Bulletproof hosting, et ce que ces quatre mots veulent dire

Cherchez un hébergeur qui ne coupera pas votre service sur simple demande et vous croiserez quatre mots employés comme s’ils étaient interchangeables : bulletproof, offshore, DMCA-ignored, DMCA-free. Ils ne le sont pas. Trois d’entre eux décrivent quelque chose de réel, et à chaque fois autre chose ; le quatrième ne décrit rien. Acheter sur la foi du mauvais mot, c’est ainsi que l’on finit par payer pour une promesse que le fournisseur n’a jamais faite.

Quatre mots, trois sens et une case vide

Prenez-les un par un : les différences sont tout le sujet.

Offshore — une affirmation sur la géographie juridique

« Offshore » dit que la machine, et idéalement la société qui la possède, relèvent d’un système juridique autre que le vôtre. C’est tout ce que le mot dit. Il porte sur quel droit s’applique, pas sur ce que ce droit permet, ni sur ce que le fournisseur choisit de faire. Un hébergeur peut être parfaitement offshore et couper votre service dès la première plainte, parce que rien dans le mot ne contraint son comportement. C’est le plus honnête des quatre, et le moins informatif pris isolément.

DMCA-ignored — une affirmation sur un texte précis

Le Digital Millennium Copyright Act est une loi des États-Unis. Son mécanisme de notification-retrait, le 17 U.S.C. § 512, conditionne le safe harbour d’un hébergeur américain au fait de faire fonctionner une procédure de retrait — c’est pourquoi les hébergeurs américains retirent d’abord et posent des questions ensuite. Un fournisseur établi hors des États-Unis n’a pas de safe harbour à perdre, et donc aucune raison structurelle de retirer par anticipation.

Ainsi « DMCA-ignored », lu au pied de la lettre, énonce un fait de juridiction et non une politique de défi. Personne n’ignore une loi ; la loi ne s’adressait pas à lui. La distinction paraît pédante jusqu’au jour où un fournisseur qui affiche la formule cède quand même — et vous découvrez alors qu’elle décrivait une attitude plutôt qu’une position juridique, et que les attitudes changent quand un opérateur en amont passe un coup de téléphone.

DMCA-free — une formule qui ne veut rien dire

Rien n’est « exempt » d’un texte auquel il n’a jamais été soumis. Un centre de données de Chișinău n’est pas plus DMCA-free qu’il n’est exempt du code de la route californien. La formule existe parce qu’elle convertit bien, et sa présence dans le discours commercial d’un fournisseur indique raisonnablement que le reste a été écrit de la même façon. C’est le seul des quatre mots qui ne porte aucune information.

Bulletproof — un mot dont le sens ne vous appartient pas

Celui-là est différent, et mieux vaut le savoir avant de le taper dans un moteur de recherche. Dans la littérature de sécurité — rapports d’éditeurs, communiqués de démantèlement des autorités, travaux universitaires sur les infrastructures d’abus — « bulletproof hosting » a un sens arrêté : un fournisseur qui héberge sciemment de l’infrastructure criminelle et qui vend cette connaissance comme son produit. Serveurs de commande et de contrôle, kits d’hameçonnage, diffusion de logiciels malveillants.

Les vendeurs emploient le mot pour dire « nous ne couperons pas votre site de partage de fichiers ». Les chercheurs et les procureurs l’emploient dans un sens nettement plus étroit et nettement moins plaisant. Les deux sens circulent, et un fournisseur qui affiche le terme choisit d’être lisible par le second public autant que par le premier. Cela a des conséquences pour le voisinage : les préfixes associés au terme accumulent les entrées de listes de blocage, et ces listes ne distinguent pas le client qui fait tourner un forum de celui qui fait tourner un botnet.

Ce qu’on peut réellement contraindre un hébergeur à faire

Sous ces quatre mots se tiennent trois verbes distincts, que les fournisseurs brouillent par habitude. Les séparer est le moyen le plus rapide de lire n’importe quelle politique d’hébergement.

Transmettre. Faire suivre une plainte au client et le laisser décider. Cela ne coûte rien au fournisseur et ne protège personne d’autre que le client, ce qui est précisément pourquoi c’est la seule chose qu’il puisse faire librement. Un hébergeur qui transmet et s’en tient là a fait un vrai choix.

Retirer. Mettre le contenu ou la machine hors ligne. Aux États-Unis, cela découle d’une notification ; ailleurs, il faut généralement un tribunal, ou un fournisseur qui a décidé de ne pas l’attendre. L’écart entre « une notification suffit à cela » et « seul un juge peut le faire » est la plus grande différence que fasse à elle seule la juridiction, et elle se mesure en semaines plutôt qu’en principes.

