De lagen boven uw server: domein, CDN, transit

Kiezen waar de server staat, is één beslissing van drie, en het is zelden de beslissing die de uitkomst bepaalt. Boven de server staat een naam, beheerd door iemand anders. Vóór de server staat, bij de meeste sites, een reverse proxy, beheerd door weer iemand anders. Geen van beide is gebonden aan het beleid van uw host, geen van beide valt onder de jurisdictie van uw host, en beide kunnen tot handelen worden gedwongen door een rechter die geen enkel bereik heeft over uw host. Dit is het deel van de stack dat offshore hosting niet dekt, en het is de moeite waard precies te weten waar die dekking ophoudt.

Drie lagen, drie verschillende eigenaren

Een site die überhaupt bereikbaar is, hangt af van minstens drie afzonderlijke bedrijven, en ze falen onafhankelijk van elkaar.

De naam. Een registrar heeft hem aan u verkocht; een registry beheert de extensie waaronder hij bestaat. Twee bedrijven, meestal twee landen, en het tweede heeft nog nooit van u gehoord.

De voorkant. Antwoordt er iets namens u — een CDN, een reverse proxy, een anycast-netwerk — dan beëindigt dat de verbindingen van uw bezoekers voordat uw server ze te zien krijgt. Het kent daardoor per constructie uw oorsprongsadres, en het ontvangt de klachten.

De kabel en de machine. Uw host, zijn transitproviders, de faciliteit, de adresreeks waarin uw server staat. Dit is de laag waarop mensen vergelijken en kopen, en het is de enige van de drie waarover een hostingjurisdictie werkelijk gaat.

De gewoonte die het waard is af te leren, is deze drie als één aankoop te zien. Het zijn er drie, en alle drie in één hand leggen — of in één rechtssysteem — is precies hoe één enkel bevel alles tegelijk platlegt.

Het domein: de registrar, en de registry daarboven

Uw registrar is de winkel. De registry is de groothandel die de extensie beheert, en het is de laag die bijna niemand controleert vóór de aankoop.

Wat een registrar in beweging zet

Sinds 5 april 2024 dragen geaccrediteerde registrars een contractuele plicht om op te treden tegen wat ICANN „DNS Abuse” noemt: beschikken ze over bruikbaar bewijs, dan moeten ze onverwijld de mitigerende maatregelen nemen die redelijkerwijs nodig zijn om de naam te verstoren. De nuttige helft van die regel is haar definitie. DNS Abuse betekent malware, botnets, phishing, pharming, en spam waarbij spam het verspreidingskanaal is voor een van de andere drie. Website-inhoud valt buiten de reikwijdte, en auteursrecht valt buiten de reikwijdte — expliciet.

Lees dit als een drempel, niet als een geruststelling. Het vertelt u welke vorm een klacht moet hebben voordat uw registrar verplicht is te bewegen; het vertelt u ook dat alles buiten die lijst moet binnenkomen als een bevel van een rechter of een autoriteit, en dat is trager, controleerbaar, en vatbaar voor beroep. Beide helften zijn de moeite waard om te kennen voordat u de klacht afhandelt die u op het punt staat te ontvangen.

Wat de registry kan doen, en waar ze staat

Een registry heeft één absolute hendel: ze kan op uw naam een status zetten die hem uit de zone verwijdert. De naam resolvet dan voor niemand meer, waar dan ook, ongeacht wat uw registrar ervan vindt en ongeacht waar uw server staat. Niets op het hostingniveau verzacht dit, want niets op het hostingniveau is erbij betrokken.

Het is niet theoretisch. In juni 2026 vaardigde een districtsrechtbank in Texas een beslagbevel uit dat Verisign, dat .com beheert, opdroeg motherless.com op registry hold te zetten. De exploitant was een Luxemburgs bedrijf dat een Texaans vonnis onder de leeftijdsverificatiewet van de staat had genegeerd; het bevel stelde een borgsom van 9,14 miljoen dollar als voorwaarde om de naam terug te krijgen. De site was niet in Texas gehost en het bedrijf zat niet in Texas. De naam stond onder .com, en .com wordt beheerd door een Amerikaans bedrijf onder Amerikaanse jurisdictie. Dat volstond.

