匿名网站主机主机只是其中一环，其余八环要靠你自己堵上。

匿名性是整条链的属性，而不是某个供应商的属性

想知道你的网站由谁运营的人，不会从传唤你的主机商开始。他们会从一个浏览器开始，因为这条链上九个环节中有八个都会公开一些信息，而大多数网站，早在律师介入之前，就已经栽在了其中一个环节上。

写这篇文章的，是唯一能够拿出证据谈论自身的那一环：这里收集了什么，以清单的形式公开，而不是用一个笼统的说法来形容。其余八环都不属于我们—四个属于其他公司，四个属于你—而这正是它们最值得一读的原因。

九个环节，以及各自掌握在谁手中

下表中的每一行，都是一个姓名、地址或支付信息可能会留下痕迹的地方。第三列才是关键：九个环节中有八个，答案都不是你的主机。

命名层，以及没有人能够删除的日志

九个环节中有三个，位于名称与机器之间，它们保存着你无法触及的记录。这也是大多数人最容易搞错的三个环节，因为这三者给人的感觉更像是管道设施，而不像是信息披露。

注册信息，以及隐私保护未能覆盖的部分

服务器是机柜里的一台机器。域名则是一份合同，而合同有一个收了某人钱的相对方。隐私保护服务会把公开记录中你的信息替换为一个转发地址；但它们不会把这些信息从注册商那里移除——注册商仍然持有一个姓名、一个地址和一种付款方式，并且是向自己所在司法辖区的法院负责，而不是向你所在的法院负责。

它们对过去也无能为力。历史注册数据已经被商业机构存档了二十年，因此一个当初公开注册、四年后才转为隐私保护的域名，其所有者早已在案可查。开启隐私保护，改变的只是现在时态。

证书透明度：设计上就是永久性的

任何一家受公众信任的机构签发的每一张证书，都会被写入一份仅可追加的公开日志。这是故意如此设计的，而且是件好事：正因如此，一张为你的域名误签发的证书才会被人看见，而不是被悄悄隐藏。其副作用是，你曾经写入证书的每一个主机名，都能被任何人永久搜索到，而且无法撤回。

staging、vpn 和 old-project 这类子域名，就是这样被找到的—不是靠猜测，而是靠读取一份本就是为了被阅读而建立的公开日志。通配符证书用一个名称取代了一整份清单，这是现有最接近解决办法的手段。

被动 DNS：记得这个网站曾经在哪里

解析服务器和扫描器会记录哪个名称在何时用哪个地址作答，并把这份历史记录出售。一条你一年前删除的记录，依然是它当时所指向那台机器的证据，这也是为什么把一个已经公开运行过的网站移到代理后面，保护的是未来，而不是过去。

源站地址会绕过代理泄露出去

服务器前面架一个 CDN，能对普通访客隐藏源站，但也仅此而已，因为这个地址通常会在代理无法控制的某个地方被公开。以下是六条实际会被用到的途径，按照实际使用的先后顺序排列：

1. 代理出现之前留下的 DNS 记录，如今仍然躺在某个被动 DNS 档案里。
2. 一个没有人套上代理的子域名：mail、dev、webmail、direct、cpanel。
3. 邮件路径—一条 MX 记录、一条 SPF 记录，或是一行写明发信机器的 Received: 邮件头。
4. 一张直接为源站签发、并在代理配置之前就已被记录在案的证书。
5. 应用程序主动发出的任何外联请求：一个 webhook、一封密码重置邮件、一张从陌生人提供的 URL 抓取来的图片。
6. 覆盖全网的扫描器，它们会对每个地址的每个端口建立索引，让任何人都能搜索到证书、响应头或 favicon 与你相符的那台机器。

最后这一条，正是为什么代理单独存在只是一种半吊子措施。真正能让它变成一道边界的，是源站拒绝所有不是来自代理已公开地址段的连接—这是一条防火墙规则，而不是一款产品，也是本页篇幅最短、效果却最大的一段。

你发布的内容，携带的比你写下的更多

内容是你完全能够掌控的部分，但也是初次尝试最常失手的地方，因为元数据是工具写进去的，不是你自己写的。

• 照片。相机型号、序列号、编辑软件，往往还有快门按下时的坐标。
• 文档。PDF 文件带有作者字段和生成程序字符串；办公文件则带有作者、公司和修订历史。
• 代码仓库。每一次 commit 都盖上了姓名和邮箱地址的印记，而一个公开仓库会把这些信息全部公开，每一次 commit 都是，而且是永久性的。
• 构建产物。Source map、依赖清单和堆栈跟踪信息中，写着路径、用户名和内部主机名。
• 平台本身。默认安装会毫不犹豫地暴露作者列表、登录页面、版本字符串，以及一个你从未要求它发布的订阅源。
• 统计与广告代码。两个网站上出现相同的测量标识符，是证明二者由同一个人运营的最廉价证据，而公开工具能够大规模完成这种查找。

