لماذا يسرّب متصفحك IP الحقيقي رغم تشغيل VPN؟ 5 حلول

قد يكون تطبيق الـVPN لديك يعمل بشكل مثالي، ومع ذلك يسرّب متصفحك هويتك الحقيقية دون أن تشعر.

إذا وصلتَ إلى هذه المقالة، فالسبب على الأغلب أنك لاحظتَ أمرًا مقلقًا: تطبيق الـVPN يظهر "متصل"، وموقع فحص الـIP يؤكد أنك تتصفح من عنوان الخادم الصحيح، ومع ذلك تشعر أن شيئًا ما لا يزال يكشف هويتك الحقيقية. هذا بالضبط ما حدث معي أثناء اختبار أحد تطبيقات الـVPN قبل فترة: اتصلت، تأكدت من ظهور "Connected"، فحصت عنوان الـIP فظهر عنوان الخادم الصحيح — كل شيء بدا سليمًا. ثم أجريت اختبار تسريب DNS من باب العادة، وظهر خادم DNS الخاص بمزوّد الإنترنت لديّ بوضوح تام. موقعي الحقيقي كان يتسرّب من باب مختلف تمامًا بينما الباب الأمامي يبدو مُقفلًا.

هذا هو بالضبط الجزء الذي تتجاهله معظم شروحات الـVPN. الـVPN يُشفّر بياناتك ويُخفي عنوان الـIP على مستوى الشبكة، لكن المتصفح لديه على الأقل خمس طرق مستقلة للكشف عن هويتك الحقيقية — ولا يهمها إطلاقًا إن كان الـVPN متصلًا أم لا. تقنية WebRTC، صلاحية الموقع الجغرافي، استعلامات DNS، حساب المزامنة الذي سجّلت الدخول إليه، وبصمة المتصفح (Fingerprinting) — كل واحدة من هذه يمكن أن تُسلّم جزءًا من هويتك بمفردها. تُصلح واحدة وتتجاهل الباقي، وتبقى مكشوفًا.

في هذا الدليل سأشرح كل واحدة من هذه التسريبات الخمسة — ما الذي يسبّبها، كيف تختبرها بنفسك، وأين بالضبط تضغط لإصلاحها في Chrome وFirefox وEdge وBrave. سأتطرّق أيضًا للأخطاء التي ألاحظها حتى بعد أن يظن الناس أنهم "أصلحوا كل شيء".

أنا مصطفى أمان، وفي مدونة وادي التكنولوجيا أكتب أدلة عملية في الشبكات والأمان مبنية على تجارب استكشاف أخطاء حقيقية، لا نظريات. لنُغلق الثغرات في إعداداتك.

لماذا اتصال VPN "ناجح" لا يعني أنك محمي فعلًا؟

الـVPN يعمل على طبقة الشبكة (Network Layer). يُغلّف بياناتك بنفق مُشفّر ويوجّهها عبر خادم في مكان آخر، ولهذا السبب ترى المواقع عنوان IP ذلك الخادم بدلًا من عنوانك. هذا الجزء يعمل بشكل موثوق مع أي VPN جيد تقريبًا.

المشكلة أن متصفحك لا يتحدث مع المواقع فقط عبر ذلك النفق. لديه ميزات مدمجة — صُممت قبل انتشار الـVPN بزمن طويل — تجمع معلومات بصمت وترسلها عبر قنوات منفصلة لا يلمسها الـVPN إطلاقًا. الموقع لا يحتاج لكسر تشفيرك لتحديد هويتك؛ يكفيه أن يطرح على متصفحك بضعة أسئلة "مهذّبة" لا يفكّر معظم الناس في حجبها.

إذا كنت لا تزال مترددًا بين الـVPN والبروكسي لحالتك، ألقِ نظرة على مقارنتنا بين VPN والبروكسي — ستوضّح لك أيهما يناسب استخدامك فعلًا قبل أن نكمل.

