Usare Tor Browser in sicurezza: le abitudini che ti proteggono

Risorsa aggiuntiva per la lezione “Come utilizzare TOR in modo sicuro” — corso Anonimato Online

Sapere usare Tor Browser in sicurezza conta più che averlo installato. Tor Browser è pensato per impedire che ciò che fai online venga ricondotto a chi sei, ma alcune abitudini ordinarie possono disfare quel lavoro senza che tu te ne accorga: accedere a un account personale, aggiungere l’estensione che usi sempre, aprire un file scaricato con un altro programma. Questa risorsa trasforma le abitudini che lasciano lavorare Tor Browser in una breve routine.

A. Perché conta

In questo corso la privacy è decidere che cosa gli altri sanno di te; l’anonimato è poter agire senza che ciò che fai venga ricondotto a chi sei. Tor Browser è progettato per la seconda. Fa passare la connessione attraverso la rete Tor, così i siti che visiti non vedono il tuo indirizzo IP abituale e la tua rete locale non vede quali siti visiti.

Così protegge bene il collegamento tra la tua connessione e la tua attività, ma non quelli che crei tu. Se accedi a un account, installi un’estensione che rende il tuo browser riconoscibile o lasci che un documento si apra in un altro programma mentre sei online, puoi ricondurre la sessione a te anche se il browser funziona alla perfezione.

Usarlo bene, quindi, dipende più da poche abitudini semplici che dalle competenze tecniche. Le regole sull’uso di questi strumenti variano da Paese a Paese: vale la pena verificare che cosa vale dove vivi.

Cosa dicono le fonti

Il Tor Project, che sviluppa Tor Browser, è franco sui suoi limiti (le sue pagine sono in inglese: le frasi tra virgolette sono traduzioni nostre). Nella pagina sulle buone pratiche scrive che «in generale è impossibile avere un anonimato perfetto, anche con Tor». Tor cerca di impedire che qualcuno scopra quali siti visiti, ma per impostazione predefinita non impedisce a chi osserva il tuo traffico di capire che stai usando Tor.

In italiano, la guida di Privacy Guides, un sito senza scopo di lucro dedicato alla privacy, è altrettanto chiara sulle modifiche al browser: «Le estensioni e le impostazioni non standard del browser, ti distinguono dagli altri sulla rete di Tor». Ricorda anche che Tor Browser è progettato per impedire il fingerprinting, cioè il riconoscimento del browser dalla sua configurazione.

A livello europeo, ENISA, l’Agenzia dell’Unione europea per la cibersicurezza, in un rapporto del 2022 colloca le reti come Tor tra i modi per proteggere i metadati, cioè chi si collega a chi e quando. Ricorda però che Tor resta vulnerabile a chi riesce a osservare il traffico sia dove entra nella rete sia dove ne esce.

B. Concetti chiave: usare Tor Browser in sicurezza

Sei idee, ognuna legata a un’abitudine; quasi tutte ti chiedono di non toccare le impostazioni.

Che cosa passa da Tor, e che cosa no

Tor Browser fa passare dalla rete Tor il proprio traffico. Il resto del dispositivo non lo segue: il Tor Project precisa che Tor protegge solo le applicazioni configurate correttamente per mandare il loro traffico attraverso la rete Tor. Posta, app di messaggi e lettori di documenti usano la connessione normale.

I file scaricati sono il punto più delicato. Un documento, avverte il Tor Project, può contenere risorse online che verranno scaricate fuori da Tor dal programma che lo apre, e questo «rivelerà il tuo indirizzo IP non Tor». Per questo Tor Browser ti avvisa prima di aprire automaticamente un documento con un’applicazione esterna.

Perché ti riguarda: Il tuo anonimato si ferma ai bordi della finestra del browser. Tratta quell’avviso come una vera decisione: apri i documenti scaricati solo dopo esserti scollegato da internet, oppure non aprirli affatto.

Fare l’accesso ti ricollega alla sessione

Quando accedi a un sito con Tor Browser, il sito non vede da dove ti colleghi, ma vede il tuo account. Il Tor Project lo dice in modo semplice: se accedi, il sito non conosce la tua posizione, ma sa chi sei. Lo stesso vale per i moduli in cui scrivi il tuo nome, l’indirizzo email o il numero di telefono.

Il Garante per la protezione dei dati personali aiuta a capire perché. Tra i dati personali distingue quelli che permettono l’«identificazione diretta», come nome e cognome, da quelli che permettono l’«identificazione indiretta», come l’indirizzo IP. Tor Browser nasconde uno dei secondi, l’indirizzo IP; un accesso o un modulo consegnano i primi.

Perché ti riguarda: Un account è il collegamento più forte tra un’attività e un’identità. Tieni gli account personali fuori dalle sessioni che vuoi separate da te. Accedere con Tor può avere senso per altri motivi, ma allora proteggi la posizione, non l’identità.

