L'architettura a doppio hop è un progetto di instradamento del traffico che invia una connessione attraverso due relay separati prima che raggiunga la sua destinazione. Il primo relay dovrebbe sapere chi si connette, ma non dove sta andando; il secondo dovrebbe conoscere la destinazione, ma non la sorgente originale. Suddividendo la conoscenza tra più hop, il sistema riduce la probabilità che un singolo operatore possa correlare l'identità di un utente con la sua navigazione o con la destinazione della connessione.
Nella sicurezza informatica, questo schema è importante per le reti orientate alla privacy, i proxy di anonimizzazione e alcuni sistemi di messaggistica sicura o di telemetria. Aiuta a limitare il tracciamento, la raccolta di metadati e l'attribuzione, soprattutto quando un attaccante o un fornitore di servizi cerca di collegare gli indirizzi IP sorgente alle destinazioni. In attacchi reali, una debolezza come un bypass del proxy, una richiesta instradata in modo errato o un bug del browser può compromettere la separazione ed esporre l'IP reale o l'endpoint. I difensori usano progetti a doppio hop per ridurre la fiducia riposta in un singolo relay, ma la protezione dipende dal fatto che ogni percorso del traffico rimanga all'interno della catena prevista.