I livelli sopra il Suo server: dominio, CDN, transito

Scegliere dove risiede il server è una decisione su tre, e raramente è quella che determina l'esito. Sopra il server c'è un nome, gestito da qualcun altro. Davanti al server c'è, per la maggior parte dei siti, un reverse proxy gestito ancora da qualcun altro. Nessuno dei due è vincolato dalla politica del Suo host, nessuno dei due si trova nella giurisdizione del Suo host, ed entrambi possono essere obbligati ad agire da un tribunale che non ha alcuna autorità sul Suo host. Questa è la parte dello stack che l'hosting offshore non copre, ed è bene sapere esattamente dove si ferma.

Tre livelli, tre proprietari diversi

Un sito raggiungibile dipende da almeno tre attività separate, e falliscono in modo indipendente.

Il nome. Un registrar glielo ha venduto; un registro gestisce l'estensione sotto cui vive. Due società, di solito due Paesi, e la seconda non ha mai sentito parlare di Lei.

Il fronte. Se qualcosa risponde per Suo conto — una CDN, un reverse proxy, un edge anycast — termina le connessioni dei Suoi visitatori prima che il Suo server le veda. Per costruzione conosce quindi il Suo indirizzo di origine, e riceve i reclami.

Il filo e la macchina. Il Suo host, i suoi vettori di transito, la struttura, l'intervallo di indirizzi in cui si trova il Suo server. È il livello per cui si sceglie un fornitore, ed è l'unico dei tre che una giurisdizione di hosting governa davvero.

L'abitudine da abbandonare è pensare a questi elementi come a un acquisto unico. Sono tre, e mettere tutti e tre nelle stesse mani — o nello stesso sistema giuridico — è il modo in cui un solo provvedimento fa cadere tutto in una volta.

Il dominio: il registrar, e il registro sopra di esso

Il Suo registrar è il negozio. Il registro è il grossista che gestisce l'estensione, ed è il livello che quasi nessuno controlla prima di acquistare.

Che cosa obbliga un registrar ad agire

Dal 5 aprile 2024, i registrar accreditati hanno l'obbligo contrattuale di agire su ciò che l'ICANN chiama DNS Abuse: quando dispongono di prove attuabili, devono adottare tempestivamente le misure di mitigazione ragionevolmente necessarie per disattivare il nome. La metà utile di questa regola è la sua definizione. DNS Abuse significa malware, botnet, phishing, pharming e spam, dove lo spam è il vettore di distribuzione per uno degli altri. I contenuti del sito web sono esclusi, e il diritto d'autore è escluso — esplicitamente.

Lo legga come una soglia, non come una rassicurazione. Le dice quale forma deve assumere un reclamo prima che il Suo registrar sia obbligato ad agire; Le dice anche che tutto ciò che sta fuori da quell'elenco deve arrivare come provvedimento di un tribunale o di un'autorità, il che è più lento, verificabile e impugnabile. Vale la pena conoscere entrambe le metà prima del reclamo che sta per ricevere.

Che cosa può fare il registro, e dove si colloca

Un registro ha una sola leva, assoluta: può impostare sul Suo nome uno stato che lo rimuove dalla zona. A quel punto il nome non si risolve più per nessuno, da nessuna parte, indipendentemente da ciò che pensa il Suo registrar e da dove si trovi il Suo server. Nulla a livello di hosting attenua questo effetto, perché nulla a livello di hosting è coinvolto.

Non è teorico. Nel giugno 2026 un tribunale distrettuale del Texas ha emesso un writ of attachment che ordinava a Verisign, che gestisce .com, di porre motherless.com in registry hold. L'operatore era una società lussemburghese che aveva ignorato una sentenza del Texas emessa ai sensi della legge statale sulla verifica dell'età; il provvedimento fissava una cauzione di 9,14 milioni di dollari come condizione per riottenere il nome. Il sito non era ospitato in Texas e la società non si trovava in Texas. Il nome era in .com, e .com è gestito da una società statunitense sotto la giurisdizione degli Stati Uniti. Questo è bastato.

La lezione generalizzabile non riguarda quel caso specifico. È che l'estensione che sceglie è una scelta di giurisdizione, esattamente come il Paese in cui si trova il Suo server, e la maggior parte delle persone la fa per abitudine. Si chieda chi gestisce l'estensione, sotto quale legge, e se quel sistema giuridico ha l'abitudine di dare ordini ai registri. Poi decida se vuole che il Suo unico nome si trovi lì.

La privacy sul nome riguarda la pubblicazione, non la conoscenza

L'oscuramento WHOIS e RDAP ferma lo scraping massivo e la consultazione occasionale. Non rende il Suo registrar ignaro: l'accreditamento lo obbliga a conservare i dati di registrazione, e li divulga sotto processo legale come chiunque altro. Un servizio di privacy davanti al record è un'impostazione di pubblicazione, non uno scudo — e un registrar che non Le ha mai chiesto nulla non può divulgare ciò che non possiede, il che è una proprietà completamente diversa e l'unica per cui valga la pena pagare.

