Tworzenie i transmisja Aby utworzyć transmisję cebulową, twórca wybiera zestaw węzłów z listy dostarczonej przez „węzeł katalogowy”. Wybrane węzły są ułożone w ścieżkę, zwaną „łańcuchem” lub „obwodem”, przez który zostanie przesłana wiadomość. Aby zachować anonimowość nadawcy, żaden węzeł w obwodzie nie jest w stanie stwierdzić, czy węzeł jest inicjatorem czy innym pośrednikiem takim jak on. Podobnie, żaden węzeł w obwodzie nie jest w stanie stwierdzić, ile innych węzłów znajduje się w obwodzie, a jedynie węzeł końcowy, „węzeł wyjściowy”, jest w stanie określić swoje własne położenie w łańcuchu.
Korzystając z kryptografii klucza publicznego, twórca uzyskuje klucz publiczny z węzła katalogu, aby wysłać zaszyfrowaną wiadomość do pierwszego węzła („wpis”), ustanawiając połączenie i wspólny tajny klucz („klucz sesji”). Wykorzystując ustanowione zaszyfrowane łącze do węzła wejściowego, inicjator może następnie przekazać wiadomość przez pierwszy węzeł do drugiego węzła w łańcuchu, stosując szyfrowanie, które może odszyfrować tylko drugi węzeł, a nie pierwszy. Gdy drugi węzeł odbierze wiadomość, nawiązuje połączenie z pierwszym węzłem. Podczas gdy rozszerza to zaszyfrowane łącze od inicjatora, drugi węzeł nie może określić, czy pierwszy węzeł jest inicjatorem, czy tylko innym węzłem w obwodzie.