Guide Tor pour journalistes : protéger ses sources et communiquer en sécurité

Depuis les révélations d'Edward Snowden en 2013, la communication sécurisée entre journalistes et sources est passée d'une compétence optionnelle à une obligation professionnelle. Dans un contexte où les États, les entreprises et les plateformes numériques peuvent intercepter toutes les communications par défaut, les journalistes d'investigation doivent maîtriser une boîte à outils spécifique pour protéger leurs sources et mener leurs enquêtes. Tor et son écosystème en sont devenus le pilier. Cette page recense les ressources, outils et bonnes pratiques indispensables aux journalistes francophones qui souhaitent travailler avec le maximum de sécurité.

Pourquoi Tor est devenu essentiel pour le journalisme

L'article 2 de la loi française du 4 janvier 2010 consacre le secret des sources des journalistes comme protection fondamentale de la liberté d'expression. Mais ce principe juridique a besoin d'infrastructures techniques pour exister concrètement. Avec la généralisation de la surveillance des communications électroniques, notamment depuis la loi sur le renseignement de 2015, seule une rigueur technique permet aujourd'hui de garantir qu'une source ne sera pas identifiée par recoupement de métadonnées.

Les journalistes qui travaillent sur des sujets sensibles — corruption politique, fraude financière, violations des droits humains, malversations d'entreprise — sont confrontés à des adversaires dotés de ressources considérables. Services de renseignement, équipes de sécurité d'entreprise, cabinets d'intelligence économique, tous peuvent tenter d'identifier une source via l'analyse de ses communications. L'email ordinaire, les SMS, les appels téléphoniques classiques révèlent tous les métadonnées aux opérateurs : qui communique avec qui, quand, depuis où. Ces métadonnées sont souvent plus révélatrices que le contenu lui-même.

Le réseau Tor permet de communiquer sans exposer ces métadonnées. Couplé aux bons outils (SecureDrop pour la réception de documents, Tails comme environnement de travail, Signal pour les échanges courts, OnionShare pour les fichiers), il permet à un lanceur d'alerte de transmettre des documents à une rédaction sans que son fournisseur d'accès Internet, son employeur, son gouvernement ou la rédaction elle-même ne puissent l'identifier par ses métadonnées de connexion. Cette combinaison d'outils est ce qui a rendu possibles les révélations Snowden, les Panama Papers, les Paradise Papers, les Vatican Leaks et de nombreuses autres enquêtes majeures de la dernière décennie.

SecureDrop : l'outil de référence pour les lanceurs d'alerte

SecureDrop est devenu le standard de facto pour la communication anonyme entre sources et rédactions. Le projet, initialement conçu par Aaron Swartz et Kevin Poulsen en 2013 sous le nom de DeadDrop, a été repris par la Freedom of the Press Foundation après la mort d'Aaron Swartz. Plus de quatre-vingts grandes rédactions mondiales le déploient aujourd'hui, dont Le Monde, Mediapart, The New York Times, The Washington Post, The Guardian, ProPublica, The Intercept, CBC, Bloomberg, Reuters, Forbes.

Comment SecureDrop fonctionne techniquement

L'architecture de SecureDrop est conçue pour offrir les meilleures garanties possibles à chaque étape. Côté rédaction, deux machines isolées sont installées : un serveur qui reçoit les soumissions via une adresse .onion dédiée, et une station de travail journalistique « Secure Viewing Station » qui ne se connecte jamais à Internet et sur laquelle les journalistes consultent les documents via une clé USB intermédiaire. Cette architecture à air-gap garantit qu'un document potentiellement piégé ne puisse pas contaminer les systèmes de la rédaction.

Côté source, l'expérience est pensée pour être simple et anonyme. La source télécharge Tor Browser (idéalement depuis un ordinateur public comme une bibliothèque) et accède à l'adresse .onion de la rédaction ciblée. Elle peut téléverser des fichiers et laisser un message, et recevra un code-phrase unique qui lui permettra de revenir consulter les réponses éventuelles. Aucun email, aucun numéro, aucun compte. L'anonymat est préservé par conception.

