Tor est-il sûr ? Tor vs VPN, honnêtement (2026)
« Tor est-il sûr ? » est l’une des questions de confidentialité les plus fréquentes - et la réponse honnête est plutôt oui, avec de vraies nuances. Tor est un réseau d’anonymat libre et respecté, utilisé par des journalistes, des chercheurs et des personnes soucieuses de leur vie privée partout dans le monde. Mais ce n’est pas magique, et mal l’utiliser peut anéantir la protection qu’il offre. Ce guide explique ce que Tor protège réellement, où il échoue, et comment il se compare à un VPN.
La réponse courte
- Tor est sûr à utiliser et légal dans la plupart des pays. Il est open-source, audité et géré par une organisation à but non lucratif respectée.
- Il n’est pas invincible. Tor cache d’où vous vous connectez, mais votre comportement, des failles du navigateur et le site de destination peuvent encore vous exposer.
- Tor et un VPN résolvent des problèmes différents - et beaucoup de gens sont mieux servis par un VPN pour la confidentialité au quotidien.
Comment Tor fonctionne (et pourquoi c’est plutôt sûr)
Tor (« The Onion Router ») fait passer votre trafic par au moins trois relais bénévoles avant qu’il n’atteigne le site. Chaque relais ne connaît que le saut précédent et le suivant ; aucun relais ne voit à la fois qui vous êtes et ce que vous faites. Ce routage en couches (« oignon ») donne à Tor un fort anonymat face à un observateur surveillant un point unique.
Là où Tor échoue
Le design de Tor a des limites réelles et bien documentées :
- Vitesse. Passer par trois relais rend Tor lent - correct pour naviguer, frustrant pour le streaming ou les gros téléchargements.
- Nœuds de sortie. Le trafic quitte le réseau Tor par un nœud de sortie. Si vous visitez un site non-HTTPS, cet opérateur de sortie pourrait voir votre trafic. (Utilisez toujours HTTPS ; le Tor Browser y aide.)
- Il ne protège pas tout. Tor anonymise le trafic qui passe par lui. Connectez-vous à un compte personnel, activez des scripts, ou téléchargez un fichier ouvert hors Tor, et vous pouvez vous désanonymiser.
- Il peut attirer l’attention. Sur certains réseaux, le simple usage de Tor est visible (même si les bridges aident), même quand c’est légal.
Les failles du navigateur sont le vrai risque, pas le réseau
Le point ci-dessus sur les exploits de navigateur n’a rien de théorique, et juillet 2026 en a donné un cas d’école. CVE-2026-10702 est une faille du compilateur JIT (just-in-time) JavaScript de Firefox, dans sa façon de suivre l’aliasing mémoire autour de l’opération MObjectToIterator. Résultat : exécution de code arbitraire dans le processus de rendu du navigateur, déclenchée par la simple visite d’une page. Mozilla l’a classée High et corrigée dans Firefox 151.0.3 ; les versions 147 à 151.0.2 étaient touchées. Nebula Security l’a divulguée et a publié du matériel d’exploitation fonctionnel visant une build Android ARM64.
Pourquoi cela concerne Tor : le navigateur Tor, c’est Firefox. Il est bâti sur la branche ESR de Firefox, donc son exposition dépend de la version ESR qu’embarque chaque release : Tor Browser 15.0.19, sorti le 21 juillet 2026, est rebasé sur Firefox 140.13.0esr. Soyons précis sur ce qui est établi et ce qui ne l’est pas : les chercheurs à l’origine de la divulgation n’ont pas publié la liste exacte des versions de Tor Browser affectées, et au 28 juillet 2026 aucune exploitation contre de vrais utilisateurs n’était documentée publiquement. Méfiez-vous de toute affirmation qui va au-delà.
La leçon est structurelle, pas liée à une CVE. Ici le réseau Tor a parfaitement protégé l’anonymat de ses utilisateurs ; c’est le navigateur posé dessus qui était le point faible. Un exploit de rendu exécute du code sur votre machine, où il peut lire ce que vous faites avant même que cela n’atteigne le réseau : exactement la classe d’attaque contre laquelle trois relais ne peuvent rien.
Deux choses réduisent réellement ce risque :
- Mettre à jour. Tor Browser se met à jour automatiquement par défaut : ne désactivez pas cette option, et vérifiez Menu > Aide > À propos de Tor Browser après toute faille publiée.
- Monter le curseur de sécurité. Un bug du JIT ne peut pas se déclencher si JavaScript ne s’exécute jamais. Le niveau Safest de Tor Browser « désactive JavaScript par défaut sur tous les sites » ; Safer le désactive « sur tous les sites non-HTTPS ». Safest casse une grande partie du web moderne, ce qui est précisément le compromis à accepter quand l’enjeu est réel.
