Le réseau Tor : le routage en oignon expliqué

Par La rédaction de Mon-Adresse-IP.net·Publié le 21 août 2026·

La logique de Tor tient en une phrase : aucun maillon de la chaîne ne doit connaître à la fois qui vous êtes et ce que vous consultez. Ce guide détaille le circuit à trois relais, ce que chacun voit réellement, et surtout les situations où cette protection tombe.

Tor, l'oignon et les relais bénévoles

Tor est l'acronyme de The Onion Router, « le routeur en oignon ». Le nom décrit le mécanisme et non une quelconque obscurité : les données sont emballées dans plusieurs couches de chiffrement successives, que les relais retirent une à une comme on épluche un oignon.

La technique a été conçue dans les années 1990 au laboratoire de recherche de la marine américaine, avec un objectif précis : faire transiter des communications officielles sur un réseau public sans révéler qui parlait à qui. Le code a ensuite été publié en logiciel libre, le réseau public lancé au début des années 2000, et son entretien confié à une organisation à but non lucratif financée par des subventions, des fondations et des dons. Il n'y a ni abonnement, ni compte, ni entreprise propriétaire.

Le réseau se compose de quelques milliers de relais tenus par des bénévoles, des associations, des universités et des hébergeurs. Aucun serveur central n'aiguille le trafic : une poignée d'autorités d'annuaire signent collectivement, à intervalle régulier, un document de consensus listant les relais, leurs clés publiques, leur bande passante mesurée et leurs drapeaux (stable, rapide, apte à servir de garde ou de sortie).

Un point décisif est souvent passé sous silence : c'est votre logiciel, sur votre machine, qui choisit le chemin. Il télécharge le consensus, tire au sort trois relais en imposant de la diversité (jamais deux relais du même opérateur ou du même réseau dans un circuit) puis construit la route. Le réseau ne vous assigne rien, ce qui empêche un relais malveillant de se placer volontairement sur votre trajet. Si le vocabulaire vous est peu familier, notre glossaire du réseau et notre guide qu'est-ce qu'une adresse IP posent les bases.

Le circuit à trois relais, étape par étape

Un circuit comporte un nœud d'entrée (ou nœud de garde), un relais intermédiaire et un nœud de sortie. Trois n'est pas arbitraire : avec deux relais, l'entrée et la sortie se parleraient directement et pourraient se reconnaître. Le relais du milieu existe précisément pour qu'aucune des deux extrémités ne connaisse l'autre.

1. Construction télescopique Votre client négocie une clé avec le nœud de garde, puis à travers ce tunnel une deuxième clé avec le relais intermédiaire, puis à travers les deux premiers une troisième avec la sortie. Chaque clé est échangée de bout en bout : le garde ne connaît jamais celle de la sortie.
2. Emballage Chaque donnée est chiffrée trois fois, dans l'ordre inverse. Tout circule dans des cellules de taille fixe, ce qui empêche de déduire quoi que ce soit de la longueur des messages.
3. Épluchage Le garde retire sa couche et découvre l'adresse du relais suivant. Le relais intermédiaire retire la sienne et découvre l'adresse de la sortie. La sortie retire la dernière, découvre la destination et transmet la requête sur Internet ordinaire.
4. Retour La réponse suit le même chemin en sens inverse, chaque relais rajoutant sa couche. Seule votre machine détient les trois clés.

Le tableau ci-dessous résume ce que chaque maillon observe réellement. C'est le cœur du sujet : la sécurité de Tor ne vient pas d'un chiffrement plus fort qu'ailleurs, mais de cette répartition du savoir.

Aucune ligne ne coche à la fois « connaît votre IP » et « connaît la destination ». Tant que cette propriété tient, Tor fait son travail ; toute la suite de cet article traite des cas où elle cesse de tenir.

La rotation des circuits

Un circuit n'est pas éternel. Par défaut, le client cesse d'y attribuer de nouvelles connexions au bout d'une dizaine de minutes et en construit un neuf, avec un intermédiaire et une sortie différents ; les connexions déjà ouvertes restent sur leur circuit jusqu'à leur fin, un téléchargement en cours n'est donc pas coupé. Le navigateur Tor ajoute une règle plus importante encore : l'isolation par domaine de premier niveau. Deux onglets sur deux sites différents empruntent des circuits différents et sortent par des adresses différentes, ce qui empêche deux sites de se coordonner en constatant qu'ils ont vu la même adresse à la même seconde.