1. تسريب WebRTC — الأخطر والأكثر صمتًا

تقنية WebRTC (Web Real-Time Communication) هي التقنية التي تقف خلف مكالمات الفيديو والصوت والمشاركة المباشرة (P2P) داخل المتصفح دون أي إضافة. لكي تُنشئ اتصالًا مباشرًا بين متصفحين، يجب أن تكتشف عنوان شبكتك الحقيقي، وتفعل ذلك عبر ما يُعرف بطلب STUN.

وهنا يكمن الخطر بالنسبة لمستخدمي الـVPN: طلب STUN يمرّ عبر بروتوكول UDP على قناة منفصلة لا يعترضها كثير من تطبيقات الـVPN. هذا يعني أن أي موقع يمكنه تشغيل بضعة أسطر من JavaScript، فتح اتصال WebRTC بصمت في الخلفية، وقراءة عنوان IP العام الحقيقي الخاص بك — بما في ذلك عنوان IPv6 — بينما تطبيق الـVPN لا يزال يعرض "متصل" بكل ثقة.

من واقع تجربتي مع عدة تطبيقات VPN، هذا هو التسريب الذي يفاجئ الناس أكثر من غيره، لأنه لا يظهر عبر أي نافذة إذن (Permission). عكس صلاحية الموقع الجغرافي، الموقع هنا لا يسألك أصلًا — يأخذ المعلومة مباشرة.

الإصلاح في Firefox

فايرفوكس هو المتصفح الوحيد من بين الرئيسيين الذي يتيح لك تعطيل WebRTC بالكامل دون أي إضافة:

1. اكتب about:config في شريط العنوان واقبل تحذير المخاطرة.
2. ابحث عن media.peerconnection.enabled.
3. انقر مرتين لتغيير القيمة إلى false.

تذكّر أن هذا يعطّل WebRTC بالكامل — مواقع الاتصال المرئي مثل Google Meet أو نسخة Zoom عبر المتصفح ستتوقف عن العمل حتى تُعيد القيمة إلى true.

تحويل media.peerconnection.enabled إلى false في صفحة about:config يعطّل WebRTC بالكامل.

الإصلاح في Chrome وEdge

كروم لا يمنح المستخدم العادي مفتاحًا مدمجًا — ستحتاج إضافة. حصلت على نتائج جيدة مع WebRTC Network Limiter، وهي إضافة منشورة من غوغل نفسها:

1. ثبّت الإضافة من متجر Chrome Web Store (تعمل أيضًا في Edge).
2. اضغط أيقونة الإضافة، ثم Options.
3. اختر "Use my proxy server (if present) and limit to non-proxied UDP."

هذا الإعداد يعني أنه إذا لم يُغلّف الـVPN لديك نوعًا معينًا من الاتصال، فإن WebRTC يفشل بدلًا من أن يُسرّب عنوانك بصمت. متصفح Edge لديه خيار إضافي في edge://flags — ابحث عن "Anonymize local IPs exposed by WebRTC" وفعّله، ثم أعد تشغيل المتصفح.

صفحة خيارات إضافة WebRTC Network Limiter — مضبوطة على "تحديد UDP غير الموجّه" في Chrome وEdge.

Brave يتولّى الأمر افتراضيًا

إن كنت تفضّل عدم إدارة أي إضافات، فإن Brave يحجب تسريبات WebRTC من الصندوق مباشرة. اذهب إلى Settings ← Privacy and Security ← WebRTC IP Handling Policy وتأكّد أنه مضبوط على "Disable non-proxied UDP". عادة ما يكون كذلك مسبقًا.

إعداد WebRTC IP Handling Policy في Brave مضبوط مسبقًا على "Disable non-proxied UDP".

