Qual è il mio IP

Perché il tuo browser non può rispondere da solo

Una pagina come questa sembra dover poter leggere la risposta sulla macchina su cui gira, e non può. Nulla nella piattaforma del browser espone l’indirizzo da cui esci su internet: non c’è una proprietà da leggere né un permesso da concedere. L’indirizzo che la tua macchina possiede non è quasi mai quello di cui stai chiedendo: dietro un router domestico è un numero privato che il router riscrive in uscita, e su una rete mobile l’operatore può riscriverlo una seconda volta. L’unica funzione del browser che abbia mai fatto trapelare un indirizzo è stata WebRTC, che raccoglieva gli indirizzi della macchina per stabilire una chiamata, e oggi ogni browser nasconde perfino quelli dietro un nome casuale che finisce in local. Il numero non è dunque mai stato ottenibile dalla piattaforma, e il poco che trapelava era comunque quello sbagliato.

L’indirizzo che intendi davvero non è una proprietà del tuo computer. È ciò che vede l’altro capo di una connessione quando arriva il tuo traffico, e appartiene all’apparato che l’ha riscritto per ultimo lungo la strada: il tuo router, il NAT condiviso su larga scala del tuo operatore, l’uscita di una VPN, un proxy aziendale. Esiste solo agli occhi di un server che hai contattato. Ecco perché l’unico modo di conoscerlo è contattarne uno e chiedergli che cosa ha visto, ed ecco perché questa pagina lo chiede tre volte anziché una.

• Non è l’indirizzo che il tuo sistema operativo mostra per la scheda di rete. Quello di solito è privato — un indirizzo 192.168, uno 10, uno 172.16 — e significa qualcosa solo dentro la tua rete. Nulla al di là del router arriva mai a vederlo.
• Non è permanente. La maggior parte delle linee domestiche riceve un indirizzo che può cambiare quando il router si ricollega o quando l’operatore lo decide, e una linea mobile può cambiarlo mentre ti sposti. Un indirizzo che il mese scorso hai scritto in una regola del firewall può già appartenere a qualcun altro.
• Non è necessariamente un solo numero. Su una rete che porta entrambe le famiglie hai un indirizzo IPv4 e uno IPv6 allo stesso tempo; sono numeri senza alcun rapporto fra loro, assegnati da parti diverse dello stesso operatore, e viaggiano per strade diverse.

È anche il motivo per cui la risposta non è nel sorgente della pagina e cercarla lì non trova nulla. Ogni pagina di questo sito viene scritta come file HTML piatto quando il sito viene costruito, molto prima che tu la apra, e l’unico indirizzo disponibile in quel momento è quello della macchina che costruisce, che non riguarda nessuno e di certo non te. Il file che ti arriva porta quindi la spiegazione e tre spazi etichettati e vuoti, e le letture vengono riempite dopo, dal tuo browser e dalla tua connessione. Se guardi il sorgente e non trovi alcun indirizzo, stai leggendo il progetto e non un difetto.

Due famiglie, e perché forse ne risponde una sola

IPv4 e IPv6 sono due sistemi di indirizzi separati, e una singola connessione ne usa esattamente uno da un capo all’altro. Gli indirizzi IPv4 sono i familiari quattro numeri separati da punti, e le loro scorte si sono esaurite anni fa; gli indirizzi IPv6 sono quelli lunghi, scritti in gruppi esadecimali separati da due punti, e ce ne sono più di quanti chiunque ne userà mai. Oggi la maggior parte delle reti le porta entrambe insieme — è questo che vuol dire doppia pila — e su una rete simile hai un indirizzo in ciascuna, senza alcun rapporto aritmetico fra i due.

È questo che rende una singola lettura mezza risposta, ed è la trappola in cui cade quasi ogni strumento del genere. Il nome di questo sito porta sia un record IPv4 sia uno IPv6, quindi il tuo browser ne sceglie uno prima che qui giri una sola riga di codice, e uno strumento che chiede soltanto da quale indirizzo sia arrivata la connessione impara qualcosa su quella famiglia e su nessun’altra. Chi arriva cercando il proprio IPv4 perché serve a una regola del firewall può ritrovarsi davanti un IPv6, senza che nulla nella pagina dica se l’altra metà esista, manchi, o non sia semplicemente mai stata chiesta.

Vincolare una famiglia significa perciò chiedere a un posto che ne ha una sola. Due delle tre letture vanno al resolver pubblico di Cloudflare, contattato a un indirizzo scritto per esteso anziché a un nome, e l’indirizzo scritto è di per sé il vincolo: non c’è alcun nome da risolvere, quindi non c’è nulla che il browser possa scegliere. A un indirizzo IPv4 scritto per esteso si arriva solo in IPv4 e a uno IPv6 scritto per esteso solo in IPv6, e il certificato copre l’indirizzo, così ciascuna è una normale connessione cifrata e verificata, non un trucco. Ciò che torna dalla prima è il tuo IPv4 per costruzione, e ciò che torna dalla seconda è il tuo IPv6 per costruzione.