Tor vs VPN
On les confond souvent, mais ils protègent des choses différentes :
| Tor | VPN | |
|---|---|---|
| Objectif | Anonymat (cacher qui vous êtes) | Vie privée vs FAI/réseau + masquage IP |
| Modèle de confiance | Aucun acteur ne voit tout | Vous faites confiance à un fournisseur (no-log) |
| Vitesse | Lent | Rapide |
| Coût | Gratuit | Payant (parfois offre gratuite) |
| Usage quotidien | Navigation sensible | Vie privée générale, streaming, Wi-Fi public |
Un VPN route votre trafic par un serveur chiffré : il cache votre activité à votre FAI et au réseau local et masque votre IP, à pleine vitesse - mais vous devez faire confiance au fournisseur (no-log). Tor répartit la confiance sur de nombreux relais pour un anonymat plus fort, mais lentement. Pour la confidentialité au quotidien de la plupart des gens - Wi-Fi public, stopper le pistage du FAI, changer de région - un VPN no-log réputé est le choix pratique ; Tor est l’outil des besoins d’anonymat vraiment sensibles.
Alors, Tor est-il sûr ? En résumé
Oui - Tor est sûr et fiable pour ce pour quoi il est conçu : l’anonymat. Utilisez le Tor Browser officiel, restez en HTTPS, ne vous connectez pas à des comptes identifiants, et n’attendez pas de la vitesse. Soyez juste clair sur ce qu’il est : Tor cache qui vous êtes au prix des performances, tandis qu’un VPN offre une confidentialité rapide au quotidien face à votre FAI et au réseau. Beaucoup utilisent un VPN au quotidien et se tournent vers Tor quand l’anonymat compte vraiment. Pour le panorama complet, voir Tor Browser et qu’est-ce que le chiffrement.
Questions fréquentes
Est-il illégal d’utiliser Tor ?
Dans la plupart des pays, non - utiliser Tor est parfaitement légal, et c’est un outil sur lequel comptent journalistes, chercheurs, militants et gens soucieux de leur vie privée. Quelques régimes autoritaires le restreignent ou le surveillent. Tor est un outil ; ce qui est illégal l’est, quel que soit l’outil. Naviguer normalement via Tor n’est pas un crime dans les démocraties.
Tor est-il plus sûr qu’un VPN ?
Ils protègent des choses différentes, donc « plus sûr » dépend de votre objectif. Tor offre un anonymat plus fort car aucun acteur ne voit à la fois votre identité et votre destination. Un VPN offre une confidentialité quotidienne plus rapide et pratique mais demande de faire confiance à un fournisseur. Pour de l’anonymat sensible, Tor ; pour la vie privée générale et la vitesse, un VPN no-log réputé. Certains les combinent.
Peut-on être pisté en utilisant Tor ?
C’est bien plus difficile, mais pas impossible. On peut vous désanonymiser si vous vous connectez à des comptes personnels via Tor, activez des scripts risqués, via des failles du navigateur, ou en téléchargeant des fichiers ouverts hors Tor. Visiter des sites non-HTTPS expose le trafic au nœud de sortie. Utiliser le Tor Browser officiel avec ses réglages par défaut et HTTPS réduit fortement ces risques.
Le navigateur Tor a-t-il été touché par la faille JIT de Firefox de juillet 2026 ?
En partie, et la réponse honnête est que l’information publique s’arrête avant la liste des versions. CVE-2026-10702 est un bug du compilateur JIT de Firefox, classé High par Mozilla, corrigé dans Firefox 151.0.3, touchant les versions 147 à 151.0.2. Tor Browser est bâti sur la branche ESR de Firefox et non sur la version courante, et les chercheurs qui ont divulgué la faille n’ont pas publié quelles releases de Tor Browser embarquaient le code vulnérable. Au 28 juillet 2026, aucune exploitation contre de vrais utilisateurs n’était documentée. La conduite à tenir ne dépend pas de la réponse : gardez les mises à jour automatiques actives et mettez le curseur de sécurité sur Safest, qui désactive JavaScript sur tous les sites et retire donc complètement le JIT de la surface d’attaque.
Faut-il utiliser un VPN avec Tor ?
C’est possible, et une option pour des modèles de menace précis - par exemple, un VPN no-log peut cacher à votre FAI le fait que vous utilisez Tor. Pour la plupart des usagers, cela ajoute de la complexité pour peu de gain, et une mauvaise configuration peut nuire plutôt qu’aider. Si vous voulez surtout de la confidentialité au quotidien et de la vitesse, un VPN seul suffit généralement ; si vous avez besoin d’un anonymat profond, le Tor Browser seul est bien conçu pour cela.