Come scegliere la regione per un server offshore

Ogni schermata di deploy ti pone la stessa domanda verso la fine, e quasi nessuno ci riflette davvero: dove dovrebbe trovarsi fisicamente questa macchina? La maggior parte delle persone sceglie l'opzione più vicina, o la prima della lista, e va avanti. È l'unica scelta di quella pagina che non si può disfare in seguito senza copiare un servizio in funzione su una macchina nuova — ed è anche la scelta che decide chi può obbligare il tuo provider, quali dati esistano davvero su di te, e quanta strada deve percorrere un reclamo prima che qualcuno sia costretto a rispondere. Merita più di due secondi. Quello che segue è come affrontarla onestamente, comprese le parti che il settore dell'hosting offshore tende a tralasciare.

La giurisdizione è un'impostazione di frizione, non uno scudo

La correzione più utile da fare prima di confrontare i paesi è questa: scegliere una regione non mette il tuo server fuori dalla legge. Cambia quale legge si applica, chi deve essere convinto, e quanto tempo ci vuole. Sono differenze pratiche enormi, e non sono la stessa cosa dell'immunità. Un host in una giurisdizione favorevole alla privacy non è obbligato ad agire su un'email di reclamo standardizzata inviata da un titolare di diritti straniero — questo è reale e conta. Lo stesso host risponderà comunque a un ordine valido emesso da un tribunale che ha davvero autorità su di esso.

Leggi il marketing con questo filtro attivo e la maggior parte si risolve in modo pulito. "DMCA-ignored" significa che il processo statunitense di notifica e rimozione non vincola un provider fuori dalla giurisdizione degli Stati Uniti, il che è semplicemente una descrizione di come funziona il diritto territoriale — trattiamo i meccanismi in hosting offshore e DMCA-relaxed, spiegato. "Bulletproof" significa qualcosa di completamente diverso e di solito significa guai, il tema di hosting offshore vs bulletproof hosting. Quello che stai davvero cercando, in quasi ogni caso legittimo, è frizione: abbastanza distanza legale perché reclami automatizzati e pesca a strascico speculativa non si traducano in un takedown istantaneo, senza illudersi che qualcosa sulla rete pubblica sia fuori portata.

Le cinque domande a cui una regione risponde davvero

Togli di mezzo le bandiere e il testo di marketing, e una regione sta rispondendo a cinque domande distinte. Confonderle è da dove partono la maggior parte delle decisioni sbagliate, perché un paese può ottenere un punteggio brillante su una e scarso su un'altra.

• Chi può obbligare l'operatore. Un'azienda di hosting risponde ai tribunali del paese in cui opera. Ogni altra autorità al mondo deve passare attraverso una procedura basata su un trattato, un tribunale locale, oppure una richiesta che l'operatore è libero di rifiutare. È questa la domanda a cui "offshore" si riferisce davvero.
• Quali dati esistano fin dall'inizio. L'obbligo legale può produrre solo ciò che qualcuno ha già archiviato. Una giurisdizione senza un obbligo generalizzato di conservazione dei dati permette a un provider di tenere log minimi in modo lecito, e nessun ordine può estrarre un dato che non è mai stato scritto.
• Chi altro sta a monte di te. Il tuo host si trova dietro operatori di transito, un'allocazione IP e — se ne usi uno — un registrar di domini, ciascuno nella propria giurisdizione. Chi presenta un reclamo e viene bloccato all'host spesso si limita a salire di un passaggio nella catena.
• Quanta strada percorrono i pacchetti. La fisica non si cura del tuo modello di minaccia. Ogni chilometro tra il tuo server e le persone che lo usano è latenza che paghi a ogni singola richiesta, per sempre.
• Cosa vieta la legge locale in sé. Un paese fuori dalla portata del tuo avversario può avere regole sui contenuti e sulla sorveglianza proprie, più severe di quelle che ti sei lasciato alle spalle. La distanza da un ordinamento giuridico significa vicinanza a un altro.

