Warstwy nad serwerem: domena, CDN i tranzyt

Wybór miejsca, w którym stoi serwer, to tylko jedna decyzja z trzech, i rzadko to ona rozstrzyga o wyniku. Nad serwerem znajduje się nazwa, obsługiwana przez kogoś innego. Przed serwerem, w większości serwisów, stoi odwrotne proxy, obsługiwane przez jeszcze kogoś innego. Żadne z nich nie podlega polityce Państwa dostawcy, żadne nie znajduje się w jego jurysdykcji, a oba mogą otrzymać nakaz działania od sądu, który nad Państwa dostawcą nie ma żadnej władzy. To właśnie ta część stosu, której hosting offshore nie obejmuje, i warto dokładnie wiedzieć, gdzie się on kończy.

Trzy warstwy, trzej różni właściciele

Serwis, który w ogóle jest osiągalny, zależy od co najmniej trzech odrębnych firm, a zawodzą one niezależnie od siebie.

Nazwa. Sprzedał ją Państwu rejestrator; rozszerzenie, pod którym działa, obsługuje rejestr. Dwie firmy, zwykle dwa kraje, a ta druga nigdy o Państwu nie słyszała.

Front. Jeśli coś odpowiada w Państwa imieniu — CDN, odwrotne proxy, węzeł anycast — kończy ono połączenia odwiedzających, zanim dotrą one do Państwa serwera. Z definicji zna więc Państwa adres źródłowy i to ono otrzymuje skargi.

Kabel i maszyna. Państwa dostawca, jego operatorzy tranzytu, obiekt, zakres adresów, w którym stoi Państwa serwer. To warstwa, której ludzie zwykle szukają, i jedyna z trzech, którą jurysdykcja hostingu rzeczywiście reguluje.

Nawyk, który warto porzucić, to traktowanie tego jako jednego zakupu. To trzy zakupy, a umieszczenie wszystkich trzech w jednych rękach — albo w jednym systemie prawnym — sprawia, że jeden nakaz wyłącza wszystko naraz.

Domena: rejestrator i rejestr, który stoi nad nim

Państwa rejestrator to sklep. Rejestr to hurtownik, który obsługuje rozszerzenie, i to warstwa, której prawie nikt nie sprawdza przed zakupem.

Co porusza rejestratora do działania

Od 5 kwietnia 2024 roku akredytowani rejestratorzy ponoszą umowny obowiązek działania w sprawach, które ICANN określa jako DNS Abuse: gdy dysponują możliwym do wykorzystania dowodem, muszą niezwłocznie podjąć środki łagodzące rozsądnie konieczne do zakłócenia działania nazwy. Użyteczna część tej zasady to jej definicja. DNS Abuse oznacza złośliwe oprogramowanie, botnety, phishing, pharming i spam, gdy spam jest wektorem dostarczania jednego z pozostałych. Treść witryny jest poza zakresem, a prawo autorskie jest poza zakresem — wprost.

Warto czytać to jako próg, a nie jako pociechę. Mówi, jaki kształt musi mieć skarga, zanim Państwa rejestrator będzie zobowiązany do działania; mówi też, że wszystko poza tą listą musi przyjść w postaci nakazu sądu albo organu, co jest wolniejsze, sprawdzalne i zaskarżalne. Obie połowy warto znać, zanim otrzymają Państwo skargę, która nadejdzie.

Co może zrobić rejestr i gdzie on się znajduje

Rejestr dysponuje jedną, bezwzględną dźwignią: może nadać Państwa nazwie status, który usuwa ją ze strefy. Nazwa przestaje wtedy rozwiązywać się dla kogokolwiek, gdziekolwiek, niezależnie od tego, co myśli Państwa rejestrator, i niezależnie od tego, gdzie stoi Państwa serwer. Nic na poziomie hostingu tego nie łagodzi, ponieważ nic na poziomie hostingu nie bierze w tym udziału.

To nie jest teoria. W czerwcu 2026 roku sąd okręgowy w Teksasie wydał nakaz zajęcia, nakazujący Verisign, operatorowi .com, objęcie domeny motherless.com blokadą na poziomie rejestru. Operatorem był podmiot z Luksemburga, który zignorował wyrok teksaskiego sądu wydany na podstawie stanowej ustawy o weryfikacji wieku; nakaz ustalił kaucję w wysokości 9,14 mln USD jako warunek odzyskania nazwy. Serwis nie był hostowany w Teksasie, a firma nie miała siedziby w Teksasie. Nazwa znajdowała się w .com, a .com jest obsługiwana przez amerykańską firmę podlegającą prawu Stanów Zjednoczonych. To wystarczyło.

