Installer Tor Browser et le vérifier : Windows, Mac et Linux

Fiche complémentaire de la leçon « Installer et vérifier TOR Browser (Windows, macOS, Linux) » — cours Anonymat en ligne

Pour installer Tor Browser correctement, le téléchargement compte autant que l’installation. Une copie venue du mauvais endroit peut sembler identique et pourtant jouer contre vous. Cette fiche montre d’où vient le navigateur authentique, ce que prouve la vérification de sa signature, et comment l’installer, le contrôler et le lancer sous Windows, macOS ou Linux, à votre rythme.

A. Pourquoi c’est important

Dans ce cours, la vie privée consiste à décider de ce que les autres savent de vous ; l’anonymat, à pouvoir agir sans que ce que vous faites soit relié à qui vous êtes. Tor Browser est l’un des principaux outils pour le second : il est conçu pour rendre vos visites plus difficiles à rattacher à vous. La fiche précédente de cette section explique comment il fonctionne. Celle-ci pose une question qui vient avant, plus discrète : le navigateur auquel vous allez faire confiance est-il le bon ?

La question pèse plus ici qu’ailleurs. Une copie modifiée d’un outil d’anonymat peut avoir l’apparence de l’original et faire le travail inverse, en créant justement les liens que vous vouliez desserrer. La fenêtre ou l’icône ne vous l’apprendront pas. La provenance du fichier et sa signature, si.

Rien de tout cela n’a de quoi inquiéter. Le chemin officiel est court, il est documenté par l’équipe qui développe le navigateur, et il s’apprend une fois. Les règles sur l’usage d’outils comme Tor Browser varient d’un pays à l’autre : en cas de doute sur ce qui s’applique là où vous êtes, renseignez-vous avant d’installer.

Ce que disent les sources

Le Projet Tor, l’organisation à but non lucratif qui développe Tor Browser, explique dans ses pages d’aide (en anglais) que le moyen le plus sûr et le plus simple de télécharger le navigateur est son site officiel : la connexion en HTTPS rend le fichier beaucoup plus difficile à altérer en chemin. En novembre 2026, le lien de téléchargement de torproject.org mène à download.torproject.org, dont la page de téléchargement existe aussi en français. Pour les réseaux où ce site est bloqué, elles indiquent des miroirs officiels, c’est-à-dire des copies du site, et un service automatique appelé GetTor.

Ces pages sont tout aussi nettes sur les copies vendues ailleurs. Tor Browser est un logiciel libre et gratuit, et le Projet Tor prévient qu’un navigateur qui se présente comme Tor Browser en exigeant un paiement est un faux. Son conseil : passer par sa page de téléchargement puis, une fois le fichier obtenu, en vérifier la signature pour s’assurer d’avoir la version officielle.

Le risque n’a rien de théorique. En 2019, l’Electronic Frontier Foundation (EFF), association américaine de défense des droits numériques, a décrit une version piégée de Tor Browser découverte par des chercheurs de l’éditeur de sécurité ESET, diffusée par de faux avertissements annonçant une version périmée et par des sites aux noms proches du vrai. Selon l’EFF, cette copie envoyait aux sites un user-agent personnalisé, la courte description qu’un navigateur donne de lui-même, ce qui permettait aux attaquants de reconnaître et de suivre leurs victimes.

En France, la CNIL cite Tor Browser parmi les solutions pour se protéger des nouvelles méthodes de traçage en ligne, dans une page mise à jour le 10 février 2025. Pour la vérification sous Windows, le Projet Tor renvoie à Gpg4win, un logiciel qui sert à signer et à chiffrer des fichiers ; son site précise que sa création a été soutenue par l’Office fédéral allemand de la sécurité de l’information (BSI), l’autorité nationale de cybersécurité en Allemagne.

B. Notions clés

Six idées qui expliquent ce que vous faites à chaque étape, et pourquoi.

La source officielle, et elle seule

Le Tor Browser authentique pour ordinateur vient de la page de téléchargement du Projet Tor (ses pages en français parlent du « Navigateur Tor » : c’est le même logiciel), qui propose des versions pour Windows, macOS et GNU/Linux. Si cette page est bloquée sur votre réseau, le Projet Tor indique des miroirs officiels, hébergés par l’EFF ou La Cebolla, et GetTor, qui répond à un e-mail ou à un message Telegram par des liens de téléchargement. Les annonces des moteurs de recherche, les sites de partage de fichiers, les éditions « plus rapides » ou « pro » et les liens reçus par message ne figurent pas sur cette liste.

