Tor : le réseau anonyme expliqué

Tor (The Onion Router) est le réseau d’anonymisation le plus connu et le plus utilisé au monde. Son principe : faire transiter vos communications par plusieurs relais successifs qui chiffrent le trafic en couches (d’où l’oignon). Aucun relais ne connaît à la fois votre identité et votre destination. Résultat : votre adresse IP réelle reste cachée des sites visités, et personne (FAI, État, fournisseur d’accès) ne peut corréler facilement vos activités. Cette page explique le fonctionnement, les usages, les limites et l’aspect légal.

Qu’est-ce que Tor ?

Tor est un réseau open source mondial composé de plus de 6000 relais bénévoles. Il est maintenu par le Tor Project, une association à but non lucratif américaine. Initialement développé pour la marine américaine dans les années 1990, il est devenu un outil grand public à partir de 2003, et est désormais utilisé par des journalistes, lanceurs d’alerte, activistes, militants en pays autoritaires — mais aussi par des particuliers soucieux de leur vie privée.

Tor est complémentaire d’un VPN : un VPN cache votre IP à un site mais votre fournisseur VPN voit tout. Tor cache votre IP et répartit la connaissance sur plusieurs relais, sans qu’aucun n’ait le tableau complet. Plus anonyme, mais plus lent.

Comment fonctionne Tor : le routage en oignon

1. Le client Tor sélectionne aléatoirement un circuit de 3 relais : un nœud d’entrée (guard), un nœud intermédiaire, un nœud de sortie.
2. Avant d’envoyer, le client chiffre le paquet 3 fois : avec la clé du nœud de sortie, puis du nœud intermédiaire, puis du nœud d’entrée.
3. Le nœud d’entrée déchiffre une couche (il voit « prochain saut = intermédiaire ») et ne sait pas où va le trafic final.
4. Le nœud intermédiaire déchiffre une couche (il sait juste d’où vient et où va le trafic dans le réseau Tor).
5. Le nœud de sortie déchiffre la dernière couche et envoie le trafic au site final. Il voit le trafic en clair (si HTTP) mais ne connaît pas votre IP.
6. Le site web voit l’IP du nœud de sortie, pas la vôtre.

Le circuit change toutes les 10 minutes par défaut, ce qui rend la corrélation longue terme très difficile. Comparé à du simple NAT (voir NAT et réseau), Tor ajoute une vraie déconnexion entre l’utilisateur et la destination.

Installer et utiliser Tor

• Tor Browser (recommandé) : navigateur Firefox modifié + Tor préconfiguré. Téléchargeable sur torproject.org. Disponible Windows, macOS, Linux, Android.
• Orbot (Android) : application qui tunneliser le trafic Android via Tor.
• Onion Browser (iOS) : équivalent Tor Browser sur iPhone/iPad. Voir aussi adresse IP iPhone.
• Tails : distribution Linux live qui force tout le trafic à passer par Tor. Ultra-paranoïaque, utilisée par les pros de la sécurité.
• Tor en console : sudo apt install tor, lancer tor en service, configurer SOCKS5 proxy sur 127.0.0.1:9050.

Sites .onion : le dark web légitime

Tor permet d’accéder à des services cachés en .onion : sites uniquement accessibles via Tor, où l’adresse IP du serveur est aussi cachée que celle du visiteur. Le « dark web » est l’ensemble de ces services.

• DuckDuckGo : moteur de recherche en .onion (duckduckgogg42xjoc72x3sjasowoarfbgcmvfimaftt6twagswzczad.onion).
• ProPublica, BBC, NY Times : médias avec une présence .onion pour contourner la censure.
• SecureDrop : plateforme de soumission anonyme pour journalistes.
• Facebook : oui, Facebook a une version .onion pour les utilisateurs en pays bloqués.
• Le mythe du « dark web entièrement criminel » est exagéré : il y a beaucoup de services parfaitement légitimes, le tout est de savoir où on va.