Una buona scelta è quella che ottiene un buon punteggio sulle domande che contano per il tuo carico di lavoro specifico, e accetta consapevolmente un punteggio scarso sulle altre. Non esiste una regione che vince su tutte e cinque, e qualsiasi provider che sostenga il contrario ti sta vendendo qualcosa.

Conservazione dei dati: la legge che decide cosa esiste da consegnare

Questo è il fattore più determinante e meno discusso. I dibattiti sulla sorveglianza si concentrano sull'accesso, ma l'accesso viene dopo l'archiviazione — un ordine obbliga a divulgare i dati che esistono, e non ne crea di nuovi. Quindi la domanda giusta da porsi su una giurisdizione non è "possono richiedere i dati" ma "il mio provider è legalmente tenuto a generare dati su di me fin dall'inizio".

• Gli obblighi generalizzati di conservazione in Europa sono molto più deboli della loro reputazione. La direttiva europea che imponeva la conservazione di massa è stata dichiarata invalida dalla Corte di giustizia dell'UE nel 2014, e da allora le leggi nazionali che hanno provato a riprodurla sono state ripetutamente giudicate incompatibili con il diritto dell'UE. Diversi Stati membri al momento non hanno alcun obbligo generale di conservazione realmente applicabile.
• La Romania è l'esempio più chiaro, ed è un motivo reale per cui Bucharest continua a comparire nell'hosting orientato alla privacy. La sua corte costituzionale ha dichiarato incostituzionale la legge nazionale sulla conservazione dei dati, poi ha bocciato anche la legge sostitutiva, sulla base del fatto che una conservazione indiscriminata è incompatibile con i diritti costituzionali alla privacy.
• Le norme sulla conservazione di solito riguardano i provider di telecomunicazioni e di accesso, non le aziende di hosting. In molti casi questa distinzione conta più del paese: un obbligo scritto per l'operatore che collega gli abbonati a internet spesso non si estende a un'azienda che ti noleggia una macchina virtuale.
• Cosa sceglie di conservare il provider è l'altra metà della questione, ed è interamente una scelta di policy, non di legge. Due host nello stesso paese possono avere risposte completamente diverse, e quello che conserva novanta giorni di tutto è peggio per te di una giurisdizione più severa con un operatore che tiene log minimi.
• I dati di pagamento sono la questione di conservazione che davvero coglie impreparate le persone. Un host con un'igiene impeccabile dei log del server, che però conserva anche il numero della tua carta e l'indirizzo di fatturazione, ha un fascicolo identificativo completo su di te, e sopravviverà al server per anni.

Le alleanze Eyes, senza il marketing

Ogni pagina di hosting offshore cita i Five, Nine e Fourteen Eyes, di solito come una semplice lista nera. La cosa di fondo è reale: un accordo di condivisione di intelligence iniziato tra Stati Uniti, Regno Unito, Canada, Australia e Nuova Zelanda, poi allargato a Danimarca, Francia, Paesi Bassi e Norvegia, e allargato di nuovo per aggiungere Germania, Belgio, Italia, Spagna e Svezia. Vale la pena conoscerlo. Ma viene anche applicato regolarmente al problema sbagliato.

Quegli accordi riguardano l'intelligence sulle comunicazioni (SIGINT) tra agenzie statali. Sono quasi irrilevanti per le minacce ordinarie che affronta un server normale — un reclamo di copyright, una segnalazione di abuso da parte di un concorrente, una citazione civile, un provider di hosting che cede sotto pressione. Trattare l'appartenenza a un'alleanza come l'unica variabile produce decisioni davvero scadenti, e i Paesi Bassi sono l'esempio classico: sono un membro dei Nine Eyes e allo stesso tempo uno dei posti migliori al mondo dove ospitare un server, con una connettività eccellente, un sistema legale maturo che pretende un vero procedimento legale invece di un'email standard, e una solida legge sulla protezione dei dati. Escludere Amsterdam sulla base di una lista di Wikipedia, ignorando la legge sulla conservazione dei dati, la policy del provider e la propria traccia di pagamento, significa ottimizzare il termine meno importante dell'equazione.

