Tor sur VPN : configuration et threat model en 2026 (guide complet)

Combiner Tor et VPN est l'architecture de privacy la plus robuste disponible en 2026 — utilisée par journalistes d'investigation (Guardian, ProPublica, Le Monde), activistes en régimes restrictifs (RSF documente l'usage), lanceurs d'alerte (SecureDrop l'impose) et chercheurs sécurité analysant le dark web. La configuration n'est pas magique : il existe Tor over VPN et VPN over Tor, avec des threat models opposés, et le choix mauvais peut neutraliser l'anonymat recherché. Voici la configuration pas à pas Tor over VPN sur Windows, macOS, Linux, le comparatif des VPN Tor-friendly (Mullvad, IVPN, ProtonVPN, NordVPN), les cas d'usage légitimes et les pièges à éviter.

Tor over VPN vs VPN over Tor : choisir le bon threat model

La première décision technique est de comprendre la différence d'architecture entre les deux modes.

Tor over VPN (architecture standard) :

Ton client → VPN tunnel → Réseau Tor (3 relais) → Site final

Ton FAI voit uniquement la connexion HTTPS au serveur VPN — totalement invisible côté FAI que tu utilises Tor. Le VPN voit ton IP réelle mais ne voit pas le contenu de ton trafic (chiffré dans Tor). Le node entry Tor voit l'IP du VPN (pas ta vraie IP). Le node exit voit le trafic Tor déchiffré sortant vers le site final, sans pouvoir te lier.

VPN over Tor (architecture inversée, rare) :

Ton client → Réseau Tor (3 relais) → VPN tunnel → Site final

Ton FAI voit la connexion à Tor entry (donc sait que tu utilises Tor). Le node entry voit ton IP réelle. Le node exit voit l'IP du VPN. Le VPN voit ton trafic mais pas ton IP réelle (uniquement l'IP du node exit). Le site final voit l'IP du VPN.

Recommandation 2026 : Tor over VPN dans 95 % des cas légitimes. C'est le mode supporté nativement par les VPN Tor-friendly. VPN over Tor n'est utile que dans cas exceptionnels où tu ne fais pas confiance au VPN sur ta vraie IP (par exemple enquête journalistique impliquant le pays de juridiction du VPN).

Quels VPN sont vraiment Tor-friendly en 2026 ?

Quatre options dominent le marché, avec philosophies privacy distinctes.

Mullvad (Suède)

• Prix : ~5 €/mois flat, pas d'engagement, pas de plan multi-année.
• Anonymat compte : génération aléatoire d'un identifiant numérique (pas d'email obligatoire). Paiement accepté en cash (envoi par courrier avec billets euros à leur adresse Göteborg), Monero (XMR), Bitcoin, ou carte bancaire si tu acceptes ce compromis.
• Audit : Cure53 2024 (le plus récent), Assured Cybersecurity 2022, 2018.
• No-log : aucun log de connexion, confirmé par audit. Pas de log d'activité.
• Tor compatibility : documentation officielle pour Tor over VPN (mullvad.net/help/tor-and-mullvad-vpn).
• Juridiction : Suède (UE, hors 9/14 Eyes mais sous EU directives).

Forces : philosophie privacy stricte, paiement réellement anonyme, audit Cure53 récent, équipe transparente publiquement nommée. Limites : prix peu compétitif vs offres long-terme, ~700 serveurs (modeste vs 5000+ NordVPN), pas de support 24/7 dédié.

IVPN (Gibraltar)

• Prix : ~6 €/mois en plan annuel.
• Anonymat compte : identifiant numérique aléatoire, pas d'email obligatoire. Paiement Monero, Bitcoin, cash via Privacy.com.
• Audit : Cure53 2024, 2023, 2022 (audit annuel régulier).
• No-log : audit confirme aucun log, politique transparente.
• Tor compatibility : multihop natif (chaîne 2 serveurs VPN avant Tor) — configuration native dans l'application.
• Juridiction : Gibraltar (hors UE, hors Eyes Alliances, juridiction privacy-friendly).

