Cách lưu trữ website ẩn danh mà không cần KYC hay giấy tờ tùy thân

Lưu trữ một website ẩn danh không phải là một quyết định duy nhất — mà là ba quyết định, được đưa ra ở ba lớp khác nhau. Làm đúng một lớp mà bỏ sót lớp khác thì toàn bộ vẫn sẽ lộ. Tin tốt là: không lớp nào trong ba lớp này khó, một khi bạn biết chúng là gì. Hướng dẫn này đi qua toàn bộ hành trình, từ một terminal trống đến một trang web hoạt động mà không gắn với tên bạn.

Ba điểm khiến một website làm lộ danh tính của bạn

Trước khi chạy bất kỳ lệnh nào, hãy hiểu rõ nguy cơ lộ diện thực sự nằm ở đâu. Gần như mọi trang web bị mất ẩn danh đều thất bại ở một trong số này, và chúng độc lập với nhau — khắc phục một điểm không giúp ích gì cho các điểm còn lại.

• Đăng ký và thanh toán cho dịch vụ hosting — một thẻ ngân hàng hay một tài khoản đã xác minh sẽ gắn máy chủ trực tiếp với ngân hàng và tên thật của bạn.
• Tên miền — hầu hết các nhà đăng ký đều yêu cầu KYC nặng và công khai hoặc lưu giữ thông tin của bạn.
• Máy chủ và nội dung trên đó — bản thân máy chủ có thể làm lộ thông tin qua log, header, công cụ analytics, hoặc metadata trong những gì bạn tải lên.

Từng bước một

1. 01Tạo tài khoản bằng một email dùng một lần (burner email)Trên BTCServers, đăng ký chỉ cần một email và một mật khẩu. Hãy dùng một địa chỉ email dùng một lần (một nhà cung cấp email burner là được) — không yêu cầu tên, số điện thoại hay giấy tờ tùy thân.
2. 02Nạp số dư trả trước bằng tiền mã hóaNạp tiền vào số dư của bạn bằng Bitcoin, Monero hoặc bất kỳ đồng nào trong 8 loại tiền mã hóa được hỗ trợ. Đây là lớp thanh toán: không thẻ, không danh tính gắn với hóa đơn. Để không để lại dấu vết on-chain nào, hãy nạp bằng Monero.
3. 03Triển khai một VPSChọn một gói, một khu vực và một bản OS image, rồi triển khai. Quyền truy cập root sẽ sẵn sàng trong khoảng một phút. Đây chính là máy chủ web của bạn.
4. 04Sở hữu một tên miền một cách ẩn danhĐăng ký thông qua một nhà đăng ký ưu tiên quyền riêng tư, chấp nhận tiền mã hóa và không yêu cầu giấy tờ tùy thân, hoặc dùng một nhà cung cấp đứng tên thay bạn trên WHOIS. Trỏ DNS của tên miền đó về địa chỉ IP của VPS.
5. 05Cài đặt máy chủ web và TLSCài đặt nginx hoặc Caddy, triển khai trang web của bạn, và cấp một chứng chỉ Let's Encrypt miễn phí. Caddy tự động xử lý HTTPS; với nginx thì dùng certbot.
6. 06Gia cố bảo mật và đưa vào hoạt độngTắt server tokens và tính năng liệt kê thư mục, loại bỏ các header có thể nhận dạng, và vô hiệu hóa mọi công cụ analytics gửi dữ liệu về máy chủ bên ngoài. Sau đó, xuất bản trang web.

Trỏ tên miền mà không gắn với danh tính của bạn

Một máy chủ ẩn danh hoàn hảo đứng sau một tên miền đăng ký bằng tên thật của bạn thì không còn ẩn danh nữa. Hãy chọn một nhà đăng ký chấp nhận tiền mã hóa và không đòi hỏi giấy tờ tùy thân, đồng thời bật WHOIS privacy (hoặc chọn nhà đăng ký đứng tên registrant thay bạn). Thanh toán bằng cùng loại tiền mã hóa bạn dùng cho hosting, không dùng thẻ. Nếu mô hình mối đe dọa của bạn ở mức nghiêm túc, hãy đăng ký và quản lý tên miền qua Tor để nhà đăng ký cũng không bao giờ ghi lại IP thật của bạn.

Khóa chặt máy chủ

Máy chủ vẫn có thể phản bội bạn ngay cả khi thanh toán và tên miền đều sạch. Vài phút gia cố sẽ loại bỏ những điểm lộ diện thường gặp:

• Tắt banner hiển thị phiên bản máy chủ (server_tokens off trong nginx) để header không còn tiết lộ stack công nghệ bạn đang dùng.
• Gỡ bỏ các công cụ analytics và font chữ bên thứ ba vốn gửi tín hiệu (beacon) đến các dịch vụ bên ngoài mỗi khi trang được tải.
• Xóa dữ liệu EXIF và metadata tài liệu khỏi bất cứ thứ gì bạn tải lên — hình ảnh và file PDF đều mang theo thông tin tác giả và thiết bị.
• Giữ log ở mức tối thiểu và xoay vòng chúng thường xuyên; bạn không thể làm lộ thứ mà bạn không hề lưu giữ.

Những gì cách làm này bảo vệ được — và không bảo vệ được

Làm đúng cách, điều này đánh bại được các đối thủ thông thường: một đối thủ cạnh tranh, một scraper, một chủ sở hữu bản quyền đang dò tìm mục tiêu, hay một nhà đăng ký tò mò. Nó không biến nội dung bất hợp pháp thành hợp pháp, và cũng không khiến bạn vô hình trước một đối thủ nhà nước có nguồn lực lớn nếu chính opsec của bạn lơi lỏng — kết nối đến máy chủ từ IP nhà riêng, hay thanh toán bằng tiền mã hóa mua từ một sàn KYC đứng tên bạn, sẽ xóa sạch mọi nỗ lực còn lại. Hãy cân đối nỗ lực của bạn với việc bạn thực sự đang che giấu trước ai, và luôn giữ ba lớp này tách biệt.