Como escolher a localização de um servidor offshore

Toda tela de implantação faz a mesma pergunta perto do final, e quase ninguém pensa nela: onde essa máquina deve ficar fisicamente? A maioria das pessoas escolhe o que está mais perto, ou o que aparece primeiro na lista, e segue em frente. Essa é a única escolha da tela que não pode ser desfeita depois sem copiar um serviço em produção para uma máquina nova — e é também a escolha que decide quem pode pressionar o seu provedor, quais registros existem sobre você, e quão longe uma reclamação precisa viajar antes que alguém seja obrigado a responder por ela. Isso merece mais do que dois segundos. O que vem a seguir é como pensar nisso com honestidade, incluindo as partes que a indústria de hospedagem offshore costuma deixar de fora.

Jurisdição é um ajuste de fricção, não um escudo

A correção mais útil a fazer antes de comparar países é esta: escolher uma localização não coloca o seu servidor fora da lei. Isso muda qual lei se aplica, quem precisa ser convencido, e quanto tempo isso leva. São diferenças práticas enormes, e não são a mesma coisa que imunidade. Um provedor em uma jurisdição favorável à privacidade não é obrigado a agir sobre um e-mail padronizado de reclamação vindo de um detentor de direitos estrangeiro — isso é real e importa. O mesmo provedor ainda vai responder a uma ordem válida de um tribunal que realmente tem autoridade sobre ele.

Leia o marketing com esse filtro ligado e a maior parte dele se resolve com clareza. “DMCA ignorado” significa que o processo de notificação e remoção dos Estados Unidos não vincula um provedor fora da jurisdição americana, o que é simplesmente uma descrição de como a lei territorial funciona — cobrimos a mecânica em hospedagem offshore e com DMCA relaxado, explicada. “Bulletproof” significa algo completamente diferente e geralmente significa problema, o que é o assunto de hospedagem offshore vs hospedagem bulletproof. O que você está realmente buscando, em quase todo caso legítimo, é fricção: distância legal suficiente para que reclamações automatizadas e tentativas especulativas não se traduzam em uma remoção instantânea, sem fingir que qualquer coisa na internet pública está fora de alcance.

As cinco perguntas que uma localização realmente responde

Tire as bandeiras e o texto de marketing do caminho, e uma região está respondendo a cinco perguntas distintas. Confundi-las é onde a maioria das decisões ruins começa, porque um país pode se sair muito bem em uma e mal em outra.

• Quem pode pressionar o operador. Uma empresa de hospedagem responde aos tribunais do país onde opera. Qualquer outra autoridade no mundo precisa passar por um processo de tratado, por um tribunal local, ou por um pedido que o operador é livre para recusar. É exatamente disso que “offshore” trata.
• Quais registros existem, em primeiro lugar. A coerção só produz o que alguém já armazenou. Uma jurisdição sem uma obrigação geral de retenção de dados permite que um provedor mantenha registros mínimos de forma lícita, e nenhuma ordem consegue extrair um registro que nunca foi escrito.
• Quem mais está upstream de você. Seu provedor fica atrás de operadoras de trânsito, uma alocação de IP e — se você usar um — um registrador de domínio, cada um em sua própria jurisdição. Um reclamante barrado no provedor frequentemente só sobe um elo na cadeia.
• Quão longe os pacotes viajam. A física não liga para o seu modelo de ameaça. Cada quilômetro entre o seu servidor e as pessoas que o usam é latência que você paga em cada requisição, para sempre.
• O que a própria lei local proíbe. Um país fora do alcance do seu adversário pode ter regras próprias de conteúdo e vigilância mais rígidas do que as que você deixou para trás. Distância de um sistema legal significa proximidade de outro.

Uma boa escolha é aquela que se sai bem nas perguntas que importam para a sua carga de trabalho específica, e aceita conscientemente um resultado ruim nas demais. Não existe região que vença nas cinco, e qualquer provedor que afirme o contrário está vendendo alguma coisa.

Retenção de dados: a lei que decide o que existe para ser entregue

Esse é o fator mais consequente e menos discutido. Os debates sobre vigilância se concentram no acesso, mas o acesso vem depois do armazenamento — uma ordem obriga a divulgação de registros que existem, e não cria nada. Então a pergunta que vale a pena fazer sobre uma jurisdição não é “eles conseguem exigir dados” e sim “meu provedor é legalmente obrigado a estar gerando dados sobre mim, para começo de conversa”.

