Bulletproof hosting, e che cosa vogliono dire davvero queste parole

Cerchi un provider che non rimuova il Suo servizio su semplice richiesta e incontrerà quattro parole usate come se fossero intercambiabili: bulletproof, offshore, DMCA-ignored, DMCA-free. Non sono intercambiabili. Tre di esse descrivono qualcosa di reale, ogni volta una cosa diversa, e la quarta non descrive nulla. Acquistare sulla base di quella sbagliata è il modo in cui si finisce per pagare una promessa che il proprio provider non ha mai fatto.

Quattro parole, tre significati e un vuoto

Le prendiamo una alla volta, perché le differenze sono l'intero argomento.

Offshore — un'affermazione sulla geografia giuridica

«Offshore» dice che la macchina, e auspicabilmente la società che la possiede, rispondono a un sistema giuridico diverso dal Suo. Non dice altro. È un'affermazione su quale diritto si applica, non su che cosa quel diritto permette, e non su ciò che il provider sceglie di fare. Un provider può essere perfettamente offshore e rimuovere comunque il Suo servizio nel momento in cui qualcuno si lamenta, perché nulla in quella parola ne vincola il comportamento. È la più onesta delle quattro e, da sola, la meno informativa.

DMCA-ignored — un'affermazione su una singola legge

Il Digital Millennium Copyright Act è diritto degli Stati Uniti. Il suo meccanismo di notice-and-takedown, 17 U.S.C. § 512, subordina l'esenzione di responsabilità di un provider americano alla gestione di una procedura di rimozione: è il motivo per cui i provider americani rimuovono prima e chiedono dopo. Un provider stabilito fuori dagli Stati Uniti non ha alcuna esenzione di responsabilità da perdere e quindi nessuna ragione strutturale per rimuovere in via preventiva.

Quindi «DMCA-ignored», letto alla lettera, è un'affermazione di fatto sulla giurisdizione e non una politica di sfida. Nessuno sta ignorando una legge: quella legge non è mai stata rivolta a lui. La distinzione sembra pedante finché un provider che pubblicizza la formula non cede comunque — e a quel punto si scopre che descriveva un atteggiamento e non una posizione giuridica, e gli atteggiamenti cambiano quando un operatore di transito a monte fa una telefonata.

DMCA-free — una formula che non significa nulla

Nulla è «libero da» una legge a cui non è mai stato soggetto. Un datacenter di Chișinău non è più DMCA-free di quanto sia libero dal codice della strada californiano. La formula esiste perché converte bene, e la sua presenza nel marketing di un provider è un indizio ragionevole che il resto del marketing sia stato scritto allo stesso modo. È l'unica delle quattro a non portare alcuna informazione.

Bulletproof — una parola con un significato che non ha scelto Lei

Questa è diversa, e vale la pena saperlo prima di digitarla in un motore di ricerca. Nella letteratura sulla sicurezza informatica — report dei fornitori, annunci di sequestro delle forze dell'ordine, articoli accademici sulle infrastrutture di abuso — «bulletproof hosting» ha un significato consolidato: un provider che ospita consapevolmente infrastrutture criminali e vende quella consapevolezza come prodotto. Server di comando e controllo, kit di phishing, distribuzione di malware.

I venditori usano la parola per dire «non rimuoveremo il Suo sito di file sharing». I ricercatori e i pubblici ministeri la usano per indicare qualcosa di molto più ristretto e molto meno gradevole. Entrambi i significati sono in circolazione, e un provider che pubblicizza il termine sceglie di essere leggibile anche dal secondo pubblico, oltre che dal primo. Questo ha conseguenze per i vicini: i prefissi associati al termine accumulano voci nelle blocklist, e le blocklist non distinguono tra il cliente che gestisce un forum e il cliente che gestisce una botnet.

Che cosa si può realmente costringere un provider a fare

Sotto tutte e quattro le parole stanno tre verbi distinti, che i provider abitualmente confondono. Separarli è il modo più rapido per leggere qualsiasi politica di hosting.

Inoltrare. Trasmettere un reclamo al cliente e lasciare che decida lui. Questo non costa nulla al provider e non protegge nessuno tranne il cliente, ed è esattamente per questo che è l'unica cosa che un provider può fare liberamente. Un provider che inoltra e si ferma lì ha compiuto una scelta reale.