Forces : audits Cure53 annuels (le plus régulier du marché), multihop natif puissant, code source app open source partiel. Limites : marché de niche, ~100 serveurs seulement (mais qualité > quantité), prix supérieur à offres budget.

ProtonVPN Plus (Suisse)

• Prix : ~8 €/mois en plan 2 ans.
• Anonymat compte : email obligatoire (peut être Proton Mail anonyme créé en parallèle). Paiement Bitcoin, cash par courrier accepté.
• Audit : SEC Consult 2024, 2022, 2021 (audit triennal régulier).
• No-log : audit confirme aucun log, mais juridiction suisse impose conservation 6 mois des métadonnées de connexion (pas de contenu) selon LSIPC 2018. Compromis honnêtement documenté.
• Tor compatibility : feature « Tor over VPN » native — serveurs dédiés routant automatiquement vers Tor (Secure Core + Tor option).
• Juridiction : Suisse (hors UE, hors Eyes Alliances, mais sous LSIPC).

Forces : intégration native Tor sans config Tor Browser nécessaire, écosystème complet (Proton Mail, Drive, Calendar, Pass), équipe d'anciens CERN. Limites : juridiction suisse moins forte qu'auparavant (LSIPC 2018), plan gratuit limité, prix supérieur Mullvad/Surfshark.

NordVPN Onion Over VPN (Panama)

• Prix : ~3-5 €/mois en plan 2 ans.
• Anonymat compte : email obligatoire. Paiement Bitcoin, Monero, carte cadeau accepté.
• Audit : Deloitte 2025, 2024, 2023 ; PwC 2022. Audits réguliers Big Four.
• No-log : audit confirme aucun log d'activité ni de connexion. Politique transparente.
• Tor compatibility : serveurs dédiés « Onion Over VPN » dans le client (catégorie spécialisée) qui routent automatiquement le trafic vers Tor — pas besoin de Tor Browser séparé.
• Juridiction : Panama (hors UE, hors Eyes Alliances, juridiction privacy-friendly).

Forces : prix le plus compétitif des quatre, écosystème mature, support 24/7 français, 5000+ serveurs, NordLynx (WireGuard) le plus rapide du marché, intégration Onion Over VPN sans config. Limites : email obligatoire (moins anonyme que Mullvad/IVPN cash), juridiction Panama théoriquement excellente mais structure Lithuania UE soumet partiellement à EU pressure.

Configuration Tor over VPN pas à pas

Étape 1 — Préparer le VPN

1. Souscrire un VPN Tor-friendly parmi les quatre listés. Paiement Monero ou Bitcoin si anonymat compte requis.
2. Installer le client VPN officiel (jamais de version tierce qui peut être backdoor).
3. Configurer kill switch : activer en mode système (pas mode app). Bloque tout trafic hors-tunnel en cas de chute VPN.
4. Activer DNS Leak Protection dans les paramètres avancés.
5. Désactiver IPv6 dans les paramètres si VPN ne le gère pas nativement.
6. Choisir serveur : pays Tor-friendly recommandé — Pays-Bas, Suisse, Suède, Roumanie. Éviter pays restrictifs ou ayant historique de coopération massive avec autorités US (Allemagne, France, UK).

Étape 2 — Vérifier le VPN avant Tor

1. Ouvrir ipinfo.io dans un navigateur classique → IP affichée doit être celle du serveur VPN.
2. Ouvrir dnsleaktest.com Extended Test → seuls les résolveurs VPN doivent répondre.
3. Ouvrir browserleaks.com/webrtc → aucune IP publique hors tunnel ne doit apparaître.

Si l'un de ces tests échoue, ne pas lancer Tor. Corriger d'abord le VPN.

