De qué le protege realmente el hosting offshore

El alojamiento offshore se vende como un escudo y se compra como tal, y en la brecha entre esas dos creencias vive la mayor parte de la decepción. Es un mecanismo real, con un efecto acotado y bien definido — y entender los límites de ese efecto es lo que separa una decisión que se sostiene de otra que se derrumba en cuanto alguien le envía una carta.

Dos preguntas que se funden en una sola

Casi toda conversación confusa sobre alojamiento offshore surge de reducir dos preguntas distintas a una sola palabra: «legal». No son la misma pregunta, tienen respuestas diferentes, y solo una de ellas depende de dónde esté su servidor.

Un proveedor que le deja creer que la segunda pregunta ya está resuelta le está vendiendo un problema, no un servicio. Eso también le revela algo útil sobre cómo se comportará cuando llegue de verdad un requerimiento: una empresa cómoda con esa ambigüedad en su publicidad tiende a estarlo también en su departamento de abusos.

Lo que cambia realmente

Dentro de la primera pregunta, el efecto es considerable y justifica el precio. Cambian tres cosas.

Cambia el instrumento que obliga a retirar el contenido. En Estados Unidos, 17 U.S.C. § 512 condiciona el puerto seguro de un proveedor a que aplique un procedimiento de notice-and-takedown. Eso es derecho interno, no un tratado, y crea un incentivo lo bastante fuerte como para que los proveedores estadounidenses retiren primero y pregunten después, porque la alternativa es perder por completo el puerto seguro. Un proveedor fuera de esa jurisdicción no tiene puerto seguro que perder y, por tanto, ningún motivo estructural para retirar de forma preventiva. Lo que sustituye a la notificación es un tribunal: más lento, público, contradictorio, y que exige que alguien presente realmente un caso.

Cambia la velocidad, y ahí reside la mayor parte del valor. Una cadena de notice-and-takedown puede retirar su servicio en horas, apoyándose en un formulario que nadie ha verificado. La vía judicial tarda semanas y necesita un demandante dispuesto a gastar dinero y a que su nombre se haga público. Detrás de la gran mayoría de las quejas no hay nadie dispuesto a ninguna de las dos cosas. Este es el mayor efecto práctico de cambiar de jurisdicción, y es el que casi nunca se anuncia.

Cambia el número de partes que pueden desconectarle. Un revendedor asentado sobre la infraestructura de otro tiene un operador de tránsito, ese operador de tránsito tiene su propio departamento de abusos y su propio apetito de riesgo, y a su vez tiene su propio operador de tránsito. Cada capa es una parte que puede darle de baja por motivos que nada tienen que ver con la ley y que usted nunca verá. Un proveedor que es dueño de su propio hardware en una sola jurisdicción elimina esas capas — por eso «¿es usted dueño de los racks?» es una pregunta más reveladora que «¿en qué país?».

Cuatro cosas que no afecta

Estas son las suposiciones que llevan a comprar lo que no toca, aproximadamente en el orden en que suelen aparecer.

1. La ley de su país de residencia

Si usted reside en un lugar, la ley de ese país se le aplica personalmente, con independencia de dónde estén sus archivos. Trasladar un servidor no le traslada a usted. La responsabilidad penal, las obligaciones fiscales, los deberes regulatorios y la exposición civil siguen a la persona, no al disco. Cualquier planteamiento que sugiera lo contrario describe un mundo en el que la jurisdicción se adhiere al hardware, y ese mundo no existe.

2. Su nombre de dominio

Un dominio es un contrato aparte, con una parte contratante distinta, sujeto a un sistema legal distinto — y con mucha frecuencia es el punto más débil del conjunto. Un registro puede suspender un nombre con mucha más facilidad de la que hace falta para obligar a un proveedor a desconectar una máquina, y algunos registros lo harán a petición de una agencia, sin orden judicial alguna. Si su alojamiento es offshore pero su dominio no lo es, ha trasladado el eslabón fuerte y ha dejado el débil donde estaba.