• As obrigações gerais de retenção na Europa são bem mais fracas do que sua reputação sugere. A diretiva de toda a UE que exigia retenção em massa foi derrubada pelo Tribunal de Justiça da União Europeia em 2014, e leis nacionais que tentaram reproduzi-la têm sido repetidamente consideradas incompatíveis com o direito da UE desde então. Vários Estados-membros atualmente não têm nenhuma obrigação geral de retenção que seja de fato aplicável.
• A Romênia é o exemplo mais claro, e um motivo real pelo qual Bucharest continua aparecendo em hospedagem voltada à privacidade. O tribunal constitucional do país derrubou a lei nacional de retenção de dados, depois derrubou a substituta, sob o argumento de que retenção indiscriminada é incompatível com os direitos constitucionais de privacidade.
• As regras de retenção geralmente miram operadoras de telecomunicações e provedores de acesso, não empresas de hospedagem. Essa distinção importa mais do que o país em muitos casos: uma obrigação escrita para o operador que conecta assinantes à internet frequentemente não se estende a uma empresa que aluga a você uma máquina virtual.
• O que o provedor escolhe guardar é a outra metade, e isso é inteiramente política interna, não lei. Dois provedores no mesmo país podem ter respostas completamente diferentes, e aquele que guarda noventa dias de tudo é pior para você do que uma jurisdição mais rígida com um operador que registra o mínimo.
• Os registros de pagamento são a questão de retenção que realmente pega as pessoas desprevenidas. Um provedor com uma higiene impecável de logs de servidor, mas que também guarda o número do seu cartão e o seu endereço de cobrança, tem um arquivo de identidade completo sobre você — e ele vai sobreviver ao servidor por anos.

As alianças dos Olhos, sem o marketing

Toda página de hospedagem offshore cita os 5 Olhos, 9 Olhos e 14 Olhos, geralmente como uma lista de bloqueio simplista. A coisa em si é real: um acordo de compartilhamento de inteligência que começou entre Estados Unidos, Reino Unido, Canadá, Austrália e Nova Zelândia, se ampliou para incluir Dinamarca, França, Países Baixos e Noruega, e se ampliou de novo para acrescentar Alemanha, Bélgica, Itália, Espanha e Suécia. Vale a pena conhecer. Também é rotineiramente aplicado ao problema errado.

Esses acordos dizem respeito à inteligência de sinais entre agências estatais. Eles são praticamente irrelevantes para as ameaças comuns que um servidor normal enfrenta — uma reclamação de direitos autorais, a denúncia de abuso de um concorrente, uma intimação civil, um provedor que cede sob pressão. Tratar a participação em uma aliança como a única variável produz decisões genuinamente ruins, e os Países Baixos são o exemplo clássico: é membro dos 9 Olhos e, ao mesmo tempo, um dos melhores lugares do mundo para hospedar, com conectividade excelente, um regime legal maduro que exige processo legal de verdade em vez de um e-mail padronizado, e uma lei forte de proteção de dados. Descartar Amsterdam por causa de uma lista da Wikipédia, enquanto se ignora a lei de retenção, a política do provedor e o próprio rastro de pagamento, é otimizar o termo menos importante da equação.

As alianças importam se o seu adversário é um serviço de inteligência estatal — nesse caso, a sua escolha de hospedagem é uma pequena parte de um problema bem maior, e um guia não é o que você precisa. Para todos os outros, a hierarquia que prevê resultados reais é: o que o provedor sabe sobre você, o que a lei local obriga o provedor a armazenar, quão difícil é para uma parte estrangeira obrigar qualquer coisa, e só depois quais tratados o governo assinou.

As oito regiões de nível privacidade, uma a uma

Nossa rede opera 14 regiões, oito das quais classificamos como de nível privacidade. Esse rótulo não é uma alegação de imunidade legal — significa que a região combina um ambiente legal que exige processo adequado, uma rede que não cede ao receber uma notificação automatizada, e infraestrutura que operamos em vez de revender. Aqui está o caráter honesto de cada uma, incluindo o ponto fraco.

