Qu'est-ce qu'un nœud de sortie Tor, et faut-il le bloquer ?
Vous avez recherché une adresse de vos logs et la réponse est tombée : nœud de sortie Tor. Ça a l'air inquiétant. Surtout, cela signifie que vous savez maintenant où la piste s'arrête.
Comment Tor cache une adresse
Tor Browser fait passer chaque connexion par trois relais gérés par des bénévoles dans le monde entier. Le premier sait qui est l'utilisateur, mais pas où il va. Le dernier, la sortie, connaît la destination, mais pas qui l'a demandée. Votre site parle à la sortie : c'est donc son adresse qui figure dans votre log.
Il en découle deux conséquences, plus importantes que tout le reste de ce guide :
- Une adresse de sortie n'est pas une personne. Des centaines de personnes sans lien entre elles peuvent utiliser la même sortie en une heure. La bloquer les bloque toutes ; identifier « la personne derrière » depuis votre côté est impossible par conception.
- La même personne peut arriver par de nombreuses sorties. Tor choisit régulièrement de nouveaux circuits : bloquer une adresse de sortie arrête une connexion, et la suivante arrive d'ailleurs.
Tous les relais ne sont pas des sorties, et les sorties n'autorisent pas toutes le même trafic : chaque opérateur de relais fixe une politique de sortie, et beaucoup de relais n'autorisent aucune sortie. C'est pourquoi seule la liste des sorties compte pour vos logs.
Comment savoir qu'une adresse est une sortie Tor
Le Tor Project publie les adresses de sortie actuelles sous forme de simple liste, une par ligne, sur check.torproject.org/torbulkexitlist. iplover la télécharge toutes les trois heures et y compare les adresses sur notre serveur. Pour une date passée, le service ExoneraTor du Tor Project indique si une adresse était un relais Tor un jour donné : c'est la question à poser pour une ancienne ligne de log.
Un exemple concret : un devineur de mots de passe sur Tor
Quatre lignes d'un log d'accès WordPress, en huit secondes :
185.220.101.1 - - [05/Nov/2026:09:31:07 +0000] "POST /wp-login.php HTTP/1.1" 200 6832 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"
185.220.101.1 - - [05/Nov/2026:09:31:09 +0000] "POST /wp-login.php HTTP/1.1" 200 6832 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"
185.220.101.1 - - [05/Nov/2026:09:31:12 +0000] "POST /xmlrpc.php HTTP/1.1" 200 4272 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"
185.220.101.1 - - [05/Nov/2026:09:31:15 +0000] "POST /wp-login.php HTTP/1.1" 200 6832 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"La recherche IP d'iplover pour 185.220.101.1 a renvoyé ceci le 9 novembre 2026 :
| Verdict | Nœud de sortie Tor C'est un nœud de sortie Tor. |
|---|---|
| Pourquoi | Trouvée dans la liste des sorties du Tor Project. « Le trafic de cette adresse vient de personnes qui utilisent le réseau Tor pour cacher d'où elles se connectent. Ce n'est pas l'adresse de la personne qui se trouve derrière. » |
| DNS inverse | berlin01.tor-exit.artikel10.org, confirmé dans le sens direct |
| Réseau | Artikel10 e.V., RIPE NCC (AS60729), Allemagne |
| Contact abus | abuse@artikel10.org |
Lisez le nom inverse : l'opérateur présente ouvertement la machine comme une sortie Tor. Les grosses sorties sont souvent gérées par des associations comme celle-ci, qui disent qui elles sont et répondent aux signalements d'abus, même si elles ne peuvent pas vous dire quel utilisateur a envoyé une requête.
Quant aux quatre requêtes : ce sont des essais de mots de passe, et tous ont échoué (une connexion WordPress ratée renvoie la page de connexion avec le statut 200 ; une connexion réussie redirige avec un 302). Bloquer cette sortie arrêterait ces quatre-là. La salve suivante viendrait d'une autre sortie, ou d'un serveur cloud. La solution utile est la même que pour tout essai de mots de passe : des mots de passe solides, l'authentification à deux facteurs et une limite de tentatives sur la page de connexion.
Faut-il bloquer Tor ?
Le conseil du Tor Project aux gestionnaires de sites mérite d'être répété : certains des utilisateurs de Tor qui accèdent à votre service en ce moment sont peut-être parfaitement légitimes. Journalistes, personnes vivant dans des pays qui censurent le web, gens qui évitent le pistage, chercheurs en sécurité : tous l'utilisent. Savoir si bloquer vaut la peine de les perdre dépend de votre site :
| Votre situation | Choix raisonnable | Pourquoi |
|---|---|---|
| Blog, actualités, documentation, information publique | Ne pas bloquer | Lire est inoffensif, et ces lecteurs ont souvent de bonnes raisons d'utiliser Tor. |
| Essais de mots de passe sur votre page de connexion | Limiter les tentatives et ajouter la 2FA pour tout le monde | Les devineurs changent de sortie et de réseau ; la solution doit porter sur la connexion elle-même. |
| Fraude aux inscriptions ou aux paiements | Ajouter des obstacles pour Tor : vérification supplémentaire, contrôle manuel, défi | Les vrais utilisateurs restent possibles, et l'abus coûte plus cher. |
| Spam dans les commentaires ou les formulaires | Défi ou modération, plutôt que blocage | Le spam vient de partout ; Tor en représente rarement l'essentiel. |
| Interfaces d'administration, outils internes | N'autoriser que des adresses connues ou un VPN | Elles devraient être fermées à tout internet, pas seulement à Tor. |
| Une raison légale ou contractuelle de connaître le pays d'un utilisateur | Bloquer ou restreindre Tor, et le dire sur la page | Tor rend la localisation impossible à connaître, par conception. |
Si vous restreignez Tor, la liste des sorties est la seule source fiable, et elle change sans cesse : utilisez-la de façon automatique plutôt que de coller des adresses dans un fichier de configuration. Certains CDN le font pour vous : Cloudflare, par exemple, étiquette les visiteurs Tor avec le code pays spécial T1, ce qui permet de les traiter différemment au lieu de les bloquer purement et simplement.
Ce qu'une sortie Tor ne peut pas vous dire
Voir une sortie Tor vous apprend que le visiteur a choisi la confidentialité. Cela ne vous dit pas qui il est, où il est, ni s'il a de mauvaises intentions, et rien de votre côté ne permet de le savoir. Jugez la requête, pas le réseau : quatre essais de mots de passe sont un problème quelle que soit l'adresse, et une simple consultation de page n'en est pas un, même depuis Tor.
Sources
Documents officiels utilisés pour vérifier les faits de ce guide.