Qu’est-ce qu’une fuite WebRTC ?
WebRTC (Web Real-Time Communication, RFC 8825) est un ensemble de protocoles permettant la communication audio/vidéo et le partage de données peer-to-peer directement entre navigateurs, sans serveur intermédiaire. Pour établir une connexion P2P, WebRTC utilise le mécanisme ICE (Interactive Connectivity Establishment, RFC 8839) qui découvre tous les chemins réseau possibles entre deux pairs — y compris les adresses IP locales du réseau et les adresses publiques apparentes.
Une fuite WebRTC survient quand un navigateur expose, via les candidats ICE, des adresses IP qui devraient rester cachées : l’IP locale du réseau interne (192.168.x.x, 10.x.x.x), l’IP publique du FAI réel (quand l’utilisateur passe par un VPN), ou même les adresses IPv6 attribuées au matériel directement (qui ne passent pas toujours par le tunnel VPN).
Pourquoi c’est critique pour les votes
Une session de vote qui prétend voter depuis une IP résidentielle française mais dont les candidats ICE WebRTC révèlent une adresse de FAI ukrainien ou une IP de centre de données présente une incohérence géographique manifeste. Les systèmes antifraude qui surveillent la cohérence WebRTC vs IP publique signalent immédiatement ces sessions.
C’est l’une des erreurs les plus fréquentes des services bas de gamme qui louent simplement un proxy résidentiel sans configurer correctement le navigateur sous-jacent. L’utilisateur final voit une IP publique « propre » mais sa configuration WebRTC trahit l’origine réelle.
Mitigation
Les services professionnels désactivent WebRTC dans le navigateur, ou routent les candidats ICE à travers le proxy comme l’IP publique. Les configurations correctes incluent :
- Désactivation de WebRTC via politique de navigateur ou extension dédiée.
- Réécriture des candidats ICE par le proxy résidentiel.
- Tests de cohérence avant chaque session — vérifier que les adresses exposées correspondent à la géographie déclarée.
Notre infrastructure
Chaque session de livraison de votes passe par un test de cohérence pré-vol qui vérifie : IP publique apparente, candidats ICE WebRTC, fuseau horaire, langue, ratio de pixels d’écran. Toute incohérence interrompt la session avant la soumission. Cela garantit qu’aucune fuite ne révèle une géographie incompatible avec le profil déclaré.
