Voir et conserver sont deux questions différentes
Ce que la plupart des gens entendent dans une affirmation « sans journaux », c'est que le fournisseur ne peut pas voir leur trafic. Ce qu'un fournisseur honnête peut réellement affirmer est plus restreint : beaucoup de choses sont visibles sur l'instant, et presque rien n'est écrit noir sur blanc. Un paquet qui traverse un routeur de bordure est visible par ce routeur. Que cette visibilité devienne une trace est une décision de configuration et de rétention — et cette trace est la seule partie de tout cela que quiconque peut être sommé de produire.
Les deux questions reçoivent des réponses de mécanismes différents, ce qui explique pourquoi les confondre est si utile à une page marketing. Voir est borné par la cryptographie : ce qui est chiffré de bout en bout est illisible en transit, quelle que soit la bonne volonté de chacun. Conserver est borné par une minuterie, et une minuterie est une chose qui peut être publiée, décrite et tenue. Un hébergeur qui ne parle que de la première évite la seconde.
Les huit endroits où une trace de vous peut exister
Presque tous les débats sur l'hébergement sans journaux portent sur l'un d'entre eux — le journal d'accès du serveur web — qui est pourtant loin d'être le plus révélateur. La chaîne qui achemine une requête jusqu'à votre machine touche au moins huit parties, et seules certaines d'entre elles sont votre hébergeur.
| Où | Ce qu'il peut enregistrer | Détenu par |
|---|---|---|
| Le serveur web | Adresse, heure, URL, user-agent et referrer, pour chaque requête | Votre hébergeur |
| L'hyperviseur | Le disque et la mémoire de la machine invitée qu'il fait tourner, à tout moment | Votre hébergeur |
| Le routeur de bordure | Netflow : qui a parlé à qui, pendant combien de temps, pour quel volume | Votre hébergeur |
| Atténuation DDoS | Caractéristiques du trafic, inspectées en ligne en continu et par conception | Votre hébergeur, ou un prestataire de nettoyage |
| Le transporteur en amont | Les mêmes données de flux, un saut plus loin, sous sa propre loi de rétention | Un fournisseur de transit que vous n'avez jamais choisi |
| Le résolveur récursif | Chaque domaine que la machine interroge, et quand | Quiconque votre image désigne |
| Le compte et le support | Ce que vous avez tapé, ce que vous avez acheté, ce que vous avez payé | Votre hébergeur |
| Le rail de paiement | Un nom légal, si l'argent est un jour passé par quelque chose qui en demandait un | Un exchange ou un prestataire de paiement |
Trois de ces huit acteurs se situent entièrement en dehors du contrat d'hébergement, ce dont un badge « sans journaux » ne peut absolument rien dire. Le transporteur en amont conserve ce que son propre régulateur exige. Le résolveur hérité d'une image de système d'exploitation par défaut voit chaque nom d'hôte que votre serveur interroge. Et le rail de paiement est le maillon traité dans le guide sur payer un serveur en crypto, car c'est celui qui porte le plus souvent un nom.
Ce que chaque type de trace prouve réellement
Les traces ne sont pas toutes également dangereuses, et le discours du secteur les traite comme si elles l'étaient. Voici, à peu près, l'ordre dans lequel elles nuisent.
| Enregistrement | Ce qu'il établit | Pourquoi cela compte |
|---|---|---|
| Une image disque | Tout : contenus, clés laissées en mémoire, fichiers supprimés pas encore écrasés | La seule trace qui n'a besoin d'aucune corroboration venue d'ailleurs |
| Netflow | Qui s'est connecté à la machine, quand, pendant combien de temps et quel volume est passé | Situe une personne à une machine sans lire un seul octet de contenu |
| Un journal d'accès HTTP | Une seule adresse effectuant une seule requête à une seule seconde | Dommageable combiné à une trace détenue par quelqu'un d'autre |
| Un journal de requêtes DNS | Chaque nom que la machine a résolu, ce qui est l'essentiel de son activité | Un profil comportemental même quand le trafic lui-même est chiffré |
| Historique de connexion | Où se trouvait l'opérateur du compte, sur plusieurs mois | La trace qui identifie l'humain plutôt que la machine |
| Compteurs d'interface | Bits par seconde sur un port | Agrégé : il ne peut pas reconstituer une conversation, ce qui est précisément le but |
Les quatre façons dont « sans journaux » n'est généralement pas vrai
Aucune de ces affirmations n'est exactement un mensonge. Chacune est une phrase vraie à propos d'une chose plus restreinte que celle que le lecteur croit qu'on décrit.
- Elle signifie un seul journal. L'affirmation porte sur les journaux de trafic, tandis que l'historique de connexion, les archives de tickets, les registres de facturation et les requêtes DNS continuent normalement. Elle est vraie pour le moins révélateur des huit.
