¿Qué es una fuga de IP?

Es cuando, con una VPN o un proxy activo, parte de tu tráfico sale por tu conexión normal y deja ver tu IP real. Las más comunes son la fuga de IPv6, cuando la VPN solo cubre IPv4, y la de WebRTC, la función del navegador para videollamadas.

¿Cómo sé si mi VPN tiene fugas?

Con la VPN apagada, guarda tu conexión como referencia en la prueba de esta página. Después enciende la VPN y repite la prueba: si tu IPv4, tu IPv6 o alguna dirección de WebRTC coincide con la referencia, esa es la fuga.

¿Qué es la fuga por WebRTC?

WebRTC permite que dos navegadores se conecten directamente para llamadas o archivos, y para ello el navegador da a la web las direcciones por las que se le puede localizar. Si entre ellas está tu IP real, cualquier web puede verla aunque uses una VPN. Los navegadores actuales ocultan las direcciones locales con mDNS.

¿Cómo evito la fuga de IPv6?

Activa la protección de IPv6 de tu VPN, que casi todas las de pago tienen, o usa una que lleve también la IPv6 por el túnel. Si la tuya no la tiene, desactiva IPv6 en el adaptador de red mientras la uses.

¿Comprobáis las fugas de DNS?

No. Para ver qué servidor DNS usas haría falta un servidor DNS propio que registrara quién le pregunta. Activa en tu VPN la opción de usar sus propios DNS y compruébalo con la herramienta de tu proveedor.

¿Guardáis los resultados de la prueba?

No. Las direcciones de WebRTC no salen de tu navegador, y la referencia sin VPN se guarda solo en esa pestaña y se borra al cerrarla. A nuestro servidor solo le preguntamos de qué red son tus IP, como en la portada.

Test de fugas de IP: comprueba WebRTC e IPv6 con tu VPN

Q: ¿Por qué no usáis servidores STUN?

Porque un servidor STUN de terceros recibiría tu IP solo por hacer la prueba. Miramos las direcciones que tu navegador da a cualquier web sin pedir permiso, sin que salga nada de tu dispositivo. A cambio, no vemos la IP que WebRTC averiguaría con un servidor STUN.

Una VPN solo te oculta si todo tu tráfico pasa por ella. La prueba de arriba busca los dos caminos por los que más a menudo se escapa tu conexión real: la IPv6, que muchas VPN no llevan, y WebRTC, la función del navegador para llamadas y videollamadas. Para un resultado seguro, haz la prueba dos veces: primero sin la VPN, guardándola como referencia, y después con ella.

Cómo hacer la prueba bien

Apaga la VPN y recarga esta página. Verás tu IPv4, tu IPv6 si la tienes y tu operador.
Pulsa «Guardar como referencia». Tus IP y tu operador se quedan en esta pestaña del navegador; no se envían a ningún sitio y se borran al cerrarla.
Enciende la VPN, espera a que conecte y pulsa «Repetir la prueba».
Si alguna de las direcciones de ahora coincide con tu referencia, esa es la fuga. Si no coincide ninguna, la VPN te cubre.

Sin referencia, la prueba también da un veredicto: si tu IPv4 y tu IPv6 salen por redes distintas, o si una de ellas es de un operador doméstico español, algo se está saltando la VPN. Pero con la referencia no hay que suponer nada.

La fuga de IPv6

Es la más común. Si tu conexión tiene IPv6 y tu VPN solo crea un túnel para IPv4, las webs que tienen IPv6 (Google, YouTube, Facebook, Netflix y cada vez más) te ven llegar por tu IPv6 de siempre, la de tu operador. La VPN funciona, pero solo para la mitad de tu tráfico.

Línea IPv4Línea IPv6

La línea IPv4 entra en el túnel de la VPN; la IPv6 sigue su recorrido de siempre y sale con la dirección de tu operador.

En España le pasa sobre todo a quien tiene fibra de Digi, que da IPv6 desde la instalación: según APNIC, la usa el 40 % de sus usuarios. Con Vodafone, Orange o el grupo MásMóvil es raro, porque casi ninguno de sus clientes de fibra la tiene. En el móvil cambia: Movistar, por ejemplo, la tiene activada en toda su red móvil. Comprueba si tienes IPv6.