Le nœud de garde et sa persistance

Le nœud d'entrée est le seul relais qui connaît votre adresse réelle ; on pourrait croire qu'il faut donc en changer souvent. C'est l'inverse, et le raisonnement explique un comportement souvent pris pour un bug.

Supposons qu'une petite fraction des relais soit hostile. Si votre client tirait une nouvelle entrée toutes les dix minutes, la probabilité de tomber au moins une fois sur un relais hostile en position d'entrée deviendrait, sur quelques mois, quasiment certaine, et, combinée à une sortie également hostile sur le même circuit, elle permettrait de vous désanonymiser. En conservant une entrée unique et durable, on transforme une certitude différée en risque ponctuel : soit votre garde est hostile dès le départ, avec une probabilité faible, soit vous êtes protégé pendant toute la période.

Le client ne choisit donc pas n'importe quel relais : il sélectionne parmi ceux qui portent le drapeau correspondant dans le consensus (présents depuis assez longtemps, stables, dotés d'une bande passante correcte) et conserve ce garde plusieurs mois, avec une date de rotation tirée au hasard pour éviter que tout le monde change en même temps.

La contrepartie est visible depuis votre ligne : votre box ouvre régulièrement une connexion vers la même adresse, qui figure dans une liste publique. Votre opérateur peut donc constater que vous utilisez Tor, même s'il ignore tout du reste ; les données de connexion associées relèvent du régime décrit dans notre article sur la conservation des données par les FAI. Si le seul fait d'utiliser Tor pose problème là où vous êtes, la réponse prévue n'est pas d'empiler les outils mais d'utiliser un pont : un relais d'entrée non listé publiquement, associé à un transport enfichable. Le transport obfs4 rend le flux statistiquement indistinct d'un flux aléatoire ; Snowflake fait transiter la connexion par le navigateur d'un volontaire via des mécanismes de visioconférence banals.

Ce que Tor protège, et ce qu'il ne protège pas

Tor protège une chose : le lien, au niveau réseau, entre votre adresse IP et ce que vous consultez. Cela couvre l'observateur du réseau local (un Wi-Fi d'hôtel ou de gare, sujet traité dans notre guide sur le Wi-Fi public), votre fournisseur d'accès et le site de destination. C'est considérable, et c'est tout. Voici, des causes les plus souvent citées aux plus rares, ce qui annule cette protection.

Une session connectée

Vous connecter à votre messagerie habituelle depuis le navigateur Tor revient à dire au service exactement qui vous êtes : Tor ne masque pas une identité que vous déclarez vous-même. Pire, vous liez durablement ce compte à une adresse de sortie Tor et à un horodatage précis. La règle de compartimentage est stricte : une identité par usage, jamais de mélange entre un profil nominatif et une activité que l'on souhaite dissocier.

Un fichier téléchargé puis ouvert hors du navigateur

C'est le piège le plus classique et le plus efficace. Un PDF, un traitement de texte ou une feuille de calcul peut contenir une ressource distante : image, police, lien de suivi. Ouvert dans le lecteur habituel de votre système, ce document ira la chercher par votre connexion ordinaire, sans passer par Tor, et révélera votre adresse réelle à qui l'a préparé : le navigateur affiche d'ailleurs un avertissement au téléchargement. La seule parade fiable consiste à ouvrir ces documents sur une machine sans accès réseau ou dans un environnement isolé prévu pour cela.

Une empreinte de navigateur modifiée

Le navigateur Tor est conçu pour que tous ses utilisateurs se ressemblent ; chaque réglage modifié vous éloigne de cette foule et vous rend identifiable indépendamment de votre adresse IP. Notre guide sur l'empreinte du navigateur détaille les signaux concernés : dimensions de la fenêtre, polices, langue, fuseau horaire, rendu graphique. Une empreinte suffisamment rare suit un utilisateur à travers tous les changements d'adresse.

Un site en HTTP et le reste de votre machine

Sans HTTPS, le nœud de sortie voit le contenu en clair et peut techniquement le modifier au passage : le navigateur active par défaut un mode qui refuse les connexions non chiffrées, ne le désactivez pas. Par ailleurs, un logiciel de partage de fichiers en pair-à-pair lancé en parallèle annonce votre adresse réelle dans le protocole lui-même et contourne fréquemment le proxy : le faire passer par Tor est à la fois inefficace et nuisible au réseau. Un logiciel malveillant déjà installé ou un enregistreur de frappe ne relèvent pas davantage de Tor ; notre page sur les risques liés à l'adresse IP replace ces menaces dans leur contexte.

