Che cos'è un servizio onion, e come funziona?

Che cos'è un servizio onion?

Un servizio onion è un servizio, come un sito web, raggiungibile solo sulla rete Tor. Le pagine di supporto del Tor Project dicono che nasconde la posizione e l'indirizzo IP del servizio, il che rende più difficile censurarlo o risalire al suo gestore. I servizi onion erano chiamati in precedenza hidden services.

L'indirizzo è l'identità del servizio. Il Tor Project descrive l'indirizzo onion come la chiave pubblica di identità del servizio, ed è per questo che sembra casuale. Gli indirizzi versione 3 sono 56 lettere e numeri seguiti da .onion; i vecchi indirizzi versione 2, di 16 caratteri, non funzionano più sulla rete Tor.

Come funziona una connessione a un servizio onion?

Un client e un servizio onion non si collegano mai direttamente: si incontrano su un relay che entrambi raggiungono tramite Tor. Il Tor Project descrive cinque passaggi.

1. Punti di introduzione. Il servizio sceglie diversi relay, costruisce circuiti a tre salti di lunga durata verso di loro e chiede di fungere da punti di introduzione.
2. Descrittore. Il servizio scrive un descrittore che elenca i suoi punti di introduzione e le sue chiavi, lo firma con la chiave privata dietro il suo indirizzo e lo carica in una tabella hash distribuita all'interno della rete Tor.
3. Ricerca. Il client recupera il descrittore tramite l'indirizzo e verifica la firma rispetto alla chiave pubblica che è l'indirizzo.
4. Punto di incontro. Il client costruisce un circuito verso un relay di sua scelta, il punto di incontro (rendezvous), e gli affida un segreto monouso. Invia i suoi dettagli al servizio tramite un punto di introduzione.
5. Incontro. Il servizio si collega al punto di incontro sul proprio circuito e presenta il segreto. Il punto di incontro inoltra il traffico cifrato end-to-end tra i due.

La connessione completa consta di sei relay: tre scelti dal client, che terminano al punto di incontro, e tre scelti dal servizio. Il Tor Project afferma che l'indirizzo IP del servizio è protetto e che gli indirizzi IP non sono nemmeno usati nel protocollo.

Perché un indirizzo onion basta senza HTTPS?

Un indirizzo onion basta perché l'indirizzo stesso è un controllo crittografico. La pagina di supporto del Tor Project dice che tutto il traffico tra gli utenti Tor e i servizi onion è cifrato end-to-end, e che l'indirizzo usa la crittografia per confermare che si è raggiunto il servizio previsto e che nulla è stato alterato lungo il percorso. Alcuni siti onion usano comunque HTTPS, che Tor Browser mostra nella barra degli indirizzi.

Poiché il servizio effettua solo connessioni in uscita, non ha bisogno di alcuna porta aperta sul proprio host: attraversa il NAT. Un server dietro un firewall che blocca le connessioni in ingresso può comunque pubblicare un servizio onion.

Quanti host VPS pubblicano un indirizzo onion?

Pochi. Secondo il sondaggio di Gloamport del 10 novembre 2026, 10 dei 42 host attivi pubblicano un indirizzo .onion ufficiale per il proprio sito: Njalla, FlokiNET, Privex, PrivateAlps, Servury, Servers.Guru, MyNymBox, NiceVPS, Kyun e DarkVPS. Il sondaggio conta solo gli indirizzi che l'host pubblica da sé.

L'indirizzo onion di un host protegge la connessione al suo sito web e alle sue pagine di fatturazione. È una questione diversa dal poter far girare un servizio onion proprio su uno dei suoi server, che è ciò che tratta la sezione successiva. Per gli altri criteri che rendono un host adatto a un'esigenza di privacy, legga Che cosa rende un VPS orientato alla privacy?.

Come si fa girare un servizio onion su un VPS?

Si installa Tor sul server e si aggiungono due righe alla sua configurazione. La pagina di configurazione del Tor Project le riporta per un server web sulla porta 80:

HiddenServiceDir /var/lib/tor/my-website/
HiddenServicePort 80 127.0.0.1:80

Che cosa non protegge un servizio onion?

Un servizio onion non protegge il contenuto di un server configurato male. La pagina di configurazione del Tor Project chiede agli operatori di configurare il server web in modo che non riveli l'indirizzo IP del server né altri dettagli identificativi.

Non cambia nemmeno il modo in cui paga il server. Monero tiene un pagamento fuori dal registro pubblico, ma non fuori dal suo account: Gloamport collega comunque i suoi ordini, gli indirizzi IP dei suoi VPS e l'ID di transazione che lei dichiara al proprio numero di account. Per il lato del pagamento, legga Che cos'è il KYC nell'hosting VPS, e perché gli host chiedono un documento?.