Le alleanze contano se il tuo avversario è un servizio di intelligence statale, nel qual caso la scelta dell'hosting è una piccola parte di un problema molto più grande, e non è una guida ciò di cui hai bisogno. Per tutti gli altri, la gerarchia che predice i risultati reali è: cosa sa di te il provider, cosa la legge locale obbliga il provider a conservare, quanto sia difficile per una parte straniera imporre un obbligo legale, e solo dopo quali trattati abbia firmato il governo.

Le otto regioni privacy-tier, una per una

La nostra rete gestisce 14 regioni, otto delle quali classifichiamo come privacy-tier. Questa etichetta non è una dichiarazione di immunità legale — significa che la regione unisce un contesto legale che richiede un procedimento vero e proprio, una rete che non cede alla ricezione di una notifica automatizzata, e un'infrastruttura che gestiamo noi stessi invece di rivendere. Ecco il carattere onesto di ciascuna, incluso il lato negativo.

• Amsterdam, Paesi Bassi. La regione meglio connessa della lista e la risposta corretta di default per la maggior parte del traffico europeo. Peering eccellente, un sistema legale che pretende un procedimento vero, una solida legge sulla protezione dei dati — a fronte dell'appartenenza ai Nine Eyes e di un ecosistema di titolari di diritti ben organizzato e capace di presentare reclami a norma.
• Bucharest, Romania. Una giurisprudenza costituzionale sulla privacy insolitamente solida, dopo che i suoi tribunali hanno bocciato due volte la legislazione sulla conservazione dei dati, un'infrastruttura di livello UE a un costo nettamente più basso, e una buona latenza verso tutta l'Europa orientale e centrale. Il peering è un gradino sotto Amsterdam e Frankfurt.
• Zurich, Svizzera. Fuori dall'UE, con una cultura giuridica della privacy profondamente radicata e una soglia alta per le richieste straniere, che devono passare per canali formali invece di arrivare via email. Non è un vuoto legale — le autorità svizzere collaborano con le richieste internazionali valide — ed è il posto più costoso della lista.
• Reykjavík, Islanda. Un ambiente per la libertà di espressione genuinamente distintivo, nessun legame con il nucleo dei Five Eyes, clima fresco ed energia geotermica economica. Il compromesso è la geografia: ogni pacchetto attraversa un cavo sottomarino, quindi aspettati una penalità di latenza significativa da qualsiasi luogo che non sia il Nord Atlantico.
• Helsinki, Finlandia. Politicamente stabile, fuori dai Fourteen Eyes, infrastruttura eccellente e il salto più breve verso l'internet baltico e russofono. La Finlandia ha effettivamente ampliato i propri poteri di raccolta di intelligence negli ultimi anni, quindi è una posizione solida, non assoluta.
• Luxembourg. Una piccola giurisdizione con una lunga tradizione istituzionale di riservatezza e uno dei regolatori più attenti alla privacy nell'UE, che ospita una quantità sproporzionata di infrastruttura finanziaria europea. La capacità è limitata rispetto ai grandi hub e il prezzo lo riflette.
• Kuala Lumpur, Malesia. Genuinamente fuori dall'orbita legale europea e americana, che è proprio il punto, con una buona copertura verso il Sud-Est asiatico. Da bilanciare con le leggi della Malesia su contenuti e comunicazioni, che non sono permissive, e con una latenza verso Europa e Americhe che si farà sentire.
• Moscow, Russia. Effettivamente irraggiungibile dal procedimento civile occidentale, il che per alcuni carichi di lavoro è esattamente il requisito richiesto. Ha anche una delle legislazioni nazionali più esigenti al mondo in materia di dati e sorveglianza, quindi è chiaramente lo scambio di un'esposizione legale con un'altra, diversa e maggiore, non un miglioramento generico della privacy.

