IP leak: wat het is, hoe je een IP leak test doet en wat je doet als je VPN lekt

Een IP leak is een situatie waarin je echte IP-adres, of de DNS-server van je eigen provider, zichtbaar wordt terwijl je VPN aanstaat. Je test dat door eerst zonder VPN te noteren wat een testsite over je ziet, en daarna met VPN. Duiken je eigen IP-adres of de naam van je Nederlandse provider dan nog op, dan lekt er iets. Bijna elk lek los je op met een paar instellingen: kill switch aan, IPv6-bescherming aan en WebRTC beperken in je browser.

Wat is een IP leak (en wat niet)

Een IP-adres is het nummer waarmee je apparaat op internet bereikbaar is. Thuis krijgt je router dat adres van je provider, zoals KPN, Ziggo of Odido. Elke website die je bezoekt, ziet dat adres. Dat moet ook, anders weet de server niet waar hij de pagina naartoe moet sturen.

Wat kan een website met je IP-adres? Vooral twee dingen: je provider herkennen en je grove locatie schatten, meestal op het niveau van een regio of stad, en die schatting zit er regelmatig flink naast. Je naam, huisadres of telefoonnummer staan er niet in. Alleen je provider kan een IP-adres aan een klant koppelen, en die geeft dat in Nederland alleen af bij een wettelijke vordering, bijvoorbeeld van politie of justitie.

Belangrijk onderscheid: zonder VPN is je IP-adres altijd zichtbaar. Dat is geen lek, zo werkt internet gewoon. Van een lek spreek je pas als je een VPN gebruikt die je adres zou moeten verbergen, en je echte adres of provider toch ergens doorsijpelt.

De drie soorten lekken: WebRTC, DNS en IPv6

DNS-lek. Elke keer dat je een site als nu.nl opent, vraagt je apparaat eerst aan een DNS-server welk IP-adres bij die naam hoort. Met een goed werkende VPN gaat die vraag door de versleutelde tunnel naar een DNS-server van de VPN-aanbieder. Bij een DNS-lek gaat de vraag buiten de tunnel om naar de DNS-server van je eigen provider. Je IP-adres op de site zelf is dan wel verborgen, maar je provider ziet welke domeinen je opzoekt. Voorbeeld: je streamt via een Britse server, maar je provider ziet nog steeds dat je bbc.co.uk opzoekt.

WebRTC-lek. WebRTC is techniek in je browser waarmee je zonder extra software kunt videobellen, bijvoorbeeld in Google Meet of Jitsi. Om een directe verbinding op te zetten, vraagt WebRTC je netwerkadressen op. In sommige configuraties komt daarbij je echte publieke IP-adres boven, ook als je VPN aanstaat. Een website kan dat met een paar regels code opvragen, zonder dat je iets merkt.

IPv6-lek. Er bestaan twee soorten IP-adressen: het oudere IPv4 (zoals 84.25.10.3) en het nieuwere IPv6 (een lange reeks met dubbele punten). Veel Nederlandse providers geven je allebei. Sommige VPN's tunnelen alleen IPv4-verkeer. Bezoek je dan een site die ook via IPv6 bereikbaar is, zoals Google of YouTube, dan kan dat verkeer buiten de VPN om gaan, met je echte IPv6-adres.

Hoe ontstaat een IP leak met een VPN

Lekken komen zelden doordat een VPN volledig faalt. Meestal gaat het mis op overgangsmomenten:

• De VPN-verbinding valt even weg. Bij een haperende server of slechte wifi schakelt je apparaat soms een paar seconden terug naar de gewone verbinding. Zonder kill switch loopt je verkeer dan onbeschermd door.
• Wisselen van wifi naar mobiel. Loop je de deur uit en springt je telefoon over op 4G of 5G, dan moet de VPN opnieuw verbinden. In dat gat kunnen apps al data versturen.
• Opstarten van je computer. Je mailprogramma, cloudopslag en browser starten vaak sneller dan de VPN-app. De eerste verbindingen gaan dan buiten de tunnel om.
• Browserextensies. Een VPN als browserextensie beschermt alleen het verkeer van die browser, niet de rest van je computer. Andersom kan een andere extensie eigen verbindingen opzetten.
• IPv6 dat niet wordt afgedekt. Zoals hierboven: de VPN regelt IPv4, maar laat IPv6 links liggen.
• Eigen DNS-instellingen. Heb je ooit zelf een DNS-server ingesteld in je router of besturingssysteem, dan kan die voorrang krijgen boven die van de VPN.