Pourquoi le navigateur Tor et pas le vôtre

Une idée revient constamment : installer le client Tor puis configurer Chrome ou Firefox pour utiliser le proxy local qu'il expose. Techniquement possible, cette approche échoue sur deux plans.

Le routage d'abord. Un réglage de proxy ne couvre pas nécessairement tout : selon la configuration, les requêtes de résolution de noms peuvent continuer à partir vers le résolveur de votre box et révéler chaque domaine consulté, un mécanisme expliqué dans notre guide du DNS, que le DNS chiffré ne résout ici que partiellement. WebRTC peut divulguer vos adresses locales et parfois publiques, ce que vérifie notre test de fuite WebRTC. S'y ajoutent mises à jour, télémétrie et extensions, qui joignent leurs serveurs par leurs propres canaux. L'empreinte ensuite : même avec un routage parfait, votre navigateur habituel reste unique par ses extensions, ses polices, ses cookies et ses sessions ouvertes. Changer l'adresse IP d'un profil identifiable n'apporte presque rien.

Le navigateur Tor résout les deux problèmes. C'est une version durcie de Firefox ESR livrée avec son propre client Tor, dont tous les réglages par défaut visent un objectif : que deux utilisateurs soient indiscernables. Fenêtre aux dimensions normalisées, polices uniformisées, accès au rendu graphique bloqué par défaut, aucune télémétrie, cookies cloisonnés par site, effacement complet à la fermeture. D'où des règles d'usage qui ne sont pas des superstitions :

• Ne redimensionnez pas la fenêtre. Les dimensions de la zone d'affichage sont très discriminantes. Le navigateur applique bien un remplissage qui arrondit les valeurs déclarées, mais rester sur la taille par défaut reste préférable.
• N'installez aucune extension. Même un bloqueur de publicité vous distingue de la foule et modifie le comportement des pages ; le nécessaire est déjà embarqué.
• N'activez pas de fonctions supplémentaires : synchronisation, gestionnaire de mots de passe distant, lecture de contenus propriétaires : chacune ouvre un canal hors circuit ou ajoute un identifiant stable.
• Choisissez consciemment le niveau de sécurité. Le bouclier de la barre d'outils en propose trois. Le plus élevé désactive JavaScript partout : protection maximale, mais une part importante du web cesse de fonctionner. Le niveau intermédiaire est un compromis raisonnable.
• Mettez-le à jour sans attendre : une faille du moteur de rendu contourne le réseau entier.

Les services en oignon (.onion)

Jusqu'ici, Tor protège le client. Les services en oignon étendent la même protection au serveur : le site ne révèle pas non plus son adresse IP, et la connexion ne quitte jamais le réseau Tor.

Le mécanisme repose sur un rendez-vous. Le service choisit quelques relais comme points d'introduction et publie dans un annuaire distribué un descripteur signé indiquant comment le joindre. Pour s'y connecter, votre client récupère ce descripteur, choisit de son côté un relais neutre comme point de rendez-vous, puis transmet au service, via un point d'introduction, un secret à usage unique désignant ce rendez-vous. Le service y établit alors son propre circuit : chacun a construit trois sauts jusqu'à un point commun, sans jamais apprendre l'adresse de l'autre.

• Aucun nœud de sortie n'intervient : ni écoute en sortie, ni blocage fondé sur la réputation d'une adresse partagée, ni captcha à répétition.
• L'adresse s'authentifie elle-même. Une adresse en oignon moderne est une chaîne de 56 caractères dérivée de la clé publique du service : se connecter à la bonne adresse garantit mathématiquement que l'on parle au bon serveur, sans autorité de certification.
• Le revers est la faute de frappe. Une adresse illisible ne se vérifie pas de mémoire et des clones malveillants exploitent des adresses ressemblantes. Ne suivez que des adresses publiées par une source de confiance, par exemple le site officiel du service en HTTPS.

