Що таке onion-сервіс і як він працює?

Що таке onion-служба?

Onion-сервіс — це сервіс, наприклад вебсайт, до якого можна дістатися лише через мережу Tor. Сторінки підтримки Tor Project кажуть, що він приховує місцезнаходження та IP-адресу сервісу, що ускладнює цензуру або відстеження до його оператора. Onion-сервіси раніше називалися прихованими сервісами.

Адреса є ідентичністю сервісу. Tor Project описує onion-адресу як публічний ідентифікаційний ключ сервісу, тому вона виглядає випадковою. Адреси третьої версії мають 56 літер і цифр, за якими йде .onion; старі 16-символьні адреси другої версії в мережі Tor більше не працюють.

Як відбувається з'єднання з onion-сервісом?

Клієнт і onion-сервіс ніколи не з'єднуються напряму: вони зустрічаються на ретрансляторі, до якого обоє дістаються через Tor. Tor Project описує п'ять кроків.

1. Точки введення. Сервіс обирає кілька ретрансляторів, будує до них довготривалі ланцюжки з трьох стрибків і просить їх діяти як точки введення.
2. Дескриптор. Сервіс пише дескриптор, який перелічує його точки введення і ключі, підписує його приватним ключем, що стоїть за його адресою, і завантажує в розподілену хеш-таблицю всередині мережі Tor.
3. Пошук. Клієнт отримує дескриптор за адресою і перевіряє підпис за публічним ключем, який і є адресою.
4. Точка зустрічі. Клієнт будує ланцюжок до обраного ним ретранслятора, точки зустрічі, і дає йому одноразовий секрет. Він надсилає свої дані сервісу через точку введення.
5. Зустріч. Сервіс під'єднується до точки зустрічі власним ланцюжком і пред'являє секрет. Точка зустрічі передає наскрізно зашифрований трафік між ними.

Повне з'єднання складається з шести ретрансляторів: трьох, обраних клієнтом, які закінчуються на точці зустрічі, і трьох, обраних сервісом. Tor Project стверджує, що IP-адреса сервісу захищена і що IP-адреси в протоколі навіть не використовуються.

Чому onion-адреси достатньо без HTTPS?

Onion-адреси достатньо, бо сама адреса є криптографічною перевіркою. Сторінка підтримки Tor Project каже, що весь трафік між користувачами Tor і onion-сервісами наскрізно зашифрований, а адреса за допомогою криптографії підтверджує, що ви потрапили в потрібний сервіс і що по дорозі нічого не змінено. Деякі onion-сайти все одно використовують HTTPS, який Tor Browser показує в адресному рядку.

Оскільки сервіс лише здійснює вихідні з'єднання, йому також не потрібен відкритий порт на хості: він проходить через NAT. Сервер за брандмауером, який блокує вхідні з'єднання, все одно може опублікувати onion-сервіс.

Скільки хостингів VPS публікують onion-адресу?

Небагато. За опитуванням Gloamport серед 10 листопада 2026 р., 10 з 42 активних хостингів публікують офіційну .onion-адресу для свого сайту: Njalla, FlokiNET, Privex, PrivateAlps, Servury, Servers.Guru, MyNymBox, NiceVPS, Kyun і DarkVPS. Опитування враховує лише адреси, які хостинг публікує сам.

Onion-адреса хостингу захищає з'єднання з його вебсайтом і сторінками білінгу. Це окреме питання від того, чи можна запустити власний onion-сервіс на одному з його серверів, що розглядає наступний розділ. Інші критерії, що роблять хостинг придатним для потреби приватності, — на Що робить VPS орієнтованим на приватність?.

Як запустити onion-сервіс на VPS?

Ви встановлюєте Tor на сервері і додаєте два рядки до його конфігурації. Сторінка налаштування Tor Project наводить їх для вебсервера на порту 80:

HiddenServiceDir /var/lib/tor/my-website/
HiddenServicePort 80 127.0.0.1:80

Чого onion-сервіс не захищає?

Onion-сервіс не захищає вміст погано налаштованого сервера. Сторінка налаштування Tor Project каже операторам налаштовувати вебсервер так, щоб він не розкривав IP-адресу сервера або інші ідентифікувальні дані.

Він також не змінює того, як ви платите за сервер. Monero залишає платіж поза публічним реєстром, але не поза вашим обліковим записом: Gloamport і далі пов’язує ваші замовлення, IP-адреси вашого VPS і ідентифікатор транзакції (TXID), який ви вказали для свого номера облікового запису. Про сторону оплати читайте Що таке KYC у хостингу VPS і навіщо хостинги запитують документ?.