Pourquoi une adresse en .onion ne prouve rien à elle seule
Une adresse en .onion n’est qu’une chaîne de caractères. Elle prouve qu’un client Tor peut tenter de se connecter à un hôte portant ce nom — rien de plus. L’adresse ne contient aucune information intégrée sur la personne qui exploite le service, sur le contenu qu’elle diffuse actuellement, ni sur la correspondance entre la page que vous voyez et celle que vous avez consultée la semaine dernière. Toute personne contrôlant un serveur et configurant un service caché peut obtenir une adresse en .onion pointant vers celui-ci, et rien dans le format de l’adresse n’empêche cette personne de copier l’apparence visuelle, la structure des pages et le déroulement de la connexion d’un autre site. Il en résulte que deux serveurs totalement différents peuvent présenter des adresses qui se ressemblent dans la barre du navigateur et des pages identiques à l’écran. La terminaison .onion ne fait pas office de certificat d’identité, et le fait qu’une adresse saisie autrefois ait mené à un véritable forum ne garantit pas que cette même adresse continuera demain à renvoyer vers le même opérateur. Cette propriété est fondamentale au fonctionnement des services onion ; ce n’est ni un défaut de Dread ni un défaut de Tor. Une chaîne d’URL doit donc être comprise avant tout comme un point de départ pour mener une vérification, et non comme une preuve d’authenticité. Avant de considérer une page comme étant le véritable forum Dread, confirmez l’adresse par des recoupements indépendants et traitez toute source unique — y compris l’adresse elle-même — comme potentiellement trompeuse.
Ne partez pas du principe qu’une adresse en .onion a été « vérifiée » simplement parce qu’elle est apparue dans un résultat de recherche, un lien collé, une capture d’écran ou un ancien favori. Tous ces éléments peuvent pointer vers un clone.
La vérification en deux étapes qui repère la plupart des clones de phishing
La plupart des échecs d’imitation surviennent dans l’écart entre ce à quoi ressemble l’adresse et ce que le navigateur affiche réellement. Un seul contrôle sans l’autre reste faible : une chaîne en .onion d’apparence correcte peut être imprimée sur une fausse page, et une vraie page peut être chargée dans un navigateur orienté vers une copie par un signet erroné ou un aperçu de lien.
Le filtre du format d’adresse
- Lisez le nom d’hôte de droite à gaucheLe libellé onion doit être le dernier élément avant toute barre oblique. Une véritable adresse onion de Dread se termine par le suffixe complet
.oniondirectement accolé à l’hôte, pas à un sous-domaine ni à un chemin. - Comparez la chaîne complète de l’hôte caractère par caractèreLes opérateurs de clones misent sur des quasi-correspondances : caractères intervertis, lettres doublées, un trait d’union à la place d’un tiret bas, ou un point supplémentaire qui transforme l’hôte réel en sous-domaine d’un faux.
- Traitez comme hostile tout hôte contenant des mots comme
dread,forum,darknetouonionen position de sous-domaineLa véritable adresse n’a pas besoin d’un préfixe descriptif placé devant un autre hôte onion.
Si ce filtre fonctionne, c’est pour une raison pratique, pas théorique. L’opérateur de phishing veut que la victime repère un mot familier et cesse de comparer. Un bref coup d’œil au côté gauche de l’URL repère le mot ; une lecture de droite à gauche repère la structure.
Le filtre au niveau du navigateur dans Tor
Dans Tor Browser, la barre d’adresse est le seul signal fiable concernant la page en cours. Un clone peut reproduire l’apparence du forum, les champs de connexion, la police de caractères, voire le favicon. Il ne peut pas reproduire ce que la barre d’outils indique une fois la connexion établie, sauf si l’utilisateur l’ignore.