De les die zich laat veralgemenen, gaat niet over die zaak. Ze is dat de extensie die u kiest een jurisdictiekeuze is, precies zoals het land waar uw server staat, en de meeste mensen maken die keuze uit gewoonte. Vraag wie de extensie beheert, onder welk recht, en of dat rechtssysteem de gewoonte heeft registries bevelen te geven. Beslis dan of u daar uw enige naam wilt hebben.

Privacy op de naam gaat over publicatie, niet over kennis

Het afschermen van WHOIS en RDAP houdt de bulkscraper en de toevallige zoeker tegen. Het maakt uw registrar niet onwetend: accreditatie verplicht hem om registratiegegevens te bewaren, en hij geeft die gegevens vrij onder een gerechtelijk bevel, zoals ieder ander. Een privacydienst vóór het record is een publicatie-instelling, geen schild — en een registrar die u nooit iets heeft gevraagd, kan niet vrijgeven wat hij niet heeft, en dat is een geheel andere eigenschap, en de enige die het betalen waard is.

De proxy vóór u: wat hij verwijdert, wat hij doorstuurt

Een CDN is een cachende tussenpersoon. Hij slaat uw site niet duurzaam op, dus „het bestand verwijderen” is meestal iets wat hij niet kan doen. Wat hij wél kan doen, is stoppen met u te proxyen — en voor een site die van de proxy afhankelijk is om bereikbaar te blijven en om haar oorsprongsserver stil te houden, is dat in één beweging zowel een verwijdering als een onthulling.

Het interessantere gedrag is het alledaagse, en de grootste aanbieder publiceert het gewoon. Ontvangt hij een misbruikmelding over een site die hij slechts proxyt, dan stuurt hij uw klacht door naar de websitebeheerder en naar de hostingprovider, en verstrekt hij de hostingprovider het oorsprongsadres van de betrokken inhoud. Beide zinsneden zijn letterlijk overgenomen uit zijn eigen abusebeleid, en ze zijn het tegenovergestelde van wat kopers denken te betalen.

De proxy is dus geen buffer tussen u en de abuse-afdeling van uw host. Hij is een koerier. Hij brengt de klacht naar uw host, en hij vertelt uw host precies naar welke machine te kijken. Koos u uw host op basis van hoe hij klachten afhandelt, dan is dat prima — de klacht komt aan waar u wilde dat ze aankwam. Koos u een proxy in de hoop dat de klacht daar zou stoppen, dan gebeurt dat niet.

De documentatie van diezelfde aanbieder legt ook een verplichting op aan u: houd een abuse-contactadres aan dat actief wordt beheerd en gemonitord, en reageer binnen vierentwintig uur op elke notificatie van een misbruikmelding. Reageert u niet op tijd, dan kan dat leiden tot verwijdering of blokkering van de gerapporteerde inhoud, en tot opschorting of beëindiging van het account. De tussenpersoon die uw inhoud niet kan verwijderen, heeft zichzelf niettemin een verwijderingsclausule toegeëigend — en een klok.

Eén uitzondering telt. Waar hetzelfde bedrijf ook host — zijn objectopslag, zijn serverless platform, zijn producten voor media en pagina's — is het voor die inhoud een hostingprovider, zegt het dat ook zelf, en verwijdert het inhoud via een notice-and-takedown-proces met tegenmelding, in de vorm die het Amerikaanse recht voorschrijft. Twee producten van één leverancier, twee volledig verschillende antwoorden. Weet welke van de twee u eigenlijk gebruikt.

Wat een CDN niet verbergt, en hoe oorsprongsservers worden gevonden

Veel mensen zetten om precies één reden een proxy vóór hun server: om het oorsprongsadres van het publieke internet weg te houden. Het is de moeite waard om te weten hoe goed dat in de praktijk werkt, en het eerlijke antwoord is dat het werkt totdat een van vijf gewone fouten het ongedaan maakt. Geen ervan is exotisch; de proxyleveranciers documenteren ze zelf.