Zo doe je een IP leak test, stap voor stap

Het nut van een test zit in de vergelijking. Testsites tonen je een rij adressen, maar vertellen je niet welke van jou zijn. Daarom begin je zonder VPN.

1. Zet je VPN uit en open een testsite, bijvoorbeeld ipleak.net. Noteer drie dingen: je IPv4-adres, je IPv6-adres (als dat er staat) en de naam van je provider bij de DNS-resultaten. Dat is je uitgangspunt: zo herken je straks je eigen gegevens.
2. Zet je VPN aan en kies een server, liefst in een ander land, zodat het verschil goed opvalt.
3. Ververs de testpagina of open hem opnieuw. Je hoeft niets in te vullen; de site meet automatisch. Het zoekveld bovenaan is alleen om andere adressen op te zoeken.
4. Wacht tot de DNS-test klaar is. Die draait een paar seconden na het laden van de pagina.
5. Vergelijk met je notities. Zie je je eigen IP-adres of je provider nergens terug, dan lekt er op dat moment niets.
6. Herhaal de test in andere situaties: na een herstart van je computer, op je telefoon via mobiele data, in een tweede browser en na een update van je VPN-app. Een lek zit vaak in één specifieke situatie.
7. Controleer met een tweede testsite, zoals browserleaks.com of de testpagina van je VPN-aanbieder.

Waarom niet blind vertrouwen op één uitslag? Testsites werken met lijsten van IP-adressen en providers, en die zijn niet altijd actueel. Een site kan je VPN-server een verkeerd land toekennen of een DNS-server een onverwachte naam geven. Bovendien zie je alleen wat er gebeurt op het moment van testen. Twee testsites en een paar situaties geven een veel betrouwbaarder beeld.

Je testresultaat lezen: wat is normaal en wat is een lek

Je ziet alleen het adres van de VPN-server. Normaal. Het land en de 'provider' horen bij het datacenter van je VPN, vaak een hostingbedrijf met een naam die je niet kent.

Je Nederlandse provider staat bij de DNS-resultaten. Dat is een DNS-lek. Je provider ziet welke sites je opzoekt. Let op: staat er een grote DNS-dienst als Google of Cloudflare, dan hoeft dat geen lek te zijn. Sommige VPN's gebruiken die, en ook een eigen instelling kan de oorzaak zijn. Het telt als lek als je diezelfde DNS-server ook zonder VPN zag.

Er staan twee IP-adressen. Meestal is dat één IPv4- en één IPv6-adres. Horen ze allebei bij de VPN, dan is er niets aan de hand. Is het IPv6-adres hetzelfde als in je notities zonder VPN, dan heb je een IPv6-lek. Staan er twee IPv4-adressen, waarvan één van je eigen provider, dan lekt er verkeer via WebRTC of buiten de tunnel om.

Je ziet een lokaal adres, zoals 192.168.x.x of 10.x.x.x. Meestal onschuldig. Dat is het adres binnen je eigen thuisnetwerk; duizenden huishoudens hebben precies hetzelfde adres. Vaak zie je in plaats daarvan een code die eindigt op .local: moderne browsers verbergen je lokale adres zo bewust.

WebRTC toont je echte publieke adres. Dat is een echt WebRTC-lek, ook als de rest van de test schoon is.

