Comment héberger un service onion sur mon propre serveur ?

Qu'est-ce qu'un service onion, et pourquoi en héberger un ?

Un service onion est un service accessible uniquement via Tor, à une adresse se terminant par .onion. La présentation du Tor Project, consultée le 1er novembre 2026, en liste les apports :

• Dissimulation de la localisation : l'adresse IP du service n'est pas exposée ; dans le protocole, elle n'est même pas utilisée.
• Authentification de bout en bout : l'adresse v3 de 56 caractères est la clé publique du service, personne ne peut donc s'en faire passer pour lui.
• Chiffrement de bout en bout : le trafic est chiffré du client au service, comme du HTTPS gratuit.
• Perforation NAT : le service n'établit que des connexions sortantes, il n'a donc besoin d'aucun port entrant ouvert.

Ce dernier point signifie que vous pouvez faire tourner un service onion sans aucun port d'écoute public. Il vous faut tout de même une machine que vous contrôlez pour l'héberger, avec root et une bonne disponibilité, ce que fournit un emplacement loué.

Que mettre dans le torrc pour un service onion ?

Deux lignes suffisent au minimum. Utilisez un socket Unix pour que le service ne soit pas joignable sur le réseau local, comme le recommande le Tor Project.

# Keys and hostname live here; keep this directory private
HiddenServiceDir /var/lib/tor/my-website/

# Forward the onion's port 80 to the local web server
# A Unix socket avoids exposing the service on the LAN
HiddenServicePort 80 unix:/var/run/tor/my-website.sock

# Then: systemctl restart tor
# Read /var/lib/tor/my-website/hostname for your .onion address

Comment sécuriser un service onion ?

Les notes de sécurité opérationnelle du Tor Project donnent les points principaux :

• Hébergez le service sur un client Tor, pas sur un relais. La disponibilité et les propriétés d'un relais sont publiques, ce qui divulgue des informations sur le service.
• Masquez les empreintes du serveur. Empêchez le serveur web de révéler son logiciel, sa version ou quoi que ce soit sur le système d'exploitation ou l'emplacement.
• Maintenez-le en ligne. Si la machine tombe, le service aussi, et un service intermittent révèle des schémas à un observateur.
• Utilisez l'autorisation de client pour limiter qui peut atteindre un service privé, et OnionScan pour vérifier que le site ne divulgue pas sa véritable IP.
• Vanguards protège contre les attaques avancées sur les circuits du service.

Pour un service chargé, les recommandations anti-DoS ajoutent une limitation de débit sur les points d'introduction, un puzzle de preuve de travail, des limites de flux et Onionbalance pour une haute disponibilité. Une machine entière avec root vous permet d'appliquer chacune de ces mesures ; une place ne conserve aucun log, donc il n'y a rien que Ravenquay puisse transmettre sur vos visiteurs : Nous ne conservons aucun journal : ni historique de connexion, ni historique de trafic, ni adresse IP des visiteurs ou des clients, que ce soit sur le site, dans le dashboard ou sur les serveurs

Pourquoi héberger un service onion sur une machine offshore louée ?

Parce qu'un service onion demande de la disponibilité, root et un hôte qui reste à l'écart de votre trafic. Un emplacement Ravenquay est une machine physique entière : Rien sur la machine n'est partagé : son processeur, sa mémoire et ses disques ne servent qu'à vos charges de travail. Vous choisissez le pays où se trouve votre serveur, Reykjavik (Islande), Zurich (Suisse), Bucarest (Roumanie) et Amsterdam (Pays-Bas) : chaque poste dans chaque port d’escale, à un seul prix, et l'entreprise relève du droit panaméen.

Ravenquay a vérifié 34 hébergeurs de serveurs dédiés le 30 October 2026 : 21 n'annonçaient aucune politique Tor pour leurs serveurs. Un service onion est un client Tor, pas un relais : demandez donc à un tel hébergeur avant d'en déployer un.

Un service onion est une infrastructure de confidentialité légitime, pas un bouclier pour les abus. Les règles de Ravenquay s'appliquent toujours à ce que fait le service : lisez ce qui peut tourner sur un serveur Ravenquay. Voir aussi ce que devrait inclure un hébergement axé sur la confidentialité et la tarification complète de Ravenquay.