Cos'è l'hosting offshore?

L'hosting offshore non riguarda il nascondersi dalla legge. Riguarda la scelta di quale legge si applica al tuo server — e quella scelta è più pratica che ideologica.

Una definizione operativa

L'hosting offshore significa affittare infrastruttura in un paese diverso dal tuo — più precisamente, diverso dal paese il cui sistema legale ti preoccupa. La parola è presa in prestito dalla finanza e inganna le persone. Non esiste un'isola senza leggi. Ogni datacenter sulla terra è sotto qualche giurisdizione. Quello che scegli è quale giurisdizione, e cosa faranno o non faranno i tribunali di quella giurisdizione con una richiesta straniera.

Tre cose definiscono un host offshore nella pratica: dove sono fisicamente i server, dove ha sede legale l'azienda, e cosa fa realmente l'azienda quando arriva una notifica straniera. Le prime due sono geografia. La terza è politica — ed è lì che la maggior parte del marketing "offshore" crolla. Un provider può affittare rack in otto paesi esotici e comunque sospendere il tuo servizio per una lettera modello di un bot del copyright, perché sospendere costa meno che leggere.

La giurisdizione non è la posizione

Un server ad Amsterdam noleggiato da un'azienda statunitense è, a tutti gli effetti pratici, un server statunitense. Se il provider è americano, i tribunali americani possono costringere il provider — il codice postale dell'hardware non salverà i tuoi dati. Vale anche il contrario: un provider non statunitense con server in più paesi risponde alle giurisdizioni in cui si trovano quei server, non al tuo paese d'origine, e non a chi ha inviato l'email di reclamo.

Ecco perché i nostri Termini di servizio indicano la legge applicabile per ogni servizio: un VPS a Chișinău risponde ai tribunali moldavi, un VPS a Reykjavik a quelli islandesi. Questo è tutto il trucco. Non ce n'è uno più profondo — e qualsiasi provider che non sa dirti quali tribunali governano il tuo servizio non sa cosa ti sta vendendo.

Le alleanze di sorveglianza

Vedrai "fuori dai 14 occhi" in ogni pagina di vendita offshore. Ecco cosa sono realmente le alleanze — accordi di condivisione dell'intelligence, non backdoor magiche:

L'adesione non significa che agenti stranieri possano ispezionare il tuo VPS. Significa che una richiesta che altrove richiederebbe diciotto mesi di pratiche di mutua assistenza legale si muove rapidamente tra alleati. Se il tuo modello di minaccia include attori statali occidentali, ospita al di fuori dei Quattordici. Delle nostre quindici sedi, solo Amsterdam si trova all'interno di un'alleanza (Nine Eyes) — le altre quattordici no. Lo diciamo chiaramente nella pagina dei Paesi Bassi, perché conta per alcuni carichi di lavoro e per niente per altri.

Motivi legittimi per ospitare offshore

I casi d'uso che vediamo ogni settimana, tutti legali nelle giurisdizioni che li ospitano:

• Media indipendenti e pubblicazioni investigative. Le notifiche DMCA e le minacce di rimozione civile sono usate di routine come censura a basso costo. L'hosting offshore alza il prezzo di quella censura da un'email a un caso giudiziario.
• Archivi di whistleblowing e repository di documenti. Materiale legale da pubblicare ma costoso da difendere.
• Infrastruttura per la privacy. Endpoint VPN, relay Tor, reti mix. La nostra AUP consente esplicitamente i relay Tor ovunque e i nodi di uscita in Islanda e Svizzera.
• Nodi e servizi di criptovaluta. Nodi completi, explorer, infrastruttura Lightning — non eccezionali nella maggior parte delle nostre sedi, impossibili presso alcuni host mainstream.
• Comunità con discorsi legali ma controversi. Forum segnalati non per violare leggi ma per infastidire qualcuno con un avvocato.
• Aziende ordinarie che vogliono distanza. Alcune aziende semplicemente non vogliono che i dati dei clienti siano a un citazione straniera di distanza da un attore di cui non hanno mai sentito parlare.

La privacy non è illegalità. Spam, botnet, CSAM, attacchi di rete e port scanning sono vietati in ogni sede in cui operiamo, punto. L'AUP è una pagina e la applichiamo noi stessi.

Cosa l'hosting offshore non ti protegge

Questa è la sezione che la maggior parte dei provider salta. Noi non lo faremo:

• Un'ordinanza giudiziaria valida nella giurisdizione di hosting. Se un tribunale moldavo ordina un'azione su un servizio ospitato in Moldova, noi ci conformiamo. Questo è l'accordo che rende reale la giurisdizione. Qualsiasi host che affermi di ignorare i propri tribunali o mente o non esisterà l'anno prossimo.
• La tua sicurezza operativa. Paga con carta, registrati con la tua email reale, amministra il server dalla tua connessione di casa — e l'hosting offshore è solo decorazione. Ecco perché non raccogliamo dati personali alla registrazione e accettiamo solo criptovalute.
• Le leggi del tuo paese. L'hosting offshore protegge il server. Non ti immunizza. Il tuo governo potrebbe non essere in grado di citarci utilmente; può assolutamente citare te.
• Provider che registrano log. Se il tuo host tiene log di attività, c'è qualcosa da sequestrare o citare qualunque bandiera sventoli sul datacenter. Noi non ne teniamo — la politica sulla privacy elenca i due record che conserviamo, ed entrambi sono artefatti crittografici.
• Contenuti illegali nella giurisdizione di hosting stessa. "Offshore" è una scelta di legge, non un'assenza di essa.

Come valutare un provider offshore

La checklist che useremmo se stessimo facendo acquisti noi stessi:

• Giurisdizione pubblicata per sede — con una clausola di legge applicabile nei ToS, non solo emoji di bandiere su una mappa.
• Nessun KYC alla registrazione. Se hanno verificato la tua identità, quella identità è a un'ordinanza giudiziaria dalla divulgazione.
• Rails di pagamento in criptovaluta. Le carte e PayPal sono binari di identità con un pagamento allegato.
• Una politica di log scritta e un canary. Il nostro si aggiorna mensilmente, firmato PGP, intatto da aprile 2021 (canary).
• Una politica di abuso che nomina il grilletto. "Agiamo su un ordine del tribunale valido dalla giurisdizione di hosting" è una politica. "Ci riserviamo il diritto di sospendere per qualsiasi motivo" è un lancio di moneta.
• Infrastruttura reale. IP di test looking-glass, ASN proprio, hardware reale. I rivenditori non possono proteggerti — il fornitore a monte riceve la notifica e stacca la spina senza chiedere loro.
• Anni di operatività. Gli host offshore crollano rapidamente sotto pressione reale. Operiamo da marzo 2021 — cinque anni, zero identità di clienti in archivio, zero dati consegnati.

Se un provider supera tutti e sette, la bandiera sulla homepage è la cosa meno interessante di lui. Se ne fallisce due o più, nessuna posizione del datacenter può compensare.