¿Cómo alojo un onion service en mi propio servidor?

¿Qué es un onion service y por qué alojar uno?

Un onion service es un servicio al que solo se accede a través de Tor, en una dirección que termina en .onion. La descripción general del Tor Project, consultada el 1 de noviembre de 2026, enumera lo que ofrece:

• Ocultación de ubicación: la dirección IP del servicio no queda expuesta; de hecho, en el protocolo ni siquiera se usa.
• Autenticación de extremo a extremo: la dirección v3 de 56 caracteres es la clave pública del servicio, así que nadie puede suplantarlo.
• Cifrado de extremo a extremo: el tráfico va cifrado del cliente al servicio, como HTTPS, gratis.
• NAT punching: el servicio solo establece conexiones salientes, así que no necesita puertos entrantes abiertos.

Ese último punto significa que puedes ejecutar un onion service sin ningún puerto de escucha público. Aun así necesitas una máquina que controles para ejecutarlo, con root y tiempo de actividad, que es lo que ofrece un berth alquilado.

¿Qué va en el torrc de un onion service?

Dos líneas son el mínimo. Usa un socket Unix para que el servicio no sea accesible desde la red local, como recomienda el Tor Project.

# Keys and hostname live here; keep this directory private
HiddenServiceDir /var/lib/tor/my-website/

# Forward the onion's port 80 to the local web server
# A Unix socket avoids exposing the service on the LAN
HiddenServicePort 80 unix:/var/run/tor/my-website.sock

# Then: systemctl restart tor
# Read /var/lib/tor/my-website/hostname for your .onion address

¿Cómo mantengo seguro un onion service?

Las notas de seguridad operativa del Tor Project señalan los puntos principales:

• Aloja el servicio en un cliente Tor, no en un relay. La disponibilidad y las propiedades de un relay son públicas, lo que filtra información sobre el servicio.
• Oculta las huellas del servidor. Evita que el servidor web revele su software, su versión o cualquier dato sobre el sistema operativo o la ubicación.
• Mantenlo activo. Si la máquina se cae, el servicio también, y un servicio intermitente filtra patrones a un observador.
• Usa autorización de clientes para limitar quién puede llegar a un servicio privado, y OnionScan para comprobar que el sitio no filtra su IP real.
• Vanguards protege contra ataques avanzados a los circuitos del servicio.

Para un servicio con mucho tráfico, las directrices anti-DoS añaden limitación de tasa en los puntos de introducción, un rompecabezas de proof-of-work, límites de streams y Onionbalance para alta disponibilidad. Una máquina entera con root te permite aplicar cada una de estas medidas; un berth no guarda logs, así que no hay nada que Ravenquay pueda entregar sobre tus visitantes: No guardamos ningún registro: ni registros de conexión, ni registros de tráfico, ni direcciones IP de visitantes o clientes, ya sea en el sitio web, en el panel o en los servidores

¿Por qué alojar un onion service en una máquina offshore alquilada?

Porque un onion service necesita tiempo de actividad, root y un host que se mantenga al margen de tu tráfico. Un berth de Ravenquay es una máquina física entera: Nada de la máquina es compartido: su procesador, su memoria y sus discos solo sirven a tus cargas de trabajo. Tú eliges el país en el que está tu servidor, Reikiavik (Islandia), Zúrich (Suiza), Bucarest (Rumanía) y Ámsterdam (Países Bajos): cada amarre en cada puerto de escala, a un mismo precio, y la empresa responde ante la ley panameña.

Ravenquay revisó 34 proveedores de servidores dedicados el 30 October 2026: 21 declararon no tener política sobre Tor para sus servidores. Un onion service es un cliente de Tor, no un relay, así que pregunta a ese proveedor antes de desplegar uno.

Un onion service es infraestructura de privacidad legítima, no un escudo para el abuso. Las normas de Ravenquay siguen aplicándose a lo que haga el servicio: lee qué puede ejecutarse en un servidor Ravenquay. Consulta también qué debe incluir un hosting centrado en la privacidad y los precios completos de Ravenquay.