De records die u publiceerde vóórdat u verhuisde. DNS is openbaar en wordt gearchiveerd. Bijna elke site die achter een proxy is gaan schuilen, heeft haar adres van vóór de verhuizing permanent staan in de historische dataset van iemand anders. De leverancier zelf adviseert om het oorsprongsadres te roteren na onboarding — deed u dat niet, dan was de verhuizing cosmetisch.

De records die u niet achter de proxy zette. Eén subdomein dat rechtstreeks naar de machine wijst is genoeg: mail, ftp, cpanel, dev, staging, vpn, de monitoringhost die u ooit hebt opgezet. Controleer elk record in de zone, niet alleen de records waarvan u zich herinnert ze te hebben aangemaakt.

Mail die de machine verlaat. Verstuurt de oorsprongsserver mail, dan reist het adres mee in de headers. Stuur een bericht naar een adres dat niet bestaat, en de bounce arriveert met dat adres erin. Mail hoort op een andere machine dan de machine die u probeert stil te houden.

Certificate transparency. Elk publiekelijk vertrouwd certificaat wordt gelogd met de namen die het dekt. De logs geven geen adres prijs, maar wel de complete lijst subdomeinen om te proberen, inclusief de subdomeinen waarvan u dacht dat ze privé waren.

Massale scans. De volledige adresruimte wordt continu gescand en geïndexeerd op basis van wat er antwoordt. Een herkenbare pagina die vanaf een kaal adres wordt geserveerd, is een kwestie van een databasequery, geen onderzoek.

De oplossingen zijn goed bekend, en het loont om ze op volgorde van sterkte te doorlopen, niet op volgorde van gemak.

1. Een tunnel met alleen uitgaand verkeer. De oorsprongsserver opent zelf een verbinding naar de edge en luistert nergens op. Er is geen poort te vinden, dus het adres houdt op interessant te zijn, zelfs als het uitlekt. Dit is de enige optie op de lijst die niet afhangt van het correct instellen van een regel.
2. Mutual TLS vanaf de edge. De oorsprongsserver antwoordt alleen aan een client die het certificaat van de proxy toont. Het adres kan uitlekken; de server reageert er dan niet op. Sterk, en het blijft werken zodra het adres publiek wordt.
3. Firewall op de gepubliceerde reeksen van de proxy. Beter dan niets en eenvoudig in te zetten, maar de reeksen veranderen, en de leverancier zelf noemt deze aanpak in zijn eigen vergelijking kwetsbaar voor spoofing. Behandel het als een ondergrens, niet als een oplossing.
4. Onderhoud. Roteer het oorsprongsadres zodra u achter de edge zit, verplaats mail van de machine af, en controleer na elke wijziging de records zonder proxy ervoor. De meeste blootstellingen zijn een van deze drie, geen slimme aanval.

Een proxy verbergt de oorsprongsserver voor een vreemde met een browser. Hij verbergt de oorsprongsserver niet voor de proxy zelf — die kent hem per definitie, en die is, zodra er een klacht binnenkomt, verplicht om aan uw hostingprovider te vertellen wat hij is.

Onder de machine: transit, prefix, faciliteit

Onder uw server bevindt zich nog een laatste groep partijen, en het zijn de partijen waarover een host doorgaans het minst graag praat.

Transitproviders. Uw host koopt connectiviteit in bij iemand anders. Die providers hebben hun eigen abuse-afdelingen, contracten en risicobereidheid, en een provider die besluit dat u een probleem bent, kan de beslissing voor uw host nemen. Vraag hoeveel providers er zijn — één is zowel een single point of policy als een single point of failure — en stel de scherpere vraag: accepteert uw host, stilzwijgend, blocklists van de transitprovider op uw verkeer?