Les usages légitimes sont nombreux et méconnus : messageries chiffrées qui évitent d'exposer l'emplacement de leurs serveurs, miroirs en oignon de grands sites d'information et d'encyclopédies pour les lecteurs situés dans des pays qui les bloquent, plateformes de signalement mises à disposition par des rédactions pour recevoir des documents de lanceurs d'alerte sans enregistrer l'adresse IP de la source. Certains sites annoncent automatiquement leur version en oignon via un en-tête HTTP dédié ; vous pouvez observer ce type d'en-tête avec notre outil mes en-têtes HTTP. Que des services illicites utilisent aussi cette technologie ne dit rien de sa nature : le protocole est neutre et sert des rédactions, des bibliothèques et des services publics dans plusieurs pays.

Usages légitimes et cadre légal en France

Le réseau sert quotidiennement à des usages qui n'ont rien de clandestin : des journalistes protègent leurs sources et consultent des sites sans laisser de trace exploitable dans les journaux de leur employeur ; des sources transmettent des documents via des plateformes de signalement ; des populations sous censure accèdent à l'information et à des messageries bloquées ; des chercheurs en sécurité observent des infrastructures sans révéler l'origine de leurs requêtes ; des personnes victimes de violences consultent des services d'aide sans que la connexion apparaisse dans l'activité du foyer.

En France, utiliser Tor est parfaitement légal. Aucun texte n'interdit le téléchargement du navigateur, son usage, ni l'hébergement d'un relais : cette liberté découle du droit d'utiliser des moyens de communication et de chiffrement, très largement libéralisé depuis la loi pour la confiance dans l'économie numérique.

Deux nuances s'imposent. D'abord, le droit s'applique intégralement au contenu de votre activité : une infraction commise via Tor reste une infraction, et l'anonymat technique n'est ni une excuse ni une garantie d'impunité. Ensuite, si l'usage de Tor ne constitue en soi ni une infraction ni un indice de culpabilité, il peut attirer l'attention dans un contexte d'enquête ; mieux vaut le savoir. Notons enfin que l'adresse IP, y compris celle d'un nœud de sortie, constitue une donnée à caractère personnel au sens du RGPD lorsqu'elle permet indirectement d'identifier une personne. Dernier point souvent confondu avec la loi : de nombreuses entreprises et administrations bloquent Tor sur leur réseau. C'est une décision contractuelle, pas une interdiction légale, mais la contourner au travail peut vous exposer à une sanction disciplinaire.

Les limites réelles du réseau

Un guide qui vanterait Tor sans énumérer ses faiblesses vous rendrait un mauvais service.

La lenteur n'est pas un défaut de jeunesse. Votre trafic parcourt trois relais choisis dans le monde entier, sur de la bande passante offerte, puis le chemin inverse. Aucune optimisation ne supprimera ces allers-retours : la lenteur est le prix structurel de la répartition du savoir. En pratique, la navigation textuelle reste confortable, la vidéo et la visioconférence beaucoup moins.

Les blocages et les captchas découlent du partage d'adresse : les sorties sont publiques et utilisées par un très grand nombre de personnes, si bien que les systèmes anti-fraude leur attribuent une mauvaise réputation collective, vérifications à répétition, création de compte refusée, accès bancaire bloqué. Ce n'est pas une hostilité de principe envers Tor mais le mécanisme décrit dans notre guide mon adresse IP est bloquée.

La corrélation de trafic est la limite théorique la plus sérieuse, et le projet la documente lui-même. Un adversaire capable d'observer à la fois votre lien vers le garde et le lien de la sortie vers le site peut rapprocher les deux flux en comparant volumes et rythmes, sans rien déchiffrer. Tor n'a jamais prétendu résister à un observateur global du réseau : son modèle de menace exclut explicitement cet adversaire, et les cellules de taille fixe limitent l'attaque sans l'annuler.

Les sorties malveillantes et l'erreur humaine ferment la liste. N'importe qui peut exploiter un nœud de sortie, y compris pour observer ou altérer le trafic non chiffré ; HTTPS neutralise l'essentiel de ce risque. Mais dans les incidents réellement documentés, la cause dominante n'est ni un relais hostile ni une attaque savante : c'est une erreur d'usage, un compte personnel ouvert, un document ouvert hors du navigateur, une application lancée en parallèle. La technique est solide ; l'habitude l'est rarement.

Tor et VPN combinés

Il existe deux façons de combiner les deux outils, et elles n'ont rien à voir.