- Les icônes de cadenas n’ont ici rien de spécial
- Un avertissement de certificat est un signal d’arrêt
- Vérifiez que la demande de page chargée correspond à ce que vous avez saisi
Un clone servi en onion peut quand même collecter tout ce que vous tapez avant que vous ne remarquiez la discordance. Le contrôle au niveau du navigateur doit intervenir avant toute interaction, pas après qu’une tentative de connexion semble anormale.
| Signal | Hôte légitime | Clone probable |
|---|---|---|
| Conception visuelle de la page | peut être copiée parfaitement | peut être copiée parfaitement ;; Hôte affiché dans la barre d’outils après chargement |
Ce double contrôle est efficace parce qu’il repose sur des preuves indépendantes : la structure de l’adresse et l’état du navigateur après la navigation. Une contrefaçon qui déjoue l’un des filtres trébuche généralement sur l’autre, mais seulement si les deux filtres sont appliqués à chaque fois.
Là où les annuaires fiables aident vraiment — et là où ils induisent en erreur
Directory Les pages de répertoire ne réduisent le risque que lorsqu’elles expliquent pourquoi un lien est à jour — et pas seulement que quelqu’un l’a collé. Une source utile montre généralement une adresse onion accompagnée d’une méthode : une note signée, un bloc de signature type PGP, une déclaration d’une équipe de modération, ou une trace claire de rotation depuis une adresse précédemment vérifiée. Une simple liste de « miroirs fonctionnels » ne fait rien de tout cela ; c’est une collection de liens, pas un répertoire.
| Paramètre | Répertoire de confiance | Liste de liens non vérifiée |
|---|---|---|
| ;; Montre comment l’adresse a été obtenue | oui, renvoie à une signature ou à une trace de rotation | non, se contente de lister des URL |
| ;; Indique l’heure de la dernière vérification | souvent, avec une date visible ou un journal de mise à jour | rarement, généralement sans date |
| ;; Sépare les miroirs officiels des liens soumis par les utilisateurs | oui, étiquette chaque source | non, mélange tout |
| ;; Risque si le répertoire lui-même se trompe | plus faible, car la méthode peut être vérifiée | plus élevé, car le lecteur fait confiance au collage lui-même |
| ;; Risque d’instructions nuisibles | faible, se concentre sur les étapes de vérification | plus élevé, peut pousser des conseils du type « désactivez la sécurité de Tor » |
Pensez à un répertoire comme à une carte routière plutôt qu’à une destination. Une bonne carte vous indique quelles routes se connectent entre elles et quand la carte a été dessinée. Une mauvaise carte dit « quelque part par ici » et espère que vous conduirez à l’aveugle. La différence devient visible en quelques secondes : une source de confiance vous montre le passage qu’elle a effectué d’une bonne adresse connue vers une nouvelle, et vous permet de comparer ce passage avec une autre source.
Le schéma du répertoire trompeur
Les répertoires trompeurs compressent généralement le processus de vérification en un seul clic. Ils présentent une longue liste de miroirs — parfois des dizaines — avec des étiquettes comme « principal », « sauvegarde » ou « v3 », mais sans aucune trace de signature derrière chacun d’eux. Parce que la liste paraît dense et complète, les lecteurs sautent la vérification à deux niveaux qu’ils effectueraient autrement. C’est exactement sur cela que repose l’hameçonnage : une confusion qui ressemble à de la commodité.
- Republie une même adresse sur de nombreuses URL au lieu d’expliquer la rotation
- Ajoute des messages urgents : « utilisez ce miroir maintenant »
- Mélange des liens vérifiés et non vérifiés sous le même titre
- Ordonne aux lecteurs de contourner les avertissements plutôt que de les examiner
Un répertoire qui vous dit d’ignorer un avertissement de type certificat ou de « continuer quand même » ne vous aide pas à vérifier. Il vous apprend à abandonner le seul signal local que Tor vous donne avant d’interagir avec une page.
Les répertoires les plus fiables se comportent comme une trace écrite, pas comme un mur de miroirs. Si une source ne peut pas montrer comment elle est arrivée à une adresse — une signature que vous pouvez vérifier, une note de rotation que vous pouvez comparer, ou une déclaration de modérateur que vous pouvez recouper — traitez sa liste comme une matière première à vérifier, jamais comme une preuve.
Enregistrez deux sources de répertoire qui expliquent leur méthode par écrit. À chaque session, comparez uniquement les adresses qui apparaissent dans les deux.
