Solicitudes de las fuerzas del ordenUna demanda es correspondencia hasta que un tribunal con jurisdicción diga lo contrario.

Cinco cosas distintas reciben el nombre de “la policía pregunta”

La expresión engloba cinco instrumentos que apenas tienen algo en común salvo un membrete oficial, y confundirlos es el motivo por el que un lector termina asustado del inofensivo y tranquilo respecto al peligroso. Se diferencian en quién los emite, qué pueden exigir, y si en algún momento intervino un juez.

Solo los dos últimos son órdenes en el sentido que implica la expresión. Los tres primeros son solicitudes, y una solicitud se responde con una decisión y no con una obligación. Vale la pena detenerse en eso: tres de los cinco nunca llegan a un juez, y esos tres son precisamente los que casi nadie le pregunta a un posible host.

Las cinco etapas por las que pasa una demanda

Un proveedor bien gestionado hace pasar cada demanda por la misma secuencia, sin importar quién la haya enviado, y vale la pena conocer esa secuencia porque puede pedirle a cualquier host que describa la suya. Un host que nunca la ha puesto por escrito es un host que improvisa bajo presión.

1. Llega, normalmente, a la empresa equivocada. Una red repartida por varios países es varias empresas, y el proceso notificado a una de ellas vincula solo a esa. Esta es la razón más común por la que una demanda no logra nada, y evitarlo depende enteramente de quien la envía.
2. Se identifica la entidad. Qué empresa opera la región, en qué registro está inscrita, y si el tribunal emisor tiene alguna autoridad sobre ella. Una orden extranjera no es autoejecutable en ningún lugar del mundo.
3. La asesoría legal de esa jurisdicción la lee. No el servicio de soporte, ni el fundador a medianoche. Que sea válida y esté dentro del alcance es una cuestión jurídica con respuesta local, y a una que no lo sea se le responde con una carta que explica por qué, por escrito.
4. Lo que se pide se contrasta con lo que existe. Aquí es donde mueren en silencio la mayoría de las demandas. Una orden sobre una categoría que el esquema no contiene produce una carta, no un expediente, y ninguna presión convierte una cosa en la otra.
5. Se informa al cliente. Antes de que se entregue nada, salvo que la orden lo prohíba expresamente. Esta es la etapa que la mayoría de los proveedores omiten por completo de su proceso, y es la única que le permite a usted hacer algo.

La versión publicada de esa secuencia para esta red está en la guía para las fuerzas del orden, escrita para la asesoría legal que notifica la orden, no para el cliente que lee sobre ella. Vale la pena abrirla por un motivo que no tiene nada que ver con nosotros: es la forma que debería tener el documento que hay que buscar en cualquier host, y la mayoría no lo tiene.

La aritmética de un informe de transparencia

Casi todos los informes de transparencia empiezan con el total recibido, que es la cifra menos informativa de todas. El volumen mide cuán visible es un proveedor. Lo que interesa es la proporción entre lo que llegó y lo que salió, porque eso mide cuánto conservaba el proveedor.

Aplique esa aritmética a cualquier host que publique lo suficiente para permitirlo. Una proporción alta de producido frente a recibido no es prueba de cooperación, y una baja no es prueba de valentía — ambas son, sobre todo, prueba sobre el inventario. Un proveedor que conserve documentos de identidad y un año de direcciones de inicio de sesión producirá algo casi siempre, sea cual sea su postura al respecto. La serie trimestral completa está en el informe de transparencia.

Por qué la entidad con la que usted contrató lo decide todo

Una sentencia es ejecutable contra una persona o una empresa, en un lugar. No viaja por sí sola. Para que una orden extranjera vincule a una empresa en el extranjero, tiene que ser reconocida por un tribunal del país donde esa empresa está constituida, mediante asistencia jurídica mutua o el procedimiento local de reconocimiento — una vía formal, lenta, revisable, y que puede rechazarse por motivos que la autoridad solicitante no controla.

Eso es derecho internacional privado ordinario, no ningún truco, y es todo el contenido mecánico de la palabra offshore. También es la razón por la que la estructura corporativa importa más que el mapa: ocho jurisdicciones operadas por una sola empresa son un único objetivo legal con ocho direcciones, y un fallo en su contra alcanza cada máquina que posee. Ocho empresas separadas son ocho procedimientos separados, cada uno empezando de cero. Qué disposición utiliza un host está en su página de términos, y la guía sobre elegir una jurisdicción explica qué más cambia entre ellas.