2. إلغاء صلاحية تحديد الموقع الجغرافي في المتصفح

الـVPN يُخفي عنوان IP، لكن ليس له أي سيطرة على واجهة برمجة الموقع الجغرافي (Geolocation API) المدمجة في المتصفح. هذه الواجهة يمكنها قراءة إشارات GPS، شبكات الواي فاي القريبة، وأبراج الاتصال لتحديد موقعك الدقيق — حتى مستوى الشارع، لا مجرد المدينة التي يقع فيها خادم الـVPN.

السبب في شيوع هذا التسريب أنه قائم على إذن (Permission) وليس صامتًا — ومعظم الناس يضغطون السماح بشكل تلقائي أول مرة يسألهم فيها موقع طقس أو خرائط. هذا الإذن لا ينتهي تلقائيًا. بمجرد منحه، تستمر مواقع كثيرة في التحقّق من موقعك بصمت في كل زيارة.

ضبط صلاحية الموقع على "عدم السماح للمواقع برؤية موقعك" — الإعداد الذي لا يستطيع أي VPN القيام به نيابة عنك.

وأنت هناك، يستحق الأمر أن تضغط "Manage" أو "Clear Data" بجانب Location لإزالة الصلاحيات التي منحتها سابقًا — حجب الطلبات الجديدة لا يُلغي بأثر رجعي الصلاحيات التي لا يزال موقع ما محتفظًا بها.

3. التحوّل إلى DNS مُشفّر (هذا ما كشف تسريبي أنا شخصيًا)

في كل مرة تكتب فيها عنوان موقع، يسأل متصفحك نظام أسماء النطاقات (DNS) لترجمة ذلك الاسم إلى عنوان IP. افتراضيًا، يذهب هذا الطلب إلى خوادم DNS الخاصة بمزوّد الإنترنت — والمشكلة أنه حتى مع تفعيل الـVPN، بعض أنظمة التشغيل والمتصفحات تعود إلى DNS مزوّد الإنترنت إذا تأخّر خادم DNS الخاص بالـVPN ولو قليلًا.

هذا هو تسريب DNS، وهو تمامًا ما حدث معي. الـVPN قد يقوم بعمله بشكل مثالي لحركة بياناتك الفعلية، بينما لا يزال مزوّد الإنترنت يحصل على قائمة كاملة بكل نطاق تزوره. المحتوى قد يكون مُشفّرًا، لكن قائمة الوجهات ليست كذلك — وهذه القائمة وحدها تكشف الكثير عنك.

هناك طبقتان لإصلاح هذا. أولًا، تأكّد أن تطبيق الـVPN لديك يُفعّل حماية تسريب DNS — كل مزوّد جيد يوفّر هذا كمفتاح في الإعدادات، ويجب أن يكون مفعّلًا افتراضيًا. إذا أردت فهمًا أعمق لكيفية تفاعل الجدار الناري مع DNS على مستوى الشبكة، دليلنا الشامل حول الجدار الناري وأمان الشبكات يغطّي هذا الجانب بالتفصيل.

ثانيًا، أضِف حماية على مستوى المتصفح عبر DNS-over-HTTPS (DoH)، الذي يُشفّر استعلام DNS نفسه بحيث لا يمكن قراءته حتى لو تسرّب خارج نفق الـVPN:

• Chrome: Settings ← Privacy and Security ← Security ← "Use secure DNS" ← اختر Cloudflare (1.1.1.1) أو Quad9 (9.9.9.9).
• Firefox: Settings ← Privacy & Security ← DNS over HTTPS ← اضبطه على "Max Protection".
• Edge: Settings ← Privacy, search, and services ← Security ← "Use secure DNS".

اختبار تسريب DNS يكشف خادم مزوّد الإنترنت بدلًا من خادم الـVPN — هذا بالضبط التسريب الذي كشفته صدفة.