Pourquoi c’est important pour vous : La source décide de tout le reste. Un fichier authentique pris à une adresse officielle peut ensuite être vérifié ; un fichier venu d’un site inconnu commence par une question à laquelle on ne sait pas toujours répondre.

La signature numérique et le fichier .asc

À côté de chaque téléchargement, le Projet Tor propose un petit fichier de signature, du même nom, avec l’extension .asc ; sur la page française, c’est le lien « Sig. ». Il s’agit d’une signature OpenPGP : une sorte de sceau mathématique que les développeurs apposent avec leur clé privée. Selon le Projet Tor, une signature garantit qu’un paquet a bien été produit par ses développeurs et n’a pas été modifié depuis.

Pourquoi c’est important pour vous : Si un seul octet du programme d’installation change après la signature, à cause d’un faux site ou d’un téléchargement abîmé, la vérification échoue. C’est un contrôle que vous faites vous-même, au lieu de croire sur parole.

La clé de signature et son empreinte

Pour contrôler le sceau, votre ordinateur a besoin de la clé publique des développeurs. L’empreinte d’une clé (en anglais fingerprint, à ne pas confondre avec l’empreinte du navigateur) est une longue suite de lettres et de chiffres qui identifie une seule clé. En novembre 2026, la page de vérification du Projet Tor donne pour la clé de signature des développeurs de Tor Browser l’empreinte EF6E286DDA85EA2A4BA7DE684E2C6E8793298290. Comparez-la avec la page officielle elle-même plutôt qu’avec une copie, y compris celle-ci.

Pourquoi c’est important pour vous : La vérification prouve qu’un fichier a été signé par une clé donnée et n’a pas changé depuis. Elle ne vaut que par la clé utilisée : c’est pourquoi la clé doit venir du Projet Tor, et non du même endroit qu’un téléchargement douteux.

Ce que la vérification ne fait pas

Une signature valide vous dit que votre copie est celle que les développeurs ont publiée. Elle ne vous rend pas anonyme et ne dit rien de l’état de santé de votre ordinateur. Elle ne dit rien non plus de ce que vous faites une fois le navigateur ouvert : les fiches suivantes de cette section traitent des habitudes et des contrôles qui comptent alors.

Pourquoi c’est important pour vous : Connaître la limite d’un contrôle évite qu’il devienne un faux réconfort. Il répond très bien à une question, et à celle-là seulement.

L’outil qui fait la vérification

Les signatures se vérifient avec GnuPG (GNU Privacy Guard), un logiciel libre qui s’utilise en ligne de commande, c’est-à-dire dans une fenêtre de texte où l’on tape des instructions. Le Projet Tor explique que, sous Windows, on peut l’installer avec Gpg4win et, sous macOS, avec GPGTools, dont le paquet s’appelle aujourd’hui GPG Suite. Sous Linux, ajoute-t-il, il est en général déjà installé.

Pourquoi c’est important pour vous : L’outil de vérification s’installe une fois et resservira pour chaque nouvelle version, comme pour d’autres logiciels qui publient des signatures de la même façon.

Le premier lancement et la fenêtre « Connect to Tor »

Au premier démarrage de Tor Browser, explique le Projet Tor, s’affiche la fenêtre « Connect to Tor » (se connecter à Tor ; libellés des pages d’aide en anglais, peut-être traduits dans un Tor Browser en français). « Connect » fonctionne en général sans autre réglage ; « Configure Connection » sert aux réseaux censurés ou qui passent par un proxy ; l’interrupteur « Always connect automatically » reprend vos réglages la fois suivante. Si Tor est bloqué là où vous êtes, une fonction appelée Connection Assist peut proposer un pont (bridge en anglais), c’est-à-dire un point d’entrée alternatif vers le réseau.

Pourquoi c’est important pour vous : Voir l’écran de connexion, et choisir de se connecter, fait partie d’une installation correcte. Si cet écran n’apparaît pas, quelque chose diffère de l’expérience officielle, et cela mérite qu’on s’y arrête.

