Bulletproof hosting, y lo que esas palabras significan de verdad

Busque un proveedor que no retire su servicio a la primera petición y se encontrará con cuatro palabras empleadas como si fueran intercambiables: bulletproof, offshore, DMCA-ignored, DMCA-free. No son intercambiables. Tres de ellas describen algo real, y cada una una cosa distinta; la cuarta no describe nada. Comprar guiándose por la equivocada es como se acaba pagando por una promesa que el proveedor nunca hizo.

Cuatro palabras, tres significados y un vacío

Tómelas de una en una, porque las diferencias son todo el asunto.

Offshore — una afirmación sobre geografía legal

«Offshore» dice que la máquina, e idealmente también la empresa que la posee, responden ante un sistema legal distinto del suyo. Eso es todo lo que dice. Es una afirmación sobre cuál es el derecho aplicable, no sobre qué permite ese derecho, y no sobre lo que el proveedor decide hacer. Un proveedor puede ser perfectamente offshore y aun así retirar su servicio en cuanto alguien se queje, porque nada en la palabra condiciona su conducta. Es la más honesta de las cuatro y, por sí sola, la menos informativa.

DMCA-ignored — una afirmación sobre una ley concreta

La Digital Millennium Copyright Act es derecho estadounidense. Su mecanismo de notice-and-takedown, 17 U.S.C. § 512, condiciona el puerto seguro de un proveedor estadounidense a que aplique un procedimiento de retirada — por eso los proveedores estadounidenses retiran primero y preguntan después. Un proveedor establecido fuera de Estados Unidos no tiene puerto seguro que perder y, por tanto, ningún motivo estructural para retirar de forma preventiva.

Así que «DMCA-ignored», leído literalmente, es una constatación sobre la jurisdicción y no una política de desafío. Nadie está ignorando una ley; la ley nunca se dirigió a ellos. La distinción suena pedante hasta que un proveedor que anuncia la frase cede de todas formas — y ahí descubre usted que describía una actitud y no una posición jurídica, y las actitudes cambian cuando un operador de tránsito hace una llamada.

DMCA-free — una expresión que no significa nada

Nada está «libre de» una ley a la que nunca estuvo sujeto. Un centro de datos en Chișinău no está más libre de la DMCA de lo que está libre del código de circulación de California. La expresión existe porque convierte bien, y su presencia en la publicidad de un proveedor es una señal razonable de que el resto de esa publicidad se escribió igual. Es la única de las cuatro que no aporta información alguna.

Bulletproof — una palabra con un significado que no eligió usted

Esta es distinta, y conviene saberlo antes de escribirla en un buscador. En la literatura de seguridad — informes de fabricantes, anuncios de operaciones policiales, artículos académicos sobre infraestructura de abuso — «bulletproof hosting» tiene un significado asentado: un proveedor que aloja a sabiendas infraestructura criminal y que vende ese conocimiento como producto. Servidores de mando y control, kits de phishing, distribución de malware.

Los vendedores usan la palabra para decir «no le retiraremos su sitio de intercambio de archivos». Los investigadores y los fiscales la usan para decir algo bastante más estrecho y menos agradable. Ambos significados están en circulación, y un proveedor que anuncia el término elige ser legible para el segundo público además de para el primero. Eso tiene consecuencias para los vecinos: los prefijos asociados al término acumulan entradas en listas de bloqueo, y las listas de bloqueo no distinguen entre el cliente que tiene un foro y el cliente que tiene una botnet.

Lo que a un proveedor se le puede obligar a hacer

Bajo las cuatro palabras hay tres verbos distintos, y los proveedores tienden a difuminarlos. Separarlos es la forma más rápida de leer cualquier política de alojamiento.

Reenviar. Pasar la queja al cliente y dejar que decida él. Esto no le cuesta nada al proveedor y no protege a nadie salvo al cliente, que es precisamente por lo que es lo único que un proveedor puede hacer con libertad. Un proveedor que reenvía y se detiene ahí ha tomado una decisión de verdad.