3. Todos los demás de quienes depende

Procesadores de pago, CDN, entregabilidad del correo, tiendas de aplicaciones, redes publicitarias, proveedores de DNS. Cada uno tiene sus propias condiciones y su propia tolerancia, y cada uno puede terminar su servicio con independencia de su proveedor de alojamiento. El alojamiento offshore protege un eslabón de una cadena que usted no dibujó. Dibuje primero la cadena y decida después si el alojamiento era realmente la parte frágil.

4. Las dos cosas que ningún proveedor acepta

Cualquier proveedor serio, en cualquier lugar, rechaza el material de abuso sexual infantil y el material que organiza la violencia contra las personas, sin orden judicial y sin esperar a tenerla. Un proveedor que afirme lo contrario, o miente, o está a punto de convertirse en el escarmiento de alguien. Trate el «aceptamos absolutamente cualquier cosa» como una advertencia y no como una ventaja: es una promesa que nadie puede sostener en la práctica, y una empresa que la hace no ha pensado en el día en que se le ponga a prueba.

Hay una quinta, más silenciosa: los ataques salientes. Ningún proveedor deja que el tráfico de denegación de servicio o la explotación masiva de vulnerabilidades salgan de su red, porque eso hace que otros apliquen null-routing a sus rangos de direcciones y arrastra a clientes que no habían hecho nada. Es una regla de integridad de red, no una regla de contenido, y saber distinguir ambas es casi todo lo necesario para leer bien una política de uso aceptable.

Una prueba que puede aplicar a cualquier proveedor

Cuatro preguntas, planteadas por escrito antes de pagar. Las respuestas le dicen más que cualquier tabla comparativa, y el mero hecho de que el proveedor responda o no ya es el primer resultado.

1. ¿Qué ocurre exactamente cuando reciben una queja sobre mi servicio? Una buena respuesta es un procedimiento con plazos concretos. Una mala respuesta es una declaración de intenciones.
2. ¿Qué registros existen sobre mí y cuánto tiempo se conservan? Si la respuesta es vaga, la lectura honesta es que la lista es larga. Pida que se la detallen punto por punto.
3. ¿Quién más puede dar de baja mi servicio, y qué hay por encima de ustedes? Esto saca a la luz a los revendedores. La frase «nuestro operador de tránsito» en una respuesta significa que al menos dos partes que usted nunca eligió pueden terminar su servicio.
4. ¿Qué instrumento les haría actuar de verdad, y ha llegado alguno alguna vez? La primera mitad comprueba si entienden su propia situación jurídica. La segunda mitad exige una cifra como respuesta, y un proveedor dispuesto a publicar esa cifra hace una afirmación cuya evolución usted puede observar.

Cuándo merece la pena el compromiso

Hay un coste real, y no es la cuota mensual. Es la distancia: latencia hacia sus usuarios, un grupo más reducido de ingenieros que conocen la red local, y un entorno jurídico que usted no puede leer con la misma soltura que el propio. Asumir ese coste tiene sentido en un conjunto bastante acotado de situaciones.

• Publica material que atrae quejas en volumen que no son en sí mismas ilegales donde se encuentra el proveedor — y ya se lo han retirado una vez por ello.
• Su plataforma difunde las opiniones de otras personas, y prefiere juzgarlas usted mismo antes que dejar que lo haga un formulario web en su lugar.
• Su servicio es legal donde opera, pero resulta políticamente incómodo en algún lugar con un aparato de retirada bien dotado de personal.
• Necesita que el número de partes que pueden desconectarle sea exactamente uno, y quiere que esa parte sea identificable y esté contractualmente vinculada a usted.

Si nada de esto le describe, la respuesta honesta es que probablemente no lo necesita, y la guía que defiende esa postura son los siete minutos mejor invertidos. Si le describe alguno de estos casos, la siguiente pregunta es qué jurisdicción — y esa pregunta tiene seis subpreguntas, cada una de ellas comprobable antes de comprometerse con nada.

Escrito por los ingenieros que dirigen la plataforma, y revisado de nuevo hace 9 días. Si algo aquí es incorrecto o ha quedado desactualizado, dígalo desde el panel — de ahí proviene más o menos la mitad de esto.