4. أوقف مزامنة المتصفح أثناء استخدام VPN

هذا التسريب ليس تقنيًا بالمعنى المعتاد — إنه تسريب هوية تُسبّبه أنت لنفسك. معظم الناس يبقون مسجّلين الدخول في Chrome بحساب غوغل أو في Firefox بحساب موزيلا حتى تتزامن الإشارات المرجعية والسجل والتبويبات المفتوحة عبر أجهزتهم.

هذا مريح، لكنه يعني أن متصفحك يتواصل باستمرار مع خوادم غوغل أو موزيلا باسمك الحقيقي وبريدك — بمعزل تام عمّا يفعله الـVPN لحركة التصفح العادية. بعض المواقع يمكنها أيضًا اكتشاف أنك مسجّل الدخول لخدمات غوغل في الخلفية، ما يقوّض بصمت إخفاء الهوية الذي يفترض أن يوفّره الـVPN.

الحل بسيط لكن يسهل نسيانه: سجّل الخروج من حساب المزامنة قبل بدء أي جلسة تهمّ فيها الخصوصية فعلًا، أو احتفظ بملف تعريف منفصل تمامًا (Profile) بلا أي حساب لأي شيء حسّاس. أنا شخصيًا أحتفظ بملف تعريف نظيف في فايرفوكس مخصص لهذا الغرض تحديدًا — بلا إضافات ولا مزامنة ولا كلمات مرور محفوظة.

متصفح لا يزال مسجّلًا في حساب مزامنة — هذا يربط كل جلسة باسمك الحقيقي وبريدك، سواء كان VPN شغّالًا أم لا.

5. حجب ملفات تعريف الارتباط الخارجية وتقليل بصمة المتصفح

هنا الإعداد الذي لا يستطيع أي VPN — مهما كان جيدًا — إصلاحه لك: بصمة المتصفح (Fingerprinting). أي موقع تزوره يمكنه قراءة دقة شاشتك، الخطوط المثبّتة، نظام التشغيل، معالج الرسومات (GPU)، المنطقة الزمنية، وإعدادات اللغة. اجمع ما يكفي من هذه العناصر وستحصل على بصمة فريدة بما يكفي لتمييزك عبر مواقع مختلفة تمامًا، بمعزل عن عنوان الـIP الخاص بك.

ملفات تعريف الارتباط الخارجية (Third-party cookies) تعمل جنبًا إلى جنب مع هذا. حتى مع إخفاء الـVPN لعنوان IP الخاص بك، يمكن لملف تعريف ارتباط من شبكة إعلانية أن يتتبّعك من موقع لآخر، ويبني بصمت ملفًا كاملًا عن اهتماماتك وسلوكك مرتبطًا بمعرّف ثابت بدلًا من عنوانك.

• Chrome: Settings ← Privacy and Security ← Third-party cookies ← "Block third-party cookies".
• Firefox: يحجب معظم المتتبّعات افتراضيًا ضمن وضع "Strict" لحماية التتبّع المُحسّنة — تأكّد من اختياره في Settings ← Privacy & Security.
• البصمة: هنا اختيار المتصفح يهم أكثر من أي إعداد منفرد. Brave يُعشّي (Randomize) بصمة الـcanvas والصوت تلقائيًا. Firefox لديه خيار "resistFingerprinting" في about:config للمستخدمين المتقدمين، رغم أنه قد يُخرّب تنسيق بعض المواقع.

حجب ملفات تعريف الارتباط الخارجية من إعدادات الخصوصية في كروم — آخر تسريب لا يستطيع أي VPN إغلاقه نيابة عنك.

لا شيء من هذا يُغني عن عادات تصفح جيدة في أماكن أخرى. إذا كنت تتصل بشبكات عامة باستمرار، دليلنا حول مخاطر الواي فاي العام والمقالة المكمّلة حول أخطاء شائعة عند استخدام الواي فاي العام تتكامل جيدًا مع كل ما سبق.

