Cos'è un nodo di uscita Tor, e devo bloccarlo?
Hai cercato un indirizzo dei tuoi log e la risposta è stata: nodo di uscita Tor. Suona allarmante. In realtà significa soprattutto che hai scoperto dove finisce la traccia.
Come Tor nasconde un indirizzo
Tor Browser fa passare ogni connessione attraverso tre relay gestiti da volontari in tutto il mondo. Il primo sa chi è l'utente ma non dove sta andando. L'ultimo, il nodo di uscita, conosce la destinazione ma non chi l'ha chiesta. Il tuo sito parla con il nodo di uscita, quindi nel tuo log c'è il suo indirizzo.
Ne derivano due conseguenze, e contano più di ogni altra cosa in questa guida:
- Un indirizzo di uscita non è una persona. Centinaia di persone senza alcun legame possono usare lo stesso nodo in un'ora. Bloccarlo le blocca tutte; identificare “la persona dietro” dal tuo lato è impossibile per come è progettato Tor.
- La stessa persona può arrivare da molti nodi. Tor cambia circuito regolarmente, quindi bloccare un indirizzo di uscita ferma una connessione, e la successiva arriva da un'altra parte.
Non tutti i relay sono nodi di uscita, e i nodi di uscita non consentono tutti lo stesso traffico: ogni gestore stabilisce una exit policy, e molti relay non consentono affatto l'uscita. Per questo, per i tuoi log conta solo la lista dei nodi di uscita.
Come capire se un indirizzo è un nodo di uscita Tor
Il Tor Project pubblica gli indirizzi di uscita attuali come semplice lista, uno per riga, su check.torproject.org/torbulkexitlist. iplover la scarica ogni tre ore e confronta gli indirizzi sul nostro server. Per una data passata, il servizio ExoneraTor del Tor Project dice se un indirizzo era un relay Tor in un certo giorno, ed è la domanda giusta da porsi per una vecchia riga di log.
Un esempio concreto: chi tenta le password via Tor
Quattro righe dal log degli accessi di un WordPress, a otto secondi di distanza:
185.220.101.1 - - [05/Nov/2026:09:31:07 +0000] "POST /wp-login.php HTTP/1.1" 200 6832 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"
185.220.101.1 - - [05/Nov/2026:09:31:09 +0000] "POST /wp-login.php HTTP/1.1" 200 6832 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"
185.220.101.1 - - [05/Nov/2026:09:31:12 +0000] "POST /xmlrpc.php HTTP/1.1" 200 4272 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"
185.220.101.1 - - [05/Nov/2026:09:31:15 +0000] "POST /wp-login.php HTTP/1.1" 200 6832 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"Il lookup IP di iplover per 185.220.101.1 ha restituito questo il 9 novembre 2026:
| Verdetto | Nodo di uscita Tor Questo è un nodo di uscita Tor. |
|---|---|
| Perché | Trovato nella lista dei nodi di uscita del Tor Project. “Il traffico da questo indirizzo arriva da persone che usano la rete Tor per nascondere da dove si collegano. Non è l'indirizzo della persona che c'è dietro.” |
| DNS inverso | berlin01.tor-exit.artikel10.org, confermato in avanti |
| Rete | Artikel10 e.V., RIPE NCC (AS60729), Germania |
| Contatto abusi | abuse@artikel10.org |
Leggi il nome inverso: il gestore dichiara apertamente che la macchina è un nodo di uscita Tor. I grandi nodi di uscita sono spesso gestiti da associazioni senza scopo di lucro come questa, che dicono chi sono e rispondono alle segnalazioni di abuso, anche se non possono dirti quale utente ha inviato una richiesta.
Quanto alle quattro richieste: sono tentativi di password, e sono falliti tutti (un login WordPress fallito restituisce di nuovo la pagina di accesso con stato 200; uno riuscito reindirizza con 302). Bloccare questo nodo fermerebbe queste quattro. Il gruppo successivo arriverebbe da un altro nodo, o da un server cloud. La soluzione utile è la stessa di qualsiasi tentativo di password: password robuste, autenticazione a due fattori e limiti di frequenza sulla pagina di login.
Conviene bloccare Tor?
Vale la pena ripetere il consiglio del Tor Project ai gestori di siti: alcuni degli utenti Tor che raggiungono il tuo servizio in questo momento possono essere del tutto legittimi. Giornalisti, persone in paesi che censurano il web, chi vuole evitare il tracciamento e ricercatori di sicurezza lo usano. Se valga la pena perderli dipende dal tuo sito:
| La tua situazione | Scelta sensata | Perché |
|---|---|---|
| Blog, notizie, documentazione, informazioni pubbliche | Non bloccare | Leggere è innocuo, e questi lettori hanno spesso buoni motivi per usare Tor. |
| Tentativi di password sulla pagina di login | Limita la frequenza e aggiungi la 2FA per tutti | Chi tenta cambia nodo e rete; la soluzione deve stare sul login stesso. |
| Frodi su registrazioni o pagamenti | Aggiungi attrito per Tor: verifiche extra, revisione manuale, una sfida | Lascia possibili gli utenti veri e alza il costo degli abusi. |
| Spam nei commenti o nei moduli | Sfida o modera, invece di bloccare | Lo spam arriva da ovunque; Tor ne è raramente la parte principale. |
| Pannelli di amministrazione, strumenti interni | Consenti solo indirizzi noti o una VPN | Dovrebbero essere chiusi a tutta internet, non solo a Tor. |
| Un obbligo legale o contrattuale di conoscere il paese dell'utente | Blocca o limita Tor, e dillo sulla pagina | Con Tor la posizione è inconoscibile per progetto. |
Se decidi di limitare Tor, la lista dei nodi di uscita è l'unica fonte affidabile e cambia di continuo, quindi usala in modo automatico invece di incollare indirizzi in un file di configurazione. Alcune CDN lo fanno per te: Cloudflare, per esempio, etichetta i visitatori Tor con il codice paese speciale T1, così puoi trattarli in modo diverso invece di bloccarli in blocco.
Cosa un nodo Tor non può dirti
Vedere un nodo di uscita Tor ti dice che il visitatore ha scelto la privacy. Non ti dice chi è, dove si trova o se ha cattive intenzioni, e niente dal tuo lato può scoprirlo. Giudica la richiesta, non la rete: quattro tentativi di password sono un problema da qualsiasi indirizzo, e una normale visualizzazione di pagina non lo è, nemmeno da Tor.
Fonti
Documenti ufficiali usati per verificare i fatti di questa guida.