会毁掉其他一切的习惯

以上所有防护措施，都可能被同一个人的某个平常举动破坏，而这份清单从不改变：一个从另一段生活中重复使用的地址、一个可被搜索到的用户名、一个曾出现在数据泄露事件中的密码、一次从家庭网络发起的管理员登录，以及一笔能追溯到用护照开立账户的资金。

最后这一点，正是为什么你如何付款，其重要性至少不亚于注册表单是否问过你的姓名。一个不保存身份记录的主机商，如果收到的是从一个以你本人名义开立的交易所账户付出的款项，这条身份链条照样已经形成—只是存放在别人的数据库里而已。

还有最古老的那一个，任何主机商都无法为它定价，任何配置都无法保护它：告诉别人。依赖另一个人替你保守的匿名性，与其说是一种属性，不如说是一张时间表。

主机商能做到什么，又止步于何处

把范围说清楚，比任何承诺都更有价值。在这一侧发生的事情，是有据可查的事实，而不是一种意图表态：

• 注册时不收集任何身份证件，之后任何阶段、任何消费额度都不收集。我们所持有信息的完整清单，载于隐私与日志政策。
• 结算方式仅限链上，因此账户背后不存在会为你保留自身记录的银行卡收单机构。
• 访问日志按 24 小时定时销毁，此后不存在 netflow、IP 历史记录，也没有设备指纹能把某个地址与某个账户关联起来。
• 一份有效命令实际能够获得什么，已预先写明在执法机构指南中，而收到过多少此类命令的统计，载于透明度报告。

而不属于我们能给予的部分是：没有任何主机商能让注册商忘记你、能把一个名称从透明度日志中移除、能撤下 2021 年的一条 DNS 记录、能从你上传的文档中去掉作者字段，或者能阻止你从家里登录。九个环节中有八个，都在合同范围之外，这正是本文是一篇指南、而不是一张推销页的原因。

一份十分钟的自查清单，按执行顺序排列

下面的每一步都不需要你购买任何工具，而且每一步都会告诉你一些前一步没有告诉你的信息。

1. 在历史注册档案中查询这个域名，而不只是查当前记录—再查一遍所有用相同地址注册过的其他域名。
2. 在证书透明度日志中搜索你的域名，读取它返回的每一个主机名。逐一判断：这个名称，是不是你本来就打算公开的。
3. 查询该域名的被动 DNS 记录，列出它这辈子解析到过的每一个地址。
4. 解析前两步找到的每一个子域名，检查其中是否有任何一个，会在真实源站上给出响应。
5. 从该网站给自己发一封邮件，阅读完整的邮件头，包括每一行 Received:。
6. 在一个覆盖全网的扫描器中搜索源站地址，再搜索一次你证书的指纹。
7. 下载三份你发布过的文件—一张图片、一份文档、一个压缩包—读取它们的元数据。
8. 如果有任何仓库是公开的，列出其历史记录中出现过的所有不重复作者邮箱地址。
9. 在一个你没有登录的搜索引擎上，把你的用户名和账户地址分别作为带引号的完整字符串搜索。
10. 把你找到的东西记下来，然后修复还能修复的部分。透明度日志和被动 DNS 不在这份能修复的清单上，这也是为什么它们被排在第二步和第三步，而不是第九步和第十步。

三件不值得做的事

• 伪造注册信息。这是唯一一种明文规定了处罚后果的对策：注册信息不准确，本身就是注册商暂停域名的理由，而且仅凭投诉即可启动，不需要法院命令。
• 只通过 Tor 提供一个面向公众的网站。当受众愿意为你安装一个浏览器时，onion 服务是正确答案；当受众是所有人时，它就是错误答案，因为这样会去掉让这个网站原本值得保护的那部分触达范围。
• 购买标榜“匿名”却接受银行卡的主机服务。收单机构会向商户强加身份识别要求，商户最终会把这个要求转嫁下去。这一逻辑在无 KYC 究竟意味着什么这篇指南中有详细说明。

人们实际提出的问题

本机房的每一项价格都在同一处完整公开。 查看完整目录