Il proxy davanti: che cosa rimuove, che cosa inoltra

Una CDN è un intermediario di caching. Non memorizza il Suo sito in modo duraturo, quindi «rimuovere il file» di solito non è qualcosa che può fare. Ciò che può fare è smettere di fare da proxy per Lei — il che, per un sito che dipende dal proxy per restare raggiungibile e per mantenere silenziosa la propria origine, è una rimozione e una divulgazione in un solo gesto.

Il comportamento più interessante è quello quotidiano, e il maggiore fornitore lo pubblica apertamente. Alla ricezione di una segnalazione di abuso su un sito di cui fa semplicemente da proxy, esso inoltrerà il Suo reclamo all'operatore del sito e al fornitore di hosting, e fornirà al fornitore di hosting l'indirizzo IP di origine del contenuto in questione. Entrambe le frasi sono citate dalla sua stessa politica sugli abusi, e sono l'opposto di ciò che gli acquirenti presumono di pagare.

Quindi il proxy non è un cuscinetto tra Lei e l'ufficio abusi del Suo host. È un corriere. Porta il reclamo al Suo host, e dice al Suo host esattamente quale macchina guardare. Se ha scelto il Suo host per come gestisce i reclami, va bene così — il reclamo arriva dove Lei voleva che arrivasse. Se ha scelto un proxy sperando che il reclamo si fermasse lì, non è così.

La documentazione dello stesso fornitore Le impone anche un obbligo: mantenere un indirizzo di contatto per gli abusi attivamente gestito e monitorato, e rispondere a ogni notifica di segnalazione di abuso entro ventiquattro ore. La mancata risposta in tempo può comportare la rimozione o il blocco del contenuto segnalato, e la sospensione o la cessazione dell'account. L'intermediario che non può rimuovere il Suo contenuto si è comunque scritto una clausola di rimozione, e un orologio.

Un'eccezione conta. Dove la stessa società fa anche da hosting — il suo object storage, la sua piattaforma serverless, i suoi prodotti media e pagine — per quel contenuto è un fornitore di hosting, lo dichiara essa stessa, e rimuove i contenuti secondo un processo di notice-and-takedown con contro-notifica, nella forma prescritta dal diritto statunitense. Due prodotti di uno stesso fornitore, due risposte completamente diverse. Sappia quale sta effettivamente usando.

Che cosa una CDN non nasconde, e come si trovano le origini

Molte persone mettono un proxy davanti a un server per un solo motivo: tenere l'indirizzo di origine fuori da internet pubblico. Vale la pena sapere quanto funzioni davvero, e la risposta onesta è che funziona finché uno di cinque errori ordinari non lo vanifica. Nessuno di questi è esotico; sono gli stessi fornitori di proxy a documentarli.

I record pubblicati prima del trasferimento. Il DNS è pubblico e viene archiviato. Quasi ogni sito che si è spostato dietro un proxy ha il proprio indirizzo precedente conservato, in modo permanente, nel dataset storico di qualcuno. La stessa indicazione dei fornitori è di ruotare l'indirizzo di origine dopo l'attivazione — se non l'ha fatto, il trasferimento è stato solo cosmetico.

I record lasciati senza proxy. Basta un solo sottodominio che punti direttamente alla macchina: mail, ftp, cpanel, dev, staging, vpn, l'host di monitoraggio configurato una volta e poi dimenticato. Controlli ogni record nella zona, non solo quelli che ricorda di aver creato.

La posta che esce dalla macchina. Se l'origine invia posta, il suo indirizzo viaggia nelle intestazioni. Invii un messaggio a un indirizzo inesistente e la notifica di mancata consegna arriverà portandolo con sé. La posta appartiene a una macchina diversa da quella che sta cercando di tenere silenziosa.

La certificate transparency. Ogni certificato pubblicamente attendibile viene registrato insieme ai nomi che copre. I registri non consegnano un indirizzo, ma consegnano l'elenco completo dei sottodomini da provare, compresi quelli che credeva privati.

La scansione su larga scala. L'intero spazio di indirizzi viene scansionato in continuo e indicizzato in base a ciò che risponde. Una pagina distintiva servita da un indirizzo nudo è una ricerca in un database, non un'indagine.

I rimedi sono ben noti, e conviene applicarli in ordine di efficacia piuttosto che in ordine di comodità.

1. Un tunnel solo in uscita. L'origine apre una connessione verso l'edge e non resta in ascolto su nulla. Non c'è alcuna porta da trovare, quindi l'indirizzo smette di essere interessante anche se trapela. È l'unica opzione dell'elenco che non dipende dal configurare correttamente una regola.
2. Il mutual TLS dall'edge. L'origine risponde solo a un client che presenta il certificato del proxy. L'indirizzo può trapelare; non risponderà comunque. Solido, e resiste anche se l'indirizzo diventa pubblico.
3. Il firewall verso gli intervalli pubblicati dal proxy. Meglio di niente e facile da distribuire, ma gli intervalli cambiano, e lo stesso confronto del fornitore segnala questo approccio come vulnerabile allo spoofing. Lo tratti come un minimo, non come una soluzione.
4. La manutenzione ordinaria. Ruoti l'indirizzo di origine una volta dietro l'edge, sposti la posta fuori dalla macchina, e controlli i record senza proxy dopo ogni modifica. La maggior parte delle esposizioni è una di queste tre cose, non un attacco sofisticato.