Somigliare a tutti gli altri: estensioni e impostazioni predefinite

Tor Browser ti protegge anche facendo somigliare tra loro i suoi utenti. Il Tor Project scrive che è progettato per avere un’impronta del browser (fingerprint, l’insieme di caratteristiche che un sito può leggere) «quasi identica» per tutti. Per questo sconsiglia fortemente di installare altre estensioni: possono danneggiare la tua privacy, indebolire la sicurezza e renderti più facile da tracciare.

Vale anche per la finestra: Tor Browser si apre con una dimensione standard e, se la ingrandisci, una funzione chiamata letterboxing aggiunge dei margini, così la finestra resta vicina a una delle poche dimensioni standard. Lascia quel comportamento com’è. Ci sono anche tre livelli di sicurezza, nelle pagine ufficiali «Standard» (il predefinito), «Safer» e «Safest», che disattivano alcune funzioni del web: la scelta si affronta al livello Intermedio.

Perché ti riguarda: Ogni modifica che rende il tuo Tor Browser più personale lo rende anche più riconoscibile. La versione non modificata si confonde con le altre.

Anche dentro Tor l’HTTPS conta

Tor cifra il traffico all’interno della sua rete, ma l’ultimo tratto, dall’uscita della rete al sito, è protetto solo se il sito usa HTTPS. Il Tor Project ricorda che la cifratura del traffico verso il sito di destinazione dipende dal sito stesso.

Tor Browser include una modalità che nelle pagine ufficiali si chiama «HTTPS-Only Mode»: impone l’HTTPS con i siti che lo supportano. Prima di scrivere qualcosa di riservato, controlla comunque che l’indirizzo cominci con «https://» e che il nome del sito sia quello che ti aspetti.

Perché ti riguarda: Tor nasconde al sito il tuo indirizzo IP; l’HTTPS nasconde ciò che invii a chi sta in mezzo. Ti servono entrambi.

Un browser aggiornato fa parte della protezione

Il Tor Project è diretto: Tor Browser «deve essere tenuto aggiornato in ogni momento». Usare una versione superata, aggiunge, ti espone a vulnerabilità gravi e alla deanonimizzazione, cioè a debolezze che potrebbero rivelare chi sei.

Quando esce una nuova versione, sul computer l’avviso compare nel menu principale (≡): la pagina ufficiale descrive un cerchio verde con una freccia verso l’alto e la voce «Update available – restart now» (aggiornamento disponibile, riavvia ora).

Perché ti riguarda: L’aggiornamento è l’unica modifica a Tor Browser che conviene fare ogni volta.

«New Identity»: uno stacco netto tra un’attività e l’altra

La funzione che le pagine ufficiali chiamano «New Identity» (nuova identità) si trova nella barra degli strumenti e nel menu principale. Chiude tutte le schede e le finestre, cancella le informazioni private come cookie e cronologia e usa nuovi circuiti Tor, cioè nuove catene di relay da cui passa la connessione. Secondo il Tor Project serve a impedire che l’attività successiva sia collegabile a ciò che facevi prima. Non va confusa con «New Tor circuit for this site», che cambia solo il percorso di una scheda e non scollega la tua attività: ne parla la risorsa di questa sezione sul controllo del circuito Tor.

Perché ti riguarda: «New Identity» è il pulsante che separa due attività. Non cancella però ciò che hai già detto a un sito.

C. Un esempio concreto: le prime sessioni di Elena con Tor

Elena ha 35 anni e lavora nel marketing. Pensa di passare a un’altra agenzia e vuole leggere annunci di lavoro e un forum di settore senza legare quella lettura al browser abituale, dove è collegata tutto il giorno agli strumenti di lavoro. Ha installato Tor Browser dal sito ufficiale e ha cominciato a navigare.

Con lei sono arrivate le abitudini del browser di tutti i giorni: ha fatto l’accesso alla posta personale per recuperare il curriculum e ha aggiunto l’estensione contro la pubblicità che usa ovunque. Ha scaricato un rapporto di settore in PDF e ha superato con un clic l’avviso che si sarebbe aperto in un altro programma. Più tardi, l’avviso di aggiornamento è rimasto senza risposta nel menu principale.

Non erano leggerezze: sono gesti che avrebbe fatto in qualsiasi browser. Ma l’accesso ha detto al servizio di posta chi c’era dietro la sessione, l’estensione ha reso il suo Tor Browser meno simile a quello degli altri e il lettore PDF ha aperto il rapporto con la connessione normale.

