Host een website anoniem: de negen dingen die u identificeren

Anonimiteit is een eigenschap van de keten, niet van de leverancier

Iemand die wil weten wie uw site beheert, begint niet door uw host te dagvaarden. Diegene begint met een browser, want acht van de negen schakels in de keten publiceren iets, en de meeste sites gaan al onderuit aan een daarvan, lang voordat er een advocaat aan te pas komt.

Dit is geschreven door de ene schakel die met bewijs over zichzelf kan spreken: wat hier wordt verzameld, is gepubliceerd als inventaris in plaats van beschreven als een waarde. De andere acht zijn niet van ons — vier zijn van andere bedrijven en vier zijn van u — en dat is precies waarom zij het lezen waard zijn.

De negen schakels, en wie elke schakel in handen heeft

Elke rij hieronder is een plek waar een naam, een adres of een betaling tot rust kan komen. De derde kolom is degene die ertoe doet: bij acht van de negen is het antwoord niet uw host.

Schakel	Wat het kan prijsgeven	In handen van
Het hostingaccount	Identiteitsdocumenten, een factuuradres, een kaart, een IP-geschiedenis	Uw host
De domeinregistratie	De registrant achter de privacydienst, en de betaling waarmee de naam is gekocht	Uw registrar
Autoritatieve DNS	Elke hostnaam die u ooit ergens naartoe heeft gewezen, bewaard in passieve-DNS-archieven	Uw DNS-provider
Het TLS-certificaat	Elke naam erop, permanent vastgelegd in een openbare log	Uw certificaatautoriteit
De proxy of CDN	Een account, een betaalmethode, en de origin waarnaar wordt verwezen	Uw CDN
Het origin-adres	De server die de proxy geacht werd te verbergen	U, meestal
Uitgaande mail	Een echte hostnaam, een PTR-record, en headers die u niet zelf heeft geschreven	U
Wat u publiceert	Cameragegevens, documentauteurs, commit-adressen, analyticstags	U
De gewoontes die u herhaalt	Een gebruikersnaam, een adres, een login van thuis uit, een betaling met een naam erop	U

De naamlaag, en de logs die niemand kan verwijderen

Drie van de negen bevinden zich tussen een naam en een machine, en het zijn de drie die gegevens bijhouden die u niet kunt bereiken. Het zijn ook de drie waarover de meeste mensen zich vergissen, omdat alle drie meer aanvoelen als leidingwerk dan als openbaarmaking.

De registratie, en wat privacy niet dekt

Een server is een machine in een rack. Een domein is een contract, en een contract heeft een tegenpartij die door iemand is betaald. Privacydiensten vervangen uw gegevens in het openbare register door een doorstuuradres; ze verwijderen ze niet bij de registrar, die nog steeds een naam, een adres en een betaalmethode heeft, en die verantwoording aflegt aan een rechter in zijn eigen jurisdictie, niet in de uwe.

Ze doen ook niets aan het verleden. Historische registratiegegevens worden al twee decennia commercieel gearchiveerd, dus een domein dat openlijk werd geregistreerd en vier jaar later privé werd gemaakt, is een domein waarvan de eigenaar geregistreerd staat. Privacy inschakelen is alleen een verandering in de tegenwoordige tijd.

Certificaattransparantie, die per ontwerp permanent is

Elk certificaat dat een publiekelijk vertrouwde autoriteit uitgeeft, wordt vastgelegd in een append-only openbare log. Dat is opzettelijk zo, en het is een goede zaak: zo wordt een verkeerd uitgegeven certificaat voor uw domein zichtbaar in plaats van geheim te blijven. Het neveneffect is dat elke hostnaam die u ooit op een certificaat heeft gezet, voor altijd door iedereen doorzoekbaar is en niet kan worden ingetrokken.

Zo worden staging-, vpn- en old-project-subdomeinen gevonden — niet door te gokken, maar door een openbare log te lezen die gebouwd is om gelezen te worden. Een wildcardcertificaat publiceert één naam in plaats van een lijst, wat het dichtst in de buurt komt van een bestaande oplossing.

Passieve DNS, die onthoudt waar de site vroeger stond

Resolvers en scanners registreren welke naam met welk adres antwoordde en wanneer, en verkopen die geschiedenis. Een record dat u een jaar geleden heeft verwijderd, is nog steeds bewijs van de machine waarnaar het wees, en dat is waarom een site achter een proxy zetten nadat deze in het openbaar heeft gedraaid, de toekomst beschermt en niet het verleden.