مرجع سريع: كل الإصلاحات الخمسة حسب المتصفح

أخطاء ما زلت ألاحظها بعد أن يظن الناس أنهم "أصلحوا الخمسة"

1. الاختبار مرة واحدة وعدم التكرار. تحديثات المتصفح تُعيد ضبط بعض المفاتيح، والإضافات تُعطَّل أحيانًا بعد التحديثات، وتطبيقات VPN قد تغيّر سلوك DNS الافتراضي بعد تحديثاتها الخاصة. أعد الاختبار شهريًا، ودائمًا مباشرة بعد أي تحديث للمتصفح أو الـVPN.
2. تكديس أدوات خصوصية كثيرة معًا. إضافتان لـWebRTC، بروكسي، DNS مخصص، وVPN تعمل كلها معًا يبدو شاملًا، لكن الأدوات المتداخلة قد تتعارض وتجعل تشخيص التسريب الحقيقي أصعب. أصلح طبقة واحدة، اختبر، ثم انتقل للتالية.
3. نسيان متصفحات الجوال تمامًا. Chrome على أندرويد وiOS لا يدعم الإضافات، لذا إصلاح WebRTC الخاص بسطح المكتب لا ينطبق. إذا كانت الخصوصية تهمّك على الجوال، فإن Firefox للأندرويد (مع إصلاح about:config) أو Brave للأندرويد هما خيارك الواقعي.
4. افتراض أن وضع التصفح الخفي يُصلح كل هذا. التصفح الخاص يمنع فقط متصفحك المحلي من حفظ السجل — لا يفعل شيئًا حيال WebRTC أو DNS أو الموقع الجغرافي أو بصمة المتصفح. إنه ميزة منفصلة تمامًا.
5. عدم التحقق من أن الراوتر نفسه هو التسريب. إذا تغيّرت إعدادات DNS في الراوتر في وقت ما (بما في ذلك عبر برمجية خبيثة)، حتى إعداد المتصفح المثالي لن يعوّض ذلك. إذا لم تراجع إعدادات الراوتر منذ فترة، دليلنا حول النسخ الاحتياطي واستعادة إعدادات الراوتر مكان جيد للتأكد أن إعداداتك الأساسية سليمة.

خلاصة القول

الـVPN طبقة واحدة من إعداد الخصوصية، وليس الإعداد كله. إنه ممتاز حقًا فيما صُمم من أجله — إخفاء عنوان IP الخاص بك وتشفير حركة بياناتك بين جهازك وخادم الـVPN. لكن متصفحك لديه مجموعة أبواب منفصلة خاصة به، وكل واحد من الخمسة التي تناولتها هنا — WebRTC، الموقع الجغرافي، DNS، حسابات المزامنة، وبصمة المتصفح — يحتاج إصلاحه الخاص.

الخبر الجيد أن لا شيء من هذا يستغرق أكثر من دقيقتين بمجرد أن تعرف أين تنظر، ومعظمها تضبطه مرة واحدة فقط. اعمل على القائمة بالترتيب، أعد الاختبار بعد كل تغيير، وستحصل على متصفح يطابق فعلًا الخصوصية التي يعدك بها الـVPN.

إذا كنت تؤمّن أكثر من مجرد متصفحك، دليلنا حول حماية الهاتف من التجسس يغطّي نفس التسريبات من جانب الجوال، ومقالتنا حول معرفة من المتصل بشبكة الواي فاي لديك تستحق نظرة إذا شككت أن التسريب قد يكون أقرب لمنزلك من متصفحك.

هل أجريتَ اختبار تسريب على إعدادك الخاص بعد؟ أخبرني في التعليقات بما وجدته — أنا فضولي لمعرفة مدى شيوع تسريب DNS فعليًا بمجرد أن يتحقق الناس منه.

الأسئلة الشائعة

هذه أكثر الأسئلة التي يطرحها القرّاء حول خصوصية VPN والمتصفح. إن لم تجد سؤالك هنا، اتركه في التعليقات.