Pour une navigation HTTPS standard ( lire un article en ligne , flâner sur un site de e-commerce , chercher réponse à une question existentielle sur Yahoo Answer ) , le risque est quasiment nul . D'une part , la connexion est chiffrée de bout en bout , d'autre part la désactivation par défaut des scripts ( excepté JavaScript ) sur Tor Browser limite les possibilités d'injections de code malveillant au sein des pages web . Ensuite , c'est comme partout : on ne clique pas sur les liens douteux , on ne télécharge pas de fichiers dont on ne connaît ni la provenance ni le contenu et on ne communique jamais ses coordonnées bancaires ou identifiants personnels à un inconnu . L'exception JavaScript évoquée ci-dessus peut néanmoins poser de sérieux problèmes de sécurité , quel que soit le navigateur web utilisé . Généralement activé par défaut , ce langage de script client side ( c'est-à-dire interprété par le navigateur de l'internaute ) permet d'interagir avec les éléments dynamiques d'une page web ( vidéos , gifs , formulaires ) . En cas d'erreurs de programmation d'un site web ( côté serveur ) , il peut arriver que les blocs de saisie soient sensibles au code JavaScript ( par exemple , le bout de code alert ( " test " ) ; envoyé dans un module de commentaires retourne une boîte de dialogue affichant le message « test » dans la réponse du site web ) . C'est ce qu'on appelle une faille XSS . Cette vulnérabilité , aussi facilement exploitable que commune , permet d'injecter des scripts dans la réponse d'une page web non sécurisée . Or , JavaScript étant interprété par le navigateur de celui qui visite la page , c'est contre lui que sera dirigée l'attaque . Le but étant de récupérer les cookies contenant les informations sensibles de l'internaute . Seule solution : désactiver JavaScript dans son navigateur pour empêcher l'interprétation de scripts malicieux .