Cómo verificar un espejo .onion

Método 1 — Cabecera Onion-Location (el más fácil)

Tor Browser moderno lee la cabecera Onion-Location de respuesta del sitio clearnet y muestra un prompt ".onion available". Si visitás https://provider.com en Tor Browser y el prompt te ofrece la misma onion que lista el directorio — eso es atestación de primera mano. El operador firmó ese vínculo al setear la cabecera en el origen clearnet que controla.

1. Abrí la URL clearnet del proveedor en Tor Browser.
2. Buscá la píldora violeta ".onion available" en la barra de direcciones.
3. Comparala con la onion listada en /onion-audit.

Nuestra sonda diaria automatiza esto desde el VPS: el resultado cae en /onion-audit. Las discrepancias entran a revisión del curador en 24 horas.

Método 2 — Verificar la huella de la clave firmada

Servicios de larga trayectoria publican la huella de su clave de onion service en su sitio clearnet canónico (o vía commits Git firmados con PGP). La dirección onion que visitás se deriva de esa clave pública — el prefijo del onion es la huella de la clave.

1. En el sitio clearnet, buscá una página "Tor mirror" / "Onion" que liste la dirección v3.
2. Comparala char por char con la que el navegador está mostrando.
3. Bonus: si está firmada con PGP (algunos lo hacen), verificá la firma con la clave publicada del operador.

Método 3 — Cross-referenciar directorios independientes

xmr.club, monerica, kycnot.me, Privacy Guides y las Awesome Onion lists son maintainers independientes. Si tres de ellos listan la misma onion para el mismo proveedor, la chance de que los tres estén phisheados es baja. Publicamos el dataset en /data.json (CC-BY-4.0) justamente para que este cross-check salga barato.

Banderas rojas

• La dirección que conseguiste no coincide con /onion-audit + /data.json. Posible takeover o typo — no inicies sesión.
• El onion te redirige a clearnet al registrarte. El operador rompió su propio flow Tor — sirve para navegar, no para login hasta que arregle.
• TLS clearnet auto-firmado pidiéndote agregar excepción. Operadores reales en onions v3 no necesitan TLS, pero el sitio clearnet sí debería tener certs válidos — cert malo es señal de phishing.
• Dirección que alguien te pasó en DM. Siempre cross-checkeala contra fuentes públicas antes de confiar.