Alojamiento web anónimoEl host es un eslabón. Cerrar los otros ocho le corresponde a usted.

El anonimato es una propiedad de la cadena, no del proveedor

Quien quiera saber quién dirige su sitio no empieza citando judicialmente a su host. Empieza con un navegador, porque ocho de los nueve eslabones de la cadena publican algo, y la mayoría de los sitios caen por culpa de uno de ellos mucho antes de que intervenga un abogado.

Esto está escrito por el único eslabón que puede hablar de sí mismo con pruebas: lo que aquí se recopila está publicado como inventario en lugar de descrito como un valor. Los otros ocho no son nuestros — cuatro pertenecen a otras empresas y cuatro le pertenecen a usted — y precisamente por eso son los que vale la pena leer.

Los nueve eslabones, y quién posee cada uno

Cada fila de abajo es un lugar donde puede acabar un nombre, una dirección o un pago. La tercera columna es la que importa: en ocho de los nueve, la respuesta no es su host.

La capa de nombres, y los registros que nadie puede borrar

Tres de los nueve se sitúan entre un nombre y una máquina, y son los tres que conservan registros a los que usted no puede acceder. Son también los tres con los que más gente se equivoca, porque los tres se sienten como fontanería y no como divulgación.

El registro, y lo que la privacidad no cubre

Un servidor es una máquina en un rack. Un dominio es un contrato, y un contrato tiene una contraparte a la que alguien pagó. Los servicios de privacidad sustituyen sus datos en el registro público por una dirección de reenvío; no los eliminan del registrador, que sigue conservando un nombre, una dirección y un método de pago, y que responde ante un tribunal de su propia jurisdicción, no de la suya.

Tampoco hacen nada respecto al pasado. Los datos históricos de registro se archivan comercialmente desde hace dos décadas, así que un dominio registrado sin privacidad y hecho privado cuatro años después es un dominio cuyo propietario consta en los registros. Activar la privacidad es un cambio que solo afecta al tiempo presente.

La transparencia de certificados, que es permanente por diseño

Cada certificado que emite una autoridad de confianza pública se escribe en un registro público de solo adición. Eso es deliberado y es bueno: es cómo un certificado mal emitido para su dominio se vuelve visible en lugar de permanecer secreto. El efecto secundario es que cada nombre de host que haya puesto alguna vez en un certificado es buscable por cualquiera, para siempre, y no se puede retirar.

Así es como se encuentran los subdominios staging, vpn y old-project — no adivinando, sino leyendo un registro público construido para ser leído. Un certificado comodín publica un solo nombre en lugar de una lista, que es lo más parecido a un remedio que existe.

El DNS pasivo, que recuerda dónde vivía antes el sitio

Los resolutores y los escáneres registran qué nombre respondió con qué dirección y cuándo, y venden ese historial. Un registro que usted borró hace un año sigue siendo prueba de la máquina a la que apuntaba, y por eso mover un sitio detrás de un proxy después de haber estado activo en abierto protege el futuro, no el pasado.

La dirección de origen se filtra alrededor del proxy

Una CDN delante de un servidor oculta el origen a un visitante ocasional y a nadie más, porque la dirección suele estar publicada en algún sitio que el proxy no controla. Estas son las seis rutas, en el orden en que realmente se usan:

1. Registros DNS de antes de que existiera el proxy, que siguen ahí en un archivo de DNS pasivo.
2. Un subdominio que nadie puso tras el proxy: mail, dev, webmail, direct, cpanel.
3. La ruta del correo — un registro MX, una entrada SPF, o una cabecera Received: que nombra la máquina que envió el mensaje.
4. Un certificado emitido en el propio origen y registrado antes de que se configurara el proxy.
5. Cualquier cosa que la aplicación envíe hacia fuera: un webhook, un correo de restablecimiento de contraseña, una imagen obtenida de una URL que proporcionó un desconocido.
6. Los escáneres de toda Internet, que indexan cada dirección en cada puerto y permiten a cualquiera buscar una máquina cuyo certificado, cabeceras de respuesta o favicon coincidan con los suyos.

El último es la razón por la que un proxy es una media medida por sí solo. Lo que lo convierte en un límite es que el origen rechace toda conexión que no proceda de los rangos publicados del proxy — una regla de firewall y no un producto, y el párrafo más corto de esta página con el mayor efecto.

Lo que usted publica lleva más de lo que escribió

El contenido es la parte que usted controla por completo, y es donde suelen fallar los primeros intentos, porque los metadatos los ponen ahí las herramientas, no usted.