De prefix die u deelt. Reputatiesystemen werken op basis van adresreeksen, niet op basis van klanten. U erft uw buren, en u erft ze zonder te horen wie ze zijn. Dat is de concrete prijs van een aanbieder die zichzelf adverteert als toevluchtsoord voor werkelijk alles: de blocklists komen binnen op de reeks, en uw mail en uw API-aanroepen zitten daarbinnen.

De faciliteit en de hardware. Gehuurde racks betekenen een verhuurder met een eigen abusebeleid, onzichtbaar boven uw host, en elke laag boven uw host is nog een partij die u kan afsluiten om redenen die u nooit te zien krijgt.

Omdat het doel van deze gids is elke laag aanspreekbaar te maken, volgt hier deze laag in dezelfde termen. Twee transitproviders, BGP-gebalanceerd, twintig gigabit blended, naar Chișinău. Laag 3- en laag 4-filtering vóór elke poort, voor iedereen, zonder dat er iets bijgekocht hoeft te worden. Blocklists van transitproviders worden niet toegepast op klantverkeer: moet er iets worden geblokkeerd, dan zegt een rechter dat, en laten wij het u weten. De hardware is eigendom in plaats van gehuurd, in één land, van het bedrijf waarvan u koopt — de details staan op de netwerkpagina en de faciliteitspagina.

En het gat, ronduit gezegd: wij verkopen geen domeinen, en wij beheren niet de proxy die u vóór uw server zet. Die twee lagen zijn van u. Alles hierboven over registries en over doorgestuurde klachten geldt voor u precies zoals het er staat, en geen enkele hostingjurisdictie — de onze inbegrepen — verandert daar een woord aan.

De drie lagen in drie verschillende handen leggen

De hele gids komt neer op een handvol beslissingen, en geen ervan kost iets.

1. Drie lagen, drie leveranciers, drie rechtsfamilies. Naam, edge en server in de handen van één bedrijf is één bevel verwijderd van niets. In drie handen laat een bevel tegen één ervan de andere twee gewoon werken, en geeft het u tijd.
2. Stel elke laag dezelfde drie vragen. Wat kan men u dwingen te doorsturen, wat kan men u dwingen te verwijderen, en wat kan men u dwingen te verstrekken? Ze falen onafhankelijk van elkaar, en een leverancier die alle drie in één zin beantwoordt, heeft de vraag niet begrepen.
3. Configureer alsof de proxy doorstuurt, want dat doet hij. Ga ervan uit dat elke klacht uw host bereikt met uw oorsprongsadres erbij. Is die uitkomst een probleem, dan ligt de oplossing op het hostingniveau of in wat u publiceert — niet in het toevoegen van nog een tussenpartij.
4. Sluit de oorsprongsserver goed af. Een tunnel met alleen uitgaand verkeer of mutual TLS; mail op een andere machine; het adres roteren na onboarding; records zonder proxy controleren. Vier punten, stuk voor stuk saai, en samen dekken ze bijna elke echte blootstelling.
5. Behandel de naam als uw single point of failure, en plan ervoor. Weet welke registry uw extensie beheert en onder welk recht. Houd een tweede naam achter de hand, in een andere extensie, bij een andere registrar, en weet vooraf hoe u mensen zou vertellen die te gebruiken.

Niets hiervan pleit tegen het plaatsen van een proxy vóór uw server, en niets ervan pleit tegen offshore hosting — wij zouden een merkwaardige bron zijn voor beide argumenten. Het pleit ervoor dat de drie lagen drie afzonderlijke aankopen zijn met drie afzonderlijke faalwijzen, en dat de laag die de meeste mensen het scherpst doorlichten niet de laag is die hen het waarschijnlijkst de das omdoet. Wilt u de laag die wij wél beheren aan dezelfde maatstaf houden, dan vindt u die controle op de kwartaalcijfers en de pagina voor rechtshandhaving.

Geschreven door de engineers die het platform beheren, en herzien op vandaag. Als hier iets onjuist is of verouderd is geraakt, meld dat via het klantenpaneel — dat is waar ongeveer de helft hiervan vandaan komt.