Se vuoi un'opzione di default e non hai un motivo specifico per discostartene: Amsterdam per un pubblico europeo, Bucharest quando vuoi distanza dalla macchina dei titolari di diritti dell'Europa occidentale senza rinunciare all'infrastruttura UE, Zurich quando la priorità è una soglia procedurale alta, e Kuala Lumpur quando la priorità è stare completamente fuori dal sistema euro-americano. Reykjavík è una scelta deliberata che fai con il budget di latenza ben chiaro davanti a te.

Le sei regioni standard, e quando sono la risposta giusta

Le altre sei — Frankfurt, Paris, London, New York, Singapore e Tokyo — sono regioni ordinarie e ben connesse, in giurisdizioni altrettanto ordinarie. Esistono perché moltissimi carichi di lavoro non hanno alcuna dimensione avversariale e sono semplicemente serviti meglio stando vicini ai propri utenti.

• Il carico di lavoro è vincolato dalla latenza e il pubblico è regionale. Un'applicazione che serve il Giappone da Tokyo è semplicemente migliore della stessa applicazione servita dall'Islanda, e nessuna teoria sulla giurisdizione lo cambia.
• Il contenuto è del tutto ordinario. Il sito di un'azienda, uno strumento interno, un ambiente di staging o un progetto personale non attirano reclami, quindi comprare frizione contro i reclami non compra nulla.
• Ti serve il peering più profondo possibile. Frankfurt e New York si trovano sopra due dei più grandi punti di interscambio del pianeta, e per i carichi di lavoro con molto traffico in uscita questa è una differenza misurabile.
• La privacy di cui hai bisogno è a livello dell'account, non sulla mappa. Pagare da un saldo in crypto senza alcuna identità collegata ti dà lo stesso anonimato a Frankfurt come a Reykjavík — la giurisdizione riguarda la resistenza all'obbligo legale, non se il tuo nome sia sulla macchina.
• È un nodo fra tanti. I deployment multi-regione mescolano abitualmente una base privacy-tier per i dati con nodi periferici standard-tier per la copertura, il che è un'architettura sensata e non un compromesso.

Vale la pena soffermarsi su quest'ultimo punto, perché è l'errore più comune nella direzione opposta. Le persone scelgono una regione privacy-tier lontana per un carico di lavoro senza alcun modello di minaccia, pagano la latenza ogni giorno per anni, e non ottengono nulla che non avrebbero potuto ottenere pagando in Monero da un'email usa e getta a Frankfurt. La privacy a livello dell'account e la frizione a livello della giurisdizione sono acquisti indipendenti, e alla maggior parte delle persone serve solo la prima.

La latenza è un costo reale — non pagarla per niente

La distanza è l'unico fattore, in tutta questa discussione, che non è soggetto a interpretazione. La luce in fibra percorre circa duecento chilometri per millisecondo, e i percorsi reali non sono mai in linea retta, quindi una regola pratica approssimativa è circa un millisecondo di andata e ritorno ogni cento chilometri di distanza, più tutto quello che il percorso aggiunge in commutazione e deviazioni.

• All'interno di una regione — da Amsterdam a Frankfurt, da Zurich a Paris — si parla di millisecondi a una sola cifra, e la regione è di fatto gratuita dal punto di vista delle prestazioni.
• In tutta Europa, all'incirca dai dieci ai quaranta millisecondi. Bucharest e Helsinki servono perfettamente bene l'Europa occidentale; per la maggior parte delle applicazioni questo intervallo è impercettibile.
• Dall'Islanda all'Europa continentale si aggiunge un tratto di cavo sottomarino, che tipicamente si colloca nella fascia dai venti ai quaranta millisecondi, e il tratto transatlantico è sensibilmente più lungo.
• Da Europa a Sud-Est asiatico è il salto grosso, comunemente centocinquanta millisecondi o più per tratta. Su un protocollo molto "chiacchierone" questo si moltiplica in qualcosa che gli utenti descrivono come rotto.
• I carichi di lavoro interattivi sono quelli che soffrono di più. Un desktop remoto, una sessione SSH o un database che fa molti piccoli scambi di andata e ritorno amplificano direttamente la latenza, mentre il trasferimento massivo e i job batch quasi non se ne accorgono.

