Séparez l'identité onion du clearnet
Protégez les clés onion privées du service et sauvegardez-les si vous avez besoin que l'adresse survive à une reconstruction. Évitez les liens accidentels entre identités via des identifiants, contenus ou ressources externes réutilisés.
Liez l'application de manière délibérée
Liez le backend à une interface locale ou privée et n'exposez que le service prévu via Tor. Vérifiez le proxy inverse et l'application pour les redirections, les URL absolus et les ressources qui contactent des hôtes externes.
Réduisez les fuites d'informations
Examinez les pages d'erreur, les en-têtes, la sortie de débogage et les métadonnées des fichiers téléversés. Ne supposez pas que la route onion masque le contenu applicatif identifiant. Protégez la connexion administrateur et évitez de journaliser plus d'informations sur les visiteurs que nécessaire.
Exploitez-le de manière légale et fiable
Maintenez Tor et l'application à jour, surveillez l'utilisation des ressources et assurez des sauvegardes. Les politiques d'hébergement et juridiques s'appliquent toujours. KoalaVPS n'a pas encore publié d'approbation opérationnelle de service onion ni d'engagement de trafic.
Vérifiez les requêtes externes de la page
Chargez le service via la route prévue et inspectez chaque image, police, script, feuille de style et redirection. Une ressource externe peut créer une requête identifiante en dehors du périmètre prévu du service. Les ressources locales réduisent également les dépendances tierces évitables.
Préservez l'adresse délibérément
Sauvegardez en privé les clés d'identité onion si la continuité de l'adresse importe. Une réinstallation propre sans ces clés peut produire une adresse différente. Gardez le backend lié en privé et confirmez qu'un écouteur clearnet non intentionnel n'expose pas la même application.
Obtenez un backend privé fonctionnel avant le routage Tor
Installez Tor depuis une source de confiance prise en charge pour l'OS choisi et confirmez que le service fonctionne. Préparez un écouteur web local distinct et testez-le avant d'ajouter une route onion. Liez-le à la boucle locale ou à un socket Unix doté des permissions appropriées, plutôt que de supposer qu'un pare-feu masque un écouteur lié à toutes les interfaces. Cette conception décrit une publication licite ; KoalaVPS doit encore confirmer toute politique de service opérationnelle pour la charge de travail réelle.
- Utilisez des ressources locales et des URL d'application réfléchies.
- Séparez l'administration du chemin de publication public.
- Enregistrez une méthode de récupération qui ne dépend pas uniquement du service onion.
Documentation officielle : Configuration d'un service onion du Tor Project
Mappez un port virtuel onion vers l'application locale
Le fragment torrc suivant illustre un répertoire d'identité dédié et un backend en bouclage sur le port8080. Adaptez la propriété et les chemins à l'utilisateur du service Tor de la distribution. Le répertoire privé doit être lisible et inscriptible par cet utilisateur et inaccessible aux utilisateurs non concernés. Validez la configuration installée avant d'utiliser sa procédure de redémarrage via le gestionnaire de services. Tor crée des fichiers d'identité pour un nouveau répertoire ; ne publiez pas ces fichiers privés aux côtés du contenu du site.
# Example torrc fragment; backend already listens on loopback:
HiddenServiceDir /var/lib/tor/koala-publication/
HiddenServicePort 80 127.0.0.1:8080
# Verify the backend independently:
curl --fail http://127.0.0.1:8080/Documentation officielle : Configuration Tor et répertoire d'identité
Testez le chemin onion et le chemin clearnet indésirable
Lisez uniquement le fichier de nom d'hôte généré pour obtenir l'adresse publique et ouvrez-le avec Tor Browser. Inspectez les redirections, les formulaires, les pages d'erreur et les requêtes de ressources. Depuis un autre réseau, confirmez que le même backend n'est pas accessible par erreur via un écouteur public. Une adresse onion ne supprime pas l'exigence d'authentification d'une application ; utilisez l'autorisation client ou l'authentification applicative lorsque l'accès doit être privé. Vérifiez les coordonnées et le contenu publié pour détecter d'éventuels liens d'identité involontaires.
Documentation officielle : Sécurité opérationnelle du projet Tor
Réparez les permissions sans remplacer l'identité
Si le service n'apparaît pas, inspectez les erreurs de démarrage de Tor, la propriété du répertoire et le backend local avant de supprimer quoi que ce soit. Remplacer le répertoire d'identité crée une nouvelle adresse ; c'est la restauration des bonnes clés privées qui préserve la continuité. Conservez une copie de récupération hors ligne chiffrée à accès restreint et testez le processus avec une identité jetable distincte. Les journaux et les pages de débogage peuvent exposer des informations même lorsque le routage du transport est correct ; vérifiez-les après chaque modification de configuration.