- Elle signifie suppression, non absence. Les traces sont créées puis supprimées — selon un calendrier si vous avez de la chance, sur demande sinon. La suppression est une politique, et une politique peut recevoir l'ordre de cesser, avec tout ce qui a déjà été écrit conservé à partir du moment où l'ordonnance arrive.
- Elle s'arrête à la frontière de l'entreprise. Le prestataire de nettoyage en amont, la plateforme de tickets à côté, le CDN, le prestataire de paiement et le script d'analytique dans l'espace de facturation tiennent chacun le leur, selon leurs propres règles, dans leur propre juridiction.
- Elle décrit aujourd'hui. Une affirmation sans inventaire et sans minuterie est une description de la pratique actuelle, et la pratique actuelle est libre de changer le jour où la pression arrive. Rien en elle ne peut être contredit, et c'est pour cela qu'elle est écrite ainsi.
La rétention est une minuterie, pas une promesse
La version de l'affirmation qui veut dire quelque chose est ennuyeuse à lire : chaque trace qui existe, à quoi elle sert, et combien de temps elle dure. Ce parc publie sept lignes, et la colonne qui fait le travail est la seconde.
| Enregistrement | Conservé | Ce qu'il produirait |
|---|---|---|
| Adresse e-mail | Durée de vie du compte | Une adresse que vous avez choisie, jamais vérifiée contre rien d'autre qu'elle-même |
| Hash du mot de passe | Durée de vie du compte | Un hachage, qui vaut ce que vaut un hachage |
| Solde et registre | Durée de vie du compte | Montants et dates, sur une chaîne déjà publique |
| Configuration du service | Durée de vie du service, puis 7 jours | Région, spécification et image — pas le contenu du disque |
| Journaux d'accès HTTP | 24 heures, puis détruit | Rien du tout pour une requête plus ancienne qu'hier |
| Correspondance avec le support | 90 jours après la clôture de la conversation | Tout ce que vous avez choisi d'y taper |
| Compteurs d'interface | 13 mois, agrégé uniquement | Bits par seconde sur un port. Délibérément pas de netflow |
La seconde liste est celle qui compte le plus, et c'est la liste de ce qui n'est jamais créé : aucun document d'identité, aucun nom légal, aucune trace des adresses depuis lesquelles un compte se connecte, aucun historique d'IP, aucune empreinte d'appareil, aucun netflow à une résolution qui permettrait de reconstituer qui a parlé à qui, aucun journal de requêtes sur les résolveurs que nous exploitons, et aucun contenu de disque, de mémoire ou de sauvegarde. La suppression peut recevoir l'ordre de cesser. L'absence est un fait relatif au schéma, et une ordonnance ne peut pas remonter le temps pour la combler. Les deux listes sont publiées intégralement dans la politique de confidentialité et de journalisation, où elles font partie du contrat plutôt que de la brochure.
La partie gênante : un hébergeur peut lire un disque non chiffré
Un opérateur d'hyperviseur peut copier le disque d'une machine invitée qu'il fait tourner. Un fournisseur qui vous affirme le contraire se méprend sur sa propre pile ou vous ment, et c'est la phrase la plus importante de cette page. Aucune politique n'y remédie, aucune juridiction n'y remédie, et aucune promesse ne survit à quelqu'un qui, disposant d'un accès physique, déciderait autrement.
Ce qui y remédie, c'est une clé que l'hébergeur n'a jamais détenue. Le chiffrement intégral du disque à l'intérieur de la machine invitée, déverrouillé via une session SSH au démarrage, fait passer la question d'un registre juridique à un registre mathématique, et la réponse mathématique ne varie pas selon le tribunal. Le runbook se trouve dans la base de connaissances, et c'est l'heure de travail la plus rentable qui soit pour quiconque se soucie un tant soit peu de cette question.
La même logique tient un niveau plus loin. Ce qui traverse le fil en clair est lisible par toute partie située entre les deux extrémités ; ce qui passe sous TLS ne l'est pas, quoi que dise un enregistrement de flux sur le fait que la conversation ait eu lieu. Le chiffrement décide de ce qui peut être vu. La rétention décide de ce qui peut être produit. Ni l'un ni l'autre ne remplace l'autre.
Comment tester une affirmation « sans journaux » depuis l'extérieur
Vous ne pouvez pas auditer une minuterie de rétention depuis un navigateur. Vous pouvez, en environ vingt minutes, établir si l'affirmation est même du genre de chose qui pourrait être auditée.
- Cherchez un inventaire plutôt qu'un adjectif. Un fournisseur qui conserve peu de choses est capable de lister ce qu'il conserve ; celui qui refuse d'énumérer vous a déjà appris quelque chose.
- Vérifiez qu'une durée figure en regard de chaque ligne. « Aussi longtemps que nécessaire » n'est pas une durée de rétention. 24 heures en est une.