• Amsterdam, Países Baixos. A localização mais bem conectada da lista, e a resposta padrão correta para a maior parte do tráfego europeu. Peering excelente, um sistema legal que exige processo de verdade, lei forte de proteção de dados — contra isso pesam a participação nos 9 Olhos e um ecossistema de detentores de direitos bem organizado e que sabe como protocolar uma notificação corretamente.
• Bucharest, Romênia. Jurisprudência constitucional de privacidade incomumente forte, depois que os tribunais do país derrubaram legislação de retenção de dados duas vezes, infraestrutura em nível de UE a um custo visivelmente menor, e boa latência para toda a Europa oriental e central. O peering fica um degrau abaixo de Amsterdam e Frankfurt.
• Zurich, Suíça. Fora da UE, com uma cultura jurídica de privacidade profundamente enraizada e uma barra alta para pedidos estrangeiros, que precisam passar por canais formais em vez de chegar por e-mail. Não é um vazio legal — as autoridades suíças cooperam com pedidos internacionais válidos — e é o lugar mais caro da lista.
• Reykjavík, Islândia. Um ambiente de liberdade de expressão genuinamente diferenciado, sem vínculo com o núcleo dos 5 Olhos, clima frio e energia geotérmica barata. A troca é a geografia: todo pacote atravessa um cabo submarino, então espere uma penalidade de latência significativa vindo de qualquer lugar que não seja o Atlântico Norte.
• Helsinki, Finlândia. Politicamente estável, fora dos 14 Olhos, infraestrutura excelente e o salto mais curto até a internet báltica e de língua russa. A Finlândia de fato ampliou seus poderes de coleta de inteligência nos últimos anos, então isso é forte, não absoluto.
• Luxembourg. Uma jurisdição pequena, com uma longa tradição institucional de confidencialidade e um dos reguladores mais atentos à privacidade da UE, abrigando uma quantidade desproporcional da infraestrutura financeira europeia. A capacidade é limitada perto dos grandes polos, e o preço reflete isso.
• Kuala Lumpur, Malásia. Genuinamente fora da órbita legal europeia e americana, que é todo o ponto, com bom alcance para o Sudeste Asiático. Equilibre isso com as próprias leis de conteúdo e comunicações da Malásia, que não são permissivas, e com uma latência para a Europa ou as Américas que você vai sentir.
• Moscow, Rússia. Efetivamente inalcançável por processos civis ocidentais, o que para algumas cargas de trabalho é exatamente o requisito. Também tem uma das legislações domésticas de dados e vigilância mais exigentes que existem, então essa é claramente uma troca de uma exposição legal por outra, diferente e maior — não um upgrade de privacidade de uso geral.

Se você quer um padrão e não tem um motivo específico para fugir dele: Amsterdam para audiências europeias, Bucharest quando você quer distância da máquina de detentores de direitos da Europa Ocidental sem abrir mão de infraestrutura da UE, Zurich quando a prioridade é uma barra processual alta, e Kuala Lumpur quando a prioridade é ficar completamente fora do sistema euro-americano. Reykjavík é uma escolha deliberada que você faz com o orçamento de latência aberto à sua frente.

As seis regiões padrão, e quando elas são a resposta certa

As outras seis — Frankfurt, Paris, London, New York, Singapore e Tokyo — são localizações comuns e bem conectadas em jurisdições comuns. Elas existem porque uma quantidade enorme de cargas de trabalho não tem dimensão adversarial nenhuma, e são simplesmente mais bem servidas estando perto de seus usuários.

• A carga de trabalho é limitada por latência e o público é regional. Uma aplicação servindo o Japão a partir de Tokyo é claramente melhor do que a mesma aplicação servida a partir da Islândia, e nenhuma quantidade de teoria jurisdicional muda isso.
• O conteúdo é totalmente comum. O site de uma empresa, uma ferramenta interna, um ambiente de staging ou um projeto pessoal não atrai reclamações, então comprar fricção contra reclamações não compra nada.
• Você precisa do peering mais profundo possível. Frankfurt e New York ficam em cima de dois dos maiores pontos de troca de tráfego do planeta, e para cargas de trabalho de alto tráfego de saída isso é uma diferença mensurável.
• A privacidade de que você precisa está na camada da conta, não no mapa. Pagar a partir de um saldo em cripto sem identidade vinculada te dá o mesmo anonimato em Frankfurt e em Reykjavík — jurisdição é sobre resistir à coerção, não sobre se o seu nome está associado à máquina.
• É um nó entre vários. Implantações multirregião costumam combinar uma base de nível privacidade para os dados com bordas de nível padrão para alcance, o que é uma arquitetura sensata, não uma concessão.