• Pregunte qué empresa, no qué país. El país está en la página de marketing. El nombre de la empresa y su número de registro son lo que una orden tiene que nombrar, y no se puede confiar en que un host que no se lo diga tenga uno.
• Pregunte dónde está inscrita. Una entidad identificada en un registro público se puede comprobar en unos dos minutos y no cuesta nada verificarla. Ocho de ellas, en ocho registros, están listadas aquí exactamente por esa razón.
• Pregunte qué ocurre con una solicitud dirigida a la entidad equivocada. La respuesta honesta es que se responde por escrito señalándolo. La respuesta reveladora es que se tramita de todos modos, por pura cortesía.

La vía de urgencia, la que nadie vigila

Todo marco jurídico importante tiene un canal que evita por completo al tribunal. En Estados Unidos es el 18 U.S.C. §2702(b)(8), que permite a un proveedor divulgar voluntariamente cuando cree de buena fe que una emergencia que implica peligro de muerte o de lesión física grave lo requiere. La mayoría de las demás jurisdicciones tienen un equivalente. No hay juez, no hay orden judicial y no hay contraparte: el proveedor decide, en horas.

Existe por buenas razones y se abusa de él por razones evidentes. Se han utilizado solicitudes falsificadas desde cuentas de correo de las fuerzas del orden comprometidas para extraer datos de abonados de algunas de las mayores plataformas del mundo, porque todo el canal se basa en un membrete verosímil y en un proveedor que no quiere ser el que dudó. Cuarenta solicitudes de este tipo han llegado a esta red.

La defensa no consiste en rechazar la categoría, lo cual sería indefendible en el caso para el que existe el canal. Consiste en tener casi nada que ofrecer voluntariamente, en revisar cada una como una persona y no como una cola, en informar al cliente después en todos los casos, y en contarlas públicamente como línea propia. Una excepción que nadie cuenta deja de ser una excepción y se convierte en una puerta.

Preservación: la orden que detiene el reloj

Una orden de preservación no pide que se entregue nada. Pide que los registros que existen ahora mismo dejen de eliminarse, de modo que sigan ahí cuando llegue, semanas después, la orden de entregarlos. En Estados Unidos opera bajo el 18 U.S.C. §2703(f) durante 90 días, renovable una vez, y no necesita juez para emitirse. Sesenta y seis de ellas han llegado aquí.

Es el instrumento más discreto de esta página y el más instructivo, porque es precisamente lo que una política de retención no puede sobrevivir. Un temporizador es una promesa de destruir según un calendario; una orden de conservación es una instrucción de dejar de cumplir esa promesa, efectiva desde el momento en que llega. Todo lo que ya está escrito queda congelado desde ese segundo, y el cliente suele ser el último en saberlo.

Lo cual es todo el argumento a favor de la ausencia frente al borrado, hecho concreto. Un registro que nunca se creó no se puede preservar, no se puede congelar, y no se puede entregar noventa días después por un proveedor que ha cambiado de opinión. La distinción se desarrolla con detalle en la guía sobre qué significa realmente el hosting sin registros, y la lista de lo que nunca se crea aquí está publicada como parte de la política de privacidad y registro, y no como una afirmación en una página de precios.

Incautación: qué se consigue en realidad al llevarse la máquina

La incautación es el escenario que todo el mundo imagina y que casi nadie piensa a fondo. También es aquel en que el resultado depende menos del proveedor y más de decisiones que el cliente tomó meses antes, en el momento de la instalación, en aproximadamente una hora de trabajo.

Recorra la última columna y verá que una entrada aparece dos veces en la práctica: una clave que nunca estuvo en el edificio. Todo otro control de esta página es legal, procedimental o contractual, es decir, todo otro control depende de que alguien siga comportándose como dijo que lo haría. El cifrado no. Un operador de hipervisor puede copiar el disco de un invitado que ejecuta — un proveedor que afirme lo contrario está malinterpretando su propia infraestructura — y lo que copia, o es legible o es ruido.

El runbook está en la base de conocimientos: cifrado de disco completo dentro del invitado, desbloqueado por SSH al arrancar, de modo que la clave llega desde usted cada vez que la máquina arranca y no vive en ningún otro sitio. Es la misma recomendación que hace la guía de hosting sin registros, repetida deliberadamente, porque es el único consejo de esta página cuyo efecto no depende del buen comportamiento de nadie, incluido el nuestro.

