Prevención del fraudeCómo detectar tráfico de Tor por IP: nodos de salida, riesgos y métodos de detección
Tor oculta a los usuarios tras relés, así que solo ves el nodo de salida. Cómo detectar nodos de salida de Tor por IP y gestionar el tráfico de Tor sin bloquear a usuarios legítimos.
Cuando una petición llega por Tor, casi todo lo que normalmente aprenderías de la dirección IP es engañoso. La ubicación es la del nodo de salida, no la del usuario. El ISP es un relé voluntario, no el proveedor del usuario. Lo único honesto que te dice la IP es lo único que Tor no puede ocultar: que el tráfico llegó a través de Tor. Detectar ese hecho, de forma fiable, es todo lo que importa.
Qué es Tor y cómo funcionan los nodos de salida
Tor (abreviatura de "The Onion Router") anonimiza el tráfico envolviéndolo en capas de cifrado y enrutándolo a través de tres relés elegidos al azar, gestionados por voluntarios de todo el mundo.
La ruta tiene tres saltos. El nodo de entrada (guardia) ve la IP real del usuario, pero no su destino. Un relé intermedio no ve ninguno de los dos extremos, solo los relés que tiene a cada lado. El nodo de salida descifra la última capa y reenvía la petición a su destino, así que ve adónde va el tráfico, pero no quién lo envió. Ningún relé conoce a la vez el origen y el destino, y eso es lo que da a Tor su anonimato.
Para quien recibe el tráfico, la consecuencia es simple pero importante: solo ves la dirección IP del nodo de salida. La IP real del usuario está a tres saltos y oculta criptográficamente. Todas las técnicas de detección de Tor se basan en identificar ese nodo de salida, lo que convierte a Tor en la más sencilla de las capas de señales en las que se basa la detección de VPN y proxy.
- Ves el nodo de salida, no al usuario. La IP de origen, la ubicación y el ISP pertenecen todos al último relé.
- La lista de nodos de salida es pública. El Tor Project publica y actualiza continuamente la lista de relés de salida.
- Eso hace que Tor sea detectable. A diferencia de muchas VPN, los nodos de salida de Tor se pueden enumerar, así que una consulta puede marcarlos directamente.
- La geolocalización no dice nada del usuario. El país que resuelves es el del nodo de salida, no el del visitante.
¿Tor oculta tu tráfico a tu ISP?
Es una pregunta habitual desde el lado del usuario, y la respuesta condiciona cómo interpretas Tor en el lado del servidor: tu ISP puede ver que estás usando Tor, pero no qué estás haciendo. Para tu ISP, la conexión con el nodo de entrada (guardia) parece tráfico cifrado hacia un relé de Tor conocido. El destino que hay más allá está oculto, así que tu ISP no puede leer los sitios que visitas ni el contenido que envías.
El servidor del otro extremo recibe la imagen inversa: ve la IP del nodo de salida y la petición, pero no tu dirección real. Esta división es exactamente la razón por la que un indicador de Tor importa para la detección: la identidad y la ubicación que normalmente leerías de una IP son, por diseño, las de otra persona. (Los puentes existen precisamente para ocultar a un ISP incluso el hecho de "estar usando Tor" en redes con censura, y por eso el tráfico por puentes es más difícil de enumerar que las salidas públicas.)
Tor frente a VPN frente a proxy
Tor suele agruparse con las VPN y los proxies, pero el funcionamiento, y la facilidad de detección, son distintos.
| Tor | VPN | Proxy | |
|---|---|---|---|
| Saltos | Tres relés, cifrado en capas | Un servidor del proveedor | Un servidor |
| Quién ve la IP real | Solo el nodo de entrada | El proveedor de la VPN | El operador del proxy |
| IP que observas | Nodo de salida | Endpoint de la VPN | IP del proxy |
| Facilidad de detección | Alta (la lista de salidas es pública) | Variable (muchos endpoints no figuran en listas) | Variable según el tipo |
| Fuerza típica de la señal | Fuerte, indicador explícito | Fuerte con buenos datos | De moderada a fuerte |
La conclusión práctica: Tor está entre los anonimizadores más fáciles de detectar porque sus nodos de salida se publican abiertamente, mientras que la detección de VPN y proxies depende de la amplitud y la actualidad de los datos de tu proveedor. Los proxies en particular van de triviales a muy difíciles de detectar, como muestra la comparación de tipos de proxy.
