Весь трафик в браузере Tor направляется только через сеть Tor. Поскольку обращение напрямую через штатное сетевое соединение текущей системы невозможно, отследить реальный IP-адрес пользователя также нельзя.
В новой версии браузера появилось расширение HTTPS Everywhere от «Фонда электронных рубежей» (EFF), автоматически переключающее сайты на использование HTTPS вместо HTTP (при условии, что сайты поддерживают HTTPS).
Разработчики также улучшили защиту от атак с использованием JavaScript, добавив расширение NoScript, блокирующее исполняемый контент. Для обхода блокировок и инспектирования трафика в браузере появились инструменты fteproxy и obfs4proxy.
Для передачи зашифрованного трафика в окружениях, разрешающих передачу данных только по HTTP, появились альтернативные протоколы.
Пользователи также получили дополнительную защиту от профилирования и отслеживания местоположения благодаря отключению/ограничению API WebGL, WebGL2, WebAudio, Social, SpeechSynthesis, Touch, AudioContext, HTMLMediaElement, Mediastream, Canvas, SharedWorker, Permissions, MediaDevices.enumerateDevices и screen.orientation. Кроме того, отключены механизмы отправки телеметрии, такие как Pocket, Reader View, HTTP Alternative-Services, MozTCPSocket, "link rel=preconnect".