IPv6, WebRTC et routes piégées : les trous que le tunnel ne bouche pas
Ou : un tunnel bien construit à côté d’une porte restée ouverte.
La réponse courte : trois mécanismes peuvent faire sortir du trafic à côté d’un VPN pourtant connecté. L’IPv6 d’abord, quand le logiciel ne gère que l’IPv4 : une étude présentée en 2015 à la conférence PETS sur quatorze VPN commerciaux montrait que la plupart des clients pour ordinateur laissaient passer la totalité du trafic IPv6, parce qu’ils modifiaient la table de routage IPv4 en ignorant celle de l’IPv6. WebRTC ensuite, la technologie des appels vidéo dans le navigateur, qui peut révéler des adresses locales et, dans certaines configurations, celle du fournisseur d’accès. Les routes piégées enfin, qu’un réseau Wi-Fi malveillant installe pour détourner le trafic hors du tunnel. Ces trois fuites se vérifient en quelques minutes, et elles font partie des contrôles décrits dans le fonctionnement du tunnel.
La question de l’IPv6 n’a rien de théorique : selon les mesures de Google et de l’APNIC à la mi-septembre 2026, environ 70 % des utilisateurs belges et 85 % des utilisateurs français accèdent à Internet en IPv6. Les fournisseurs ont choisi deux réponses. Mullvad fait passer l’IPv6 dans le tunnel depuis 2014 ; Proton le prend en charge sur Linux et Android, sur Windows en option, et le bloque ailleurs. Les deux réponses sont valables ; seule l’absence de réponse pose problème.
Fuite IPv6, fuite WebRTC : ce qui passe à côté du tunnel
| Fuite | Ce qui est révélé | Comment vérifier | Parade |
|---|---|---|---|
| IPv6 | Votre adresse IPv6 réelle | Test IPv6 d’ipleak.net ou de browserleaks.com | VPN qui fait passer ou bloque l’IPv6 |
| WebRTC | Adresses locales, et adresse du fournisseur d’accès en tunnel partagé | Page WebRTC de browserleaks.com | Réglages du navigateur, extension du fournisseur |
| TunnelVision | Trafic détourné hors du tunnel par le réseau local | Aucun test simple pour l’utilisateur | Pare-feu de l’application, kill switch |
| TunnelCrack | Trafic vers des adresses présentées comme locales | Aucun test simple pour l’utilisateur | Désactiver l’accès au réseau local sur un réseau inconnu |
Pour WebRTC, la norme publiée en 2021 par l’IETF juge ce risque le plus sérieux des trois qu’elle décrit : avec un VPN en tunnel partagé, un site peut découvrir l’adresse publique du VPN, mais aussi celle du fournisseur d’accès sur lequel il repose. Les navigateurs masquent désormais les adresses locales derrière un nom aléatoire, Firefox pour ordinateur depuis sa version 74 en 2020, sa version Android depuis 2026. Pour couper WebRTC entièrement, Firefox reste, selon Mullvad, le seul navigateur qui le permet proprement, par le réglage media.peerconnection.enabled.
Les routes piégées sont plus récentes. La faille TunnelVision, publiée en mai 2024 par Leviathan Security et notée 7,6 sur 10 par la base américaine des vulnérabilités, utilise une option du protocole DHCP pour installer des routes plus précises que celles du VPN ; Windows, Linux, macOS et iOS sont touchés, Android non, faute de prendre en charge cette option. TunnelCrack, présentée en août 2023 par une équipe dont fait partie Mathy Vanhoef, chercheur à la KU Leuven, a été testée sur 67 fournisseurs de VPN : 64,6 % des combinaisons de client et de système étaient vulnérables à la première variante, et tous les VPN testés sur iOS laissaient fuiter du trafic. La parade tient surtout au pare-feu posé par l’application du VPN, qui interdit toute sortie hors du tunnel quelle que soit la route.
La fuite qui trahit les sites visités
Les fuites de cette page révèlent une adresse ; la fuite DNS révèle les noms des sites. Le test et la correction se trouvent dans la fuite DNS, détectée et corrigée.
Le pare-feu qui tient quand tout tombe
Le kill switch système est la meilleure protection contre les routes piégées. Son fonctionnement et ses limites sur téléphone sont décrits dans le kill switch et comment le tester.
Le tunnel partagé, terrain favorable
WebRTC révèle l’adresse du fournisseur d’accès surtout quand une partie du trafic sort du tunnel. Les usages et les risques de ce réglage sont expliqués dans le split tunneling.