O que é hospedagem offshore?

Hospedagem offshore não é sobre se esconder da lei. É sobre escolher qual lei se aplica ao seu servidor — e essa escolha é mais prática do que ideológica.

Uma definição prática

Hospedagem offshore significa alugar infraestrutura em um país diferente do seu — mais precisamente, diferente do país cujo sistema legal você teme. A palavra é emprestada das finanças e engana as pessoas. Não existe ilha sem leis. Todo datacenter na terra está sob alguma jurisdição. O que você escolhe é qual jurisdição, e o que os tribunais dessa jurisdição farão ou não farão com uma solicitação estrangeira.

Três coisas definem um host offshore na prática: onde os servidores estão fisicamente, onde a empresa tem base legal, e o que a empresa realmente faz quando uma notificação estrangeira chega. As duas primeiras são geografia. A terceira é política — e é na política que a maioria do marketing "offshore" desmorona. Um provedor pode alugar racks em oito países exóticos e ainda suspender seu serviço por causa de uma carta padrão de um bot de direitos autorais, porque suspender é mais barato do que ler.

Jurisdição não é localização

Um servidor em Amesterdão alugado a uma empresa norte-americana é, para todos os efeitos práticos, um servidor norte-americano. Se o fornecedor é americano, os tribunais americanos podem compeli-lo — o código postal do hardware não salvará os seus dados. O inverso também é verdade: um fornecedor não americano com servidores em vários países responde às jurisdições onde esses servidores estão, não ao seu país de origem nem a quem enviou o e-mail de reclamação.

É por isso que nossos Termos de serviço nomeiam a lei aplicável por serviço: um VPS em Chisinau responde a tribunais moldavos, um VPS em Reykjavik a tribunais islandeses. Esse é todo o truque. Não há um mais profundo — e qualquer provedor que não possa dizer quais tribunais regem seu serviço não sabe o que está vendendo.

As alianças de vigilância

Você verá "fora dos 14 Olhos" em toda página de vendas offshore. Aqui está o que as alianças realmente são — pactos de compartilhamento de inteligência, não backdoors mágicos:

Ser membro não significa que agentes estrangeiros acessem seu VPS. Significa que uma solicitação que levaria dezoito meses de burocracia de assistência jurídica mútua em outro lugar se move rapidamente entre aliados. Se seu modelo de ameaça inclui atores estatais ocidentais, hospede fora dos Catorze. Das nossas quinze localizações, apenas Amsterdã está dentro de uma aliança (Nine Eyes) — as outras catorze não estão. Dizemos isso claramente na página dos Países Baixos, porque isso importa para algumas cargas de trabalho e não importa para outras.

Razões legítimas para hospedar offshore

Os casos de uso que vemos toda semana, todos legais nas jurisdições que os hospedam:

• Mídia independente e publicação investigativa. Avisos de DMCA e ameaças civis de remoção são rotineiramente usados como censura barata. Hospedagem offshore eleva o preço dessa censura de um e-mail para um caso judicial.
• Arquivos de denúncias e repositórios de documentos. Material que é legal publicar, mas caro de defender.
• Infraestrutura de privacidade. Endpoints de VPN, relays Tor, redes de mixagem. Nossa AUP permite explicitamente relays Tor em todos os lugares e nós de saída na Islândia e na Suíça.
• Nós e serviços de criptomoedas. Nós completos, exploradores, infraestrutura Lightning — comuns na maioria das nossas localizações, impossíveis em alguns hosts mainstream.
• Comunidades com discurso legal, mas controverso. Fóruns que são denunciados não por violar leis, mas por incomodar alguém com um advogado.
• Empresas comuns que querem distância. Algumas empresas simplesmente não querem que seus dados de clientes estejam a um subpoena estrangeiro de distância de um autor que nunca ouviram falar.

Privacidade não é ilegalidade. Spam, botnets, CSAM, ataques de rede e varredura de portas são proibidos em todas as localizações onde operamos, ponto final. A AUP tem uma página e nós a aplicamos nós mesmos.

O que hospedagem offshore não protege você de

Esta é a seção que a maioria dos provedores pula. Nós não vamos:

• Uma ordem judicial válida na jurisdição de hospedagem. Se um tribunal moldavo ordenar ação sobre um serviço hospedado na Moldávia, nós cumprimos. Esse é o acordo que torna a jurisdição real. Qualquer host que afirme que ignoraria seus próprios tribunais está mentindo ou não existirá no próximo ano.
• Sua própria segurança operacional. Pague com cartão, cadastre-se com seu e-mail real, administre a máquina da sua conexão doméstica — e a hospedagem offshore é decoração. É por isso que não coletamos dados pessoais no cadastro e aceitamos apenas cripto.
• As leis onde você mora. Hospedagem offshore protege o servidor. Não imuniza você. Seu governo pode não conseguir nos intimar utilmente; ele pode absolutamente intimar você.
• Provedores que registram logs. Se seu host mantém logs de atividade, há algo para apreender ou intimar, não importa qual bandeira hasteie no datacenter. Nós não mantemos nenhum — a política de privacidade lista os dois registros que guardamos, e ambos são artefatos criptográficos.
• Conteúdo ilegal na própria jurisdição de hospedagem. "Offshore" é uma escolha de lei, não uma ausência dela.

Como avaliar um provedor offshore

A lista de verificação que usaríamos se estivéssemos comprando nós mesmos:

• Jurisdição publicada por localização — com uma cláusula de lei aplicável no ToS, não apenas emojis de bandeira em um mapa.
• Sem KYC no cadastro. Se eles verificaram sua identidade, essa identidade está a uma ordem judicial de divulgação.
• Trilhos de pagamento cripto. Cartões e PayPal são trilhas de identidade com um pagamento anexado.
• Uma política de registro por escrito e um canário. O nosso é atualizado mensalmente, assinado via PGP, intacto desde abril de 2021 (canário).
• Uma política de abuso que nomeia o gatilho. "Agimos com base em ordem judicial válida da jurisdição de hospedagem" é uma política. "Reservamo-nos o direito de suspender por qualquer motivo" é um cara ou coroa.
• Infraestrutura real. IPs de teste looking-glass, ASN próprio, hardware real. Revendedores não podem proteger você — o upstream recebe o aviso e corta a conexão sem consultá-los.
• Anos de operação. Hospedagens offshore quebram rápido sob pressão real. Operamos desde março de 2021 — cinco anos, zero identidades de clientes em arquivo, zero dados entregues.

Se um provedor passa em todos os sete, a bandeira na página inicial é a coisa menos interessante sobre ele. Se falha em dois ou mais, nenhuma localização de datacenter vai compensar.