Checklist om te bewaren

Een IP leak oplossen: maatregelen per soort lek

Menu's verschillen per versie van je VPN-app, browser en besturingssysteem. Kun je een instelling niet vinden, zoek dan op de hulppagina van je VPN-aanbieder of browser.

Kill switch aanzetten. Dit is de belangrijkste instelling. Een kill switch blokkeert al het internetverkeer zodra de VPN-verbinding wegvalt. Sommige apps hebben twee standen: alleen blokkeren bij wegvallen, of altijd blokkeren als de VPN uit is. Voor de meeste mensen volstaat de eerste. Op Android en iOS vind je in de systeeminstellingen ook een optie voor een altijd-aan-VPN; op Android kun je daar verbindingen zonder VPN blokkeren.

IPv6- en DNS-lekbescherming aanzetten. Veel VPN-apps hebben deze opties, soms standaard aan, soms verstopt onder 'geavanceerd'. Biedt je VPN geen IPv6-ondersteuning of -bescherming, dan kun je IPv6 op je apparaat of router uitschakelen. Dat werkt, maar is een noodoplossing.

Eigen DNS-instellingen controleren. Heb je in je router of netwerkinstellingen zelf een DNS-server ingesteld, of gebruik je 'Veilige DNS' (DNS over HTTPS) in je browser, dan kan dat de DNS van de VPN omzeilen. Zet die instelling op automatisch en test opnieuw.

WebRTC beperken. Hier moet je eerlijk zijn over wie het probleem oplost: WebRTC-lekken zijn vooral een browserkwestie. Sommige VPN-aanbieders blokkeren ze via hun browserextensie, andere via de app, en sommige helemaal niet. Kijk dus naar je browser zelf:

• Firefox: typ about:config in de adresbalk en zet media.peerconnection.enabled op false. Videobellen in de browser werkt dan niet meer.
• Chrome en Edge: er is geen standaardinstelling om WebRTC uit te zetten. Een extensie als WebRTC Network Limiter beperkt welke adressen WebRTC mag gebruiken.
• Brave: onder privacy-instellingen kun je het WebRTC-beleid aanpassen.
• Safari: deelt standaard weinig netwerkinformatie via WebRTC; test het wel even na.

VPN-app bijwerken. Veel lekproblemen zijn bekende bugs die in een update zijn opgelost.

Ander protocol proberen. Lekt het met het ene protocol, probeer dan een ander, bijvoorbeeld WireGuard in plaats van OpenVPN of IKEv2. De manier waarop routes en DNS worden ingesteld verschilt per protocol.

Hoe kies je een VPN die minder snel lekt

Geen enkele VPN is gegarandeerd lekvrij, maar je kunt de kans verkleinen. Let op deze vijf punten:

• Een kill switch op al je apparaten, niet alleen op Windows. Die ontbreekt nogal eens op macOS of in de browserextensie.
• Eigen DNS-servers die automatisch worden gebruikt, zodat je DNS-verzoeken niet bij je provider of een derde partij terechtkomen.
• Duidelijke IPv6-afhandeling: de aanbieder vermeldt of IPv6 wordt getunneld of geblokkeerd. Zegt de documentatie er niets over, dan is dat een minpunt.
• Gepubliceerde onafhankelijke audits van de apps en de infrastructuur, niet alleen van het no-logbeleid. Een audit van de apps laat zien of een extern bureau naar lekken heeft gekeken.
• Een duidelijk privacybeleid dat concreet zegt welke gegevens worden opgeslagen en hoe lang.

Een VPN die alleen als browserextensie werkt, is ongeschikt als je je hele apparaat wilt beschermen: je mailprogramma, torrentclient en andere apps vallen erbuiten.