Che cosa è cambiato quando Elena si è data una routine

Elena ha fatto con calma l’esercizio della sezione D:

• Ha tolto l’estensione e ha lasciato Tor Browser com’era, accettando qualche pubblicità in più su alcune pagine.
• Usa la posta nel browser abituale e legge i file scaricati più tardi, senza connessione.
• Ha installato l’aggiornamento e ora comincia ogni sessione controllando se ce n’è uno.

Chiude anche ogni sessione con «New Identity». Tor Browser non la rende invisibile, e lei lo sa: se accede da qualche parte, quel sito sa che è lei. Però la sua ricerca di lavoro non viaggia più per caso insieme al resto della sua vita online.

D. Provaci tu: una routine per sessioni pulite (15 minuti)

Cinque passi brevi per la prossima volta che apri Tor Browser. Basta un normale sito di notizie.

Passo 1 — Decidi a che cosa serve la sessione (2 minuti)

• Scrivi una riga: «In questa sessione farò ___ e non accederò a ___».
• Dove puoi, tieni una sola attività per sessione: due attività nella stessa sessione possono essere collegate tra loro.
• Se l’attività richiede il tuo account personale, il browser abituale può essere lo strumento più adatto.

Passo 2 — Controlla il browser prima di cominciare (4 minuti)

• Apri il menu principale (≡) e guarda se c’è l’avviso di aggiornamento. Se c’è, aggiorna prima di tutto.
• Controlla la pagina delle estensioni e rimuovi tutto ciò che non c’era quando hai installato Tor Browser.
• Lascia com’erano la dimensione della finestra e il livello di sicurezza.

Passo 3 — Naviga senza fare l’accesso (4 minuti)

• Visita due o tre siti qualunque. Non fare l’accesso e non compilare moduli con il tuo nome, l’indirizzo email o il numero di telefono.
• Prima di scrivere qualcosa, controlla che l’indirizzo cominci con «https://» e mostri il nome che ti aspetti.
• Se un sito pretende un account, lascia quell’attività a un altro browser.

Passo 4 — Gestisci con cura un file scaricato (2 minuti)

• Scarica un file innocuo, come un opuscolo pubblico in PDF, e fai attenzione all’avviso di Tor Browser sulle applicazioni esterne.
• Non aprirlo adesso. Annota dove è stato salvato.
• Decidi la tua regola: aprire questi file solo dopo esserti scollegato da internet, oppure mai, per ciò che vuoi tenere separato da te.

Passo 5 — Chiudi con «New Identity» (3 minuti)

• Fai clic su «New Identity» nella barra degli strumenti o nel menu principale e leggi l’avviso che Tor Browser mostra prima di chiudere tutto.
• Conferma, e nota che schede, cookie e cronologia di prima non ci sono più.
• Scrivi la tua routine su un cartoncino: scopo, aggiornamento, niente accessi, file scaricati, «New Identity».

Una routine che segui davvero vale più di un elenco di impostazioni che forse cambierai un giorno.

Già trattato nel corso Sicurezza Online

Browser per la privacy: lo strumento che usi tutto il giorno
Spiega come alzare la protezione del browser che usi ogni giorno, dal blocco dei tracciatori ai cookie fino alle eccezioni per singolo sito; questa risorsa aggiunge perché Tor Browser funziona meglio se lasci le sue impostazioni predefinite e tieni la tua identità fuori dalla sessione.

E. Video, articoli e altre risorse

Prima le pagine del Tor Project (in inglese), poi una guida in italiano e due fonti istituzionali, una italiana e una europea.

Il Tor Project: supporto ufficiale

Tor Project — Tor Browser best practices
Accessi e moduli, estensioni, HTTPS, documenti scaricati e che cosa Tor offre e non offre, in una sola pagina (in inglese).
https://support.torproject.org/tor-browser/security/using-tb-safely/

Tor Project — Managing identities
Che cosa fa «New Identity», dove si trova e in che cosa si distingue dal nuovo circuito per un sito (in inglese).
https://support.torproject.org/tor-browser/features/managing-identities/

Tor Project — Plugins
Perché installare estensioni aggiuntive è fortemente sconsigliato (in inglese).
https://support.torproject.org/tor-browser/features/plugins/

Tor Project — Fingerprinting protections
Come Tor Browser fa somigliare tra loro i suoi utenti, comprese le dimensioni standard della finestra e il letterboxing (in inglese).
https://support.torproject.org/tor-browser/features/fingerprinting-protections/

Tor Project — Updating
Perché Tor Browser va tenuto aggiornato e come aggiornarlo in automatico o a mano (in inglese).
https://support.torproject.org/tor-browser/getting-started/updating/

Guide in italiano e fonti istituzionali

Privacy Guides — Tor Browser
Guida in italiano di un sito senza scopo di lucro: perché non aggiungere estensioni né modificare le impostazioni, e che cosa sono i livelli di sicurezza.
https://privacyguides.org/it/tor