Scegliere una regione: una breve procedura decisionale

1. 01Scrivi chi è davvero il tuo avversarioUn bot di un titolare di diritti, un concorrente che presenta segnalazioni di abuso, una parte in causa civile, un datore di lavoro curioso, un servizio di intelligence nazionale — richiedono risposte completamente diverse. Se la risposta onesta è "nessuno in particolare", ti serve il livello standard-tier e ti sei appena risparmiato molta latenza.
2. 02Individua i tuoi utenti sulla mappaNon dove sei tu — da dove arriva il traffico. Questo fissa il budget di latenza, e per la maggior parte dei carichi di lavoro elimina più opzioni di quante ne eliminino tutte le considerazioni legali messe insieme.
3. 03Decidi se il carico di lavoro è interattivoDesktop remoti, lavoro intenso via SSH e applicazioni live vengono penalizzati dalla distanza. Nodi, relay, backup, elaborazione batch e storage vi sono quasi indifferenti, il che è ciò che li rende liberi di essere collocati lontano.
4. 04Controlla cosa vieta la legge locale, non solo cosa permetteUna giurisdizione fuori dalla portata del tuo avversario può limitare i tuoi contenuti in modi che il tuo paese d'origine non prevede. Leggi la destinazione come un luogo con regole proprie, non come un'assenza di regole.
5. 05Segui la catena sopra il tuo hostI provider di transito e, soprattutto, il tuo registrar di dominio sono giurisdizioni separate con policy separate. Chi presenta un reclamo e viene fermato da un host resiliente riesce molto spesso un passaggio più su, e un registrar che cede fa cadere il tuo nome a dominio indipendentemente da dove si trovi il disco.
6. 06Sistema il livello dell'account prima del livello della mappaRegistrati con un'email non collegata a te, paga da un saldo in crypto, e tieni la macchina fuori dal tuo nome legale. Questo è più economico, più veloce e più efficace di qualsiasi scelta di regione, ed è il passaggio che le persone saltano.
7. 07Restringi la scelta a due regioni e misurale entrambeUn candidato privacy-tier e un candidato per comodità. Distribuisci l'istanza più piccola in ciascuna, fai girare il tuo traffico contro di esse per un'ora, e lascia decidere i numeri invece della mappa.
8. 08Pianifica per l'eventualità di sbagliareMantieni la configurazione riproducibile e i backup portabili, così cambiare idea su una regione diventa un pomeriggio di lavoro invece di una crisi. È buona norma comunque, e toglie gran parte della pressione dalla decisione.

Ciò che una regione non può fare per te

Lo shopping giurisdizionale ha un limite ben definito, e sbatterci contro è il modo in cui le persone finiscono gravemente esposte pur sentendosi ben protette. Queste sono le cose che nessun paese, in nessuna lista, potrà mai risolvere.

