Hébergement de site web anonymeL'hébergeur n'est qu'un maillon. Les huit autres sont à vous de refermer.

L'anonymat est une propriété de la chaîne, pas du fournisseur

Quelqu'un qui veut savoir qui gère votre site ne commence pas par citer votre hébergeur à comparaître. Il commence par un navigateur, parce que huit des neuf maillons de la chaîne publient quelque chose, et la plupart des sites sont trahis par l'un d'eux bien avant qu'un avocat n'intervienne.

Ce texte est écrit par le seul maillon qui puisse parler de lui-même avec des preuves : ce qui est collecté ici est publié sous forme d'inventaire plutôt que décrit comme une valeur. Les huit autres ne sont pas les nôtres — quatre appartiennent à d'autres sociétés et quatre vous appartiennent — et c'est précisément pour cela qu'ils méritent d'être lus.

Les neuf maillons, et qui détient chacun d'eux

Chaque ligne ci-dessous est un endroit où un nom, une adresse ou un paiement peut venir se loger. La troisième colonne est celle qui compte : pour huit des neuf, la réponse n'est pas votre hébergeur.

La couche de nommage, et les journaux que personne ne peut supprimer

Trois des neuf se situent entre un nom et une machine, et ce sont les trois qui conservent des registres que vous ne pouvez pas atteindre. Ce sont aussi les trois que la plupart des gens comprennent mal, parce que toutes les trois ressemblent à de la plomberie plutôt qu'à une divulgation.

L'enregistrement, et ce que la confidentialité ne couvre pas

Un serveur est une machine dans une baie. Un domaine est un contrat, et un contrat a une contrepartie qui a été payée par quelqu'un. Les services de confidentialité remplacent vos coordonnées dans le registre public par une adresse de transfert ; ils ne les suppriment pas du bureau d'enregistrement, qui détient toujours un nom, une adresse et un moyen de paiement, et qui répond à un tribunal de sa propre juridiction plutôt que de la vôtre.

Ils ne font non plus rien pour le passé. Les données d'enregistrement historiques sont archivées commercialement depuis deux décennies, si bien qu'un domaine enregistré en clair puis rendu privé quatre ans plus tard est un domaine dont le propriétaire est consigné quelque part. Activer la confidentialité n'est un changement qu'au présent.

La transparence des certificats, permanente par conception

Chaque certificat émis par une autorité de certification reconnue publiquement est inscrit dans un journal public en ajout seul. C'est délibéré, et c'est une bonne chose : c'est ainsi qu'un certificat mal délivré pour votre domaine devient visible au lieu de rester secret. L'effet secondaire est que chaque nom d'hôte que vous avez un jour inscrit sur un certificat peut être recherché par n'importe qui, pour toujours, et ne peut pas être retiré.

C'est ainsi que les sous-domaines staging, vpn et old-project sont découverts — pas en devinant, mais en lisant un journal public conçu pour être lu. Un certificat wildcard publie un seul nom à la place d'une liste, ce qui est la chose la plus proche d'un remède qui existe.

Le DNS passif, qui se souvient de l'endroit où le site vivait autrefois

Les résolveurs et les scanners enregistrent quel nom a répondu avec quelle adresse et quand, et vendent cet historique. Un enregistrement que vous avez supprimé il y a un an reste une preuve de la machine qu'il pointait, ce qui explique pourquoi placer un site derrière un proxy après qu'il a été en ligne au grand jour protège l'avenir, pas le passé.

L'adresse d'origine fuit autour du proxy

Un CDN devant un serveur cache l'origine à un visiteur occasionnel, et à personne d'autre, parce que l'adresse est généralement publiée quelque part que le proxy ne contrôle pas. Voici les six voies, dans l'ordre où elles sont réellement utilisées :

1. Des enregistrements DNS datant d'avant l'existence du proxy, toujours présents dans une archive de DNS passif.
2. Un sous-domaine que personne n'a mis derrière le proxy : mail, dev, webmail, direct, cpanel.
3. Le chemin du mail — un enregistrement MX, une entrée SPF, ou un en-tête Received: nommant la machine qui a envoyé le message.
4. Un certificat émis directement sur l'origine et consigné avant que le proxy ne soit configuré.
5. Tout ce que l'application envoie vers l'extérieur : un webhook, un mail de réinitialisation de mot de passe, une image récupérée depuis une URL fournie par un inconnu.
6. Des scanners à l'échelle d'Internet, qui indexent chaque adresse sur chaque port et permettent à n'importe qui de chercher une machine dont le certificat, les en-têtes de réponse ou le favicon correspondent aux vôtres.

Ce dernier point explique pourquoi un proxy est une demi-mesure à lui seul. Ce qui en fait une frontière, c'est l'origine qui refuse toute connexion ne provenant pas des plages publiées du proxy — une règle de pare-feu plutôt qu'un produit, et le paragraphe le plus court de cette page pour le plus grand effet.

Ce que vous publiez porte plus que ce que vous avez écrit

Le contenu est la partie que vous contrôlez entièrement, et c'est là que les premières tentatives échouent généralement, parce que les métadonnées y sont placées par des outils plutôt que par vous.

