Hospedagem de site anônimaO host é um elo. Os outros oito são seus para fechar.

Anonimato é uma propriedade da cadeia, não do fornecedor

Quem quer saber quem administra o seu site não começa intimando o seu host. Começa com um navegador, porque oito dos nove elos da cadeia publicam alguma coisa, e a maioria dos sites é derrubada por um desses, bem antes de um advogado entrar em cena.

Isto é escrito pelo único elo que consegue falar sobre si mesmo com evidências: o que é coletado aqui é publicado como um inventário, e não descrito como um valor. Os outros oito não são nossos — quatro pertencem a outras empresas e quatro pertencem a você — e é exatamente por isso que valem a pena ler sobre eles.

Os nove elos, e quem mantém cada um

Cada linha abaixo é um lugar onde um nome, um endereço ou um pagamento pode vir a parar. A terceira coluna é a que importa: em oito dos nove, a resposta não é o seu host.

A camada de nomeação, e os logs que ninguém consegue apagar

Três dos nove ficam entre um nome e uma máquina, e são os três que guardam registros que você não consegue alcançar. São também os três que a maioria das pessoas erra, porque todos os três parecem encanamento, não divulgação.

O registro, e o que a privacidade não cobre

Um servidor é uma máquina em um rack. Um domínio é um contrato, e todo contrato tem uma contraparte que foi paga por alguém. Serviços de privacidade substituem seus dados no registro público por um endereço de encaminhamento; eles não os removem do registrador, que continua guardando um nome, um endereço e um método de pagamento, e que responde a um tribunal em sua própria jurisdição, não na sua.

Eles também não fazem nada quanto ao passado. Dados históricos de registro são arquivados comercialmente há duas décadas, então um domínio registrado às claras e tornado privado quatro anos depois é um domínio cujo dono está registrado. Ativar a privacidade é uma mudança que vale só para o tempo presente.

Transparência de certificados, que é permanente por design

Todo certificado emitido por uma autoridade publicamente confiável é gravado em um log público append-only. Isso é proposital, e é uma coisa boa: é assim que um certificado emitido incorretamente para o seu domínio se torna visível, em vez de permanecer em segredo. O efeito colateral é que todo hostname que você já colocou em um certificado é pesquisável por qualquer pessoa, para sempre, e não pode ser retirado.

É assim que subdomínios como staging, vpn e old-project são encontrados — não por adivinhação, mas lendo um log público construído para ser lido. Um certificado wildcard publica um único nome no lugar de uma lista, que é a coisa mais próxima de um remédio que existe.

DNS passivo, que lembra onde o site costumava morar

Resolvedores e scanners registram qual nome respondeu com qual endereço e quando, e vendem esse histórico. Um registro que você apagou há um ano continua sendo evidência da máquina para a qual ele apontava, e é por isso que colocar um site atrás de um proxy depois que ele já esteve no ar às claras protege o futuro, não o passado.

O endereço de origem vaza por fora do proxy

Um CDN na frente de um servidor esconde a origem de um visitante casual, e de mais ninguém, porque o endereço costuma estar publicado em algum lugar que o proxy não controla. Estas são as seis rotas, na ordem em que costumam ser usadas de fato:

1. Registros de DNS de antes do proxy existir, ainda parados em um arquivo de DNS passivo.
2. Um subdomínio que ninguém colocou atrás do proxy: mail, dev, webmail, direct, cpanel.
3. O caminho do mail — um registro MX, uma entrada SPF, ou um cabeçalho Received: nomeando a máquina que enviou a mensagem.
4. Um certificado emitido na própria origem e registrado no log antes de o proxy ser configurado.
5. Qualquer coisa que a aplicação envie para fora: um webhook, um mail de redefinição de senha, uma imagem buscada a partir de uma URL fornecida por um desconhecido.
6. Scanners de toda a internet, que indexam cada endereço em cada porta e permitem que qualquer pessoa procure uma máquina cujo certificado, cabeçalhos de resposta ou favicon combinem com os seus.

O último é o motivo pelo qual um proxy sozinho é uma meia-medida. O que o transforma em uma fronteira é a origem recusar toda conexão que não venha das faixas publicadas do proxy — uma regra de firewall, não um produto, e o parágrafo mais curto desta página com o maior efeito.

O que você publica carrega mais do que você escreveu

O conteúdo é a parte que você controla completamente, e é onde as primeiras tentativas costumam falhar, porque os metadados são colocados ali por ferramentas, não por você.