Instances SecureDrop françaises et francophones

Le Monde dispose d'une instance SecureDrop accessible depuis sa page de signalement, disponible depuis 2016. Mediapart maintient également sa propre instance pour les sources qui souhaitent transmettre des documents sensibles. L'AFP a exploré l'usage sans déploiement public à ce jour. Du côté anglophone, les grandes rédactions sont systématiquement équipées : The Guardian reçoit des documents sur son instance depuis 2014, ProPublica depuis 2016, The New York Times depuis 2017.

Les rédactions qui ne disposent pas encore de SecureDrop peuvent le déployer avec l'aide technique de la Freedom of the Press Foundation. Le coût est modeste (environ 5 000 dollars de matériel pour une installation complète à deux machines, plus le temps d'un administrateur système). Le retour sur investissement est considérable en termes de confiance des sources.

La boîte à outils complète du journaliste

Au-delà de SecureDrop, plusieurs outils complémentaires forment l'écosystème technique du journalisme sensible.

Tor Browser. Navigateur officiel pour accéder au réseau Tor. Installation en cinq minutes depuis torproject.org. Permet de consulter des sources, de rechercher des informations ou de lire la presse sans laisser de trace. Pour un usage journalistique, complément indispensable au reste de la boîte à outils. Notre guide d'accès au dark web détaille l'installation.

Tails OS. Système d'exploitation amnésique sur clé USB. Fait tourner tout le trafic via Tor et ne laisse aucune trace sur l'ordinateur utilisé. Recommandé par Edward Snowden, utilisé par la plupart des journalistes d'investigation sur les dossiers les plus sensibles. Permet de travailler depuis n'importe quel ordinateur sans le compromettre. Notre guide complet Tails explique l'installation et l'usage.

OnionShare. Permet de partager un fichier via une adresse .onion générée temporairement depuis votre ordinateur. Aucun cloud, aucun intermédiaire : le destinataire télécharge directement depuis votre machine. Idéal pour recevoir ou envoyer des documents à une source identifiée, sans passer par Gmail ou Dropbox. Développé par Micah Lee, ingénieur sécurité de The Intercept.

Signal. Application de messagerie chiffrée de référence, utilisable via Tor Browser pour sa version web ou via Orbot sur mobile. Nécessite un numéro de téléphone (idéalement une carte prépayée dédiée pour les contacts sensibles). Cryptographie end-to-end par défaut. Usage complémentaire de SecureDrop pour les échanges courts avec une source déjà identifiée.

ProtonMail sur .onion. Email chiffré de bout en bout, accessible en .onion depuis 2017. Utile pour créer une adresse dédiée à un projet d'enquête ou pour communiquer avec une source qui refuse SecureDrop. Juridiction suisse avec protection juridique de la vie privée. Voir notre catégorie Email et messagerie.

KeePassXC. Gestionnaire de mots de passe open source, base de données locale chiffrée AES-256. Pour gérer les dizaines de comptes d'une enquête complexe sans réutiliser de mots de passe.

Metadata Cleaner. Nettoyeur de métadonnées EXIF pour photos et documents. Une photo prise avec un smartphone contient par défaut le modèle d'appareil, la date précise et souvent la localisation GPS. Nettoyer ces métadonnées avant partage est une étape critique quand on transmet des documents susceptibles d'identifier leur auteur.

OTR et PGP. Chiffrement pour messagerie instantanée (OTR via Pidgin) et pour email (PGP via GnuPG ou Thunderbird). Complément indispensable pour vérifier cryptographiquement l'identité de ses correspondants sur la durée.

Workflow pratique pour une enquête sensible

La théorie ne vaut rien sans application. Voici un workflow type pour une enquête journalistique nécessitant une sécurité opérationnelle élevée.

Phase 1 — Préparation. Avant même d'entamer l'enquête, créez un environnement dédié : clé USB Tails, ordinateur portable qui ne servira qu'à ce projet si possible, téléphone prépayé avec carte SIM achetée en liquide si la menace le justifie. Créez une adresse email dédiée (ProtonMail, Mail2Tor) et une clé PGP pour cette enquête spécifique. Ces éléments doivent être compartimentés, jamais mélangés avec votre identité civile.

Phase 2 — Premier contact avec la source. Si la source vous contacte via SecureDrop, utilisez cette voie pour toutes les communications initiales. Si le contact est direct, proposez-lui de passer par SecureDrop pour la suite. Ne demandez jamais d'informations permettant d'identifier la source au-delà de ce qui est strictement nécessaire à la vérification des documents. Ne jamais recouper avec LinkedIn, Google ou les réseaux sociaux personnels.