• Photographies. Modèle d'appareil photo, numéro de série, logiciel de retouche, et souvent les coordonnées de l'endroit où le déclencheur a été actionné.
• Documents. Un PDF porte un champ auteur et une chaîne de caractères producteur ; un fichier bureautique porte un auteur, une société et un historique des révisions.
• Dépôts. Chaque commit est estampillé d'un nom et d'une adresse email, et un dépôt public les publie tous, pour chaque commit, de façon permanente.
• Artefacts de build. Les source maps, les manifestes de dépendances et les stack traces révèlent des chemins, des noms d'utilisateur et des noms d'hôte internes.
• La plateforme elle-même. Une installation par défaut expose sans complexe une liste d'auteurs, une page de connexion, une chaîne de version et un flux que vous ne lui avez jamais demandé de publier.
• Balises analytiques et publicitaires. Le même identifiant de mesure sur deux sites est la preuve la moins chère possible qu'une seule personne gère les deux, et des outils publics effectuent cette recherche à grande échelle.

Les habitudes qui ruinent tout le reste

Chaque contrôle ci-dessus peut être déjoué par cette même personne en faisant quelque chose d'ordinaire, et la liste ne change pas : une adresse réutilisée d'une autre vie, un nom d'utilisateur que l'on peut rechercher, un mot de passe apparu dans une fuite de données, une connexion administrateur depuis chez vous, et de l'argent qui remonte jusqu'à un compte ouvert avec un passeport.

Ce dernier point explique pourquoi la manière dont vous payez compte au moins autant que la question de savoir si le formulaire d'inscription demandait un nom. Un hébergeur qui ne détient aucun registre d'identité, payé depuis un compte d'échange à votre nom, a produit la chaîne quand même — elle vit simplement dans la base de données de quelqu'un d'autre.

Et le plus ancien, que nul hébergeur ne peut monnayer et qu'aucune configuration ne peut protéger : le dire à quelqu'un. Un anonymat qui dépend du silence gardé par une autre personne est un sursis plutôt qu'une propriété.

Ce qu'un hébergeur peut faire, et où cela s'arrête

Être exact sur le périmètre vaut mieux qu'une affirmation. Ce qui se passe de ce côté-ci est affaire de constat, pas d'intention :

• Aucun document d'identité n'est collecté à l'inscription ni à aucun moment par la suite, à aucun niveau de dépense. L'inventaire complet de ce qui est conservé se trouve dans la politique de confidentialité et de journalisation.
• Le règlement se fait uniquement on-chain, si bien qu'aucun prestataire de cartes ne se trouve derrière le compte à tenir son propre registre sur vous.
• Les journaux d'accès sont détruits par une minuterie de 24 heures, et il n'existe ni netflow, ni historique d'IP, ni empreinte d'appareil qui pourrait relier une adresse à un compte après coup.
• Ce qu'une ordonnance valide produit réellement est écrit à l'avance dans le guide destiné aux forces de l'ordre, et le décompte de ce qui est arrivé se trouve dans le rapport de transparence.

Et la part qui n'est pas nôtre à donner : aucun hébergeur ne peut faire oublier votre nom à un bureau d'enregistrement, retirer un nom d'un journal de transparence, dépublier un enregistrement DNS de 2021, supprimer le champ auteur d'un document que vous avez téléversé, ou vous empêcher de vous connecter depuis chez vous. Huit des neuf maillons se situent hors du contrat, ce qui explique pourquoi ceci est un guide et non une page de vente.

Un audit de dix minutes, dans l'ordre à suivre

Rien ci-dessous ne nécessite un outil que vous devez acheter, et chaque étape vous apprend quelque chose que la précédente n'a pas révélé.

1. Recherchez le domaine dans une archive d'enregistrement historique, pas seulement dans le registre actuel — et recherchez tout autre domaine enregistré avec la même adresse.
2. Cherchez votre domaine dans un journal de transparence des certificats et lisez chaque nom d'hôte qu'il retourne. Décidez, pour chacun, si vous aviez l'intention de le publier.
3. Interrogez le DNS passif pour ce domaine et listez chaque adresse vers laquelle il a résolu au cours de son existence.
4. Résolvez chaque sous-domaine trouvé par ces deux étapes, et vérifiez si l'un d'eux répond sur la véritable origine.
5. Envoyez-vous un mail depuis le site et lisez l'intégralité des en-têtes, y compris chaque ligne Received:.
6. Cherchez l'adresse d'origine dans un scanner à l'échelle d'Internet, puis recherchez à nouveau l'empreinte de votre certificat.
7. Téléchargez trois fichiers que vous avez publiés — une image, un document, une archive — et lisez leurs métadonnées.
8. Si un dépôt est public, listez les adresses d'auteurs distinctes dans son historique.
9. Recherchez votre nom d'utilisateur et l'adresse de votre compte comme chaînes exactes entre guillemets, sur un moteur où vous n'êtes pas connecté.
10. Notez ce que vous avez trouvé, puis corrigez ce qui peut encore l'être. Les journaux de transparence et le DNS passif ne figurent pas sur cette liste, ce qui explique pourquoi ils sont les étapes deux et trois plutôt que les étapes neuf et dix.

Trois choses qui ne valent pas la peine d'être faites

• Falsifier l'enregistrement. C'est la seule contre-mesure assortie d'une sanction publiée : des données d'enregistrement inexactes constituent un motif pour un bureau d'enregistrement de suspendre le domaine, et il agit sur plainte plutôt que sur décision de justice.
• Servir un site public uniquement via Tor. Un service onion est la bonne réponse quand le public est prêt à installer un navigateur pour vous, et la mauvaise quand le public, c'est tout le monde, parce que cela supprime la portée qui rendait le site digne d'être protégé.
• Acheter un hébergement “anonyme” qui accepte les cartes. Le prestataire de paiement impose une identification au marchand, et le marchand la répercute, tôt ou tard. Ce raisonnement est exposé dans le guide sur ce que signifie réellement le no-KYC.

Questions réellement posées

Chaque prix de ce parc de serveurs est publié intégralement, à un seul endroit. Voir le catalogue complet