xmr.club
Способ 1 — Заголовок Onion-Location (самый простой)
Современный Tor Browser читает заголовок ответа Onion-Location с clearnet-сайта сервиса и показывает плашку ".onion available". Если вы заходите на https://provider.com в Tor Browser, и плашка предлагает тот же onion, что и каталог — это аттестация первого порядка. Оператор подписался под этой связкой, выставив заголовок на clearnet-origin-е, который он сам контролирует.
- Откройте clearnet-URL провайдера в Tor Browser.
- Ищите фиолетовую плашку ".onion available" в адресной строке.
- Сравните onion с тем, что в /onion-audit.
Наш ежедневный probe автоматизирует это с VPS: результат попадает в /onion-audit. Несоответствия уходят кураторам на ревью в течение 24 часов.
Способ 2 — Сверка отпечатка подписанного ключа
Сервисы с длинной историей публикуют отпечаток ключа onion-сервиса на каноническом clearnet-сайте (или через PGP-подписанные Git-коммиты). Onion-адрес, который вы посещаете, выводится из этого публичного ключа — префикс onion-а и есть fingerprint ключа.
- На clearnet-сайте найдите страницу "Tor mirror" / "Onion" со списком v3-адреса.
- Сравните строку посимвольно с тем, к чему сейчас подключён ваш браузер.
- Бонус: если оператор подписал её PGP-подписью (некоторые так делают), проверьте подпись опубликованным ключом.
Способ 3 — Перекрёстная сверка с независимыми каталогами
xmr.club, monerica, kycnot.me, Privacy Guides и списки awesome-onion — это независимые мейнтейнеры. Если три из них перечисляют один и тот же onion для одного провайдера, вероятность, что все трое одновременно зафишены, низка. Мы публикуем датасет на /data.json (CC-BY-4.0) специально, чтобы такая перекрёстная сверка стоила дёшево.
Красные флаги
- Адрес, который у вас на руках, не совпадает с /onion-audit + /data.json. Возможен takeover или опечатка — не входите.
- Onion редиректит на clearnet при регистрации. Оператор сломал собственный Tor-flow — для просмотра можно, для логина — нет, пока не починят.
- Самоподписной TLS на clearnet с предложением добавить исключение. Реальные операторы на v3-onion-ах TLS не нужен, но clearnet-сайт всё равно должен иметь валидные сертификаты — плохой сертификат — фишинговый сигнал.
- Адрес, который вам прислали в DM. До доверия — всегда перекрёстно проверяйте через публичные источники.