In Ruhe erklärt
Für eine direkte Verbindung von Gerät zu Gerät weiß dein Browser vorher nicht, welcher Weg durch Router und Netze funktioniert. Das Verfahren ICE (Interactive Connectivity Establishment, RFC 8445) löst das durch Ausprobieren: Beide Seiten sammeln mögliche Adressen samt Port, die Kandidaten, tauschen sie aus und testen sie paarweise, bis eine Verbindung steht. Jeden gefundenen Kandidaten meldet der Browser der Website, damit sie ihn an die Gegenseite weitergibt.
Welche Art ein Kandidat ist, steht als Kürzel in seiner Zeile. „host“ ist eine Adresse auf deinem Gerät selbst — aus deinem Heimnetz, vom Mobilfunk oder, so nennt es die Norm ausdrücklich, von einem VPN-Adapter. „srflx“ (server-reflexiv) ist die Adresse, unter der dich ein STUN-Server von außen sieht, meist die öffentliche deines Anschlusses. „relay“ ist die Adresse eines Weiterleitungsservers (TURN), über den das Gespräch notfalls läuft. „prflx“ (peer-reflexiv) entsteht erst beim Ausprobieren, wenn dabei eine Adresse auftaucht, die vorher keine Seite gemeldet hatte.
Für den Datenschutz zählen vor allem die ersten beiden. Host-Kandidaten aus dem eigenen Netz ersetzen die großen Browser ohne Kamera- oder Mikrofonfreigabe durch einen Zufallsnamen, siehe mDNS-Kandidat. Ein srflx-Kandidat nennt die Adresse, mit der deine Pakete beim STUN-Server ankamen. Weicht sie von der Adresse des Seitenabrufs ab, kann das ein WebRTC-Leck sein.
Die Netzmessung von HexWarte sammelt Kandidaten nur über den eigenen STUN-Messpunkt, ohne Gegenseite und ohne Weiterleitungsserver, und schließt die Verbindung danach. Aus jeder Zeile liest sie Art, Transportweg und Adresse; eine Adresse, die sie nicht eindeutig einordnen kann, zeigt sie nicht an.