• Non può cancellare una traccia di pagamento. Se il server è stato acquistato con una carta intestata al tuo nome legale, la macchina è a tuo nome legale in ogni giurisdizione della terra. Questo si decide in fase di registrazione, ben prima che tu tocchi il menu a tendina della regione.
• Non può applicare le patch al tuo software. Un'applicazione vulnerabile viene compromessa a Reykjavík esattamente alla stessa velocità che a New York, e un attaccante non compila moduli.
• Non può nascondere il dominio. Un registrar conserva la tua identità anche dietro la privacy del WHOIS, e ogni certificato che emetti pubblica l'hostname esatto in registri di trasparenza pubblici che chiunque può consultare.
• Non può proteggere i dati che invii altrove. Analytics, error tracking, una CDN, un relay email, un processore di pagamenti — ognuno di essi spedisce i dati dei tuoi utenti nella propria giurisdizione, e nemmeno la regione più rigorosa li segue fin là.
• Non può occultare le tue stesse connessioni. Se amministri la macchina dal tuo indirizzo di casa via SSH in chiaro, i metadati della connessione esistono a entrambe le estremità, qualunque sia la bandiera sul rack.
• Non può rendere legale un contenuto illegale. Il materiale genuinamente illecito non è benvenuto su nessuna rete seria, la nostra compresa, e nessuna giurisdizione è una licenza per ospitarlo.
• Non può compensare un operatore che conserva tutto. Un paese privacy-tier davanti a un provider che registra ogni richiesta per un anno ti dà un indirizzo dal suono rassicurante e nessuna privacy reale.

Lo schema che emerge da questa lista è che la giurisdizione è un livello fra tanti, e non è né il primo né il più efficace. I livelli che fanno il lavoro più importante, in ordine, sono: non collegare un'identità in fase di registrazione, pagare in un modo che non può essere ricondotto a te, mantenere la macchina stessa difficile da violare, e solo dopo scegliere dove si trova. Se non hai ancora letto cosa significa hosting no-KYC e perché Bitcoin è pseudonimo, non anonimo, quei due argomenti contano più di questa pagina — e ricaricare in Monero è ciò che chiude la traccia on-chain, se per te questo conta.

Errori che rendono la scelta peggiore del caso

• Scegliere basandosi solo su una lista di alleanze Eyes, il che ottimizza contro i servizi di intelligence ignorando la legge sulla conservazione dei dati, la policy del provider e la traccia di pagamento che decidono quasi ogni risultato reale.
• Pagare per sempre centottanta millisecondi di latenza per un carico di lavoro per cui nessuno avrebbe mai presentato un reclamo.
• Dare per scontato che offshore significhi senza conseguenze, per poi scoprire che il regolatore locale ha regole sui contenuti più severe di quelle che si stava evitando.
• Blindare perfettamente l'host e poi registrare il dominio tramite un registrar mainstream a proprio nome, il che riapre l'intera questione in un solo passaggio.
• Trattare la reputazione di un paese come se fosse la sua legge attuale — il panorama europeo sulla conservazione dei dati in particolare è cambiato in modo sostanziale, in entrambe le direzioni, e la maggior parte degli articoli in materia sono vecchi di anni.
• Posizionare un database lontano dall'applicazione che lo interroga, così che ogni caricamento di pagina paghi l'andata e ritorno più volte.
• Scegliere una giurisdizione per il server e lasciare i backup presso un provider in una giurisdizione completamente diversa, il che rende silenziosamente il provider dei backup l'anello più debole.
• Decidere una volta e non tornarci mai più sopra, mentre le leggi, i percorsi dei cavi e i tuoi stessi schemi di traffico cambiano tutti nel giro di pochi anni.

Fai le parti noiose e la mappa diventa una decisione molto più piccola di quanto sembri. Registrati senza un'identità, alimenta il saldo in crypto, blinda il server nei primi dieci minuti, tieni il tuo accesso amministrativo dietro un tunnel WireGuard, e tieni i backup in un posto che controlli tu. Poi scegli la regione per il motivo che si applica davvero al tuo carico di lavoro — frizione contro i reclami, distanza da un ordinamento giuridico specifico, o semplice vicinanza ai tuoi utenti — e accetta il compromesso che stai facendo a occhi aperti. Tutte le 14 regioni costano lo stesso su ogni piano VPS, quindi l'unica valuta che stai davvero spendendo qui è la latenza.