• Puoi semplicemente non avere quella famiglia. IPv6 non è ancora offerto da tutti gli operatori, su tutti i piani, né da tutti i router così come escono dalla scatola, e una rete che non ce l’ha non ha nulla da riportare.
• Qualcosa lungo la strada può fermarla. Un firewall aziendale, la rete di un albergo o un apparato di sicurezza possono rifiutare un’intera famiglia, oppure rifiutare questo singolo punto mentre il resto di quella famiglia funziona benissimo.
• Può essere bloccata in silenzio anziché rifiutata. Un rifiuto torna subito e la riga lo dice; i pacchetti scartati senza risposta assomigliano esattamente a niente, ed è per questo che ogni lettura riceve un’attesa limitata e poi viene abbandonata invece di restare a girare.
• Il punto può rispondere con qualcosa che non è un indirizzo. È un fallimento diverso dal silenzio e la riga dice quale dei due sia stato, perché uno strumento che ripiegasse ogni forma di fallimento in un unico campo vuoto ti lascerebbe incapace di distinguere una rete insolita da una pagina rotta.

Non determinabile non vuol dire assente

Qui due situazioni contano più di ogni altra, e da una richiesta fallita appaiono identiche: non avere affatto una famiglia, e averla bloccata in uscita. Gli strumenti del genere le riportano allo stesso modo, di solito non mostrando nulla e lasciandoti indovinare. Questa pagina le tiene distinte, e la terza lettura è tutto il meccanismo che lo permette. Va a questo stesso sito, che offre entrambe le famiglie, quindi quella che ha risposto è quella che il tuo browser ha scelto quando la scelta era libera, e quel solo fatto basta a trasformare un silenzio in una conclusione.

• Il punto proprio della famiglia ha risposto. Hai quella famiglia, il suo indirizzo è nella riga qui sotto, e nulla di ciò che la pagina impara poi può ribaltarlo.
• Non ha risposto, e il tuo browser ha raggiunto questo sito con quella stessa famiglia. Allora ce l’hai in modo dimostrabile — la stai usando per leggere questa frase — e qualcosa fra te e quel singolo punto ha fermato quella singola richiesta. Il verdetto è che non è determinabile, e la ragione è scritta lì accanto.
• Non ha risposto, e il tuo browser ha raggiunto questo sito con l’altra famiglia. È l’unica strada per dire che non ce l’hai, e l’unica circostanza in cui questa pagina lo dirà.
• Non ha risposto, e nemmeno questo sito. Allora non c’è indizio in nessuna direzione, e non determinabile vuol dire esattamente questo: lo strumento non ha imparato nulla, il che è un’affermazione sullo strumento e non sulla tua rete.

Ecco perché sotto ogni verdetto c’è una frase, e non un collegamento o un suggerimento a comparsa. Non determinabile ti chiede due cose completamente diverse a seconda di quale dei due casi sia. Uno dice che una famiglia che di sicuro hai è bloccata da qualche parte fra il tuo browser e un indirizzo ben preciso, e vale la pena andare a guardare. L’altro dice che questo giro non ha imparato nulla e conviene rifarlo da un’altra rete. Un colore e una parola non possono reggere quella differenza, e uno strumento che tirasse a indovinare fra le due ti direbbe qualcosa di falso sulla tua stessa connessione.

La terza lettura merita di essere letta anche di per sé. Nomina la famiglia che il tuo browser ha preferito per un nome ordinario che le offre entrambe — l’esito di una corsa che il tuo sistema operativo indice ogni volta che apri una pagina, decisa da nessuno dei due e configurata da nessuno — e nessuno strumento paragonabile la riporta. È inoltre il fatto contro cui i due verdetti qui sopra sono stati riscontrati, e per questo sta sulla pagina anziché nascosto dentro il ragionamento: chi preferisce verificare una conclusione invece di fidarsene può vedere l’indizio da cui è stata tratta.

Perché alle due righe è permesso divergere

Ogni lettura porta più di un indirizzo. La stessa risposta riporta il paese in cui il punto colloca quell’indirizzo, il datacenter Cloudflare che ha risposto, la versione del trasporto cifrato, la versione di HTTP usata dalla richiesta e se la connessione sia passata per il client WARP di Cloudflare. Sono stampati riga per riga e mai fusi in un unico riepilogo, perché le righe divergono davvero: mentre questo strumento veniva progettato, una stessa macchina, nello stesso istante, ha raggiunto un datacenter a Londra in IPv6 e uno in Israele in IPv4. Nessuna delle due letture era sbagliata, e nessuna delle due reti era guasta.