Por qué detectar el tráfico de Tor
Tor no se detecta para castigarlo. Se detecta para poder tomar una decisión informada. Importa porque Tor elimina las señales de IP en las que normalmente te apoyarías.
- Fraude y abuso. Tor se usa para ocultar la toma de control de cuentas, la creación de cuentas falsas, el carding y el scraping, porque rota a bajo coste el origen aparente. Nuestra guía de detección de bots basada en IP muestra dónde se sitúa un indicador de Tor entre las demás señales de bots.
- Ubicación no verificada. Para el geofencing y el cumplimiento normativo, el país del nodo de salida no es el del usuario, así que un indicador de Tor significa "no confíes en esta ubicación". Consulta geofencing por IP.
- Puntuación de riesgo. Tor es una entrada relevante en una puntuación de fraude de IP compuesta, no un veredicto por sí solo: el motivo
tor_exitsuma 44,55 puntos. - Cumplimiento normativo y auditoría. Algunos flujos regulados exigen saber, y registrar, cuándo un acceso llegó a través de una red de anonimización.
Pero la misma propiedad que convierte a Tor en una señal de riesgo (el anonimato) es exactamente la razón por la que lo usa gente legítima. Periodistas que protegen a sus fuentes, activistas bajo censura, investigadores y usuarios corrientes preocupados por su privacidad dependen de Tor. Tratar cada petición de Tor como fraude dejará fuera precisamente a las personas que Tor existe para proteger. Tor es un motivo para mirar más de cerca, no para dar un portazo.
Cómo detectar nodos de salida de Tor por IP
Hay una jerarquía de métodos de detección, desde el definitivo hasta los complementarios.
1. Comparar con la lista pública de nodos de salida
El Tor Project publica la lista oficial de relés de salida, que se actualiza continuamente. Comparar la IP de un visitante con esta lista es el método de detección de Tor más fiable, y produce un veredicto explícito con pocos falsos positivos. El reto es operativo: la lista cambia constantemente a medida que aparecen y desaparecen relés, así que hay que mantenerla al día. Una API de inteligencia de IP lo hace por ti y devuelve un indicador como is_tor en cada consulta.
2. Rangos de relés y ASN conocidos
Más allá de los nodos de salida, los relés de entrada e intermedios, y las redes de hosting que suelen alojarlos, forman patrones reconocibles. Muchos relés están en ASN de centros de datos y hosting, así que el tipo de conexión y la reputación de la red aportan pruebas que lo corroboran. Esto es especialmente útil para detectar puentes de Tor, que deliberadamente no figuran en listas para eludir la censura.
3. Corroboración por comportamiento
El tráfico de Tor suele mostrar patrones reveladores: muchos usuarios que comparten una misma IP de salida, tiempos de petición inusuales o discrepancias entre la configuración regional declarada y la ubicación del nodo de salida. Estas señales nunca sustituyen la coincidencia con el nodo de salida, pero ayudan a marcar casos ofuscados y reducen la dependencia de una sola fuente.
| Método | Fiabilidad | Qué detecta |
|---|---|---|
| Lista pública de nodos de salida | Definitiva | Tráfico estándar de salida de Tor |
| Rangos de relés y ASN de centros de datos | Corroboración fuerte | Relés y puentes en redes de hosting |
| Patrones de comportamiento | Complementaria | Tor ofuscado o mediante puentes |
Cómo gestionar el tráfico de Tor sin bloquear de más
La detección es la mitad fácil. La decisión es donde los equipos se equivocan, normalmente al recurrir directamente a un bloqueo general.