Rimuovere. Mettere offline il contenuto o la macchina. Negli Stati Uniti questo discende da una segnalazione; altrove richiede in genere un tribunale, oppure un provider che ha deciso di non aspettarlo. La distanza tra «una segnalazione può farlo» e «solo un giudice può farlo» è la maggiore differenza prodotta dalla giurisdizione, e si misura in settimane più che in principi.

Divulgare. Consegnare ciò che il provider sa del cliente. Questo verbo non è governato dal diritto d'autore, ed è quello che ci si dimentica di chiedere. Un provider può essere irremovibile sulla rimozione e del tutto collaborativo sulla divulgazione — e se ha raccolto documenti d'identità all'iscrizione, collaborare costa poco a lui e molto a Lei.

Dove si colloca questo provider in quell'elenco

Poiché lo scopo dell'esercizio è rendere i provider responsabili di ciò che dichiarano, ecco le nostre risposte negli stessi termini, verificabili sulle pagine che le contengono.

Offshore: sì, e in un solo Paese invece che in nove. Le macchine e la società si trovano entrambe nella Repubblica di Moldova. Un provider costituito in un Paese severo, che affitta armadi in un Paese permissivo, resta permissivo esattamente finché la propria sede centrale glielo consente.

DMCA: non ci raggiunge, ed è un fatto giurisdizionale e non una postura. Una segnalazione di violazione del diritto d'autore viene registrata, conteggiata, inoltrata al cliente alla lettera, e lì finisce il nostro coinvolgimento. Lo strumento che governa il diritto d'autore qui è la legge moldava, che prevede un rimedio giudiziario: chi rivendica un diritto propone un'azione davanti a un tribunale moldavo. Il conteggio trimestrale delle segnalazioni, e il numero di rimozioni che hanno provocato, è pubblicato.

Divulgazione: c'è pochissimo da divulgare. Non viene raccolto alcun documento d'identità in nessun momento, quindi non ce n'è alcuno da consegnare. I log di connessione sono conservati per ventiquattro ore. L'inventario completo di ciò che esiste è pubblicato invece che riassunto, ed è l'unica versione di quell'affermazione che valga qualcosa.

Bulletproof: no, e la parola non è nostra. Due categorie di contenuti sono rifiutate senza eccezioni: il materiale pedopornografico e il materiale che organizza la violenza contro le persone. Non c'è mai stata una terza. Tutto il resto dell'elenco, comprese le cose per cui altrove si viene rifiutati, sono affari del cliente. È una promessa più stretta di «bulletproof» e molto più durevole, perché è una promessa che possiamo mantenere quando qualcuno esercita pressione.

Sei domande per chiunque usi queste parole

Funzionano su di noi come su chiunque altro, e a un provider competente le risposte dovrebbero costare meno di un minuto.

1. Quale strumento La costringe, per nome? Un provider che non sa nominare la legge e il foro non ci ha pensato, oppure ci ha pensato e preferirebbe che non lo facesse Lei.

2. Possiede l'hardware, e dove è registrata la società? Armadi affittati significano un operatore di transito a monte con un proprio ufficio abusi e una propria propensione al rischio, e ogni livello sopra di Lei è un altro soggetto che può terminarLe il servizio per motivi che non vedrà mai.

3. Che cosa avete raccolto su di me all'iscrizione, e per quanto tempo lo conservate? È la domanda sulla divulgazione nella sua forma pratica. I documenti raccolti sono documenti divulgabili.

4. Quante richieste di rimozione avete ricevuto lo scorso trimestre, e su quante avete agito? Due numeri. Un provider che li pubblica fa un'affermazione falsificabile; un provider che non lo fa ne fa una infalsificabile.

5. Che cosa rifiutate, e l'elenco è finito? Un generico «qualsiasi cosa riteniamo inappropriata» è una clausola che significa ciò che è comodo il giorno in cui viene invocata.

6. Che cosa succede ai miei dati se smettete di rispondere? Ogni domanda precedente presuppone che il provider sia ancora lì. Una dichiarazione firmata e rinnovata a scadenza fissa vale più di una promessa fatta una sola volta all'iscrizione.

Se quelle sei risposte sono precise, la parola sulla homepage conta poco. Se non lo sono, nessun aggettivo La salverà — men che meno uno che in un'aula di tribunale significa qualcosa di diverso da ciò che significa in un annuncio pubblicitario.

Scritto dagli ingegneri che gestiscono la piattaforma, e riletto il oggi. Se qualcosa qui è sbagliato o non è più aggiornato, lo segnali dal pannello cliente — è da lì che proviene circa la metà di queste voci.