Comment utiliser Tor Browser : installation, ponts et sécurité

Comment fonctionne Tor, et ce qu’il cache

Quand vous cliquez sur Se connecter, Tor Browser construit un chemin à travers trois relais : un relais de garde (guard), un relais intermédiaire et un relais de sortie. Votre trafic quitte votre ordinateur enveloppé dans trois couches de chiffrement, et chaque relais en retire une. C’est tout le principe de l’oignon dans « The Onion Router » : des couches qu’on épluche une à une.

Chaque relais ne connaît que celui qui le précède et celui qui le suit. Le relais de garde connaît votre adresse IP, mais pas votre destination. Le relais de sortie connaît le site, mais pas la personne qui l’a demandé.

Le relais de garde est choisi au hasard et reste le même pendant deux à trois mois. Les relais intermédiaire et de sortie changent d’un site à l’autre, et Tor fait passer les nouvelles connexions par de nouveaux circuits toutes les dix minutes environ.

Deux lignes méritent qu’on s’y arrête. Le relais de sortie peut lire tout ce que vous envoyez à un site qui n’utilise pas HTTPS : c’est pourquoi Tor Browser ouvre les sites en mode HTTPS uniquement par défaut. Et votre fournisseur d’accès voit quand même que vous utilisez Tor. Si vous préférez que personne sur votre réseau ne le sache, un pont le cache (chapitre 4).

Autre limite : Tor ne protège que ce qui passe par Tor Browser. Votre autre navigateur, votre logiciel de messagerie et le reste de l’ordinateur continuent d’utiliser la connexion normale. Si vous voulez que tout ce qui sort de la machine passe par Tor, c’est le rôle de Tails.

Installer Tor Browser et se connecter

Sur Windows, Mac ou Linux

1. Ouvrez la page de téléchargement officielle et choisissez votre système : Windows 10 ou 11, macOS 10.15 ou plus récent, ou Linux 64 bits (Intel/AMD ou Arm).
2. Pour vous assurer que personne n’a remplacé le fichier, vérifiez sa signature. Le Tor Project le recommande, et c’est surtout important si vous avez récupéré le fichier sur un miroir.
3. Installez-le. Sur Windows, lancez le fichier .exe et suivez l’assistant ; il place un raccourci sur votre bureau. Sur Mac, ouvrez le fichier .dmg et suivez les étapes. Sur Linux, extrayez le fichier .tar.xz et cliquez sur start-tor-browser.desktop dans le nouveau dossier.

Les anciens systèmes, eux, restent sur le carreau. Windows 7, 8 et 8.1 ainsi que macOS 10.12 à 10.14 ont reçu leur dernière mise à jour de Tor Browser en mars 2026 (version 13.5.29), et Linux 32 bits n’est plus pris en charge depuis Tor Browser 16.

Sur Android

Installez Tor Browser depuis Google Play, ou depuis F-Droid après avoir ajouté le dépôt du Guardian Project. Il faut Android 8.0 ou une version plus récente. L’APK se trouve aussi sur le site du Tor Project, mais le projet conseille de passer par une boutique d’applications si vous ne savez pas quelle version il faut à votre téléphone. Ouvrez l’application et appuyez sur Se connecter.

Sur iPhone et iPad

Tor Browser n’existe pas sur iOS. Le Tor Project oriente les utilisateurs d’iPhone vers Onion Browser, sur l’App Store : une application open source créée par un développeur qui travaille en étroite collaboration avec le projet. Elle fait passer votre trafic par Tor, mais Apple impose WebKit à tous les navigateurs sur iOS, si bien qu’Onion Browser ne peut pas reproduire toutes les protections de Tor Browser.

Si le site du Tor Project est bloqué

Passez par le miroir officiel tor.eff.org, ou demandez à GetTor. Écrivez à @GetTor_Bot sur Telegram, ou envoyez à [email protected] un e-mail qui contient uniquement le nom de votre système (windows, osx, linux ou android). La réponse contient un lien de téléchargement et la signature pour vérifier le fichier.

La première connexion

Tor Browser s’ouvre sur l’écran « Se connecter à Tor ». Cliquez sur Se connecter. Si vous activez d’abord « Toujours se connecter automatiquement », il sautera cet écran les fois suivantes.

Si la barre de progression se bloque alors que votre connexion est rapide par ailleurs, votre réseau bloque peut-être Tor. Tor Browser vous propose alors l’Assistance à la connexion, qui choisit un pont adapté à l’endroit où vous êtes quand vous cliquez sur « Essayer un bridge ». Vous pouvez aussi en configurer un vous-même avec le bouton Configurer la connexion… (chapitre 4). Derrière un proxy d’entreprise, le réglage se trouve dans Paramètres > Connexion > Avancé : « Configure how Tor Browser connects to the internet » (configurer la façon dont Tor Browser se connecte à internet).

