O que é um serviço onion, e como ele funciona?

O que é um serviço onion?

Um serviço onion é um serviço, como um site, que só pode ser acessado pela rede Tor. As páginas de suporte do Tor Project dizem que ele oculta a localização e o endereço IP do serviço, o que dificulta a censura ou o rastreamento até o operador. Serviços onion eram antes chamados de serviços ocultos.

O endereço é a identidade do serviço. O Tor Project descreve o endereço onion como a chave pública de identidade do serviço, por isso ele parece aleatório. Endereços versão 3 têm 56 letras e números seguidos de .onion; os endereços antigos de versão 2, com 16 caracteres, não funcionam mais na rede Tor.

Como funciona uma conexão com um serviço onion?

Cliente e serviço onion nunca se conectam diretamente: eles se encontram em um relé que ambos alcançam pela Tor. O Tor Project descreve cinco passos.

1. Pontos de introdução. O serviço escolhe vários relés, constrói circuitos de três saltos de longo prazo até eles e pede que atuem como pontos de introdução.
2. Descritor. O serviço escreve um descritor que lista seus pontos de introdução e chaves, assina-o com a chave privada por trás do seu endereço e o publica em uma tabela hash distribuída dentro da rede Tor.
3. Busca. O cliente obtém o descritor pelo endereço e confere a assinatura com a chave pública que é o próprio endereço.
4. Ponto de encontro. O cliente constrói um circuito até um relé de sua escolha, o ponto de encontro, e lhe entrega um segredo de uso único. Ele envia seus dados ao serviço por um ponto de introdução.
5. Encontro. O serviço se conecta ao ponto de encontro por seu próprio circuito e apresenta o segredo. O ponto de encontro retransmite o tráfego criptografado ponta a ponta entre os dois.

A conexão completa consiste em seis relés: três escolhidos pelo cliente, terminando no ponto de encontro, e três escolhidos pelo serviço. O Tor Project afirma que o endereço IP do serviço é protegido e que endereços IP nem são usados no protocolo.

Por que um endereço onion basta sem HTTPS?

Um endereço onion basta porque o próprio endereço é uma verificação criptográfica. A página de suporte do Tor Project diz que todo o tráfego entre usuários da Tor e serviços onion é criptografado ponta a ponta, e que o endereço usa criptografia para confirmar que você chegou ao serviço pretendido e que nada foi alterado no caminho. Alguns sites onion ainda usam HTTPS, que o Tor Browser mostra na barra de endereços.

Como o serviço faz apenas conexões de saída, ele também não precisa de porta aberta no host: ele atravessa o NAT. Um servidor atrás de um firewall que bloqueia conexões de entrada ainda pode publicar um serviço onion.

Quantos hosts de VPS publicam um endereço onion?

Poucos. Segundo o levantamento da Gloamport sobre 10 de novembro de 2026, 10 dos 42 hosts ativos publicam um endereço .onion oficial para o próprio site: Njalla, FlokiNET, Privex, PrivateAlps, Servury, Servers.Guru, MyNymBox, NiceVPS, Kyun e DarkVPS. O levantamento conta apenas os endereços que o próprio host publica.

O endereço onion de um host protege a conexão com o site e as páginas de cobrança do host. É uma questão separada de saber se você mesmo pode rodar um serviço onion em um dos servidores dele, que é o que a próxima seção trata. Para os outros critérios que tornam um host adequado a uma necessidade de privacidade, leia O que torna uma VPS focada em privacidade?.

Como rodar um serviço onion em uma VPS?

Você instala a Tor no servidor e acrescenta duas linhas à configuração. A página de configuração do Tor Project as dá para um servidor web na porta 80:

HiddenServiceDir /var/lib/tor/my-website/
HiddenServicePort 80 127.0.0.1:80

O que um serviço onion não protege?

Um serviço onion não protege o conteúdo de um servidor mal configurado. A página de configuração do Tor Project orienta os operadores a configurar o servidor web para que ele não revele o endereço IP do servidor nem outros detalhes identificadores.

Ele também não muda a forma como você paga pelo servidor. O Monero tira um pagamento do registro público, mas não da sua conta: a Gloamport ainda vincula seus pedidos, os endereços IP dos seus VPS e o ID da transação que você declara ao seu número de conta. Para o lado do pagamento, leia O que é KYC em hospedagem de VPS, e por que os hosts pedem documento?.