Het origin-adres lekt om de proxy heen

Een CDN vóór een server verbergt de origin voor een toevallige bezoeker en voor niemand anders, omdat het adres meestal ergens gepubliceerd staat waar de proxy geen controle over heeft. Dit zijn de zes routes, in de volgorde waarin ze daadwerkelijk worden gebruikt:

DNS-records van vóór het bestaan van de proxy, die nog steeds in een passief DNS-archief staan.
Een subdomein dat niemand achter de proxy heeft gezet: mail, dev, webmail, direct, cpanel.
Het mailpad — een MX-record, een SPF-vermelding, of een Received:-header die de machine noemt die het bericht heeft verzonden.
Een certificaat dat is uitgegeven op de origin zelf en gelogd voordat de proxy werd geconfigureerd.
Alles wat de applicatie uitgaand verstuurt: een webhook, een wachtwoordherstelmail, een afbeelding die is opgehaald van een URL die een vreemde heeft aangeleverd.
Internetbrede scanners, die elk adres op elke poort indexeren en iedereen laten zoeken naar een machine waarvan het certificaat, de antwoordheaders of de favicon overeenkomen met die van u.

Die laatste is de reden waarom een proxy op zichzelf een halve maatregel is. Wat er een grens van maakt, is dat de origin elke verbinding weigert die niet afkomstig is van de gepubliceerde adresbereiken van de proxy — een firewallregel in plaats van een product, en de kortste alinea op deze pagina met het grootste effect.

Wat u publiceert, bevat meer dan u schreef

De content is het deel dat u volledig onder controle heeft, en het is waar eerste pogingen meestal mislukken, omdat de metadata daar door tools wordt geplaatst, niet door u.

Foto’s. Cameramodel, serienummer, bewerkingssoftware, en vaak de coördinaten waar de sluiter werd ingedrukt.
Documenten. Een PDF bevat een auteursveld en een producer-string; een officebestand bevat een auteur, een bedrijf en een revisiegeschiedenis.
Repositories. Elke commit is voorzien van een naam en een e-mailadres, en een openbare repository publiceert ze allemaal, voor elke commit, permanent.
Buildoutput. Source maps, dependency manifests en stack traces noemen paden, gebruikersnamen en interne hostnamen.
Het platform zelf. Een standaardinstallatie onthult zonder moeite een auteurslijst, een inlogpagina, een versiestring en een feed die u nooit heeft gevraagd te publiceren.
Analytics- en advertentietags. Dezelfde tracking-ID op twee sites is het goedkoopst mogelijke bewijs dat één persoon achter beide zit, en publieke tools voeren die opzoeking op schaal uit.

De gewoontes die al het andere ongedaan maken

Elke maatregel hierboven kan teniet worden gedaan doordat dezelfde persoon iets gewoons doet, en de lijst verandert niet: een adres hergebruikt uit een ander leven, een gebruikersnaam die doorzoekbaar is, een wachtwoord dat in een datalek is verschenen, een administratieve login vanaf een thuisverbinding, en geld dat te herleiden is naar een account dat met een paspoort is geopend.

Dat laatste is de reden waarom hoe u betaalt minstens zo belangrijk is als of het aanmeldformulier om een naam vroeg. Een host die geen identiteitsgegevens bijhoudt, maar betaald wordt vanaf een exchange-account op uw naam, heeft de keten sowieso tot stand gebracht — die bevindt zich alleen in andermans database.

En de oudste, die geen enkele host kan beprijzen en geen enkele configuratie kan beschermen: het aan iemand vertellen. Anonimiteit die ervan afhangt dat een ander het geheimhoudt, is eerder een schema dan een eigenschap.

Wat een host kan doen, en waar die ophoudt

Exact zijn over de reikwijdte is meer waard dan een claim. Wat er aan deze kant gebeurt, is een kwestie van vastlegging, niet van intentie:

Er wordt geen identiteitsdocument verzameld bij aanmelding of op enig moment daarna, op geen enkel bestedingsniveau. De volledige inventaris van wat wordt bewaard, staat in het privacy- en logbeleid.
Afwikkeling gebeurt uitsluitend on-chain, dus er zit geen kaartverwerker achter het account die een eigen dossier over u bijhoudt.
Toegangslogs worden vernietigd door een 24-uurstimer, en er is geen netflow, geen IP-geschiedenis en geen apparaat-fingerprint die daarna nog een adres aan een account kan koppelen.
Wat een geldig bevel daadwerkelijk oplevert, staat vooraf vastgelegd in de handleiding voor wetshandhaving, en het aantal dat is binnengekomen, staat in het transparantierapport.

En het deel dat niet aan ons is om te geven: geen enkele host kan een registrar u laten vergeten, een naam uit een transparantielog verwijderen, een DNS-record uit 2021 laten verdwijnen, het auteursveld uit een document dat u heeft geüpload verwijderen, of u tegenhouden om vanuit huis in te loggen. Acht van de negen schakels vallen buiten het contract, en dat is de reden waarom dit een gids is en geen verkooppagina.

Een audit van tien minuten, in de volgorde waarin u hem uitvoert

Niets hieronder vereist een tool die u moet kopen, en elke stap vertelt u iets wat de vorige nog niet deed.