C. Un exemple concret : les deux ordinateurs de Marc

Marc a 22 ans, il est étudiant à Lyon et passe une bonne partie de ses soirées à jouer en ligne. Son ordinateur fixe tourne sous Windows ; son portable, pour les cours, sous Linux. Après la section de ce cours sur la surveillance et la censure, il a voulu un navigateur pour se documenter sur certains sujets sans que ces visites voisinent avec ses comptes de jeu et ses connexions à l’université.

Sa première recherche lui a montré une annonce pour un Tor Browser « plus rapide, avec encore plus de protection de la vie privée ». Sur un forum de jeux, un ami a partagé un lien direct vers une autre copie. Marc a failli cliquer sur les deux. Puis il s’est rappelé que le but de l’exercice était de réduire les liens avec lui, et qu’une copie impossible à vérifier serait un drôle de point de départ.

Ce qui a changé quand Marc a suivi le chemin officiel

Il s’est réservé une soirée, sans échéance :

• Il est allé sur le site du Projet Tor en tapant lui-même l’adresse, et a téléchargé le programme d’installation pour Windows avec son fichier de signature .asc.
• Sous Windows, il a installé Gpg4win, importé la clé des développeurs comme l’indique la page officielle et comparé son empreinte avec celle de cette page avant de vérifier le fichier.
• Sur son portable Linux, GnuPG était déjà là. Sa première tentative a échoué avec le message « No such file or directory » (fichier ou dossier introuvable) : il avait copié le nom de fichier d’exemple des instructions au lieu du nom de son propre téléchargement. La page du Projet Tor mentionne précisément cette erreur.
• Quand les deux vérifications ont affiché une signature valide de la clé des développeurs de Tor Browser, il a installé le navigateur sur chaque ordinateur, a vu la fenêtre « Connect to Tor » et a appuyé sur « Connect ».

Il a simplement laissé de côté l’annonce et le lien du forum, et noté que la prochaine mise à jour viendrait du navigateur lui-même. Les deux installations lui ont pris moins de temps que prévu.

D. À vous de jouer : installer Tor Browser et le vérifier (40 minutes)

Cinq étapes sur un seul ordinateur. Les durées sont larges pour une première fois ; une deuxième installation, sur un autre système, va beaucoup plus vite. Les pages d’aide sont en anglais ; si elles ont changé depuis la rédaction de cette fiche, suivez les instructions officielles.

Étape 1 — Trouvez la page officielle et la clé (5 minutes)

• Tapez vous-même l’adresse du Projet Tor, ou suivez le lien de la section E, plutôt qu’une annonce dans les résultats de recherche ou un lien reçu par message.
• Ouvrez dans un autre onglet la page de vérification, que la page de téléchargement française appelle « Vérifier la signature du Navigateur Tor » (en anglais, « Verify Tor Browser’s signature »), et gardez-la ouverte : vous la suivrez à l’étape 4.
• Notez les huit derniers caractères de l’empreinte de la clé de signature indiquée sur cette page, pour pouvoir la reconnaître ensuite.

Étape 2 — Téléchargez le navigateur et sa signature (5 minutes)

• Sur la page « Navigateur Tor pour Ordinateur », choisissez votre système : Windows (un fichier .exe), macOS (un fichier .dmg) ou Linux (une archive .tar.xz).
• Téléchargez aussi le fichier de signature correspondant, le lien « Sig. » à côté de chaque téléchargement. Gardez les deux fichiers dans le même dossier.
• Si le site du Projet Tor ne s’ouvre pas sur votre réseau, utilisez les miroirs officiels ou GetTor décrits sur sa page « Downloading », plutôt qu’une copie trouvée au hasard.

Étape 3 — Préparez l’outil de vérification (10 minutes)

• Windows : téléchargez Gpg4win depuis le lien de la page de vérification du Projet Tor, puis lancez son programme d’installation.
• macOS : installez GPG Suite de GPGTools, là encore depuis le lien de cette page.
• Linux : ouvrez un terminal et vérifiez que GnuPG est présent ; il l’est en général déjà.