Wniosek, który da się uogólnić, nie dotyczy tej konkretnej sprawy. Dotyczy tego, że wybrane rozszerzenie to wybór jurysdykcji, dokładnie tak samo jak kraj, w którym stoi Państwa serwer, a większość ludzi wybiera je z przyzwyczajenia. Warto zapytać, kto obsługuje rozszerzenie, pod jakim prawem, i czy ten system prawny ma praktykę wydawania rejestrom nakazów. Potem zdecydować, czy tam właśnie chcą Państwo trzymać swoją jedyną nazwę.

Prywatność nazwy dotyczy publikacji, nie wiedzy

Redakcja WHOIS i RDAP powstrzymuje masowe skrobanie danych i przypadkowe przeglądanie. Nie sprawia, że Państwa rejestrator niczego nie wie: akredytacja zobowiązuje go do przechowywania danych rejestracyjnych, a ujawnia je na podstawie procedury prawnej, tak jak każdy inny podmiot. Usługa prywatności nałożona na rekord to ustawienie publikacji, nie tarcza — a rejestrator, który nigdy o nic Państwa nie poprosił, nie może ujawnić czegoś, czego nie posiada, co jest zupełnie inną własnością i jedyną, za którą warto płacić.

Proxy z przodu: co usuwa, co przekazuje dalej

CDN to pośrednik buforujący. Nie przechowuje trwale Państwa serwisu, więc „zdejmijcie plik” zwykle nie jest czymś, co może zrobić. Może natomiast przestać Państwa proxować — co dla serwisu, który zależy od proxy, by pozostać osiągalnym i by jego serwer źródłowy pozostał w ukryciu, jest jednocześnie usunięciem i ujawnieniem.

Bardziej interesujące jest zachowanie codzienne, a największy dostawca opisuje je wprost. Po otrzymaniu zgłoszenia nadużycia dotyczącego serwisu, który jedynie proxuje, przekaże Państwa skargę operatorowi witryny i dostawcy hostingu, a dostawcy hostingu przekaże adres IP serwera źródłowego treści, której dotyczy zgłoszenie. Oba te fragmenty pochodzą z jego własnej polityki przeciwdziałania nadużyciom i są dokładnym przeciwieństwem tego, za co zdaniem kupujących płacą.

Proxy nie jest więc buforem między Państwem a działem zgłoszeń Państwa dostawcy. Jest kurierem. Niesie skargę do Państwa dostawcy i mówi mu dokładnie, którą maszynę sprawdzić. Jeśli wybrali Państwo dostawcę ze względu na to, jak obsługuje skargi, to w porządku — skarga trafia tam, gdzie miała trafić. Jeśli liczyli Państwo, że proxy zatrzyma skargę u siebie, to się nie stanie.

Dokumentacja tego samego dostawcy nakłada też obowiązek na Państwa: utrzymywać aktywnie zarządzany i monitorowany adres kontaktowy do zgłoszeń nadużyć oraz odpowiadać na każde powiadomienie o nadużyciu w ciągu dwudziestu czterech godzin. Brak odpowiedzi w terminie może skutkować usunięciem lub zablokowaniem zgłoszonej treści oraz zawieszeniem lub zakończeniem konta. Pośrednik, który nie może usunąć Państwa treści, i tak napisał sobie klauzulę usunięcia — oraz zegar.

Jeden wyjątek ma znaczenie. Tam, gdzie ta sama firma również hostuje — jej pamięć obiektowa, platforma bezserwerowa, produkty do mediów i stron — jest dla tej treści dostawcą hostingu, sama to mówi, i usuwa treść w ramach procedury zgłoszenia i usunięcia z możliwością kontrnotyfikacji, w kształcie przewidzianym przez prawo Stanów Zjednoczonych. Dwa produkty jednego dostawcy, dwie zupełnie różne odpowiedzi. Warto wiedzieć, z którego faktycznie Państwo korzystają.

Czego CDN nie ukrywa i jak znajdowane są serwery źródłowe

Wiele osób stawia proxy przed serwerem z jednego powodu: żeby utrzymać adres źródłowy z dala od publicznego internetu. Warto wiedzieć, jak dobrze sprawdza się to w praktyce, a uczciwa odpowiedź brzmi: działa, dopóki jednego z pięciu zwyczajnych błędów tego nie zniweczy. Żaden z nich nie jest egzotyczny; sami dostawcy proxy je dokumentują.

