, e é o menos preocupante deles: muda com o tempo e mostra só provedor e região. O que fazer:

1. Verifique o e-mail no Have I Been Pwned, que também avisa sobre vazamentos futuros, e confira se a sua senha já apareceu em vazamentos com o verificador de senha vazada, que não envia a senha.
2. Troque a senha do serviço afetado e de qualquer outro onde você usava a mesma. O gerador de senhas cria senhas fortes no próprio navegador.
3. Ative chaves de acesso (passkeys) onde houver ou a verificação em duas etapas, de preferência por aplicativo autenticador em vez de SMS.
4. Se CPF e dados bancários vazaram, consulte o Registrato, do Banco Central, para conferir contas, empréstimos e chaves Pix no seu nome.

Pela LGPD (art. 48), a empresa que sofreu o incidente deve comunicar a ANPD e os titulares quando houver risco ou dano relevante, e a Resolução CD/ANPD nº 15/2024 fixa o prazo de três dias úteis. O passo a passo completo está em minha senha vazou: o que fazer, e os seus direitos em LGPD e seus dados.

Para entender melhor como as VPNs funcionam e onde elas não protegem, leia o que é VPN. Se o objetivo é privacidade de forma mais ampla, veja também navegação anônima e como mudar o IP.