Phase 3 — Réception et vérification des documents. Sur une station dédiée (idéalement Tails), ouvrez les documents transmis. Pour les fichiers suspects, utilisez une machine virtuelle. Nettoyez systématiquement les métadonnées avant toute réutilisation. Vérifiez l'authenticité par recoupement avec d'autres sources, jamais en confrontant directement la source suspectée.

Phase 4 — Travail éditorial. Rédigez depuis votre environnement habituel, avec des précautions selon la sensibilité. Les fichiers sources restent sur la station dédiée. Les échanges internes avec l'équipe éditoriale doivent utiliser Signal ou Keybase pour les éléments sensibles. Évitez les emails en clair, même internes, avec les noms réels des sources.

Phase 5 — Publication et suivi. Au moment de la publication, l'identité de la source doit être protégée durablement, y compris contre les demandes légales postérieures. En France, le principe du secret des sources prévaut en cas de procédure judiciaire, mais les garanties techniques doivent appuyer cette protection légale. Archivez les documents de manière sécurisée (conteneur VeraCrypt, disque dur dédié hors ligne) et jamais sur des services cloud commerciaux.

Les erreurs d'opsec à éviter

Les désanonymisations documentées ne résultent presque jamais de failles dans Tor lui-même, mais d'erreurs humaines récurrentes. Voici les plus courantes.

Mélanger les identités. Se connecter à son compte Gmail personnel pendant une session Tor, ou consulter son fil Twitter depuis la même machine que SecureDrop. Ces actions associent immédiatement une identité civile à l'environnement sécurisé. Utilisez des machines, comptes et réseaux strictement compartimentés.

Ignorer les métadonnées. Publier une photo d'un document sans nettoyer les métadonnées EXIF est une erreur d'opsec fatale : le modèle d'iPhone, la date et la localisation GPS peuvent révéler la source en quelques recoupements. Utilisez systématiquement un metadata cleaner avant publication.

Communiquer depuis le bureau. Les réseaux d'entreprise sont massivement surveillés. Consulter SecureDrop depuis l'ordinateur professionnel, même en navigation privée, laisse des traces dans les logs réseau. Utilisez Tails sur une connexion domestique ou publique neutre.

Sous-estimer la stylométrie. Votre style d'écriture est un identifiant biométrique. Une source qui publie sous pseudonyme peut être identifiée si son style correspond à ses communications professionnelles publiques. Les rédactions sensibles relisent parfois les textes pour gommer les tics d'écriture distinctifs.

Négliger le contexte physique. Caméras dans la rue, carte de transport nominative, horodatages de badges d'immeuble : le monde physique laisse autant de traces que le monde numérique. Pour les rencontres physiques avec une source, appliquez les mêmes règles qu'en communication numérique : compartimentation, évitement des habitudes reconnaissables, précautions sur les transports.

Les grandes rédactions qui utilisent Tor

De plus en plus de grandes rédactions ont intégré Tor à leur infrastructure éditoriale. Cette adoption massive est elle-même un signal : ce qui était il y a dix ans une pratique de militants est devenu un standard professionnel.

Aux États-Unis. The New York Times maintient sa version .onion et son instance SecureDrop depuis 2017. ProPublica a été le premier grand média à ouvrir un .onion en 2016. The Washington Post, The Intercept, Bloomberg, Forbes, The Wall Street Journal (via SecureDrop), Reuters et beaucoup d'autres utilisent quotidiennement Tor. CBS, NBC et ABC disposent de canaux sécurisés pour leurs équipes d'investigation.

Au Royaume-Uni. The Guardian utilise SecureDrop depuis 2014, la BBC maintient une version .onion de ses actualités depuis 2019. The Times et le Daily Telegraph ont également des canaux dédiés.

En France. Le Monde dispose d'une page de signalement avec SecureDrop intégrée. Mediapart a son propre canal pour les lanceurs d'alerte. L'AFP explore ces outils sans déploiement public. Radio France, France Info et Arte disposent de canaux sécurisés à des stades de maturité divers.

Internationaux. Deutsche Welle, Radio Free Europe, Al Jazeera, CBC (Canada), The Globe and Mail, ABC (Australie) et de nombreuses autres rédactions maintiennent des adresses .onion. Le mouvement s'étend progressivement à toutes les démocraties où la liberté de la presse est prise au sérieux.