Une fois la connexion établie, vous arrivez sur une page avec un champ de recherche DuckDuckGo. Activez l’interrupteur Onionize juste à côté, et vos recherches passeront par le site onion de DuckDuckGo.

Utiliser Tor Browser au quotidien

Nouvelle identité ou nouveau circuit ?

Deux boutons aux noms presque identiques, mais qui ne servent pas du tout à la même chose.

• Nouvelle identité (dans la barre d’outils et dans le menu ≡) ferme tous les onglets et toutes les fenêtres, efface les cookies et l’historique, et attribue de nouveaux circuits à chaque site. Servez-vous-en quand vous voulez repartir de zéro dans la peau de quelqu’un d’autre, par exemple avant de passer à une activité que vous ne voulez pas voir reliée à ce que vous venez de faire. Les téléchargements en cours s’arrêtent, c’est pourquoi Tor Browser vous demande d’abord confirmation.
• Nouveau circuit Tor pour ce site (dans le menu ≡, ou dans le panneau du circuit qui s’ouvre avec le bouton Circuit Tor de la barre d’adresse) recharge uniquement le site ouvert en passant par d’autres relais. Rien n’est effacé. Utilisez-le quand un site ne se charge pas, ou se charge mal, avec le relais de sortie actuel.

Le panneau du circuit indique aussi dans quels pays se trouvent vos relais. Le premier, signalé comme relais de garde, ne change pas, et c’est voulu.

Niveau de sécurité

Cliquez sur l’icône en forme de bouclier (Niveau de sécurité) dans la barre d’outils, puis sur Paramètres… et enfin sur Changer le niveau de sécurité. Quand vous enregistrez un nouveau niveau avec « Sauvegarder et redémarrer », le navigateur redémarre et ferme vos onglets.

• Normal : toutes les fonctionnalités du navigateur et des sites restent actives. Le guide de l’EFF le juge adapté à un usage quotidien.
• Plus sûr : JavaScript est désactivé sur les sites sans HTTPS, tout comme certaines polices et certains symboles mathématiques, et l’audio, la vidéo et WebGL attendent un clic pour démarrer.
• Le plus sûr : JavaScript est désactivé partout, de même que certaines polices, icônes, symboles mathématiques et images, et l’audio et la vidéo attendent un clic. Attendez-vous à ce que les sites qui reposent sur des scripts ne fonctionnent plus correctement.

À notre avis, Plus sûr est le bon choix si vous ouvrez des sites auxquels vous ne faites pas entièrement confiance. Ce niveau ne coupe JavaScript que sur les sites sans HTTPS, là où un relais de sortie pourrait le trafiquer.

Les sites onion

Certains sites ont une version qui existe uniquement à l’intérieur du réseau Tor, à une adresse de 56 lettres et chiffres qui se termine par .onion. La connexion ne sort jamais de Tor : il n’y a donc aucun relais de sortie qui pourrait la lire. Quand un site que vous visitez en a une, un bouton violet « Un .onion est proposé » apparaît dans la barre d’adresse. Cliquez dessus pour basculer sur cette version.

Copiez les adresses onion depuis le site habituel de l’organisation plutôt que de les taper à la main. Un seul caractère faux, et Tor Browser ne trouvera pas le site.

CAPTCHA, sites bloqués et comptes verrouillés

La liste des relais de sortie Tor est publique : n’importe quel site peut donc savoir qu’un visiteur arrive par Tor. Certains sites réagissent avec des CAPTCHA, d’autres bloquent carrément Tor, parce qu’ils n’arrivent pas à distinguer les utilisateurs de Tor des robots. Une banque peut verrouiller un compte qui se connecte soudain depuis un relais de sortie situé sur un autre continent. Gardez vos opérations bancaires hors de Tor : en vous connectant, vous dites de toute façon à la banque qui vous êtes.

Si un site dont vous avez besoin bloque Tor, le Tor Project conseille d’écrire à ses administrateurs : d’après lui, c’est ce qui a le mieux marché jusqu’ici.

Vitesse

Chaque page passe par trois serveurs gérés par des bénévoles, souvent sur des continents différents : Tor est donc plus lent que votre navigateur habituel. Selon le Tor Project, pour lire et faire des recherches, vous ne verrez peut-être presque pas la différence.

