O que é um nó de saída do Tor, e devo bloqueá-lo?
Você consultou um endereço dos seus logs e veio a resposta: nó de saída do Tor. Parece alarmante. Na maior parte das vezes, só quer dizer que você descobriu onde a trilha termina.
Como o Tor esconde um endereço
O Tor Browser manda cada conexão por três relays mantidos por voluntários no mundo todo. O primeiro sabe quem é o usuário, mas não para onde ele vai. O último, a saída, conhece o destino, mas não quem pediu. O seu site conversa com a saída, então é o endereço dela que aparece no seu log.
Daí vêm duas consequências, mais importantes do que qualquer outra coisa neste guia:
- Um endereço de saída não é uma pessoa. Centenas de pessoas sem relação entre si podem usar a mesma saída em uma hora. Bloqueá-la bloqueia todas; identificar “a pessoa por trás” do seu lado é impossível, por definição.
- A mesma pessoa pode chegar por muitas saídas. O Tor escolhe circuitos novos com frequência, então bloquear um endereço de saída para uma conexão, e a próxima chega de outro lugar.
Nem todo relay é uma saída, e as saídas não permitem todas o mesmo tráfego: cada operador de relay define uma política de saída, e muitos relays não permitem saída nenhuma. Por isso, para os seus logs, só a lista de saídas importa.
Como saber se um endereço é uma saída do Tor
O Tor Project publica os endereços de saída atuais numa lista simples, um por linha, em check.torproject.org/torbulkexitlist. O iplover baixa essa lista a cada três horas e compara os endereços com ela no nosso servidor. Para uma data passada, o serviço ExoneraTor do Tor Project diz se um endereço era um relay do Tor num determinado dia, que é a pergunta certa para uma linha de log antiga.
Um exemplo real: um adivinhador de senhas no Tor
Quatro linhas de um log de acesso do WordPress, em oito segundos:
185.220.101.1 - - [05/Nov/2026:09:31:07 +0000] "POST /wp-login.php HTTP/1.1" 200 6832 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"
185.220.101.1 - - [05/Nov/2026:09:31:09 +0000] "POST /wp-login.php HTTP/1.1" 200 6832 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"
185.220.101.1 - - [05/Nov/2026:09:31:12 +0000] "POST /xmlrpc.php HTTP/1.1" 200 4272 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"
185.220.101.1 - - [05/Nov/2026:09:31:15 +0000] "POST /wp-login.php HTTP/1.1" 200 6832 "-" "Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0"A consulta de IP do iplover para 185.220.101.1 devolveu isto em 9 de novembro de 2026:
| Veredito | Nó de saída do Tor Este é um nó de saída do Tor. |
|---|---|
| Por quê | Encontrado na lista de saídas do Tor Project. “O tráfego deste endereço vem de pessoas que usam a rede Tor para esconder de onde se conectam. Não é o endereço da pessoa por trás.” |
| DNS reverso | berlin01.tor-exit.artikel10.org, confirmado na direção direta |
| Rede | Artikel10 e.V., RIPE NCC (AS60729), Alemanha |
| Contato de abuso | abuse@artikel10.org |
Repare no nome reverso: o operador chama a máquina abertamente de saída do Tor. As saídas grandes muitas vezes são mantidas por organizações sem fins lucrativos como esta, que dizem quem são e respondem a denúncias de abuso, mesmo sem poder dizer qual usuário mandou uma requisição.
Quanto às quatro requisições: são palpites de senha, e todos falharam (um login falho no WordPress devolve de novo a página de login com status 200; um login bem-sucedido redireciona com 302). Bloquear essa saída pararia essas quatro. A próxima leva viria de outra saída, ou de um servidor de nuvem. A correção útil é a mesma de qualquer adivinhação de senha: senhas fortes, autenticação de dois fatores e limite de tentativas na página de login.
Você deve bloquear o Tor?
Vale repetir o conselho do próprio Tor Project aos operadores de sites: alguns dos usuários do Tor que estão acessando o seu serviço agora podem ser totalmente legítimos. Jornalistas, pessoas em países que censuram a web, gente que evita rastreamento e pesquisadores de segurança, todos usam o Tor. Se vale perder essas pessoas com um bloqueio, depende do seu site:
| A sua situação | Escolha sensata | Por quê |
|---|---|---|
| Blog, notícias, documentação, informação pública | Não bloquear | Ler é inofensivo, e esses leitores muitas vezes têm bons motivos para usar o Tor. |
| Adivinhação de senhas na sua página de login | Limitar tentativas e adicionar 2FA para todos | Os adivinhadores trocam de saída e de rede; a correção precisa estar no próprio login. |
| Fraude em cadastros ou pagamentos | Adicionar atrito para o Tor: verificação extra, revisão manual, um desafio | Mantém possível o acesso de quem é legítimo e deixa o abuso mais caro. |
| Spam em comentários ou formulários | Desafiar ou moderar, em vez de bloquear | O spam vem de todo lugar; o Tor raramente é a maior parte dele. |
| Painéis de administração, ferramentas internas | Liberar só endereços conhecidos ou uma VPN | Eles deveriam estar fechados para a internet inteira, não só para o Tor. |
| Um motivo legal ou contratual para saber o país do usuário | Bloquear ou restringir o Tor, e dizer isso na página | O Tor torna a localização impossível de saber, por definição. |
Se você restringir o Tor, a lista de saídas é a única fonte confiável, e ela muda o tempo todo, então use-a de forma automática em vez de colar endereços num arquivo de configuração. Algumas CDNs fazem isso por você: a Cloudflare, por exemplo, marca os visitantes do Tor com o código de país especial T1, para que você possa tratá-los de outro jeito em vez de simplesmente bloquear.
O que uma saída do Tor não consegue dizer
Ver uma saída do Tor diz que o visitante escolheu a privacidade. Não diz quem ele é, onde está nem se tem más intenções, e nada do seu lado consegue descobrir isso. Julgue a requisição, não a rede: quatro palpites de senha são um problema venham de onde vierem, e uma simples visita a uma página não é, mesmo vinda do Tor.
Fontes
Documentos oficiais que usamos para conferir os fatos deste guia.