El mejor enfoque es ajustar la respuesta al riesgo de la acción, no a la mera presencia de Tor. Navegar por una página de marketing a través de Tor es inofensivo; crear una cuenta, cambiar una contraseña o hacer el checkout a través de Tor merece más escrutinio.
- Páginas de bajo riesgo. Permite Tor libremente; aquí el anonimato no te cuesta nada.
- Acciones de riesgo medio. Añade una verificación adicional: CAPTCHA, verificación por email o comprobaciones extra antes de continuar.
- Acciones de alto riesgo. Para la creación de cuentas, los pagos o los cambios de contraseña, combina el indicador de Tor con otras señales y bloquea o retén solo cuando el riesgo sea realmente alto.
- Nunca confíes en la ubicación de una IP de Tor. Pasa el indicador
is_tora tus reglas de geofencing y cumplimiento normativo para que el país del nodo de salida se trate como no verificado. - Registra las pruebas. Anota que la petición llegó por Tor y por qué actuaste, para que las decisiones se puedan auditar y ajustar.
Esta respuesta gradual marca la diferencia entre un sistema que frena el fraude basado en Tor y otro que simplemente bloquea la privacidad. El objetivo es encarecer las acciones abusivas a través de Tor sin dejar de mantener abierta la web abierta. Es el mismo equilibrio que se describe en detectar tráfico anonimizado sin bloquear a clientes reales.
Detecta Tor con GeoIPHub
GeoIPHub marca Tor en cada consulta. Una sola llamada devuelve detection.is_tor junto con el perfil de confianza más amplio (is_vpn, is_proxy, is_hosting, asn.connection_type, asn.asn y asn.org), con los scoring.detection_methods que respaldan cada veredicto en lugar de una simple etiqueta, así que siempre sabes por qué se marcó una IP.
- Pruébalo al instante: la herramienta gratuita de comprobación de nodos de salida de Tor comprueba cualquier IP con la lista de nodos de salida en vivo desde tu navegador, sin registro.
- Intégralo: consigue una clave de API gratuita y lee la documentación de la API y la guía de inicio rápido.
- Profundiza: la detección de VPN y proxy verificada mediante sondeo activo y la inteligencia de amenazas y señales de abuso amplían la misma consulta.
- Sin campos de pago: el indicador de Tor y todos los demás campos se incluyen en todos los planes, incluido el plan gratuito: 1.500 peticiones al día, sin tarjeta de crédito.
# Is this IP a Tor exit node? One call, with the evidence.
curl "https://api.geoiphub.com/v1/lookup/185.220.101.1" \
-H "x-api-key: YOUR_API_KEY"
Respuesta real recortada (consulta realizada el 2 de octubre de 2026):
{
"ip": "185.220.101.1",
"asn": {
"asn": 60729,
"org": "TORSERVERS-NET - Stiftung Erneuerbare Freiheit",
"connection_type": "datacenter"
},
"geo": { "country_code": "DE", "city": "Hamburg (Hamburg-Nord)" },
"network": {
"ptr_record": "berlin01.tor-exit.artikel10.org",
"ptr_pattern": "tor",
"fcrdns_valid": true
},
"detection": {
"is_tor": true,
"is_hosting": true,
"is_vpn": false,
"is_proxy": false,
"is_anonymous": true
},
"threat": { "threat_types": ["tor"] },
"scoring": {
"fraud_score": 79,
"recommended_action": "block",
"detection_methods": ["tor_exit", "datacenter_ip", "rdns_tor"]
}
}
Aquí coinciden tres métodos: la IP está en la lista de salidas (tor_exit), se encuentra en infraestructura de hosting y su DNS inverso la identifica como salida de Tor (rdns_tor). Fíjate también en los campos de ubicación: la salida se geolocaliza en Hamburgo, mientras que su nombre de host empieza por berlin01, y ninguno de los dos te dice nada sobre dónde está realmente el usuario.