Retirar. Dejar el contenido o la máquina fuera de línea. En Estados Unidos esto se sigue de una notificación; en otros sitios suele hacer falta un tribunal, o un proveedor que haya decidido no esperar a tenerlo. La distancia entre «esto lo puede hacer una notificación» y «esto solo lo puede hacer un juez» es la mayor diferencia que introduce la jurisdicción, y se mide en semanas y no en principios.

Revelar. Entregar lo que el proveedor sabe del cliente. Este verbo no lo gobierna el derecho de autor en absoluto, y es el que la gente olvida preguntar. Un proveedor puede ser inamovible en la retirada y del todo cooperativo en la revelación — y si recopiló documentos de identidad en el alta, cooperar le sale barato a él y caro a usted.

Dónde se sitúa este proveedor en esa lista

Como el objetivo del ejercicio es que los proveedores respondan, estas son nuestras propias respuestas en los mismos términos, y se pueden comprobar contra las páginas que las sostienen.

Offshore: sí, y en un solo país en lugar de nueve. Las máquinas y la empresa están ambas en la República de Moldavia. Un proveedor constituido en un sitio estricto que alquila armarios en un sitio permisivo sigue siendo permisivo exactamente mientras su propia sede se lo permita.

DMCA: no nos alcanza, y eso es un hecho jurisdiccional y no una postura. Una notificación de derechos de autor se registra, se cuenta, se reenvía al cliente palabra por palabra, y ahí termina nuestra intervención. El instrumento que rige el derecho de autor aquí es la ley moldava, y prevé una vía judicial — el reclamante interpone una acción ante un tribunal moldavo. El recuento trimestral de notificaciones, y el número de retiradas que provocaron, se publica.

Revelación: hay muy poco que revelar. No se recopilan documentos de identidad en ningún momento, así que no hay ninguno que entregar. Los registros de conexión se conservan 24 horas. El inventario completo de lo que existe se publica en lugar de resumirse, que es la única versión de esa afirmación que vale algo.

Bulletproof: no, y la palabra no es nuestra. Se rechazan de plano dos categorías de contenido — el material de abuso sexual infantil y el material que organiza la violencia contra las personas. Nunca ha habido una tercera. Todo lo demás de la lista, incluidas las cosas por las que a otros los rechazan en otros sitios, es asunto del cliente. Es una promesa más estrecha que «bulletproof» y bastante más duradera, porque es una promesa que podemos mantener cuando alguien aprieta.

Seis preguntas para quien use estas palabras

Sirven con nosotros igual que con cualquier otro, y a un proveedor competente las respuestas deberían llevarle menos de un minuto.

1. ¿Qué instrumento les obliga, con su nombre? Un proveedor que no sabe nombrar la ley y el foro no lo ha pensado, o sí lo ha pensado y preferiría que usted no lo hiciera.

2. ¿Son dueños del hardware, y dónde está registrada la empresa? Armarios alquilados significan un operador de tránsito con su propio departamento de abusos y su propio apetito de riesgo, y cada capa por encima de usted es otra parte que puede darle de baja por motivos que usted nunca verá.

3. ¿Qué recopilaron sobre mí en el alta, y cuánto tiempo lo conservan? Esta es la pregunta de la revelación en su forma práctica. Documento recopilado es documento revelable.

4. ¿Cuántas exigencias de retirada recibieron el trimestre pasado, y en cuántas actuaron? Dos cifras. Un proveedor que las publica hace una afirmación falsable; uno que no las publica hace una infalsable.

5. ¿Qué rechazan, y la lista es finita? Un «cualquier cosa que consideremos inapropiada» sin límite es una cláusula que significa lo que convenga el día en que se invoca.

6. ¿Qué pasa con mis datos si dejan de responder? Todas las preguntas anteriores dan por hecho que el proveedor sigue ahí. Una declaración firmada que se renueva con una periodicidad fija vale más que una promesa hecha una sola vez en el alta.

Si esas seis respuestas son concretas, la palabra de la portada apenas importa. Si no lo son, ningún adjetivo le salvará — y menos aún uno que en un tribunal significa algo distinto de lo que significa en un anuncio.

Escrito por los ingenieros que dirigen la plataforma, y revisado de nuevo hoy. Si algo aquí es incorrecto o ha quedado desactualizado, dígalo desde el panel — de ahí proviene más o menos la mitad de esto.