Vale a pena se deter nesse último ponto, porque é o erro mais comum na direção oposta. As pessoas escolhem uma região distante de nível privacidade para uma carga de trabalho sem modelo de ameaça nenhum, pagam a latência todos os dias durante anos, e não ganham nada que não pudessem ter obtido pagando em Monero a partir de um e-mail descartável em Frankfurt. Privacidade na camada da conta e fricção na camada da jurisdição são compras independentes, e a maioria das pessoas só precisa da primeira.

Latência é um custo real — não pague por ela à toa

Distância é o único fator em toda essa discussão que não é uma questão de interpretação. A luz na fibra percorre aproximadamente duzentos quilômetros por milissegundo, e rotas reais nunca são em linha reta, então uma regra prática aproximada é cerca de um milissegundo de ida e volta para cada cem quilômetros de separação, mais o que a rota adicionar em comutação e desvios.

• Dentro de uma mesma região — de Amsterdam a Frankfurt, de Zurich a Paris — você fica na casa de um dígito de milissegundos, e a localização não custa nada, na prática, do ponto de vista de desempenho.
• Pela Europa inteira, aproximadamente dez a quarenta milissegundos. Bucharest e Helsinki atendem a Europa Ocidental perfeitamente bem; essa faixa é invisível para a maioria das aplicações.
• Da Islândia até a Europa continental soma-se um trecho de cabo submarino, normalmente caindo na faixa de vinte a quarenta milissegundos, e o trecho transatlântico é bem mais longo.
• Da Europa até o Sudeste Asiático é o grande salto, geralmente cento e cinquenta milissegundos ou mais em cada sentido. Em um protocolo tagarela, isso se multiplica em algo que os usuários descrevem como quebrado.
• Cargas de trabalho interativas sofrem mais. Um desktop remoto, uma sessão SSH ou um banco de dados fazendo muitas idas e voltas pequenas amplifica a latência diretamente, enquanto transferências em massa e jobs em lote quase nem notam.

Escolhendo uma região: um roteiro de decisão curto

1. 01Escreva quem é o adversário de verdadeUm bot de detentor de direitos, um concorrente registrando denúncias de abuso, um litigante civil, um empregador curioso, um serviço de inteligência nacional — cada um precisa de uma resposta completamente diferente. Se a resposta honesta for “ninguém em particular”, você quer o nível padrão, e acabou de economizar muita latência.
2. 02Localize seus usuários no mapaNão onde você está — de onde vem o tráfego. Isso define o orçamento de latência, e para a maioria das cargas de trabalho isso elimina mais opções do que todas as considerações legais somadas.
3. 03Decida se a carga de trabalho é interativaDesktops remotos, trabalho pesado em SSH e aplicações ao vivo são penalizados pela distância. Nós, relays, backups, processamento em lote e armazenamento são quase indiferentes a isso, o que é o que permite colocá-los longe sem custo algum.
4. 04Verifique o que a lei local proíbe, não só o que ela permiteUma jurisdição fora do alcance do seu adversário pode restringir o seu conteúdo de formas que o seu país de origem não restringe. Leia o destino como um lugar com regras próprias, não como uma ausência de regras.
5. 05Siga a cadeia acima do seu provedorProvedores de trânsito e, acima de tudo, o seu registrador de domínio são jurisdições separadas com políticas separadas. Um reclamante barrado em um provedor resiliente frequentemente tem sucesso um elo acima, e um registrador que cede tira o seu nome do ar, não importa onde esteja o disco.
6. 06Resolva a camada da conta antes da camada do mapaCadastre-se com um e-mail que não esteja ligado a você, pague a partir de um saldo em cripto, e mantenha a máquina fora do seu nome legal. Isso é mais barato, mais rápido e mais eficaz do que qualquer escolha de região, e é a etapa que as pessoas pulam.
7. 07Selecione duas regiões finalistas e meça as duasUma candidata de nível privacidade e uma candidata de conveniência. Implante a menor instância em cada uma, rode o seu próprio tráfego contra elas por uma hora, e deixe os números decidirem em vez do mapa.
8. 08Planeje-se para o caso de estar erradoMantenha a configuração reprodutível e os backups portáteis, para que mudar de ideia sobre uma região seja uma tarde de trabalho, não uma crise. Isso é boa prática de qualquer forma, e tira a maior parte da pressão da decisão.