Zoek het domein op in een historisch registratiearchief, niet alleen in het actuele record — en zoek elk ander domein op dat met hetzelfde adres is geregistreerd.
Doorzoek een transparantielog voor certificaten op uw domein, en lees elke hostnaam die wordt teruggegeven. Bepaal voor elk daarvan of u die bewust heeft gepubliceerd.
Bevraag passieve DNS voor het domein, en maak een lijst van elk adres waar het ooit naartoe is omgezet.
Los elk subdomein op dat deze twee stappen hebben gevonden, en controleer of een daarvan antwoordt op de echte origin.
Stuur uzelf mail vanaf de site en lees de volledige headers, inclusief elke Received:-regel.
Doorzoek een internetbrede scanner op het origin-adres, en nogmaals op de vingerafdruk van uw certificaat.
Download drie bestanden die u heeft gepubliceerd — een afbeelding, een document, een archief — en lees de metadata.
Als een repository openbaar is, maak een lijst van de unieke auteursadressen in de geschiedenis ervan.
Zoek uw gebruikersnaam en uw accountadres tussen aanhalingstekens op, op een zoekmachine waar u niet op bent ingelogd.
Schrijf op wat u heeft gevonden, en verhelp dan wat nog te verhelpen valt. Transparantielogs en passieve DNS staan niet op die lijst, en dat is waarom het stap twee en drie zijn in plaats van stap negen en tien.

Drie dingen die de moeite niet waard zijn

De registratie vervalsen. Dit is de enige tegenmaatregel met een gepubliceerde straf eraan verbonden: onjuiste registratiegegevens zijn grond voor een registrar om het domein op te schorten, en dat gebeurt op basis van een klacht, niet van een gerechtelijk bevel.
Een openbare site uitsluitend via Tor aanbieden. Een onion service is het juiste antwoord wanneer het publiek voor u een browser wil installeren, en het verkeerde wanneer het publiek iedereen is, omdat het het bereik wegneemt dat de site de moeite van het beschermen waard maakte.
“Anonieme” hosting kopen die kaarten accepteert. De verwerker legt identificatie op aan de handelaar, en de handelaar geeft dat uiteindelijk door. Die redenering staat uitgewerkt in de gids over wat no-KYC daadwerkelijk betekent.

Vragen die mensen echt stellen

Kan een website volledig anoniem zijn?

Een website kan anoniem genoeg zijn dat het koppelen ervan aan een persoon meer kost dan de koppeling waard is, en dat is de enige vorm van de vraag met een antwoord. Alle negen schakels moeten tegelijk standhouden, en de acht die niet uw host zijn, zijn degene die het eerst bezwijken.

Verbergt WHOIS-privacy wie een domein bezit?

Het verbergt de details voor het openbare register, en voor niemand die een legale route naar de registrar heeft, die nog steeds een naam, een adres en een betaalmethode bijhoudt. Het doet ook niets aan het historische register, dat commercieel wordt gearchiveerd en bewaart wat er gepubliceerd was voordat privacy werd ingeschakeld.

Verbergt een CDN het echte IP-adres van mijn server?

Alleen zolang niets anders het publiceert. Oude DNS-records, een subdomein zonder proxy, het mailpad, een certificaat dat op de origin is uitgegeven en uitgaande verzoeken van de applicatie geven het allemaal prijs, en internetbrede scanners indexeren het onafhankelijk daarvan. Een proxy wordt een grens op het punt waarop de origin elke verbinding weigert die er niet vandaan komt.

Is anonieme websitehosting legaal?

Ja. Er is geen algemene verplichting voor een hostingprovider om zijn klanten te identificeren — de identiteitscontroles die gebruikelijk zijn in deze markt, komen van kaartverwerkers en niet van de wet, en hier zijn geen kaarten. Wat niet rechtmatig is, is content die de wet overtreedt waar de server staat, en geen enkele hostingregeling verandert dat.

Wat is de meest voorkomende vergissing?

Betalen met geld waar een naam aan vastzit. Het account kan helemaal geen document bevatten, en de link bestaat nog steeds, één stap verderop, in de klantgegevens van een exchange. Welk asset dat vermijdt, staat beschreven in de gids over betalen voor een server in crypto.

Als mijn host nooit om mijn naam heeft gevraagd, kan die mij dan nog steeds identificeren?

Die kan alleen overleggen wat hij bewaart, en dat is hier een e-mailadres dat u zelf koos, een wachtwoordhash en een grootboek van bedragen — met toegangslogs die na 24 uur worden vernietigd en geen netflow op enige resolutie. Dat is de volledige lijst, en die staat gepubliceerd als onderdeel van het privacy- en logbeleid, in plaats van hier te worden beweerd.

Elke prijs binnen deze infrastructuur wordt volledig gepubliceerd, op één plek. Bekijk de volledige catalogus