Pour la liste complète des médias accessibles via Tor, consultez notre catégorie Médias & Presse qui référence une douzaine d'instances officielles vérifiées.

Affaires emblématiques ayant utilisé Tor

Plusieurs des plus grandes enquêtes journalistiques de la dernière décennie ont reposé sur Tor et son écosystème pour protéger leurs sources.

Les révélations Snowden (2013). Edward Snowden a contacté Laura Poitras et Glenn Greenwald via des canaux chiffrés reposant sur Tor et PGP. L'utilisation de Tails OS pendant la phase préparatoire des fuites a été documentée publiquement. Sans ces outils, les révélations auraient probablement été impossibles ou compromises.

Les Panama Papers (2016). La plus grande fuite journalistique de l'histoire, avec 11,5 millions de documents provenant du cabinet Mossack Fonseca. Le Consortium International des Journalistes d'Investigation (ICIJ) a utilisé un ensemble d'outils incluant SecureDrop, Tails et des infrastructures dédiées pour coordonner des centaines de journalistes dans plus de 80 pays sans compromettre la source anonyme « John Doe ».

Les Paradise Papers (2017) et Pandora Papers (2021). Suivant le modèle des Panama Papers, ces enquêtes internationales ont reposé sur les mêmes infrastructures sécurisées, avec une coordination accrue et une qualité de compartimentation renforcée.

Les Vatican Leaks. Plusieurs vagues de fuites concernant la finance vaticane (Vatileaks 1 et 2) ont transité par des canaux sécurisés vers les journalistes italiens Gianluigi Nuzzi et Emiliano Fittipaldi, puis internationalisation.

Les « Football Leaks » (2016). Enquête d'European Investigative Collaborations qui a révélé les pratiques d'optimisation fiscale agressive de clubs et joueurs de football européens. Le lanceur d'alerte portugais Rui Pinto a utilisé des outils d'anonymisation pendant des années avant son identification.

Enquêtes françaises. L'affaire Cahuzac (2013), plusieurs volets de l'affaire Bettencourt, l'enquête sur le financement libyen de la campagne Sarkozy (Mediapart), l'enquête sur les LuxLeaks, Swissleaks et les Panama Papers côté France ont tous impliqué des communications sécurisées via Tor à différentes étapes.

Formations et ressources pour les journalistes

L'acquisition de ces compétences ne s'improvise pas. Plusieurs organismes proposent des formations spécifiquement conçues pour les journalistes.

Freedom of the Press Foundation. L'organisation qui maintient SecureDrop propose des formations gratuites pour les rédactions. Ressources en ligne très complètes, incluant des guides techniques, des études de cas et des recommandations par niveau de menace. Site principal : freedom.press.

Electronic Frontier Foundation (EFF). Le guide « Surveillance Self-Defense » (ssd.eff.org) est la référence en matière d'autodéfense numérique pour les journalistes. Traduit en plusieurs langues, incluant le français. Recommandations adaptées par profil (journaliste, activiste, défenseur des droits humains).

Reporters Sans Frontières. RSF France publie régulièrement des guides, conseils et formations en présentiel pour les journalistes français travaillant sur des sujets sensibles, notamment les correspondants à l'étranger dans des pays restrictifs.

Committee to Protect Journalists (CPJ). ONG américaine qui publie un guide de sécurité numérique de référence, régulièrement mis à jour. Recommandations adaptées par type de menace.

Tactical Tech Collective. Organisation berlinoise qui forme les journalistes et activistes à la sécurité numérique depuis vingt ans. Leur « Holistic Security Manual » intègre les aspects psychologiques, physiques et numériques.

En complément, notre glossaire du dark web définit précisément les termes techniques rencontrés dans ces formations. Notre blog couvre les outils spécifiques (Tails OS, VPN + Tor, etc.). Notre FAQ insolite répond aux questions fréquentes sur Tor au-delà du cadre strictement journalistique.

Contribuer à cette page

Cette page est un document vivant. Si vous êtes journaliste ou formateur en sécurité numérique et que vous souhaitez contribuer à cette ressource — partager un cas d'usage, signaler un outil manquant, corriger une information — contactez-nous. OnionDir est un projet indépendant et cette section journalistes a vocation à devenir la référence francophone pour la profession.