Wat een IP leak test niet kan vertellen

Een schone test is een goed teken, maar zegt minder dan het lijkt:

• Het is een momentopname. De test weet niet wat er gebeurde toen je verbinding vanochtend wegviel.
• Hij zegt niets over logging. Of je VPN-aanbieder bijhoudt welke sites je bezoekt, is niet te testen. Daarvoor ben je aangewezen op het privacybeleid en audits.
• Cookies en fingerprinting blijven werken. Ben je ingelogd bij Google of Facebook, dan weten die wie je bent, wat je IP-adres ook is. Websites kunnen je ook herkennen aan de combinatie van je browser, schermgrootte en lettertypen.
• Geen garantie op anonimiteit. Een VPN verplaatst je vertrouwen van je provider naar de VPN-aanbieder. Dat is nuttig, maar je wordt er niet onzichtbaar door.

Wanneer doet een lek er echt toe? Vooral als je een VPN gebruikt om geoblokkades van streamingdiensten te omzeilen (de dienst ziet dan alsnog je Nederlandse adres), bij torrenten (je IP-adres is zichtbaar voor iedereen in dezelfde swarm), op openbare wifi en voor journalisten of activisten die hun bronnen of locatie moeten beschermen. Gebruik je een VPN vooral om op hotelwifi veilig je mail te checken, dan is een kortstondig DNS-lek vervelend maar geen ramp: je verkeer naar die sites is vrijwel altijd al via HTTPS versleuteld.

Veelgestelde vragen

Wat is een IP leak?

Een IP leak is wanneer je echte IP-adres of de DNS-server van je provider zichtbaar wordt terwijl je VPN aanstaat. Zonder VPN is je IP-adres altijd zichtbaar; dat is geen lek.

Hoe test ik of mijn VPN lekt?

Noteer op een testsite zoals ipleak.net eerst je IP-adres en provider zonder VPN. Zet daarna je VPN aan, ververs de pagina en kijk of je eigen gegevens nog ergens staan. Herhaal dit na een herstart en op mobiele data.

Wat is het verschil tussen een IP leak, DNS leak en WebRTC leak?

IP leak is de verzamelnaam. Bij een DNS-lek gaan je opzoekverzoeken voor websites naar je eigen provider. Bij een WebRTC-lek geeft je browser je echte adres prijs via de techniek voor videobellen. Bij een IPv6-lek gaat je IPv6-verkeer buiten de VPN om.

Is een IP leak gevaarlijk?

Voor de meeste mensen niet direct. Een website ziet je provider en grove locatie, niet je naam of adres. Het wordt serieuzer bij torrenten, het omzeilen van geoblokkades of als je locatie echt geheim moet blijven.

Kan mijn provider zien dat ik een VPN gebruikt als er een lek is?

Je provider kan altijd zien dat je met een VPN-server verbindt, lek of geen lek. Hij ziet alleen niet wat er door de tunnel gaat. Bij een DNS-lek ziet hij wel welke domeinen je opzoekt.

Hoe voorkom ik een IP leak?

Zet de kill switch en IPv6- en DNS-lekbescherming in je VPN-app aan, beperk WebRTC in je browser, houd je app bijgewerkt en laat de VPN automatisch starten bij het opstarten van je apparaat.

Moet ik WebRTC uitschakelen?

Alleen als een test laat zien dat WebRTC je echte adres prijsgeeft, of als je locatie echt verborgen moet blijven. Uitschakelen breekt videobellen in de browser. Beperken via een extensie is vaak een goed compromis.

Waarom zie ik twee IP-adressen in de ipleak test?

Meestal is het één IPv4- en één IPv6-adres. Horen beide bij je VPN, dan is er niets aan de hand. Komt een van de twee overeen met je adres zonder VPN, dan heb je een lek.

Hoe vaak moet ik op een IP leak testen?

Test bij het instellen van een nieuwe VPN, na grote updates van je VPN-app, browser of besturingssysteem, en als je een nieuw apparaat of nieuwe router gebruikt. Wekelijks testen is niet nodig.

Kan een gratis VPN lekken?

Ja, net als een betaalde VPN. Gratis diensten missen vaker een kill switch, IPv6-bescherming of onafhankelijke audits, en hun verdienmodel is lang niet altijd duidelijk. Test een gratis VPN daarom extra zorgvuldig en lees het privacybeleid.