Tor es uno de los anonimizadores más fáciles de detectar porque sus nodos de salida son públicos: compara la IP con la lista en vivo y tendrás un indicador definitivo. La habilidad está en la respuesta. Trata Tor como una señal que aumenta el escrutinio en proporción a la acción, no confíes nunca en la ubicación de una IP de Tor, y frenarás el fraude que se esconde tras Tor sin bloquear a las personas que dependen de él.
Preguntas frecuentes
¿Qué es un nodo de salida de Tor?
Un nodo de salida de Tor es el último relé de la red Tor: el último salto antes de que el tráfico llegue a su destino. Como Tor enruta cada petición a través de tres relés, el servidor de destino solo ve la dirección IP del nodo de salida, nunca la IP real del usuario. Por eso el nodo de salida es la única IP de Tor que un sitio web puede observar y la base de toda detección de Tor.
¿Cómo se detecta el tráfico de Tor por IP?
El método más fiable es comparar la IP del visitante con la lista pública de nodos de salida de Tor, que el Tor Project publica y actualiza continuamente. Una API de inteligencia de IP lo hace automáticamente y devuelve un indicador como is_tor en cada consulta. Las señales complementarias (rangos de relés conocidos, ASN de hosting o centros de datos y patrones de comportamiento) cubren casos límite como los puentes.
¿El tráfico de Tor es siempre malicioso?
No. Tor lo usan periodistas, activistas, investigadores, usuarios preocupados por su privacidad y personas en regiones con censura, además de atacantes. Tor debe tratarse como una señal de riesgo que aumenta el escrutinio, no como una prueba automática de fraude. Bloquear de forma tajante todo el tráfico de Tor puede dejar fuera a usuarios legítimos que buscan privacidad, así que la mayoría de los equipos elevan el riesgo o añaden verificación en lugar de denegar el acceso directamente.
¿Se puede bloquear el tráfico de Tor?
Sí. Como la lista de nodos de salida de Tor es pública, puedes bloquear o desafiar cualquier conexión desde un nodo de salida conocido. Si debes hacerlo depende del contexto: bloquear es razonable para acciones de alto riesgo como la creación de cuentas o el checkout, mientras que una verificación adicional más suave (verificación extra, CAPTCHA o acceso de solo lectura) preserva el acceso de los usuarios legítimos de Tor en páginas de menor riesgo.
¿Cuál es la diferencia entre Tor y una VPN?
Una VPN enruta tu tráfico a través de un único servidor operado por el proveedor, así que la empresa de la VPN puede ver tu IP real. Tor lo enruta a través de tres relés gestionados por voluntarios con cifrado en capas, de modo que ningún relé conoce a la vez el origen y el destino. Desde el punto de vista de la detección, ambos sustituyen la IP real del usuario, pero los nodos de salida de Tor figuran en listas públicas y por tanto son más fáciles de identificar que muchos endpoints de VPN.
¿Por qué la geolocalización de Tor no coincide con el usuario real?
Porque la IP que ves es la del nodo de salida, y la geolocalización que resuelves es la ubicación del nodo de salida, que puede estar en un país completamente distinto al del usuario. Por eso las reglas basadas en ubicación, como el geofencing, deben comprobar el indicador is_tor: el país que se atribuye a una IP de Tor no es el país del usuario, así que la ubicación debe tratarse como no verificada.
El equipo detrás de la API de GeoIPHub
Escrito por el equipo de GeoIPHub, las personas que crean la API de inteligencia IP de GeoIPHub y su escáner. Los borradores se preparan con ayuda de IA y el equipo los edita; los ejemplos de la API son consultas reales contra la API en producción, salvo que se indique que son ilustrativos.
Inteligencia IP