- Lisez la liste de ce qui n'est jamais créé, si elle existe. Elle est plus instructive que la liste de ce qui est conservé, car c'est la partie qu'aucune ordonnance ne peut annuler.
- Ouvrez les outils de développement sur l'espace de facturation et surveillez les requêtes qui quittent le domaine. Chaque tiers présent là est un traceur que la politique de confidentialité n'a pas mentionné.
- Lisez le rapport de transparence pour les résultats plutôt que pour le volume. Le chiffre qui compte est le nombre de demandes ayant abouti à quelque chose, et ce que c'était — ici, 164 demandes des forces de l'ordre depuis 2019, dont 31 ont abouti à quelque chose, et ce qu'elles ont produit, c'était une adresse e-mail et un registre de montants.
- Vérifiez si l'affirmation est signée. Un warrant canary est la seule partie de tout ceci dont la falsification a un coût : celui-ci cite un bloc Bitcoin récent, de sorte que la déclaration ne peut pas avoir été signée à l'avance, et il affirme qu'aucun équipement n'a jamais été saisi, imagé ou physiquement accédé.
- Ouvrez ensuite le formulaire d'inscription. Quoi que dise la politique, le formulaire est la partie qui ne peut pas mentir sur ce qui est collecté.
Questions réellement posées
Que signifie réellement l'hébergement sans journaux ?
Au minimum, cela devrait signifier qu'aucune trace n'existe qui puisse situer une personne à une machine après coup : aucun historique d'IP, aucun lieu de connexion, aucun netflow, et des journaux d'accès sur une minuterie courte plutôt que sur une promesse. Tout ce qui est plus lâche n'est une affirmation que sur un seul journal parmi huit. La version qui vaut la peine d'être payée arrive sous la forme d'un inventaire avec une durée de rétention en regard de chaque ligne.
Mon hébergeur peut-il voir mes fichiers ?
Sur un disque non chiffré, oui. Un opérateur d'hyperviseur peut copier le disque d'une machine invitée qu'il fait tourner, et un fournisseur qui prétend le contraire se méprend sur sa propre pile. Chiffrez le volume avec une clé que l'hébergeur ne reçoit jamais, et la réponse cesse d'être une politique pour devenir un chiffrement — le seul contrôle, ici, qui ne dépende pas de la confiance accordée à quiconque.
Les hébergeurs conservent-ils des journaux de mon trafic ?
La plupart conservent le netflow, qui enregistre qui s'est connecté à votre machine, quand, et quel volume de données a circulé, sans enregistrer le contenu. Il est conservé parce qu'il est réellement utile pour la planification de capacité et le traitement des abus, et c'est la trace la plus souvent produite dans le cadre d'une procédure judiciaire. Ce qui existe ici à la place est un compteur de bits par seconde par port, agrégé et conservé pendant 13 mois, incapable de reconstituer une conversation.
Une affirmation « sans journaux » est-elle juridiquement contraignante ?
La politique publiée fait ici partie du contrat, ce qui en fait une clause contractuelle plutôt qu'un argument marketing. Ce qu'aucune affirmation ne peut faire, c'est passer outre une ordonnance légale d'un tribunal compétent — c'est précisément pour cela que l'absence vaut mieux qu'une promesse. Une ordonnance de cesser de supprimer ne peut pas récupérer une trace qui n'a jamais été écrite.
L'hébergement no-KYC signifie-t-il l'absence de journaux ?
Non, et les deux sont vendus comme s'il s'agissait d'une seule chose. No KYC est une affirmation sur ce qui a été collecté à l'inscription ; l'absence de journaux est une affirmation sur ce qui s'accumule chaque jour par la suite. Un hébergeur peut ne prendre aucun document du tout et détenir malgré tout un an d'adresses de connexion, ce qui vous identifierait tout aussi bien.
Qui voit les requêtes DNS que fait mon serveur ?
Quiconque la machine désigne comme résolveur, ce qui, sur la plupart des images, est un choix par défaut que personne n'a fait. Les journaux de requêtes constituent un profil comportemental même quand chaque connexion qui suit est chiffrée, et ils résident chez un tiers, sous ses propres règles de rétention. Faire tourner son propre résolveur, ou en choisir un qui documente sa rétention, est une correction de dix minutes que presque personne n'applique.
Un VPN devant mon serveur aiderait-il ?
Il aide sur un autre maillon. Un VPN ou Tor dissimule d'où vous vous connectez quand vous administrez la machine, ce qui règle le problème de l'historique de connexion décrit dans le guide sur rester anonyme. Il ne change rien à ce que la machine elle-même publie, à ce qui se trouve sur le disque, ni à ce que le transporteur en amont enregistre sur le trafic qui y arrive.
Chaque prix de ce parc de serveurs est publié intégralement, à un seul endroit. Voir le catalogue complet