La fuga por WebRTC

WebRTC permite que dos navegadores se conecten directamente, sin pasar por un servidor, para llamadas o para compartir archivos. Para conseguirlo, el navegador reúne las direcciones por las que se le puede localizar y se las da a la web. Antes eso incluía tu IP local, y con ayuda de un servidor STUN, tu IP pública real aunque usaras una VPN.

Desde hace unos años, Chrome, Edge, Firefox y Safari esconden las direcciones locales detrás de un nombre aleatorio terminado en .local (mDNS) mientras la web no tenga permiso para usar tu cámara o tu micrófono. Por eso lo normal hoy es que la fila de WebRTC diga «IP oculta». Si da una dirección pública que no es la de tu VPN, esa es tu conexión real.

Por qué no usamos servidores STUN

Un servidor STUN le dice a tu navegador con qué IP pública sale, y los test de fugas suelen usar los de Google. Eso manda tu IP a un tercero solo por hacer la prueba. Nosotros miramos lo que tu navegador da a cualquier web sin pedir permiso y no usamos STUN. La contrapartida: si tu VPN deja pasar el tráfico UDP de WebRTC por fuera del túnel, esta prueba no lo ve. Las VPN de sistema (la app del proveedor) no suelen tener ese problema; las extensiones del navegador y los proxies, sí.

Cómo corregir una fuga

Si se escapa la IPv6

Activa la protección de IPv6 de tu VPN. Casi todas las de pago la tienen, con nombres como «IPv6 leak protection» o «Bloquear IPv6». Otras llevan la IPv6 por el túnel, que es aún mejor.
Si tu VPN no la tiene, desactiva IPv6 en el equipo mientras la usas. En Windows, pulsa Windows + R, escribe ncpa.cpl, abre las propiedades de tu adaptador de red y desmarca «Protocolo de Internet versión 6 (TCP/IPv6)». Vuelve a marcarlo cuando dejes la VPN.
Si usas WireGuard u OpenVPN a mano, añade ::/0 a las rutas del túnel (en WireGuard, en AllowedIPs), para que toda la IPv6 entre en él.

Si se escapa por WebRTC

Usa la aplicación de la VPN en lugar de una extensión del navegador: la aplicación cubre todo el sistema, también el tráfico de WebRTC.
En Firefox, escribe about:config en la barra de direcciones y pon media.peerconnection.enabled en false. Se desactiva WebRTC entero: las videollamadas en el navegador dejarán de funcionar.
En Chrome y Edge no hay un ajuste propio: usa la aplicación de la VPN o una extensión que limite WebRTC. Muchas extensiones de VPN traen esa protección.
En Brave, en la configuración de privacidad, busca la política de gestión de IP de WebRTC y elige la opción que desactiva el UDP sin proxy («Disable non-proxied UDP»).

Si la prueba dice «Sin VPN»

Sales con la misma IP que sin ella. O la VPN no está conectada, o este navegador se la salta: pasa con las VPN que solo protegen ciertas aplicaciones (lo que llaman split tunneling) y con las extensiones instaladas en otro navegador. Revisa la configuración y repite.

La fuga de DNS

Cada vez que abres una web, tu equipo pregunta a un servidor DNS qué IP tiene. Si esas preguntas salen por fuera de la VPN, tu operador ve qué webs visitas aunque no vea lo que haces en ellas. Esta prueba no la comprueba, porque necesitaríamos nuestro propio servidor DNS para ver quién nos pregunta. Lo práctico: activa en tu VPN la opción de usar sus propios DNS y comprueba con su herramienta de verificación que lo hace. En nuestra guía de servidores DNS tienes cómo ver cuál usas.

Lo que no es una fuga

Que una web sepa quién eres. Si inicias sesión en tu cuenta, la web te reconoce con VPN o sin ella. Lo mismo con las cookies que ya tenías.
Que la ubicación no coincida con el servidor de la VPN. La geolocalización por IP es aproximada y algunas VPN usan direcciones registradas en otro país del que dicen.
La hora y el idioma del sistema. No revelan tu IP, aunque pueden indicar en qué país estás.

Y una fuga que esta prueba no puede ver mientras ocurre: que la VPN se caiga un momento y tu equipo siga navegando con tu conexión. Para eso está el kill switch, que corta Internet si se cae el túnel. Actívalo. Tienes más sobre cómo elegir una VPN en cómo ocultar tu IP pública.

Test de fugas de IP

Qué mira el test