Étape 3 — Installer et lancer Tor Browser

1. Télécharger Tor Browser sur torproject.org/download — vérifier la signature PGP du téléchargement (gpg --verify) pour s'assurer qu'il n'a pas été altéré en transit.
2. Installer dans un dossier dédié, idéalement chiffré (Windows BitLocker, macOS FileVault, Linux LUKS).
3. Lancer Tor Browser. Au premier démarrage, écran d'accueil avec deux options :
   • « Connect » : connexion directe au réseau Tor. Choisir cette option puisque tu passes déjà par VPN (bridges inutiles).
   • « Configure » : pour bridges obfusqués si Tor est bloqué pays-niveau (situation rare avec VPN en amont).
4. Tor Browser établit le circuit (3 relais) en 5-15 secondes. Page d'accueil DuckDuckGo s'affiche.

Étape 4 — Vérifier le double tunnel

1. Sur check.torproject.org → message « Congratulations. This browser is configured to use Tor. » confirme Tor actif.
2. Sur ipinfo.io (dans Tor Browser cette fois) → IP affichée doit être celle d'un exit node Tor, complètement différente de ton VPN.
3. Sur dnsleaktest.com → DNS doit être celui du node exit (typiquement résolveurs publics non-FAI).
4. Cliquer l'icône bouclier en haut à droite de Tor Browser → choisir Security Level: Safest pour désactiver JavaScript (recommandé pour usage sensible).

Sécurité opérationnelle : ne jamais te connecter à des comptes personnels depuis Tor Browser. Les patterns de comportement compromettent l'anonymat même avec configuration parfaite.

Étape 5 — Usage sécurisé

Règles d'hygiène pendant la session Tor over VPN :

• Ne pas ouvrir de fichiers téléchargés (PDF, DOCX) hors session Tor — métadonnées peuvent leak IP réelle au moment de l'ouverture.
• Ne pas activer JavaScript pour usage très sensible (Safest Mode).
• Ne pas redimensionner la fenêtre du navigateur (fingerprint sur résolution).
• Renouveler le circuit (icône balai) si comportement réseau suspect.
• Fermer Tor Browser puis VPN, pas l'inverse.

Performance et impact réel

Mesures terrain mai 2026, fibre Orange 1 Gbps Paris 15e :

L'impact vitesse est dramatique mais conscient : Tor route ton trafic via 3 relais bénévoles à travers le monde, chacun limite le débit selon sa bande passante. Le débit Tor mondial moyen reste 2-15 Mbps malgré 7800 nodes actifs.

Implications pratiques :

• Navigation web texte : fluide, imperceptible.
• Recherche : fluide, ~3-5 s par requête.
• Streaming SD : possible mais saccadé, déconseillé éthiquement (surcharge Tor).
• Streaming HD/4K : impossible.
• Téléchargements lourds : impossible et impolitique (Tor n'est pas conçu pour téléchargement bulk).
• Visioconférence : impossible (latence trop élevée).

Le compromis vitesse vs anonymat est conscient et accepté pour les usages légitimes.

Cas d'usage légitimes en 2026

Tor over VPN est sur-engineering pour usage privacy général. C'est l'architecture appropriée pour :

Journalisme d'investigation

Le Guardian, ProPublica, Le Monde, Süddeutsche Zeitung utilisent Tor over VPN pour communications avec sources sensibles depuis les leaks Snowden 2013. SecureDrop, plateforme de soumissions anonymes, impose Tor (sans VPN, IP publiquement traçable).

Activistes en régimes restrictifs

Russie, Iran, Chine, UAE, Cuba bloquent partiellement Tor. Un VPN obfusqué en amont rend Tor invisible au FAI. Reporters sans frontières documente l'usage massif depuis 2014. RSF recommande publiquement Tor over VPN pour journalistes en Russie depuis 2022 (post-invasion Ukraine).

Lanceurs d'alerte / whistleblowers

Programmes SecureDrop (Freedom of the Press Foundation) impose Tor pour soumissions vers NY Times, Washington Post, ProPublica, Guardian. WhistleblowerSubmission.io recommande Tor over VPN pour usage gouvernemental.