Étape 4 — Vérifiez la signature (10 minutes)

• Suivez la page officielle pas à pas : elle explique comment récupérer la clé des développeurs auprès du Projet Tor, l’enregistrer dans un fichier de clés (un « keyring ») et contrôler votre téléchargement avec son fichier .asc. Copiez ses commandes, mais remplacez les noms de fichiers d’exemple par ceux de vos propres fichiers.
• Avant de vous fier au résultat, vérifiez que l’empreinte de la clé correspond à celle de la page officielle.
• Cherchez une ligne « Good signature from » (signature valide de), suivie de la clé de signature des développeurs de Tor Browser. Si l’importation de la clé produit une erreur, la page indique qu’on ne peut pas continuer avant d’en avoir compris la cause. Si la vérification n’annonce pas une signature valide, n’installez pas : téléchargez de nouveau depuis la page officielle.

Étape 5 — Installez, lancez et vérifiez les mises à jour (10 minutes)

• Windows (10 ou 11) : double-cliquez sur le fichier .exe et suivez l’assistant d’installation. macOS (version 10.15 ou ultérieure) : double-cliquez sur le fichier .dmg et suivez les étapes à l’écran. Linux : extrayez l’archive, ouvrez le dossier de Tor Browser et cliquez sur le fichier start-tor-browser.desktop.
• Au premier lancement, lisez la fenêtre « Connect to Tor », puis appuyez sur « Connect », ou sur « Configure Connection » si votre réseau l’exige.
• Ouvrez le menu principal (≡) et repérez le signe qu’une mise à jour attend : selon le Projet Tor, un cercle vert avec une flèche vers le haut. Quand il apparaît, le menu propose « Update available – restart now » (mise à jour disponible, redémarrer maintenant).

Une installation vérifiée vaut mieux que trois installations rapides : vous savez désormais à quoi ressemble le chemin authentique.

Déjà traité dans le cours Sécurité en ligne

Télécharger en toute sécurité : décider avant d’installer
Elle installe le réflexe général de regarder d’où vient un logiciel et ce qu’un programme d’installation fait accepter ; cette fiche ajoute un moyen de prouver, par une signature, qu’un outil d’anonymat précis est bien l’authentique.

E. Vidéos, articles et autres ressources

Les pages du Projet Tor, puis le contexte et l’outil de vérification. Seule la page de téléchargement est en français.

Pages officielles du Projet Tor

Le Projet Tor — Navigateur Tor pour Ordinateur
La page de téléchargement officielle, en français, pour Windows, macOS et Linux, avec un lien « Sig. » vers le fichier de signature à côté de chaque téléchargement.
https://download.torproject.org/fr/tor-browser-for-desktop/

The Tor Project — Downloading
Pourquoi le site officiel est la source la plus sûre, et quels miroirs officiels et quel service GetTor utiliser s’il est bloqué (en anglais).
https://support.torproject.org/tor-browser/getting-started/downloading/

The Tor Project — Verify Tor Browser’s signature
La vérification pas à pas pour Windows, macOS et Linux, l’empreinte de la clé de signature et le résultat attendu (en anglais).
https://support.torproject.org/tor-browser/getting-started/verifying-tor-browser/

The Tor Project — Installing
Les étapes d’installation et les versions requises pour chaque système d’ordinateur, et ce que dit le Projet Tor d’Android et d’iOS (en anglais).
https://support.torproject.org/tor-browser/getting-started/installing/

The Tor Project — First launch
Ce que propose la fenêtre « Connect to Tor » et que faire si Tor est bloqué là où vous êtes (en anglais).
https://support.torproject.org/tor-browser/getting-started/first-launch/

The Tor Project — Updating
Comment Tor Browser signale qu’une mise à jour est prête, et pourquoi rester à jour compte pour l’anonymat (en anglais).
https://support.torproject.org/tor-browser/getting-started/updating/

Contexte et outils

Electronic Frontier Foundation — Phony HTTPS Everywhere Extension Used in Fake Tor Browser
Le récit, en 2019, d’un faux Tor Browser diffusé par de fausses alertes de mise à jour et des sites aux noms trompeurs (en anglais).
https://www.eff.org/deeplinks/2019/10/phony-https-everywhere-extension-used-fake-tor-browser

Gpg4win — About Gpg4win
Ce qu’est le logiciel pour Windows qui sert à signer et à vérifier des fichiers, et le soutien qu’il a reçu du BSI allemand (en anglais).
https://gpg4win.de/about.html

Liens vérifiés en novembre 2026. Si une adresse change, chercher le titre sur le site de l’organisme aide souvent à la retrouver.