Lire la page avant de vous connecter ou de saisir quoi que ce soit
Une fois la page chargée, le premier signal utile est de savoir si le navigateur la traite comme une vue de forum stable et cohérente, ou comme un simple contenu récupéré à la va-vite. Un véritable service onion sert généralement la même structure que sa contrepartie en clair : les barres latérales, les listes de catégories, les sujets épinglés et les étiquettes de modération apparaissent aux endroits habituels. Les clones privilégient souvent un formulaire de connexion ou une annonce urgente unique au détriment de cette structure, car leur objectif est de collecter des informations, pas de reproduire la navigation.
Indicateurs de type certificat qui n'ont de sens que dans Tor
En HTTPS classique, le cadenas indique qu'une autorité de certification se porte garante du domaine. Les services onion chiffrent déjà de bout en bout, si bien que le navigateur peut ne montrer aucun cadenas, ou afficher un indicateur d'identité onion local selon le navigateur. Le contrôle pratique n'est pas « y a-t-il un cadenas », mais « cette page se comporte-t-elle comme un service que j'ai déjà visité sous la même adresse onion ? » Un clone peut copier l'icône du cadenas en tant qu'image ; il ne peut pas copier la continuité de votre propre historique de lecture.
Une page de connexion clonée supprime souvent les liens de navigation ou les remplace par des ancres mortes. Si la page vous semble plus réduite que le forum dont vous vous souvenez, considérez cela comme un signal, pas comme un simple bug.
Ne saisissez pas de phrase secrète, de code PIN ou de phrase de récupération dans une page juste pour la « tester ». Certains opérateurs de clones conservent la première saisie comme une erreur d'apparence valide, puis récoltent la seconde tentative.
Particularités de nommage onion que les clones ne peuvent pas reproduire
Une adresse onion v3 est une longue chaîne en base32 se terminant par .onion ; elle n'est pas sensible à la casse dans la plupart des clients, et les caractères extérieurs à l'alphabet base32 n'apparaissent jamais. Si l'adresse que vous voyez dans la barre d'URL contient des caractères visuellement similaires, un caractère final manquant ou un symbole ressemblant à un trait d'union, la page n'est pas l'adresse v3 que vous vouliez ouvrir. Le typosquattage sur les chaînes onion est plus difficile que sur les domaines en clair, mais il n'est pas impossible lorsqu'un utilisateur suit un lien collé.
| Ce qu'affiche la barre d'URL | Onion cohérent | Clone ou onion modifié |
|---|---|---|
Chaîne v3 complète se terminant par .onion | souvent oui, mais un caractère diffère ;; Alphabet base32 uniquement (a-z, 2-7) |
- Alphabet base32
- les caractères autorisés dans une adresse onion v3 : lettres minuscules
aàzet chiffres2à7, sans0,1,8ni9 - Page interstitielle
- un écran inséré entre deux étapes de navigation, souvent utilisé par les clones d'hameçonnage pour collecter un code ou une phrase secrète avant d'afficher la page attendue
Conservez une copie locale en texte brut de l'adresse onion exacte que vous comptez utiliser, pas une capture d'écran facile à rogner. Comparez la barre d'URL caractère par caractère lorsque le forum est resté hors ligne un certain temps et que de « nouveaux » liens commencent à circuler.
Une adresse onion n'est pas une identité. C'est un itinéraire. Lire la page rendue — sa structure, ses éléments de modération et ses particularités de nommage —, c'est ainsi que vous jugez si l'itinéraire vous a conduit à la destination que vous souhaitiez réellement atteindre.
Une liste de contrôle avant visite, réutilisable à chaque session
Une liste de contrôle pré-visite réutilisable transforme la vérification, qui relevait parfois du hasard, en une routine fixe. L’objectif n’est pas de prouver qu’un lien est « officiel » dans l’absolu, mais de faire passer chaque session par les mêmes contrôles avant de saisir quoi que ce soit, de cliquer ou de se connecter.
- Environnement — Tor Browser, aucune identité persistante, profil séparé si disponible
- Source — un lien que vous connaissez déjà, une entrée d’annuaire ou un message provenant d’un contact
- Cible — la page elle-même, sa barre d’adresse et l’absence d’invites de connexion
Routine ordonnée
- Étape 1Ouvrez Tor Browser à partir d’un profil vierge et vérifiez que le circuit n’utilise pas un pont que vous ne reconnaissez pas. Cela isole l’état de session des marque-pages et des cookies enregistrés.