Chercheurs sécurité

Analyse de marchés cybercriminels, recherche threat intelligence sur dark web, audit infrastructure malware. SANS Institute recommande Tor + VPN dans ses formations CIRT 2024.

Avocats droits humains

Communication client confidentielle sur dossiers de droits humains (Reprieve, Avocats Sans Frontières). Protège secret client face à interception État.

À l'inverse, pour utilisateur lambda recherchant privacy : VPN no-log audité seul suffit largement, sans nécessiter Tor.

Pièges connus à éviter

Piège 1 — Pas de kill switch système activé. Si VPN chute pendant session Tor, ton IP réelle apparaît au node entry Tor. Toujours activer kill switch en mode système avant lancement Tor Browser.

Piège 2 — Mélanger Tor Browser et navigateur classique simultanément. Cookies cross-context, fingerprint corrélé, identifiants partagés peuvent désanonymiser. Tor Browser exclusivement pendant la session sensible.

Piège 3 — Login compte personnel dans Tor Browser. Te connecter à Gmail, Facebook, LinkedIn dans Tor identifie le node exit avec ton identité réelle. Ne jamais logger à comptes personnels en Tor.

Piège 4 — IPv6 actif. Tor ne route que IPv4. Si IPv6 est actif et non bloqué par VPN, ton préfixe IPv6 FAI peut leak. Désactiver IPv6 système ou utiliser VPN avec « Block IPv6 ».

Piège 5 — Téléchargement fichiers ouverts hors Tor. Métadonnées EXIF photos, GPS, identifiants documents Office peuvent leak ton identité réelle au moment de l'ouverture hors session Tor. Ouvrir uniquement en environnement isolé (VM, Tails OS).

Piège 6 — VPN gratuit en amont de Tor. VPN gratuits revendent les données, loggent les sessions, certains injectent malware. Anéantit complètement l'anonymat Tor. Toujours VPN no-log audité indépendamment.

Piège 7 — Session Tor longue durée. Plus une session est longue, plus elle accumule de patterns identifiables. Renouveler circuit (NewIdentity) toutes les 30-60 min pour usage sensible.

Alternatives à Tor over VPN

Pour cas d'usage spécifiques où Tor est trop lent ou son écosystème incompatible :

• VPN multihop seul : ProtonVPN Secure Core, Mullvad Multihop, IVPN Multihop. Anonymat moins fort (3 hops chez même opérateur vs 3 hops Tor décentralisés) mais vitesse acceptable.
• I2P (Invisible Internet Project) : réseau anonyme alternatif optimisé services internes (eepsites). Plus rapide que Tor sur P2P.
• Lokinet : routing onion blockchain Oxen, paiement intégré, vitesse intermédiaire.
• Tails OS : système live USB avec Tor intégré, environnement zéro-trace après reboot. Indispensable pour usage ultra-sensible (lanceur d'alerte, source confidentielle).
• Whonix VM : machine virtuelle Tor-only sécurisée, isolation niveau OS plutôt que navigateur seul.

Pour 95 % des cas privacy générale, VPN no-log audité seul suffit. Tor over VPN se justifie quand l'anonymat absolu prime sur la vitesse et l'UX.

Ce qu'il faut retenir

Tor over VPN est l'architecture privacy la plus robuste disponible en 2026, mais aussi la plus exigeante : configuration précise, performance dégradée (8-25 Mbps), discipline opérationnelle (pas de comptes personnels, IPv6 désactivé, kill switch système). C'est l'outil approprié pour journalistes investigation, activistes pays restrictifs, lanceurs d'alerte, chercheurs sécurité — pas pour usage privacy quotidien.

Quatre VPN dominent le marché Tor-friendly en 2026 : Mullvad (Suède), IVPN (Gibraltar), ProtonVPN Plus (Suisse), NordVPN (Panama). Chacun a sa philosophie. Le choix dépend du compromis entre prix, anonymat compte, intégration native Tor, et taille du réseau.