Mises à jour et désinstallation

Quand une mise à jour est prête, une flèche verte apparaît sur le menu ≡. Choisissez « Mise à jour disponible — redémarrer maintenant ». Sur Android, les mises à jour arrivent par Google Play ou F-Droid, comme pour n’importe quelle autre application.

Pour supprimer Tor Browser sur Windows, effacez son dossier (par défaut, sur votre bureau). Sur Mac, placez l’application dans la Corbeille et supprimez aussi le dossier TorBrowser-Data dans ~/Library/Application Support. Sur Linux, lancez ./start-tor-browser.desktop –unregister-app dans son dossier, puis supprimez le dossier. Sur Android, désinstallez-le comme n’importe quelle application.

Si Tor est bloqué : utiliser un pont

Un pont est un relais Tor qui ne figure pas sur la liste publique, ce qui le rend plus difficile à bloquer. La plupart des ponts camouflent aussi le trafic : votre fournisseur d’accès a alors du mal ne serait-ce qu’à repérer que vous utilisez Tor. Il vous en faut un là où Tor est censuré, et le Tor Project en conseille un si vous préférez que votre réseau ne sache pas que vous utilisez Tor.

Le plus rapide, c’est l’Assistance à la connexion. Si la connexion échoue, cliquez sur « Essayer un bridge » et Tor Browser en choisit un adapté à l’endroit où vous êtes. S’il n’arrive pas à déterminer où vous vous trouvez, choisissez votre région dans la liste.

Pour choisir un pont vous-même, cliquez sur Configurer la connexion… sur l’écran de connexion, ou ouvrez ≡ > Paramètres > Connexion une fois Tor Browser lancé. Dans la rubrique Ponts, cliquez sur « Choisir un bridge intégré au système parmi ceux de Tor Browser » et sélectionnez l’un des trois :

• obfs4 fait ressembler votre trafic à des données aléatoires. Il peut ne pas fonctionner dans les régions fortement censurées.
• Snowflake fait passer votre connexion par des proxys temporaires tenus par des bénévoles, pour faire croire, par exemple, que vous passez un appel vidéo.
• meek vous connecte via un gros fournisseur cloud. Il peut fonctionner là où la censure est forte, mais il est généralement très lent.

Sur Android, le même choix se trouve dans Paramètres > Connexion > Config Bridge (configurer un pont), puis Use a Bridge (utiliser un pont).

WebTunnel, qui fait passer Tor pour une visite sur un site HTTPS ordinaire, n’est pas intégré. Pour obtenir de nouveaux ponts, quel que soit leur type, adressez-vous au Tor Project : le bouton « Demander des bridges… » dans la même rubrique Ponts (après un CAPTCHA), @GetBridgesBot sur Telegram (envoyez /webtunnel ou /obfs4), bridges.torproject.org (WebTunnel se trouve dans les options avancées), ou un e-mail à [email protected] envoyé depuis une adresse Gmail ou Riseup. Collez ce que vous recevez sous « Entrez les adresses des bridges que vous connaissez ».

Les conseils pour les régions censurées du Tor Project donnent plus de détails. Son équipe d’assistance ([email protected]) peut aussi envoyer des ponts privés aux personnes qui se trouvent en Russie, au Turkménistan et en Biélorussie, et aider à se connecter depuis la Chine.

Utiliser Tor en toute sécurité

Tor cache d’où vous vous connectez. Il ne peut pas cacher qui vous êtes une fois que vous l’avez dit à un site. Tor Browser gère par défaut l’essentiel de la partie technique ; voici ce qui reste entre vos mains.