- Étape 2Saisissez vous-même l’adresse
.onioncandidate dans la barre d’adresse ; ne collez pas une redirection raccourcie ni un miroirhttp://sans savoir vers quoi il pointe. - Étape 3Comparez l’adresse onion complète de 56 caractères à une source fiable que vous avez déjà utilisée : un message signé PGP conservé, un annuaire auquel vous faites confiance ou la clé connue d’un contact. Une correspondance visuelle des premiers ou derniers caractères ne suffit pas.
- Étape 4Chargez la page et attendez que le titre et la mise en page se stabilisent. Un clone se charge souvent plus vite que le site réel parce qu’il ne sert pas le même volume de contenu, mais un chargement lent ne prouve pas la sécurité.
- Étape 5Lisez la page comme si vous ne l’aviez jamais vue. Ne saisissez ni identifiant, ni mot de passe, ni corps de message tant que la page n’a pas répondu à deux questions sans vous y inciter : montre-t-elle une structure de forum normale, et dissimule-t-elle sa connexion derrière une catégorie visible plutôt qu’un portail en plein écran ?
- Étape 6Si la page demande un captcha, une double authentification ou une étape « vérifiez votre navigateur » avant d’afficher du contenu, arrêtez. Le vrai forum ne conditionne pas la lecture à une vérification personnelle.
- Une adresse onion enregistrée n’est pas un mot de passe ; traitez-la comme un pointeur qui peut devenir obsolète ou être copié
- Un lien d’annuaire ne vaut que par le moment où vous l’avez vérifié pour la dernière fois
- Si un lien arrive dans un message, vérifiez qui l’a signé avant de vérifier le lien
Conservez un petit fichier texte hors ligne : une ligne pour l’adresse actuelle, une ligne pour la date de votre dernière confirmation, une ligne pour la source auprès de laquelle vous l’avez confirmée. Ne le mettez à jour qu’après une session réussie.
Le moment le plus dangereux est la première visite après une longue pause. Votre souvenir de la « bonne » adresse sera flou, et c’est précisément à ce moment-là qu’un clone d’hameçonnage paraît familier.
Questions fréquentes
Pourquoi ne puis-je pas simplement faire confiance à un lien collé dans une discussion ou sur Reddit ?
Parce qu’un texte peut être modifié très facilement avant de vous parvenir, et une adresse en .onion ne dit pas à elle seule qui exploite le site. Une page copiée peut reprendre le même nom, le même logo et la même mise en page tout en pointant vers un serveur contrôlé par quelqu’un d’autre.
Qu’est-ce que la « vérification à deux niveaux » pour un lien de forum du darknet ?
L’idée est de confirmer l’adresse par au moins deux sources indépendantes qui ne partagent pas un point de défaillance unique, puis de comparer la page obtenue avec les caractéristiques connues du service réel. Si les deux niveaux mènent au même .onion et que la page se comporte comme prévu, le risque d’un clone de hameçonnage diminue fortement.
Quand les annuaires m’aident-ils à vérifier une URL, et quand m’induisent-ils en erreur ?
Un annuaire n’est utile que s’il est exploité séparément du service et qu’il possède un long historique publiquement visible que vous pouvez recouper vous-même. Il devient trompeur lorsqu’il n’est qu’une autre page anonyme ou lorsque l’adresse miroir qu’il répertorie a été insérée par un attaquant : traitez donc les entrées d’annuaire comme un signal faible, jamais comme une preuve.
Dois-je saisir quoi que ce soit sur la page avant d’avoir terminé de vérifier l’adresse ?
Non. Commencez par lire la structure de la page, l’orthographe exacte du .onion et tout marqueur propre au service que vous connaissez déjà. Si un élément demande des identifiants, des mots de récupération ou des données personnelles avant que vous ayez confirmé l’URL par vos canaux indépendants habituels, arrêtez-vous et considérez la page comme non fiable.