Rekordy opublikowane, zanim się Państwo przenieśli. DNS jest publiczny i jest archiwizowany. Niemal każdy serwis, który przeszedł za proxy, ma swój adres sprzed przeprowadzki zapisany na stałe w czyimś historycznym zbiorze danych. Wskazówka samego dostawcy brzmi: rotować adres źródłowy po wdrożeniu — jeśli Państwo tego nie zrobili, przeprowadzka była kosmetyczna.

Rekordy pozostawione bez proxy. Wystarczy jedna subdomena wskazująca wprost na maszynę: poczta, ftp, cpanel, dev, staging, vpn, host monitorujący, który skonfigurowali Państwo kiedyś i o nim zapomnieli. Warto przejrzeć każdy rekord w strefie, nie tylko te, które pamiętają Państwo, że utworzyli.

Poczta wychodząca z maszyny. Jeśli serwer źródłowy wysyła pocztę, jego adres podróżuje w nagłówkach. Wystarczy wysłać wiadomość na nieistniejący adres, a zwrotka przyjdzie z tym adresem w środku. Poczta powinna działać na innej maszynie niż ta, którą Państwo próbują utrzymać w ukryciu.

Przejrzystość certyfikatów. Każdy publicznie zaufany certyfikat jest odnotowywany w logach wraz z nazwami, które obejmuje. Logi nie wydają adresu, ale wydają pełną listę subdomen do wypróbowania, łącznie z tymi, które Państwo uważali za prywatne.

Skanowanie hurtowe. Cała przestrzeń adresowa jest skanowana bez przerwy i indeksowana według tego, co odpowiada. Charakterystyczna strona serwowana z gołego adresu to wyszukiwanie w bazie danych, nie śledztwo.

Rozwiązania są dobrze znane i warto je stosować w kolejności siły, nie wygody.

1. Tunel wychodzący. Serwer źródłowy sam otwiera połączenie do węzła brzegowego i nie nasłuchuje na niczym. Nie ma portu do znalezienia, więc adres przestaje być interesujący, nawet jeśli wycieknie. To jedyna opcja z tej listy, która nie zależy od poprawnego skonfigurowania reguły.
2. Mutual TLS od strony węzła brzegowego. Serwer źródłowy odpowiada wyłącznie klientowi, który przedstawi certyfikat proxy. Adres może wyciec; i tak nie odpowie. Rozwiązanie mocne, przetrwa nawet upublicznienie adresu.
3. Firewall na opublikowane zakresy adresów proxy. Lepsze niż nic i łatwe do wdrożenia, ale zakresy się zmieniają, a samo porównanie dostawcy oznacza to podejście jako podatne na spoofing. Traktować to jako podłogę, nie rozwiązanie.
4. Porządki. Rotować adres źródłowy po przejściu za węzeł brzegowy, przenieść pocztę poza maszynę i przeglądać rekordy bez proxy po każdej zmianie. Większość ekspozycji to jedna z tych trzech rzeczy, nie sprytny atak.

Proxy ukrywa serwer źródłowy przed nieznajomym z przeglądarką. Nie ukrywa go przed samym proxy — które zna go z definicji i które, po otrzymaniu skargi, zobowiązuje się poinformować Państwa dostawcę hostingu, czym on jest.

Pod maszyną: tranzyt, prefiks, obiekt

Poniżej Państwa serwera znajduje się jeszcze jeden zestaw podmiotów, i to ten, o którym dostawca zwykle najmniej chętnie rozmawia.

Operatorzy tranzytu. Państwa dostawca kupuje łączność od kogoś. Ci operatorzy mają własne działy zgłoszeń nadużyć, własne umowy i własny apetyt na ryzyko, a operator, który uzna Państwa za kłopot, może podjąć decyzję za Państwa dostawcę. Warto zapytać, ilu jest operatorów — jeden to pojedynczy punkt polityki, tak samo jak pojedynczy punkt awarii — i zadać ostrzejsze pytanie: czy Państwa dostawca akceptuje listy blokad ze strony operatora, po cichu, na Państwa ruchu?

Prefiks, który Państwo dzielą z innymi. Systemy reputacji działają na zakresach adresów, nie na klientach. Dziedziczą Państwo swoich sąsiadów, nie wiedząc nawet, kim są. To konkretny koszt dostawcy, który reklamuje się jako schronienie dla wszystkiego: listy blokad trafiają w zakres, a Państwa poczta i wywołania API znajdują się w jego środku.