La mordaza, y por qué un canary es la única respuesta frente a ella

Una mordaza no es un instrumento separado. Es una cláusula añadida a otro, que prohíbe al proveedor decirle a la persona a la que concierne la orden que esta existe. Las National Security Letters en Estados Unidos llevan una por defecto; varias jurisdicciones tienen equivalentes, y lo que todas ellas tienen en común es que la quinta etapa mencionada antes — informar al cliente — queda eliminada, y usted no tiene forma de saber que lo fue.

Un warrant canary es la única respuesta disponible, y funciona invirtiendo el problema. A un proveedor se le puede prohibir hacer una declaración. Es mucho más difícil obligarlo a seguir repitiendo una declaración que se ha vuelto falsa. Así que la afirmación se publica según un calendario, y su ausencia lleva el significado que su presencia ya no puede llevar.

La mayoría de los canaries de este mercado son decoración. Seis cosas separan a uno que significa algo de un párrafo en una página «sobre nosotros», y cada una de ellas se puede comprobar en un navegador en cinco minutos.

1. Está firmado criptográficamente, contra una clave publicada en algún sitio que usted puede encontrar de forma independiente. Un canary sin firmar puede editarlo cualquiera que pueda editar el sitio web, lo cual incluye a cualquiera que lo haya comprometido.
2. Cita algo reciente e impredecible. La altura y el hash de un bloque de Bitcoin son la opción habitual: ese bloque no existía antes de ser minado, así que la declaración no puede haberse firmado con meses de antelación y dejado en un cajón.
3. Especifica un período, una fecha límite y un vencimiento. Un canary sin calendario no puede desaparecer, porque nada tenía fecha de vencimiento. El calendario es todo el mecanismo.
4. Enumera afirmaciones concretas en lugar de una sola frase. Una línea que diga “no hemos recibido ninguna orden secreta” solo puede fallar de golpe. Las cláusulas separadas fallan por separado, y una cláusula eliminada silenciosamente en la siguiente firma es una señal con forma propia.
5. Cubre todas las entidades. En una red de varias empresas, un canary que hable solo por una de ellas es un canary sobre una fracción de la infraestructura que usted está comprando.
6. Las firmas anteriores siguen publicadas. Una cláusula eliminada solo es visible en contraste con lo que sustituyó, así que un canary sin archivo le pide haber estado prestando atención desde el principio.

El canary publicado aquí se firma cada trimestre, cita un bloque reciente, indica su fecha límite y su fecha de caducidad, cubre las ocho entidades, y hace siete afirmaciones separadas: ninguna National Security Letter ni equivalente, ninguna orden acompañada de una prohibición de informar al cliente, ningún contenido de ningún disco o base de datos entregado jamás a nadie, ninguna interceptación prospectiva, ningún equipo incautado ni clonado, ningún debilitamiento forzado de una protección criptográfica, y control administrativo exclusivo de la infraestructura. Compárelo con los seis puntos anteriores. Luego compare a cualquier otro que esté considerando con esos mismos seis.

Qué preguntarle a un host antes de comprar

Cada pregunta de abajo tiene un documento por respuesta, o no lo tiene. Esa es la prueba: no si la respuesta suena tranquilizadora, sino si señala algo que ya estaba escrito antes de que usted preguntara.

1. ¿Con qué entidad legal estoy contratando, y en qué registro público está inscrita?
2. Qué existe sobre mí una vez que me he registrado — como un inventario, con un período de retención frente a cada fila, no como un adjetivo.
3. ¿Qué es lo que nunca se crea? Esa lista es la única parte de la respuesta que un tribunal no puede revertir.
4. ¿Se me informará si una solicitud me nombra, y qué tendría que ser cierto para que usted no me lo dijera?
5. ¿Cuántas solicitudes han recibido, cuántas superaron el umbral legal, y cuántas produjeron algo?
6. ¿Se cuentan y publican las divulgaciones de emergencia como línea propia?
7. ¿Está su canary firmado, es reciente, específico, y cubre todas las entidades que operan?

Nada de esto hace a nadie intocable, y una página que sugiriera lo contrario sería precisamente el tipo de página que esta existe para rebatir. Lo que sí hace es trasladar la pregunta de la confianza al inventario. Un host que puede entregar poco entrega poco, sea cual sea la idea que tenga de sí mismo la mañana en que llega la carta.

Preguntas que la gente hace de verdad

Todos los precios de este conjunto se publican íntegros, en un solo lugar. Ver todo el catálogo