Qu'est-ce que l'hébergement offshore ?

L'hébergement offshore ne consiste pas à se cacher de la loi. Il s'agit de choisir quelle loi s'applique à votre serveur — et ce choix est plus pratique qu'idéologique.

Une définition opérationnelle

L'hébergement offshore signifie louer une infrastructure dans un pays autre que le vôtre — plus précisément, autre que le pays dont le système juridique vous préoccupe. Le terme est emprunté à la finance et induit les gens en erreur. Il n'existe pas d'île sans lois. Chaque datacenter sur terre relève d'une juridiction. Ce que vous choisissez, c'est quelle juridiction, et ce que les tribunaux de cette juridiction feront ou ne feront pas d'une demande étrangère.

Trois éléments définissent concrètement un hébergeur offshore : l'emplacement physique des serveurs, la base légale de l'entreprise, et ce que l'entreprise fait réellement lorsqu'une notification étrangère arrive. Les deux premiers relèvent de la géographie. Le troisième est une politique — et c'est là que la plupart des arguments marketing « offshore » s'effondrent. Un fournisseur peut louer des racks dans huit pays exotiques et suspendre quand même votre service à cause d'une lettre type d'un bot de droits d'auteur, car la suspension coûte moins cher que la lecture.

La juridiction n'est pas l'emplacement

Un serveur à Amsterdam loué auprès d'une entreprise américaine est, dans la pratique, un serveur américain. Si le fournisseur est américain, les tribunaux américains peuvent le contraindre — le code postal du matériel ne sauvera pas vos données. L'inverse est vrai aussi : un fournisseur non américain dont les serveurs sont répartis dans plusieurs pays répond aux juridictions où se trouvent ces serveurs, pas à votre pays de résidence, ni à l'expéditeur de l'e-mail de plainte.

C'est pourquoi nos Conditions d'utilisation désignent la loi applicable par service : un VPS à Chișinău relève des tribunaux moldaves, un VPS à Reykjavik des tribunaux islandais. C'est tout le secret. Il n'y en a pas de plus profond — et tout fournisseur qui ne peut pas vous dire quels tribunaux régissent votre service ne sait pas ce qu'il vous vend.

Les alliances de surveillance

Vous verrez « hors des 14 yeux » sur chaque page de vente offshore. Voici ce que sont réellement ces alliances — des pactes de partage de renseignement, pas des portes dérobées magiques :

L'adhésion ne signifie pas que des agents étrangers consultent votre VPS. Cela signifie qu'une demande qui prendrait dix-huit mois de procédures d'entraide judiciaire ailleurs se déplace rapidement entre alliés. Si votre modèle de menace inclut des acteurs étatiques occidentaux, hébergez hors des Quatorze. Sur nos quinze emplacements, seul Amsterdam se trouve dans une alliance (Nine Eyes) — les quatorze autres non. Nous le disons clairement sur la page Pays-Bas, car cela importe pour certaines charges de travail et pas du tout pour d'autres.

Raisons légitimes d'héberger à l'étranger

Les cas d'usage que nous voyons chaque semaine, tous légaux dans les juridictions qui les hébergent :

• Médias indépendants et journalisme d'investigation. Les avis DMCA et les menaces de retrait civil sont couramment utilisés comme censure bon marché. L'hébergement offshore élève le prix de cette censure d'un e-mail à une procédure judiciaire.
• Archives de lanceurs d'alerte et dépôts de documents. Du contenu légal à publier mais coûteux à défendre.
• Infrastructure de confidentialité. Points de terminaison VPN, relais Tor, réseaux de mixage. Notre AUP autorise explicitement les relais Tor partout et les nœuds de sortie en Islande et en Suisse.
• Nœuds et services de cryptomonnaie. Nœuds complets, explorateurs, infrastructure Lightning — banals dans la plupart de nos emplacements, impossibles chez certains hébergeurs grand public.
• Communautés avec un discours légal mais controversé. Des forums signalés non pas pour enfreindre des lois, mais pour agacer quelqu'un avec un avocat.
• Entreprises ordinaires qui veulent de la distance. Certaines entreprises ne veulent tout simplement pas que leurs données clients soient à une seule subpoena étrangère d'un plaignant dont elles n'ont jamais entendu parler.

La confidentialité n'est pas l'anarchie. Le spam, les botnets, le CSAM, les attaques réseau et le scan de ports sont interdits dans chaque emplacement où nous opérons, point final. L'AUP tient sur une page et nous l'appliquons nous-mêmes.

Ce que l'hébergement offshore ne vous protège pas

C'est la section que la plupart des fournisseurs omettent. Nous ne le ferons pas :

• Une ordonnance judiciaire valide dans la juridiction d'hébergement. Si un tribunal moldave ordonne une action sur un service hébergé en Moldavie, nous nous conformons. C'est l'accord qui rend la juridiction réelle. Tout hébergeur prétendant ignorer ses propres tribunaux ment ou n'existera plus l'année prochaine.
• Votre propre sécurité opérationnelle. Payer par carte, s'inscrire avec votre vrai e-mail, administrer la machine depuis votre connexion domestique — et l'hébergement offshore n'est que décoration. C'est pourquoi nous ne collectons aucune donnée personnelle à l'inscription et n'acceptons que la crypto.
• Les lois de votre pays de résidence. L'hébergement offshore protège le serveur. Il ne vous immunise pas. Votre gouvernement ne peut peut-être pas nous assigner utilement ; il peut tout à fait vous assigner.
• Les fournisseurs qui journalisent. Si votre hébergeur conserve des journaux d'activité, il y a quelque chose à saisir ou à assigner, quel que soit le drapeau au-dessus du datacenter. Nous n'en conservons aucun — la politique de confidentialité liste les deux enregistrements que nous détenons, et ce sont tous deux des artefacts cryptographiques.
• Contenu illégal dans la juridiction d'hébergement elle-même. « Offshore » est un choix de droit, pas une absence de droit.

Comment évaluer un fournisseur offshore

La liste de contrôle que nous utiliserions si nous faisions nos achats nous-mêmes :

• Juridiction publiée par emplacement — avec une clause de droit applicable dans les CGU, pas seulement des emojis de drapeaux sur une carte.
• Aucun KYC à l'inscription. S'ils ont vérifié votre identité, cette identité est à une ordonnance judiciaire de la divulgation.
• Rails de paiement crypto. Les cartes et PayPal sont des rails d'identité avec un paiement attaché.
• Une politique de journalisation écrite et un canari. Le nôtre est mis à jour mensuellement, signé PGP, intact depuis avril 2021 (canari).
• Une politique d'abus qui nomme le déclencheur. « Nous agissons sur une ordonnance judiciaire valide de la juridiction d'hébergement » est une politique. « Nous nous réservons le droit de suspendre pour toute raison » est un pile ou face.
• Une infrastructure réelle. IP de test looking-glass, propre ASN, matériel réel. Les revendeurs ne peuvent pas vous protéger — le fournisseur en amont reçoit l'avis et coupe le courant sans leur demander.
• Des années d'exploitation. Les hébergeurs offshore plient vite sous une pression réelle. Nous opérons depuis mars 2021 — cinq ans, zéro identité client enregistrée, zéro donnée transmise.

Si un fournisseur passe les sept critères, le drapeau sur la page d'accueil est la chose la moins intéressante à son sujet. S'il échoue à deux ou plus, aucun emplacement de datacenter ne compensera.