Obiekt i sprzęt. Wynajęte szafy oznaczają operatora nad Państwa dostawcą, z własną polityką wobec nadużyć, niewidocznie, a każda warstwa nad Państwa dostawcą to kolejny podmiot, który może zakończyć usługę z powodów, których Państwo nigdy nie zobaczą.

Skoro celem tego przewodnika jest uczynienie każdej warstwy odpowiedzialną, oto ta warstwa opisana w tych samych kategoriach. Dwaj operatorzy tranzytu, równoważeni przez BGP, dwadzieścia gigabitów w paśmie mieszanym, do Kiszyniowa. Filtrowanie warstwy 3 i warstwy 4 przed każdym portem, dla każdego, bez niczego do dokupienia. Listy blokad ze strony operatora nie są akceptowane na ruchu klientów: jeśli coś ma zostać zablokowane, mówi o tym sąd, a my informujemy Państwa. Sprzęt jest własnością, nie jest wynajęty, znajduje się w jednym kraju, należącym do firmy, od której Państwo kupują — szczegóły znajdują się na stronie sieci i stronie obiektu.

I luka, powiedziana wprost: nie sprzedajemy domen i nie obsługujemy proxy, które stawiają Państwo przed swoim serwerem. Te dwie warstwy należą do Państwa. Wszystko powyżej, o rejestrach i o przekazywanych skargach, dotyczy Państwa dokładnie tak, jak zostało napisane, i żadna jurysdykcja hostingu — łącznie z naszą — nie zmienia w tym ani słowa.

Trzy warstwy w trzech różnych rękach

Cały ten przewodnik sprowadza się do garści decyzji, i żadna z nich nic nie kosztuje.

1. Trzy warstwy, trzej dostawcy, trzy rodziny prawne. Nazwa, brzeg sieci i serwer w rękach jednej firmy to jeden nakaz od zera. W trzech różnych rękach nakaz przeciwko jednej z nich zostawia dwie pozostałe działające i zostawia Państwu czas.
2. Proszę zadać każdej warstwie te same trzy pytania. Do czego można ją zmusić, by przekazała, do czego można ją zmusić, by usunęła, i do czego można ją zmusić, by ujawniła? Zawodzą niezależnie od siebie, a dostawca, który odpowiada na wszystkie trzy jednym zdaniem, nie zrozumiał pytania.
3. Proszę konfigurować tak, jakby proxy przekazywało dalej, bo tak właśnie robi. Proszę założyć, że każda skarga dociera do Państwa dostawcy z dołączonym adresem serwera źródłowego. Jeśli taki skutek stanowi problem, rozwiązanie leży na poziomie hostingu albo w tym, co Państwo publikują — nie w dodawaniu kolejnego pośrednika.
4. Proszę właściwie zamknąć serwer źródłowy. Tunel wychodzący albo mutual TLS; poczta na innej maszynie; rotacja adresu po wdrożeniu; przegląd rekordów bez proxy. Cztery pozycje, wszystkie nudne, a pokrywają niemal każdą realną ekspozycję.
5. Proszę traktować nazwę jako Państwa pojedynczy punkt awarii i zaplanować to. Warto wiedzieć, który rejestr obsługuje Państwa rozszerzenie i pod jakim prawem. Warto mieć drugą nazwę, w innym rozszerzeniu, u innego rejestratora, i wiedzieć z góry, jak powiedzieć ludziom, żeby jej użyli.

Nic z tego nie jest argumentem przeciwko stawianiu proxy przed Państwa serwerem i nic z tego nie jest argumentem przeciwko hostingowi offshore — bylibyśmy dziwnym źródłem dla któregokolwiek z tych argumentów. To argument, że te trzy warstwy to trzy odrębne zakupy z trzema odrębnymi trybami awarii, i że ta, którą ludzie sprawdzają najuważniej, nie jest tą, która najczęściej ich kończy. Jeśli chcą Państwo, by warstwa, którą rzeczywiście obsługujemy, była trzymana w tym samym standardzie, kwartalne liczby i strona dla organów ścigania to miejsca, w których można to sprawdzić.

Napisane przez inżynierów, którzy prowadzą tę platformę, i ponownie sprawdzone dziś. Jeśli coś tu jest błędne albo nieaktualne, można to zgłosić z panelu — stamtąd pochodzi mniej więcej połowa z tych treści.