• Il paese è il luogo in cui il punto colloca l’indirizzo arrivato, cioè una ricerca fatta sull’indirizzo e non una conoscenza su di te. Una VPN lo sposta, e lo sposta anche un operatore che distribuisce indirizzi registrati in un paese vicino.
• Il datacenter è la sede Cloudflare che ha risposto, sotto forma di un codice di tre lettere alla maniera di un aeroporto. Ognuno di questi punti è annunciato da molti luoghi insieme e quello che raggiungi lo decide l’instradamento di internet, separatamente per ciascuna famiglia, ed è per questo che è la riga che diverge più spesso.
• TLS è la versione della cifratura su cui la connessione si è accordata. Si negozia per connessione, quindi una riga può differire da un’altra senza che nessuna delle due sia insolita.
• HTTP è la versione del protocollo usata da questa specifica richiesta. Anch’essa si stabilisce per connessione, e dipende da come la connessione è stata aperta più che da qualunque cosa riguardi la tua rete.
• WARP dice se Cloudflare ha riconosciuto il traffico come proveniente dal proprio client. Per la maggior parte dei lettori è disattivato su tutte e tre le righe, e sta qui perché chi non lo avesse disattivato resterebbe altrimenti perplesso davanti al paese.

Leggi dunque una riga come il resoconto di una connessione e di nulla di più ampio. Due righe che nominano due datacenter non sono una contraddizione da risolvere; sono due risposte su come le tue due famiglie escono dalla tua rete, che è esattamente ciò che uno strumento con un solo indirizzo non può mostrarti. È anche la ragione per cui questi dati sono attaccati alle righe: unirli in una sola costringerebbe a sceglierne una delle due e a stamparla come se descrivesse entrambe.

A chi si chiede, e che cosa questo strumento non farà

Tutte e tre le richieste vanno allo stesso posto: il punto trace di Cloudflare, che risponde con un breve elenco di fatti sulla connessione appena arrivata. Questo sito è servito esso stesso tramite Cloudflare, quindi l’operatore a cui si chiede è quello che ha già visto il tuo indirizzo: l’ha visto quando questa pagina si è caricata, prima che girasse una riga del codice della pagina. Le tre richieste chiedono ad alta voce ciò che è stato consegnato in silenzio un istante prima, e non lo consegnano a nessuno di nuovo. Per questo partono automaticamente e non dietro un pulsante: una barriera di consenso davanti ti costerebbe la risposta per cui sei venuto e non ti comprerebbe nulla.

Quell’argomento è specifico, e vale la pena dire chiaramente che non è una licenza generale, perché la stessa frase sarebbe falsa per quasi ogni altro punto. Regge solo finché la parte a cui si chiede è quella che già serve la pagina. Punta uno strumento come questo verso un servizio di indirizzi di terzi e la richiesta smette di essere un’eco e diventa una vera divulgazione a un operatore che non aveva nulla, e a quel punto il ragionamento andrebbe rifatto dall’inizio anziché citato da qui. È una delle ragioni per cui questa pagina non ne usa uno.

Nulla di ciò che scrivi viene inviato da qualche parte, per la semplice ragione che qui non c’è nulla da scrivere: la pagina non ha alcun campo di inserimento. Nessun indirizzo viene memorizzato, nessuno conservato fra una visita e l’altra e nessuno scritto in qualcosa che la pagina lasci dietro di sé. Premere Aggiorna riprende tutte e tre le letture dall’inizio e ricalcola entrambe le conclusioni, ed è ciò che rende utile tenere la pagina aperta mentre una VPN si accende o si spegne, ed è anche l’unica cosa che invii mai le richieste una seconda volta.

• Non cercherà l’indirizzo di qualcun altro. Servirebbe una banca dati commerciale di geolocalizzazione raggiunta tramite terzi, il che vorrebbe dire consegnare un indirizzo a un operatore che non ce l’aveva, ed è per giunta una domanda diversa da quella posta dal nome di questa pagina.
• Non nominerà il tuo operatore, né il suo numero di sistema autonomo, né la tua città. Nulla di tutto ciò è nelle risposte che questa pagina riceve, e ottenerlo passa dagli stessi terzi di cui sopra.
• Non mostrerà il tuo indirizzo locale o privato. Nessun browser attuale lo espone più, e non è mai stato l’indirizzo che le persone intendono quando fanno questa domanda: è quello che la loro macchina già mostra.

Nessuna di queste cose è una lacuna in attesa di essere colmata. Ciascuna andrebbe comprata con una dipendenza dalla banca dati di qualcun altro e dalla sua buona volontà continuata, e pagata con l’unica cosa di cui questa pagina ha cura. Uno strumento che risponde per intero a una sola domanda — entrambe le famiglie, con l’indizio a sostegno di ciascuna e con un silenzio onesto dove non ne ha — vale qui più di uno che ne tratta quattro a metà.