透過 HTTPS(HTTP over TLS)訪問網站時，TLS 協議防止了中間人讀取傳輸的資料或加以操縱。憑證機關所頒發的 x.509 憑證可以核實訪客所連接的伺服器確實為瀏覽器網址列上的域名。
現代瀏覽器會顯示不安全連線，如果網站沒使用 TSL，也要求 TSL 連接須有 CA 頒發的 x.509 憑證授權。
當利用洋蔥服務協議訪問某個網站時，Tor 協議會防止傳輸中的資料被讀取或遭中間人攻擊而改動，洋蔥服務協議證實使用者連接到瀏覽器地址列中的域名。
此證明不需要憑證授權機關，因為服務名稱就是實際的公鑰用來驗證潛在的連接。
".onion" 是特殊的頂級域名， 大多數憑證授權機關都不發行洋蔥站台使用的 X.509 憑證。
目前 HTTPS 憑證提供者僅有:
這意謂在某些特殊情況下，洋蔥站需要有 HTTPS。
我們編譯一些標題與參數，以讓您分析對洋蔥站台的最好方法:
任何人可以產生洋蔥網址它為 56 個隨機的英文數字變化組合。有些企業網管人員認為自家的洋蔥站台如果有 HTTPS 憑證也許是宣告服務面向用戶的解決方式。
使用者需要點擊進行手動確認，以顯示訪問的洋蔥站台正是他們要的。
或者網站可以提供其它方式來驗證自己的洋蔥繾網址有使用 HTTPS，例如將洋蔥站台網址放在 HTTPS 驗證的頁面或使用 Onion-Location。
此番討論的另一主題是使用者的期待與現代瀏覽器。
然而對於 HTTPS 與憑證機關信任模式存在許多批評，資安社群過去教導使用者訪問網站時要留意有無 HTTPS 將之視為安全連接的同義詞，避免 HTTP 連接。
Tor 開發人員與 UX 小組合作為用戶帶來全新的 Tor 瀏覽器使用體驗，當用戶訪問使用 HTTP 的洋蔥網站，Tor 瀏覽器不會顯示警告或錯誤訊息。
使用憑證授權機關所發的憑證的風險之一是 .onion 域名可能會無意地被洩露 因為 HTTPS 需符合 憑證透明要求。
有一個開放提案 可讓 Tor 瀏覽器校驗自己所建立的 HTTPS 憑證。
如果這個提案獲得執行，洋蔥服務營運者可以利用洋蔥密鑰來簽署自己的 HTTPS 憑證鏈。
Tor 瀏覽器要知道如何校驗自建的憑證錬。
這表示無需透過第三方來製作，因此沒有第三者知道此洋蔥站的存在。
有些網站採取混合設置，同時有 HTTP/ HTTPS內容。
在這種情況下，僅透過 HTTP 使用洋蔥服務可能會洩漏 secure cookies。
我們寫下了 Tor 瀏覽器安全期待以及如何改善洋蔥服務的可用性。
有一些替代方式可用來試圖提出此問題:
- 要避免洋蔥服務使用 HTTPS 憑證，最簡單的答案是寫下所有內容讓它只使用相對鏈結。
這種方式內容可以順利運作，完全無關於所使用的站名。
- 另一種選擇是使用網頁伺服器規則來動態重寫絕對連結。
- 或在中間使用反向代理（更具體地說是帶有 HTTPS 憑證的 Onionspray）。
有關前一點，某些協議、架構與基礎設備使用 SSL 作為技術要求，如果沒看到 "https://" 就無法運作。
在這個案例，洋蔥服務需要有 HTTPS 憑證才能運作。
實際上 HTTPS 對洋蔥服務的幫助很少。
例如當網頁伺服器與 Tor 程式不在相同的位置，則需要 HTTPS 憑證以避免暴露網路之間未加密的流量。
記住並無要求網頁伺服器與 Tor 程序要在同一台機器。
下一個
2020年憑證頒發機關 /瀏覽器論壇投票通過洋蔥第3版的憑證，因此憑證機關現可發行域名核實 (DV)與組織核實(OV)憑證給 Tor 洋蔥網址。
在可見的未來，希望 Let's Encrypt能免費發佈洋蔥第3版可用憑證。
查看更多