Un proxy nasconde l'origine a uno sconosciuto con un browser. Non la nasconde al proxy stesso — che la conosce per definizione, e che, al ricevimento di un reclamo, è tenuto a comunicarla al Suo fornitore di hosting.

Sotto la macchina: transito, prefisso, struttura

Sotto il Suo server c'è un ulteriore gruppo di soggetti, ed è quello di cui un host è di solito meno propenso a parlare.

I vettori di transito. Il Suo host acquista connettività da qualcuno. Quei vettori hanno propri uffici abusi, propri contratti e propria propensione al rischio, e un vettore che decide che Lei è un problema può prendere la decisione al posto del Suo host. Chieda quanti vettori ci sono — uno solo è al tempo stesso un unico punto di policy e un unico punto di guasto — e ponga la domanda più tagliente: il Suo host accetta, silenziosamente, blocklist imposte dal vettore sul Suo traffico?

Il prefisso che condivide. I sistemi di reputazione lavorano sugli intervalli di indirizzi, non sui clienti. Lei eredita i Suoi vicini, e li eredita senza che Le venga detto chi sono. È il costo concreto di un fornitore che si pubblicizza come rifugio per qualsiasi cosa: le blocklist colpiscono l'intervallo, e la Sua posta e le Sue chiamate API vi si trovano dentro.

La struttura e l'hardware. Armadi affittati significano un locatore con una propria politica sugli abusi che sta sopra il Suo host, invisibilmente, e ogni livello sopra il Suo host è un altro soggetto che può terminarLa per motivi che non vedrà mai.

Poiché lo scopo di questa guida è rendere ogni livello responsabile, ecco il nostro, negli stessi termini. Due vettori di transito, bilanciati via BGP, venti gigabit misti, verso Chișinău. Filtraggio di livello 3 e livello 4 a monte di ogni porta, per tutti, senza nulla da acquistare. Le blocklist imposte dal vettore non sono accettate sul traffico dei clienti: se qualcosa deve essere bloccato, lo dice un tribunale e glielo comunichiamo noi. L'hardware è di proprietà anziché affittato, in un solo Paese, dalla società da cui acquista — i dettagli sono su la pagina della rete e la pagina della struttura.

E il vuoto, detto chiaramente: non vendiamo domini, e non gestiamo il proxy che Lei mette davanti al Suo server. Quei due livelli sono Suoi. Tutto quanto detto sopra sui registri e sui reclami inoltrati Le si applica esattamente come scritto, e nessuna giurisdizione di hosting — inclusa la nostra — ne cambia una parola.

Affidare i tre livelli a tre mani diverse

L'intera guida si riduce a una manciata di decisioni, e nessuna di esse costa nulla.

1. Tre livelli, tre fornitori, tre famiglie giuridiche. Nome, edge e server nelle mani di un'unica società sono a un solo provvedimento dal nulla. In tre mani diverse, un provvedimento contro uno qualsiasi di essi lascia gli altri due funzionanti e Le lascia tempo.
2. Ponga a ogni livello le stesse tre domande. Che cosa può essere costretto a inoltrare, che cosa può essere costretto a rimuovere, e che cosa può essere costretto a divulgare? Falliscono in modo indipendente, e un fornitore che risponde a tutte e tre in una sola frase non ha capito la domanda.
3. Configuri come se il proxy inoltrasse, perché lo fa. Presupponga che ogni reclamo raggiunga il Suo host con allegato il Suo indirizzo di origine. Se questo esito è un problema, il rimedio sta a livello di hosting o in ciò che pubblica — non nell'aggiungere un altro intermediario.
4. Chiuda correttamente l'origine. Tunnel solo in uscita o mutual TLS; posta su una macchina diversa; rotazione dell'indirizzo dopo l'attivazione; controllo dei record senza proxy. Quattro voci, tutte noiose, che coprono quasi ogni esposizione reale.
5. Tratti il nome come il Suo unico punto di guasto, e se ne prepari. Sappia quale registro gestisce la Sua estensione e sotto quale legge. Tenga un secondo nome, con un'estensione diversa, presso un registrar diverso, e sappia in anticipo come direbbe alle persone di usarlo.

Nulla di tutto questo depone contro l'uso di un proxy davanti al Suo server, e nulla depone contro l'hosting offshore — saremmo una fonte strana per entrambi gli argomenti. Depone per il fatto che i tre livelli sono tre acquisti separati con tre modalità di guasto separate, e che quello su cui la maggior parte delle persone si concentra di più non è quello più probabile a farli cadere. Se vuole che il livello che gestiamo davvero sia tenuto allo stesso standard, i numeri trimestrali e la pagina delle forze dell'ordine sono dove verificarlo.

Scritto dagli ingegneri che gestiscono la piattaforma, e riletto il oggi. Se qualcosa qui è sbagliato o non è più aggiornato, lo segnali dal pannello cliente — è da lì che proviene circa la metà di queste voci.