O que a localização de um servidor não pode fazer por você

Escolher jurisdição a dedo tem um teto bem definido, e é batendo nele que as pessoas acabam mal expostas enquanto se sentem bem protegidas. Estas são as coisas que nenhum país em nenhuma lista vai resolver.

• Ela não consegue desfazer um rastro de pagamento. Se o servidor foi comprado com um cartão no seu nome legal, a máquina está no seu nome legal em qualquer jurisdição da Terra. Isso é decidido no cadastro, bem antes de você sequer tocar no menu de região.
• Ela não consegue corrigir o seu software. Uma aplicação vulnerável é comprometida em Reykjavík exatamente tão rápido quanto em New York, e um atacante não preenche formulário nenhum.
• Ela não consegue esconder o domínio. Um registrador guarda a sua identidade mesmo atrás da privacidade de WHOIS, e todo certificado que você emite publica o hostname exato em logs públicos de transparência que qualquer um pode pesquisar.
• Ela não consegue proteger dados que você manda para outro lugar. Analytics, rastreamento de erros, uma CDN, um relay de e-mail, um processador de pagamentos — cada um desses envia os dados dos seus usuários para a própria jurisdição dele, e nem a localização de servidor mais rígida os acompanha até lá.
• Ela não consegue ocultar as suas próprias conexões. Se você administra a máquina a partir do seu endereço residencial por SSH puro, os metadados da conexão existem nas duas pontas, não importa a bandeira no rack.
• Ela não consegue tornar legal um conteúdo ilegal. Material genuinamente ilícito não é bem-vindo em nenhuma rede séria, a nossa incluída, e nenhuma jurisdição é uma licença para isso.
• Ela não consegue compensar um operador que guarda tudo. Um país de nível privacidade na frente de um provedor que registra cada requisição por um ano te dá um endereço que soa confortável e nenhuma privacidade de fato.

O padrão nessa lista é que jurisdição é uma camada entre várias, e não é nem a primeira nem a mais eficaz. As camadas que fazem mais trabalho, em ordem, são: não vincular uma identidade no cadastro, pagar de um jeito que não pode ser rastreado até você, manter a própria máquina difícil de invadir, e só depois escolher onde ela fica. Se você ainda não leu o que significa hospedagem sem KYC e por que o Bitcoin é pseudônimo, não anônimo, essas duas páginas importam mais do que esta — e recarregar em Monero é o que fecha o rastro on-chain, se isso importar para você.

Erros que tornam a escolha pior do que aleatória

• Escolher com base só em uma lista de alianças dos Olhos, o que otimiza contra agências de inteligência enquanto ignora a lei de retenção, a política do provedor e o rastro de pagamento que decidem quase todo resultado real.
• Pagar cento e oitenta milissegundos de latência para sempre por uma carga de trabalho que ninguém jamais reclamaria.
• Presumir que offshore significa sem prestação de contas, e depois descobrir que o regulador local tem regras de conteúdo mais rígidas do que aquelas que você estava evitando.
• Blindar o servidor com perfeição e registrar o domínio por um registrador convencional no seu próprio nome, o que reabre a questão inteira em uma única etapa.
• Tratar a reputação de um país como se fosse a lei atual — o panorama de retenção da Europa, em especial, mudou substancialmente, nas duas direções, e a maioria dos artigos sobre o assunto está desatualizada há anos.
• Colocar um banco de dados longe da aplicação que faz as consultas, de modo que cada carregamento de página paga a ida e volta várias vezes.
• Escolher uma jurisdição para o servidor e deixar os backups com um provedor em uma completamente diferente, o que silenciosamente transforma o provedor de backup no elo mais fraco.
• Decidir uma vez e nunca mais revisitar a escolha, sendo que leis, rotas de cabos e os seus próprios padrões de tráfego mudam todos ao longo de alguns anos.

Faça as partes chatas e o mapa vira uma decisão bem menor do que parece. Cadastre-se sem uma identidade, alimente o saldo em cripto, blinde a máquina nos primeiros dez minutos, mantenha seu acesso administrativo atrás de um túnel WireGuard, e mantenha os backups em algum lugar que você controla. Depois escolha a região pelo motivo que realmente se aplica à sua carga de trabalho — fricção contra reclamações, distância de um sistema legal específico, ou simples proximidade dos seus usuários — e aceite a troca que está fazendo de olhos abertos. As 14 regiões custam o mesmo em qualquer plano de VPS, então a única moeda que você está gastando aqui é latência.