• Fotografias. Modelo da câmera, número de série, software de edição, e muitas vezes as coordenadas de onde o obturador foi acionado.
• Documentos. Um PDF carrega um campo de autor e uma string de produtor; um arquivo de escritório carrega um autor, uma empresa e um histórico de revisões.
• Repositórios. Todo commit é carimbado com um nome e um endereço de e-mail, e um repositório público publica todos eles, a cada commit, permanentemente.
• Saída de build. Source maps, manifestos de dependências e stack traces citam caminhos, nomes de usuário e hostnames internos.
• A própria plataforma. Uma instalação padrão expõe de bom grado uma lista de autores, uma página de login, uma string de versão e um feed que você nunca pediu para ela publicar.
• Tags de analytics e publicidade. O mesmo identificador de medição em dois sites é a prova mais barata possível de que uma mesma pessoa administra ambos, e ferramentas públicas fazem essa busca em escala.

Os hábitos que desfazem tudo o mais

Todo controle acima pode ser derrubado pela mesma pessoa fazendo algo comum, e a lista não muda: um endereço reaproveitado de outra vida, um nome de usuário que é pesquisável, uma senha que já apareceu em um vazamento, um login administrativo feito de uma conexão doméstica, e dinheiro que remonta a uma conta aberta com passaporte.

Esse último é o motivo pelo qual como você paga importa tanto quanto se o formulário de cadastro pediu um nome. Um host que não guarda nenhum registro de identidade, mas foi pago a partir de uma conta de exchange em seu nome, produziu a cadeia mesmo assim — ela simplesmente vive no banco de dados de outra pessoa.

E o mais antigo de todos, que nenhum host consegue precificar e nenhuma configuração consegue proteger: contar para alguém. Anonimato que depende de outra pessoa guardar segredo é uma questão de tempo, não uma propriedade.

O que um host pode fazer, e onde ele para

Ser exato quanto ao escopo vale mais do que uma alegação. O que acontece deste lado é uma questão de registro, não de intenção:

• Nenhum documento de identidade é coletado no cadastro ou em qualquer momento depois, em qualquer nível de gasto. O inventário completo do que é mantido está na política de privacidade e registro.
• A liquidação é somente on-chain, então nenhum processador de cartão fica por trás da conta guardando o próprio registro sobre você.
• Os logs de acesso são destruídos por um temporizador de 24 horas, e depois disso não há netflow, não há histórico de IP nem impressão digital de dispositivo que possa associar um endereço a uma conta.
• O que uma ordem válida de fato produz está registrado por escrito, com antecedência, no guia para autoridades, e a contagem do que já chegou está no relatório de transparência.

E a parte que não é nossa para dar: nenhum host consegue fazer um registrador esquecer você, remover um nome de um log de transparência, despublicar um registro de DNS de 2021, tirar o campo de autor de um documento que você enviou, ou impedir que você faça login de casa. Oito dos nove elos ficam fora do contrato, e é por isso que isto é um guia, não uma página de vendas.

Uma auditoria de dez minutos, na ordem em que executá-la

Nada abaixo exige uma ferramenta que você precise comprar, e cada etapa revela algo que a anterior não revelou.

1. Consulte o domínio em um arquivo histórico de registros, não apenas no registro atual — e consulte todo outro domínio registrado com o mesmo endereço.
2. Pesquise seu domínio em um log de transparência de certificados e leia cada hostname que ele retornar. Decida, para cada um, se você realmente pretendia publicá-lo.
3. Consulte o DNS passivo do domínio e liste todo endereço para o qual ele já resolveu ao longo de sua existência.
4. Resolva todo subdomínio encontrado nessas duas etapas, e verifique se algum deles responde na origem real.
5. Mande um mail para você mesmo a partir do site e leia os cabeçalhos completos, incluindo cada linha Received:.
6. Pesquise o endereço de origem em um scanner de toda a internet, e pesquise de novo pela impressão digital do seu certificado.
7. Baixe três arquivos que você publicou — uma imagem, um documento, um arquivo compactado — e leia seus metadados.
8. Se algum repositório for público, liste os endereços de autor distintos em seu histórico.
9. Pesquise seu nome de usuário e o endereço da sua conta como strings entre aspas, em um mecanismo de busca no qual você não esteja conectado.
10. Anote o que você encontrou, e depois corrija o que ainda pode ser corrigido. Logs de transparência e DNS passivo não estão nessa lista, e é por isso que são as etapas dois e três, não as etapas nove e dez.

Três coisas que não valem a pena fazer

• Falsificar o registro. É a única contramedida com uma penalidade publicada atrelada a ela: dados de registro incorretos são motivo para um registrador suspender o domínio, e isso age mediante uma reclamação, não uma ordem judicial.
• Servir um site público só por Tor. Um serviço onion é a resposta certa quando o público está disposto a instalar um navegador só para chegar até você, e a errada quando o público é todo mundo, porque isso remove o alcance que tornava o site algo que valia a pena proteger.
• Comprar hospedagem “anônima” que aceita cartão. O processador impõe identificação ao comerciante, e o comerciante acaba repassando-a adiante. Esse raciocínio está detalhado no guia sobre o que o no-KYC de fato significa.

Perguntas que as pessoas realmente fazem

Todos os preços desta estrutura são publicados por completo, em um só lugar. Veja o catálogo completo