VPN puis Tor. Vous vous connectez au VPN, puis lancez le navigateur Tor : votre opérateur ne voit plus qu'une connexion VPN et le nœud de garde voit l'adresse du serveur VPN au lieu de la vôtre. Le coût : le fournisseur de VPN sait, lui, que vous utilisez Tor et connaît votre adresse réelle. Vous créez donc un point unique détenant les deux informations que Tor s'efforce de séparer, souvent payé avec un moyen de paiement nominatif. Si votre objectif est de dissimuler l'usage de Tor, un pont fait le même travail sans cette concentration, gratuitement.

Tor puis VPN. Le trafic sort du réseau Tor puis entre dans un tunnel VPN. Le gain est réel : une adresse stable et non blacklistée, donc moins de captchas. Le coût aussi : le fournisseur voit l'intégralité de votre trafic déchiffré, et cette adresse stable devient un identifiant permanent reliant toutes vos sessions. Vous annulez ainsi l'isolation par site et la rotation des circuits, deux des meilleures propriétés de Tor ; le montage est en outre délicat et se configure mal facilement.

Conclusion honnête : pour un usage courant, choisissez l'un ou l'autre. Le VPN convient au chiffrement sur un réseau non fiable et au contournement de restrictions géographiques (voyez notre guide des VPN et notre comparatif des protocoles VPN), Tor à la dissociation entre identité et activité. Ne chaînez jamais un proxy gratuit devant Tor, pratique répandue et contre-productive dont notre guide des proxys explique les raisons ; pour un panorama complet, voyez comment masquer son adresse IP.

Faire tourner un relais

Le réseau ne tient que par les machines que des volontaires y consacrent, mais les trois formes de contribution n'engagent pas du tout les mêmes responsabilités.

Le relais intermédiaire ou de garde ne parle qu'à d'autres relais : son adresse n'apparaît jamais dans les journaux d'un site tiers et il ne génère pratiquement aucune plainte. Il exige une connexion stable, une bande passante non facturée au volume et des mises à jour régulières. Point rarement dit : l'adresse de tout relais est publiée avec son nom, sa bande passante mesurée et un contact d'abus. En héberger un chez soi expose donc publiquement son adresse résidentielle en tant que relais Tor, ce qui peut modifier la façon dont certains services traitent votre ligne ; un serveur loué chez un hébergeur qui l'autorise explicitement est plus propre.

Le pont suit la même logique qu'un relais d'entrée, mais son adresse n'est pas publiée : il sert de porte d'entrée aux personnes censurées. L'engagement est faible et l'utilité forte ; la variante la plus légère consiste à installer une extension officielle qui transforme votre navigateur, quand il est ouvert, en pont éphémère.

Le nœud de sortie est une autre affaire, et la différence doit être énoncée sans ambiguïté. Son adresse apparaît dans les journaux de tous les sites visités par ses utilisateurs, ce qui signifie en pratique un flux régulier de plaintes pour abus, l'inscription sur des listes de blocage, des demandes des autorités et une probabilité non nulle que l'hébergeur résilie le service.

Comment ce site détecte les nœuds de sortie

Notre page d'accueil indique si votre connexion passe par Tor, et nous préférons expliquer le mécanisme plutôt que de le laisser deviner. Le Tor Project publie la liste des adresses IP en position de sortie ; notre serveur la récupère, la met en cache une demi-journée pour ne pas la solliciter à chaque visite, et compare votre adresse publique à cette liste. En cas de correspondance, un bouclier vert signale une connexion via le réseau Tor. Les limites de la méthode sont réelles :

• Seules les sorties sont détectées. Un relais intermédiaire, un pont ou un garde n'y figure pas : ce ne sont pas eux que les sites voient.
• La liste accuse un décalage : un relais qui vient d'obtenir le droit de sortir, ou de s'arrêter, peut être classé à tort pendant quelques heures.
• Une sortie restrictive peut manquer si sa politique n'autorise qu'un petit ensemble de ports.
• Une correspondance ne dit rien de vous : elle indique seulement par où votre trafic est sorti, ce qui est précisément l'objectif du réseau.

Le cas inverse est instructif : si vous utilisez le navigateur Tor et que nous ne détectons rien, la cause la plus probable est que votre trafic ne passe pas réellement par le réseau, un proxy ajouté à un navigateur ordinaire, par exemple. Vérifiez-le sur check.torproject.org avant de conclure à une erreur de notre part ; le détail de nos sources et de nos règles de classification figure sur notre page méthodologie.

Questions fréquentes