Limites et risques de Tor

• Lenteur : 3 sauts + chiffrement + relais bénévoles = latence 200-500 ms typique, débit limité. Inadapté au streaming, gaming, gros téléchargements.
• Nœud de sortie : voit votre trafic en clair si vous utilisez HTTP. Toujours préférer HTTPS sous Tor.
• Corrélation de timing : un adversaire qui contrôle l’entrée et la sortie peut corréler les timings et désanonymiser. Théoriquement possible, en pratique rare hors agences étatiques.
• Fuites côté navigateur : extensions, scripts, WebRTC peuvent leaker votre vraie IP. Tor Browser désactive tout ça par défaut — ne pas y toucher.
• Identité applicative : se connecter à son compte Gmail via Tor révèle qui vous êtes au site. Tor protège l’anonymat réseau, pas l’identité applicative.
• Signal pour le FAI : utiliser Tor est visible (paquets vers les guards connus). Pour cacher l’usage de Tor, utiliser un bridge et/ou un transport obfusqué (obfs4, meek, snowflake).

Aspect légal de Tor

• France : utiliser Tor est totalement légal. Pas de loi qui interdit l’anonymisation. Ce qui se fait via Tor reste soumis au droit (les délits sont des délits, anonyme ou pas).
• UE : similaire, Tor est légal partout dans l’UE.
• États autoritaires : Chine, Iran, Russie, Biélorussie, Corée du Nord bloquent ou criminalisent Tor. Les bridges et transports obfusqués servent justement à contourner ces blocs.
• Donnée personnelle et RGPD : Tor n’apparaît pas dans les considérants RGPD, mais l’usage de Tor par un utilisateur réduit la capacité d’un site à le tracer. Voir IP et RGPD.

Tor versus VPN versus proxy

• Proxy simple : 1 relais, voit tout, aucune anonymisation forte. Suffisant pour contourner un géo-bloc basique.
• VPN : 1 tunnel chiffré vers un serveur de confiance. Cache votre IP au site visité, mais le VPN voit tout. Rapide. Voir VPN fonctionnement.
• Tor : 3 relais aléatoires, anonymisation forte, mais lent et certains services le bloquent.
• VPN + Tor : combinable (VPN puis Tor : protège votre IP du nœud d’entrée Tor). Mais ne rend pas magiquement plus sûr — chaque maillon ajoute sa propre confiance à gérer.
• Pour quoi choisir quoi : streaming/gaming = VPN. Anonymat fort (journaliste, lanceur d’alerte, vie privée extrême) = Tor. Voir aussi comment masquer son IP.

FAQ : Tor

Tor est-il vraiment anonyme à 100 % ?

Non, rien ne l’est. Tor offre une anonymisation forte mais peut être compromise par des erreurs côté utilisateur (extension qui leak, identité applicative trahie, fingerprinting), par des attaques de corrélation à grande échelle, ou par des failles 0-day dans le navigateur. Pour une bonne hygiène : Tor Browser à jour, pas d’extensions, HTTPS partout, pas de connexion à ses comptes habituels.

Le FAI sait-il que j’utilise Tor ?

Sans précaution, oui : il voit du trafic vers des IP connues comme nœuds Tor publics. Avec un bridge (Tor Project en fournit), c’est masqué. Avec un transport obfs4 ou snowflake, c’est encore plus difficile à détecter (le trafic ressemble à du trafic chiffré quelconque).

Peut-on être tracé via une IP de sortie Tor ?

Un site qui voit votre trafic voit l’IP du nœud de sortie, pas la vôtre. Si on remonte au nœud de sortie, son opérateur ne sait pas qui a fait quoi (il voit du trafic chiffré venant du relais intermédiaire). Pour vous identifier, il faudrait compromettre plusieurs relais et corréler — possible en théorie pour des agences étatiques avec gros moyens, très rare en pratique.

Tor ralentit-il beaucoup la navigation ?

Oui, c’est inévitable : 3 sauts chiffrés successifs ajoutent de la latence et limitent le débit. Comptez 2 à 5× plus lent qu’une connexion directe. Acceptable pour la navigation web texte, pas pour le streaming.

Comment savoir si je suis bien sous Tor ?

Visiter check.torproject.org dans le navigateur : la page confirme « Congratulations, you are using Tor » si le trafic passe bien par le réseau. Notre outil Mon adresse IP affiche aussi l’IP visible — sous Tor, ce sera l’IP d’un nœud de sortie, qui change tous les 10 minutes.

Pages liées : VPN fonctionnement, comment masquer son IP, IP et RGPD, encyclopédie IP.