• Fotografías. Modelo de cámara, número de serie, software de edición, y a menudo las coordenadas de donde se pulsó el obturador.
• Documentos. Un PDF lleva un campo de autor y una cadena de productor; un archivo ofimático lleva un autor, una empresa y un historial de revisiones.
• Repositorios. Cada commit lleva estampados un nombre y una dirección de correo electrónico, y un repositorio público los publica todos, en cada commit, de forma permanente.
• Los artefactos de compilación. Los source maps, los manifiestos de dependencias y las trazas de pila nombran rutas, nombres de usuario y nombres de host internos.
• La propia plataforma. Una instalación por defecto expone alegremente una lista de autores, una página de inicio de sesión, una cadena de versión y un feed que usted nunca pidió que publicara.
• Etiquetas de analítica y publicidad. El mismo identificador de medición en dos sitios es la prueba más barata posible de que una misma persona dirige ambos, y hay herramientas públicas que hacen esa búsqueda a gran escala.

Los hábitos que deshacen todo lo demás

Cualquiera de los controles anteriores puede quedar anulado por la misma persona haciendo algo corriente, y la lista no cambia: una dirección reutilizada de otra vida, un nombre de usuario que se puede buscar, una contraseña que ha aparecido en una filtración, un inicio de sesión administrativo desde una conexión doméstica, y dinero que se remonta a una cuenta abierta con un pasaporte.

Esa última es la razón por la que cómo paga importa al menos tanto como si el formulario de alta pedía un nombre. Un host que no conserva ningún registro de identidad, pagado desde una cuenta de un exchange a su nombre, ha generado la cadena de todos modos — simplemente vive en la base de datos de otra persona.

Y el más antiguo, que ningún host puede poner precio y ninguna configuración puede proteger: contárselo a alguien. El anonimato que depende de que otra persona lo guarde es un calendario, no una propiedad.

Qué puede hacer un host, y dónde se detiene

Ser exacto sobre el alcance vale más que una afirmación. Lo que ocurre en este lado es una cuestión de registro, no de intención:

• No se recopila ningún documento de identidad al registrarse ni en ningún momento posterior, a ningún nivel de gasto. El inventario completo de lo que se conserva está en la política de privacidad y registros.
• La liquidación es solo on-chain, así que no hay ningún procesador de tarjetas detrás de la cuenta llevando su propio registro de usted.
• Los registros de acceso se destruyen con un temporizador de 24 horas, y no hay netflow, ni historial de IP, ni huella de dispositivo que pudiera vincular una dirección con una cuenta después de eso.
• Lo que produce realmente una orden válida está escrito de antemano en la guía para las fuerzas del orden, y el recuento de lo que ha llegado está en el informe de transparencia.

Y la parte que no nos corresponde a nosotros dar: ningún host puede hacer que un registrador le olvide, eliminar un nombre de un registro de transparencia, despublicar un registro DNS de 2021, quitar el campo de autor de un documento que usted subió, o impedirle iniciar sesión desde casa. Ocho de los nueve eslabones quedan fuera del contrato, y esa es la razón de que esto sea una guía y no una página de ventas.

Una auditoría de diez minutos, en el orden en que hay que hacerla

Nada de lo que sigue necesita una herramienta que tenga que comprar, y cada paso le dice algo que el anterior no le dijo.

1. Busque el dominio en un archivo histórico de registro, no solo en el registro en vivo — y busque también cualquier otro dominio registrado con la misma dirección.
2. Busque su dominio en un registro de transparencia de certificados y lea cada nombre de host que devuelva. Decida, para cada uno, si pretendía publicarlo.
3. Consulte el DNS pasivo del dominio y liste todas las direcciones a las que ha resuelto a lo largo de su vida.
4. Resuelva cada subdominio que hayan encontrado esos dos pasos, y compruebe si alguno responde en el origen real.
5. Envíese correo desde el sitio y lea las cabeceras completas, incluida cada línea Received:.
6. Busque la dirección de origen en un escáner de toda Internet, y busque también la huella de su certificado.
7. Descargue tres archivos que haya publicado — una imagen, un documento, un archivo comprimido — y lea sus metadatos.
8. Si algún repositorio es público, liste las direcciones de autor distintas que aparecen en su historial.
9. Busque su nombre de usuario y la dirección de su cuenta como cadenas literales, en un motor de búsqueda en el que no tenga la sesión iniciada.
10. Anote lo que encontró, y luego arregle lo que todavía se pueda arreglar. Los registros de transparencia y el DNS pasivo no están en esa lista, y por eso son los pasos dos y tres, y no los pasos nueve y diez.

Tres cosas que no vale la pena hacer

• Falsear el registro. Es la única contramedida que lleva aparejada una sanción publicada: unos datos de registro inexactos son motivo para que un registrador suspenda el dominio, y actúa a partir de una denuncia, no de una orden judicial.
• Servir un sitio público solo por Tor. Un servicio onion es la respuesta correcta cuando el público está dispuesto a instalar un navegador por usted, y la equivocada cuando el público es todo el mundo, porque elimina el alcance que hacía que valiera la pena proteger el sitio.
• Comprar hosting “anónimo” que acepta tarjetas. El procesador impone la identificación al comercio, y el comercio termina trasladándola. Ese razonamiento se explica en la guía sobre qué significa realmente el no-KYC.

Preguntas que la gente hace de verdad

Todos los precios de este conjunto se publican íntegros, en un solo lugar. Ver todo el catálogo