Glossaire
mDNS
mDNS est un protocole de nommage pour le réseau local. Les navigateurs utilisent des noms mDNS en .local pour masquer votre IP privée dans les candidats WebRTC.
Ce qu’est mDNS
Le Multicast DNS permet aux appareils d’un même réseau local de se trouver par leur nom sans serveur DNS. Une imprimante s’annonce comme printer.local, un portable comme laptop.local, et les requêtes sont envoyées à une adresse multicast que chaque appareil du réseau écoute. C’est la technologie derrière Bonjour d’Apple et derrière la plupart des fonctions « découvrir les appareils de votre réseau ».
Pourquoi il apparaît dans les tests navigateur
Jusqu’en 2019, la collecte des candidats WebRTC exposait votre adresse LAN privée, par exemple 192.168.1.20, à n’importe quelle page web. Cette adresse n’est pas routable depuis Internet, mais c’est un identifiant persistant au sein d’un domicile ou d’un bureau et un indice sur l’organisation du réseau. Les navigateurs la masquent désormais : au lieu de l’adresse privée, le candidat contient un nom d’hôte mDNS généré aléatoirement, du type 3f2a9c1e-7b4d-4e1a-9f0c-2d5b8a6e4c1f.local. Un pair sur le même réseau peut résoudre ce nom via mDNS ; une page web sur Internet ne le peut pas, et l’adresse privée reste donc cachée.
Le nom aléatoire est regénéré par origine et par session ; il ne sert donc pas non plus d’identifiant de suivi.
Pourquoi c’est important
Si le test de fuite WebRTC affiche un nom en .local au lieu d’une adresse 192.168.x.x ou 10.x.x.x, c’est le comportement moderne attendu et non une fuite. Ce qui compte encore, c’est le candidat public obtenu via STUN : s’il révèle une adresse différente de celle de votre proxy, vous avez une vraie fuite WebRTC, quelle que soit l’apparence du candidat local.
Les navigateurs anciens, certains moteurs de navigateur embarqués et les navigateurs dont l’obfuscation mDNS est désactivée exposent encore l’adresse privée brute. En voir une est le signe d’un navigateur obsolète ou configuré de façon inhabituelle, ce qui constitue en soi un signal d’empreinte.
Comment vérifier
Lancez le test de fuite WebRTC. Les candidats locaux sont listés séparément des candidats publics, et les noms mDNS sont identifiés comme tels. La page empreinte du navigateur indique si WebRTC est activé.
Une idée fausse courante
Un nom mDNS dans vos candidats n’est pas une adresse et ne peut pas être résolu par le site web. Le voir là est sans danger. L’adresse à surveiller est l’adresse publique.