Garante per la protezione dei dati personali — Cosa intendiamo per dati personali?
La differenza tra i dati che identificano una persona direttamente, come nome e cognome, e quelli che la identificano indirettamente, come l’indirizzo IP.
https://www.garanteprivacy.it/home/diritti/cosa-intendiamo-per-dati-personali

ENISA (Agenzia dell’Unione europea per la cibersicurezza) — Data Protection Engineering: From Theory to Practice
Rapporto del 2022 che colloca le reti a instradamento a cipolla come Tor tra le tecniche per proteggere i metadati, con i loro limiti (in inglese).
https://www.enisa.europa.eu/sites/default/files/publications/ENISA%20Report%20-%20Data%20Protection%20Engineering.pdf

Link verificati a novembre 2026. Se un indirizzo cambia, cercare il titolo sul sito dell’ente di solito aiuta a ritrovarlo.

F. Il Framework Cyber Welfare: Competenze, Consapevolezza, Comportamento Sicuro

Questa risorsa si colloca nel Framework Cyber Welfare sul pilastro Comportamento Sicuro, livello FL3 – Autonomo: trasformare ciò che sai per usare Tor Browser in sicurezza in abitudini che ripeti.

Competenze

• Trovare in Tor Browser l’avviso di aggiornamento e il pulsante «New Identity».
• Controllare che un indirizzo usi HTTPS e mostri il nome del sito atteso prima di scrivere qualcosa.
• Riconoscere e rimuovere un’estensione che non faceva parte dell’installazione originale.

Consapevolezza

• Capire che fare l’accesso dice a un sito chi sei, anche se non vede dove ti trovi.
• Sapere che solo il traffico di Tor Browser passa da Tor, e che i file scaricati possono aprirsi fuori da Tor.
• Riconoscere che un Tor Browser personalizzato si distingue, mentre uno lasciato com’è si confonde con gli altri.

Comportamento Sicuro

• Tenere uno scopo per sessione e chiuderla con «New Identity».
• Installare ogni aggiornamento di Tor Browser prima di cominciare a navigare.
• Aprire i documenti scaricati solo senza connessione.

G. Domande su cui fermarti

• Quali tue attività online preferiresti non fossero collegate al tuo nome?
• Quale abitudine del tuo browser di tutti i giorni ti costerebbe di più lasciare fuori da Tor Browser, e perché?
• Se un’attività richiede di fare l’accesso, che cosa sta ancora proteggendo Tor Browser?

H. Cosa fare adesso

Le raccomandazioni (R) e le misure di sicurezza (MS) del database Cyber Welfare che si applicano più direttamente qui.

1. Prima e durante una sessione

• R6 — Tieni aggiornato il software: la protezione che lavora mentre non ci pensi: aggiorna Tor Browser appena compare l’avviso; una versione superata mette a rischio anche il tuo anonimato.
• R9 — Connettiti solo tramite HTTPS: la busta chiusa del web: la modalità che impone l’HTTPS aiuta; uno sguardo alla barra degli indirizzi prima di scrivere fa il resto.
• Lascia estensioni, finestra e livello di sicurezza come li hai trovati, salvo un motivo che sapresti spiegare.

Impegno minimo: la prossima volta che apri Tor Browser, controlla nel menu principale se c’è un aggiornamento prima di visitare qualsiasi sito.

2. Tenere le sessioni separate da te

• MS9 — Tor Browser (e OnionShare per condividere file in modo anonimo): usa Tor Browser per le attività che vuoi tenere separate dalla tua identità.
• Non accedere ad account personali e non scrivere dati che ti identificano in una sessione che vuoi tenere scollegata da te.
• Chiudi ogni sessione con «New Identity» prima di passare a qualcosa che non c’entra.

Impegno minimo: scrivi la tua routine in cinque parole su un cartoncino e tienilo vicino al computer: scopo, aggiornamento, niente accessi, file, «New Identity».

In breve

• Per usare Tor Browser in sicurezza, tieni le sue impostazioni predefinite: niente estensioni in più, la finestra come si comporta da sola e ogni aggiornamento.
• Fare l’accesso o scrivere i tuoi dati dice a un sito chi sei, anche se non vede dove ti trovi.
• I documenti scaricati possono aprirsi fuori da Tor e rivelare il tuo indirizzo abituale: aprili senza connessione, oppure non aprirli.
• «New Identity» separa un’attività dalla successiva; Tor Browser riduce i collegamenti con te, ma non può togliere quelli che crei tu.

Risorse correlate in questo corso

• Cos’è Tor? Come Tor Browser protegge il tuo anonimato
• Installare Tor Browser e verificarlo: Windows, Mac e Linux
• Verificare la connessione a Tor: pagina di controllo e circuito

Scopri altre risorse aggiuntive dei corsi online del Programma Proteggi la Tua Privacy Digitale.