Divulguer. Remettre ce que le fournisseur sait du client. Ce verbe-là ne relève pas du tout du droit d’auteur, et c’est celui qu’on oublie de mettre sur la table. Un fournisseur peut être inébranlable sur le retrait et parfaitement coopératif sur la divulgation — et s’il a collecté des pièces d’identité à l’inscription, la coopération lui coûte peu et vous coûte cher.

Où cet hébergeur se situe sur cette échelle

Puisque l’exercice consiste à rendre les fournisseurs comptables, voici nos propres réponses dans les mêmes termes, et elles sont vérifiables sur les pages qui les portent.

Offshore : oui, et dans un seul pays plutôt que neuf. Les machines et la société sont l’une et l’autre en République de Moldavie. Un fournisseur immatriculé dans un pays strict, qui loue des baies dans un pays permissif, reste permissif exactement aussi longtemps que son propre siège l’autorise.

DMCA : il ne nous atteint pas, et c’est un fait de juridiction plutôt qu’une posture. Une notification de droit d’auteur est enregistrée, comptée, transmise au client mot pour mot, et notre intervention s’arrête là. L’instrument qui régit le droit d’auteur ici est le droit moldave, et il prévoit une voie judiciaire — le plaignant saisit un tribunal moldave. Le décompte trimestriel des notifications, et le nombre de retraits qu’elles ont entraînés, est publié.

Divulgation : il y a très peu à divulguer. Aucune pièce d’identité n’est collectée à aucun moment, donc aucune ne peut être remise. Les journaux de connexion sont conservés vingt-quatre heures. L’inventaire complet de ce qui existe est publié plutôt que résumé, ce qui est la seule version de cette affirmation qui vaille quelque chose.

Bulletproof : non, et le mot n’est pas le nôtre. Deux catégories de contenus sont refusées d’emblée : les contenus pédopornographiques et les contenus organisant des violences contre des personnes. Il n’y en a jamais eu de troisième. Tout le reste de la liste, y compris ce qui fait refuser des clients ailleurs, regarde le client. C’est une promesse plus étroite que « bulletproof », et bien plus durable, parce que c’est une promesse que nous pouvons tenir le jour où quelqu’un exerce une pression.

Six questions à poser à quiconque emploie ces mots

Elles valent pour nous comme pour n’importe qui d’autre, et les réponses doivent prendre moins d’une minute à un fournisseur compétent.

1. Quel instrument vous contraint, et sous quel nom ? Un fournisseur incapable de nommer le texte et la juridiction saisie n’y a pas réfléchi, ou y a réfléchi et préférerait que vous ne le fassiez pas.

2. Possédez-vous le matériel, et où la société est-elle immatriculée ? Des baies louées signifient un fournisseur en amont, avec son propre service des abus et son propre appétit pour le risque, et chaque niveau au-dessus de vous est une partie de plus qui peut mettre fin à votre service pour des raisons que vous ne verrez jamais.

3. Qu’avez-vous collecté sur moi à l’inscription, et combien de temps le conservez-vous ? C’est la question de la divulgation sous sa forme pratique. Des documents collectés sont des documents divulgables.

4. Combien de demandes de retrait avez-vous reçues le trimestre dernier, et sur combien avez-vous agi ? Deux chiffres. Un fournisseur qui les publie avance une affirmation réfutable ; un fournisseur qui ne les publie pas en avance une qui ne l’est pas.

5. Que refusez-vous, et la liste est-elle finie ? Un « tout ce que nous jugerons inapproprié » sans bornes est une clause qui signifie ce qui arrange le jour où on l’invoque.

6. Qu’advient-il de mes données si vous cessez de répondre ? Toutes les questions ci-dessus supposent que le fournisseur est encore là. Une déclaration signée et renouvelée à échéance régulière vaut mieux qu’une promesse faite une seule fois à l’inscription.

Si ces six réponses sont précises, le mot affiché sur la page d’accueil importe peu. Si elles ne le sont pas, aucun adjectif ne vous sauvera — et surtout pas celui qui, dans un prétoire, ne veut pas dire ce qu’il veut dire dans une publicité.

Rédigé par les ingénieurs qui exploitent la plateforme, et relu aujourd’hui. Si quelque chose ici est faux ou obsolète, dites-le depuis le panel — c’est de là que vient environ la moitié de ces pages.