Qu'est-ce qu'un service onion, et comment fonctionne-t-il ?

Qu'est-ce qu'un service onion ?

Un service onion est un service, tel qu'un site web, qui ne peut être joint que via le réseau Tor. Les pages d'aide du Projet Tor indiquent qu'il masque l'emplacement et l'adresse IP du service, ce qui le rend plus difficile à censurer ou à rattacher à son exploitant. Les services onion s'appelaient auparavant « services cachés ».

L'adresse est l'identité du service. Le Projet Tor décrit l'adresse onion comme la clé publique d'identité du service, ce qui explique qu'elle paraisse aléatoire. Les adresses version 3 comptent 56 lettres et chiffres suivis de .onion ; les anciennes adresses version 2 de 16 caractères ne fonctionnent plus sur le réseau Tor.

Comment une connexion à un service onion fonctionne-t-elle ?

Un client et un service onion ne se connectent jamais directement : ils se rencontrent sur un relais que les deux atteignent via Tor. Le Projet Tor décrit cinq étapes.

1. Points d'introduction. Le service choisit plusieurs relais, construit vers eux des circuits longs à trois sauts et leur demande de servir de points d'introduction.
2. Descripteur. Le service rédige un descripteur qui liste ses points d'introduction et ses clés, le signe avec la clé privée derrière son adresse et le publie dans une table de hachage distribuée au sein du réseau Tor.
3. Recherche. Le client récupère le descripteur à partir de l'adresse et vérifie la signature avec la clé publique qui constitue l'adresse.
4. Rendez-vous. Le client construit un circuit vers un relais de son choix, le point de rendez-vous, et lui remet un secret à usage unique. Il transmet ses coordonnées au service par un point d'introduction.
5. Rencontre. Le service se connecte au point de rendez-vous par son propre circuit et présente le secret. Le point de rendez-vous relaie le trafic chiffré de bout en bout entre les deux.

La connexion complète compte six relais : trois choisis par le client, qui aboutissent au point de rendez-vous, et trois choisis par le service. Le Projet Tor affirme que l'adresse IP du service est protégée et que les adresses IP ne sont même pas utilisées dans le protocole.

Pourquoi une adresse onion suffit-elle sans HTTPS ?

Une adresse onion suffit parce que l'adresse est elle-même une vérification cryptographique. La page d'aide du Projet Tor indique que tout le trafic entre les utilisateurs de Tor et les services onion est chiffré de bout en bout, et que l'adresse utilise la cryptographie pour confirmer que vous avez atteint le bon service et que rien n'a été modifié en chemin. Certains sites onion utilisent encore HTTPS, que Tor Browser affiche dans la barre d'adresse.

Comme le service n'établit que des connexions sortantes, il n'a besoin d'aucun port ouvert sur son hôte : il traverse le NAT. Un serveur derrière un pare-feu qui bloque les connexions entrantes peut quand même publier un service onion.

Combien d'hébergeurs de VPS publient une adresse onion ?

Peu. Selon l'enquête de Gloamport du 10 novembre 2026, 10 des 42 hébergeurs actifs publient une adresse .onion officielle pour leur propre site : Njalla, FlokiNET, Privex, PrivateAlps, Servury, Servers.Guru, MyNymBox, NiceVPS, Kyun et DarkVPS. L'enquête ne compte que les adresses que l'hébergeur publie lui-même.

L'adresse onion d'un hébergeur protège la connexion à son site web et à ses pages de facturation. C'est une question distincte de savoir si vous pouvez faire tourner votre propre service onion sur l'un de ses serveurs, ce que traite la section suivante. Pour les autres critères qui rendent un hébergeur adapté à un besoin de confidentialité, lisez Qu'est-ce qui rend un VPS axé sur la confidentialité ?.

Comment faire tourner un service onion sur un VPS ?

Vous installez Tor sur le serveur et ajoutez deux lignes à sa configuration. La page de mise en place du Projet Tor les donne pour un serveur web sur le port 80 :

HiddenServiceDir /var/lib/tor/my-website/
HiddenServicePort 80 127.0.0.1:80

Que ne protège pas un service onion ?

Un service onion ne protège pas le contenu d'un serveur mal configuré. La page de mise en place du Projet Tor demande aux opérateurs de configurer le serveur web de sorte qu'il ne révèle ni l'adresse IP du serveur ni d'autres détails d'identification.

Il ne change pas non plus la façon dont vous payez le serveur. Monero retire un paiement du registre public, mais pas de votre compte : Gloamport relie toujours vos commandes, les adresses IP de vos VPS et l'identifiant de transaction que vous déclarez à votre numéro de compte. Pour le côté paiement, lisez Qu'est-ce que le KYC dans l'hébergement de VPS, et pourquoi les hébergeurs demandent-ils une pièce d'identité ?.