F. Le Framework Cyber Welfare : Compétences, Conscience du risque, Comportements sûrs

Pilier Compétences, niveau FL3 — Autonome : se procurer un outil d’anonymat au bon endroit et confirmer par soi-même qu’il est authentique.

Compétences

• Trouver la page de téléchargement officielle, et les solutions officielles si elle est bloquée.
• Vérifier la signature d’un fichier avec la clé des développeurs, grâce à GnuPG sur son propre système.
• Installer Tor Browser sous Windows, macOS ou Linux et lire la fenêtre « Connect to Tor ».

Conscience du risque

• Comprendre qu’une copie modifiée d’un outil d’anonymat peut créer les liens qu’elle prétend supprimer.
• Savoir ce que prouve une signature valide, et ce qu’elle ne prouve pas.
• Voir dans les éditions payantes, « plus rapides » ou « pro » d’un outil gratuit un signal d’alerte.

Comportements sûrs

• Télécharger les outils de sécurité et d’anonymat auprès de leurs développeurs ou de leurs miroirs officiels.
• S’arrêter, plutôt qu’installer malgré tout, quand une vérification échoue.
• Laisser le navigateur se mettre à jour lui-même, sans chercher de nouvelles versions ailleurs.

G. Questions pour réfléchir

• D’où venaient vraiment les derniers logiciels que vous avez installés, et auriez-vous pu en vérifier un ?
• Si un ami vous envoyait un lien de téléchargement pour un outil de vie privée, comment lui répondre sans le mettre mal à l’aise ?
• Quels autres logiciels que vous utilisez publient une signature ou une somme de contrôle que vous n’avez encore jamais regardée ?

H. Que faire maintenant

Les recommandations (R) et mesures de sécurité (MS) de la base de données Cyber Welfare qui s’appliquent le plus directement ici.

1. Se procurer le navigateur authentique

• R25 — Vérifier l’authenticité d’une application avant de l’installer : partez de la source, pas du premier résultat : pour Tor Browser, cela veut dire la page de téléchargement officielle ou ses miroirs officiels, et une signature valide avec la clé des développeurs.
• Laissez de côté les éditions payantes, les annonces et les liens de téléchargement partagés. Sur téléphone, le Projet Tor indique pour Android Google Play, F-Droid, son propre site ou GetTor, et précise qu’il n’existe pas de Tor Browser pour iOS.

Engagement minimal : avant votre prochaine installation, ouvrez la page de vérification du Projet Tor et lisez-la une fois, du début à la fin.

2. Le garder authentique dans la durée

• R6 — Garder ses logiciels à jour : la protection qui agit pendant que vous n’y pensez pas : le Projet Tor prévient qu’un Tor Browser qui n’est pas à jour expose à des failles graves et à la désanonymisation, c’est-à-dire au risque que vos activités soient de nouveau reliées à vous. Acceptez la mise à jour depuis le menu principal (≡) quand elle apparaît.
• Une demande de mise à jour qui arrive par une fenêtre surgissante, une annonce ou un message, en dehors du navigateur lui-même, est une bonne raison de s’arrêter et de revenir au site officiel.

Engagement minimal : la prochaine fois que Tor Browser signale une mise à jour disponible, installez-la le jour même.

En bref

• Pour installer Tor Browser en sécurité, partez de la page de téléchargement du Projet Tor, de ses miroirs officiels ou de GetTor, et de rien d’autre.
• Le fichier de signature .asc permet de confirmer que votre copie est celle que les développeurs ont publiée, sans modification.
• Une signature valide prouve que le fichier est authentique ; à elle seule, elle ne vous rend pas anonyme.
• Mettre à jour depuis le navigateur lui-même le garde authentique et récent, sans nouvelle recherche de téléchargement.

Découvrez d’autres fiches complémentaires des cours du programme Protégez votre Vie Privée Numérique.