¿Qué es un nodo de salida de Tor, y debería bloquearlo?
Buscaste una dirección de tus logs y la respuesta fue: nodo de salida de Tor. Suena alarmante. Sobre todo significa que has descubierto dónde termina el rastro.
Cómo esconde Tor una dirección
Tor Browser hace pasar cada conexión por tres relés gestionados por voluntarios de todo el mundo. El primero sabe quién es el usuario, pero no adónde va. El último, el de salida, conoce el destino, pero no quién lo pidió. Tu web habla con el nodo de salida, así que en tu log aparece su dirección.
De ahí salen dos consecuencias, y pesan más que cualquier otra cosa de esta guía:
- Una dirección de salida no es una persona. Cientos de personas sin relación pueden usar el mismo nodo en una hora. Bloquearlo las bloquea a todas; identificar «a la persona de detrás» desde tu lado es imposible por diseño.
- La misma persona puede llegar desde muchos nodos. Tor cambia de circuito con regularidad, así que bloquear una dirección de salida frena una conexión, y la siguiente llega desde otro sitio.
No todos los relés son nodos de salida, y no todos los nodos de salida permiten el mismo tráfico: cada operador fija una política de salida, y muchos relés no permiten salir en absoluto. Por eso, para tus logs solo cuenta la lista de nodos de salida.
Cómo saber si una dirección es un nodo de salida de Tor
El Tor Project publica las direcciones de salida actuales como una lista simple, una por línea, en check.torproject.org/torbulkexitlist. iplover la descarga cada tres horas y compara las direcciones con ella en nuestro servidor. Para una fecha pasada, el servicio ExoneraTor del Tor Project dice si una dirección fue un relé de Tor un día concreto, que es la pregunta adecuada para una línea de log antigua.
Un ejemplo real: alguien probando contraseñas a través de Tor
Cuatro líneas del log de accesos de un WordPress, con ocho segundos de diferencia:
185.220.101.1 - - [05/Nov/2026:09:31:07 +0000] "POST /wp-login.php HTTP/1.1" 200 6832 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"
185.220.101.1 - - [05/Nov/2026:09:31:09 +0000] "POST /wp-login.php HTTP/1.1" 200 6832 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"
185.220.101.1 - - [05/Nov/2026:09:31:12 +0000] "POST /xmlrpc.php HTTP/1.1" 200 4272 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"
185.220.101.1 - - [05/Nov/2026:09:31:15 +0000] "POST /wp-login.php HTTP/1.1" 200 6832 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"La búsqueda de IP de iplover devolvió esto para 185.220.101.1 el 9 de noviembre de 2026:
| Veredicto | Nodo de salida de Tor Esto es un nodo de salida de Tor. |
|---|---|
| Por qué | Encontrada en la lista de nodos de salida del Tor Project. «El tráfico de esta dirección viene de personas que usan la red Tor para ocultar desde dónde se conectan. No es la dirección de la persona que está detrás.» |
| DNS inverso | berlin01.tor-exit.artikel10.org, confirmado en sentido directo |
| Red | Artikel10 e.V., RIPE NCC (AS60729), Alemania |
| Contacto de abusos | abuse@artikel10.org |
Fíjate en el nombre inverso: el operador dice abiertamente que la máquina es un nodo de salida de Tor. Los grandes nodos de salida los gestionan a menudo asociaciones sin ánimo de lucro como esta, que dicen quiénes son y responden a los avisos de abuso, aunque no pueden decirte qué usuario envió una petición.
En cuanto a las cuatro peticiones: son intentos de contraseña, y fallaron todos (un acceso fallido a WordPress devuelve otra vez la página de acceso con estado 200; uno correcto redirige con 302). Bloquear este nodo pararía estas cuatro. La siguiente tanda llegaría desde otro nodo, o desde un servidor en la nube. La solución útil es la misma que ante cualquier ataque de contraseñas: contraseñas robustas, autenticación en dos pasos y límites de frecuencia en la página de acceso.
¿Conviene bloquear Tor?
Merece la pena repetir el consejo del Tor Project a quienes gestionan webs: algunos de los usuarios de Tor que llegan ahora mismo a tu servicio pueden ser totalmente legítimos. Periodistas, personas en países que censuran internet, gente que quiere evitar el rastreo e investigadores de seguridad lo usan. Que compense perderlos depende de tu web:
| Tu situación | Opción sensata | Por qué |
|---|---|---|
| Blog, noticias, documentación, información pública | No bloquear | Leer es inofensivo, y estos lectores suelen tener buenos motivos para usar Tor. |
| Intentos de contraseña en tu página de acceso | Limita la frecuencia y añade 2FA para todos | Quien prueba contraseñas cambia de nodo y de red; la solución tiene que estar en el propio acceso. |
| Fraude en registros o pagos | Añade fricción para Tor: verificación extra, revisión manual, un desafío | Mantiene posible a la gente real y encarece el abuso. |
| Spam en comentarios o formularios | Desafío o moderación en vez de bloqueo | El spam llega de todas partes; Tor rara vez es la mayor parte. |
| Paneles de administración, herramientas internas | Permite solo direcciones conocidas o una VPN | Deberían estar cerrados a todo internet, no solo a Tor. |
| Una obligación legal o contractual de conocer el país del usuario | Bloquea o restringe Tor, y dilo en la página | Con Tor la ubicación es imposible de saber por diseño. |
Si restringes Tor, la lista de nodos de salida es la única fuente fiable y cambia constantemente, así que úsala de forma automática en vez de pegar direcciones en un archivo de configuración. Algunas CDN lo hacen por ti: Cloudflare, por ejemplo, marca a los visitantes de Tor con el código de país especial T1, para que puedas tratarlos de otra manera en lugar de bloquearlos sin más.
Lo que un nodo de Tor no puede decirte
Ver un nodo de salida de Tor te dice que el visitante eligió privacidad. No te dice quién es, dónde está ni si tiene malas intenciones, y nada desde tu lado puede averiguarlo. Juzga la petición, no la red: cuatro intentos de contraseña son un problema desde cualquier dirección, y una visita normal a una página no lo es, ni siquiera desde Tor.
Fuentes
Documentos oficiales que usamos para comprobar los datos de esta guía.