1. Téléchargez-le uniquement auprès du Tor Project (son site, ses miroirs officiels ou GetTor), et installez les mises à jour quand le menu vous les propose.
2. Ne vous connectez pas sous votre vraie identité. Dès que vous vous connectez à un compte à votre nom, le site sait qui vous êtes. C’est pareil pour les formulaires où vous saisissez des informations personnelles.
3. N’installez pas d’extensions et ne touchez pas aux paramètres. Chaque modification rend votre navigateur un peu moins semblable à celui de tout le monde, et c’est comme ça que la prise d’empreinte du navigateur repère les gens. C’est aussi pour cette raison que Tor Browser vous prévient quand vous agrandissez la fenêtre : sa taille peut trahir celle de votre écran, et les marges grises autour des pages (Letterboxing) sont là pour la masquer.
4. Méfiez-vous des téléchargements. Certains fichiers, surtout les documents, peuvent se connecter à internet quand vous les ouvrez en dehors de Tor Browser, et révéler votre vraie adresse IP. Tor Browser vous en avertit (« Attention à l’ouverture des téléchargements »). Ouvrez ces fichiers hors ligne ou sous Tails, et lisez les PDF dans la visionneuse intégrée au navigateur.
5. Pas de torrent via Tor. Les clients torrent peuvent exposer votre vraie adresse IP, même quand ils sont configurés pour utiliser Tor. Le Tor Project ne mâche pas ses mots : ce n’est sûr en aucun cas.
6. Vérifiez la barre d’adresse avant de saisir quoi que ce soit de sensible. Le mode HTTPS uniquement est activé par défaut : un simple site en http:// affiche donc d’abord un avertissement. Tor Browser 16 vous prévient aussi quand vous copiez une adresse de cryptomonnaie sur un site sans HTTPS (« L’adresse d’un wallet de cryptomonnaies copiée à partir d’un site non sécurisé »), car un relais de sortie a pu la remplacer, et vous propose de « Recharger l’onglet avec un nouveau circuit ».
7. N’utilisez pas Tor dans un autre navigateur. Le Tor Project le déconseille fortement, car les autres navigateurs peuvent laisser fuiter votre adresse IP et vous rendre facile à repérer par votre empreinte.
8. Utilisez un pont si votre fournisseur d’accès, votre école ou votre employeur ne doit pas voir que vous utilisez Tor (chapitre 4).

Faut-il un VPN avec Tor ?

En général, non. La page d’aide du Tor Project indique qu’il ne recommande pas d’utiliser un VPN avec Tor, sauf si vous êtes un utilisateur avancé capable de configurer les deux sans affaiblir les protections de Tor.

Un VPN activé avant Tor Browser change deux choses. Votre fournisseur d’accès voit une connexion VPN au lieu d’une connexion Tor, et le premier relais voit l’adresse du serveur VPN au lieu de la vôtre. En contrepartie, la société de VPN voit votre vraie adresse IP et sait que vous utilisez Tor. Rien ne change pour le relais de sortie ni pour le site web, qui n’ont de toute façon jamais vu votre adresse IP.

Un pont cache déjà Tor à votre fournisseur d’accès, sans ajouter une autre société au milieu. Un VPN a sa place dans quelques cas : un réseau qui bloque Tor et tous les ponts mais laisse passer un VPN, ou un VPN que vous gardez de toute façon activé pour tout. Dans ce cas, connectez d’abord le VPN, ouvrez Tor Browser ensuite, et choisissez un fournisseur dont la politique de non-conservation des logs a été auditée. Notre comparatif VPN vs Tor explique ce qui les distingue.

Certains VPN vendent aussi des serveurs « Onion over VPN » qui font entrer votre trafic dans Tor à votre place. Un navigateur ordinaire peut alors ouvrir des sites onion, mais sans les protections de Tor Browser : c’est précisément la configuration que le Tor Project déconseille.

Le Tor Project a sa propre solution pour les téléphones : Tor VPN, une application Android en bêta depuis septembre 2025, qui fait passer le trafic des autres applications par Tor, chacune sur son propre circuit. Le projet précise qu’il ne faut pas encore s’y fier pour autre chose que des tests, et que Tor Browser reste la référence en matière de confidentialité.

Tor est-il légal, et qu’est-ce que le dark web ?

Est-ce légal ?

Aux États-Unis, où le Tor Project est basé, oui. Les avocats de l’EFF estiment que même faire tourner un relais Tor est légal au regard du droit américain.

Certains gouvernements bloquent Tor. De nombreux fournisseurs d’accès russes bloquent les connexions directes depuis décembre 2021, et l’aide du Tor Project explique aussi comment contourner les blocages en Chine, au Turkménistan et en Biélorussie. Comme le souligne l’EFF, toute personne capable de surveiller votre connexion peut voir que vous utilisez Tor. Si cela peut vous attirer des ennuis, utilisez un pont et renseignez-vous d’abord sur les règles locales. Et ce qui est illégal le reste avec Tor.

Et le dark web ?

Quand on parle du dark web, on pense le plus souvent aux sites onion : des sites qui ne s’ouvrent que via Tor. Beaucoup sont tout à fait ordinaires. DuckDuckGo en a un, et la BBC a lancé en 2019 une version onion de son site d’information pour que les lecteurs des pays censurés puissent y accéder, comme l’a rapporté NPR à l’époque. D’autres vendent de la drogue, des comptes volés et des données de cartes bancaires, comme le montre notre Dark Web Price Index.

Ce qui est illégal hors ligne l’est aussi là-bas. Accordez à ce que vous y trouvez la même confiance qu’à une clé USB ramassée sur un parking.