As camadas acima do seu servidor: domínio, CDN, trânsito

Escolher onde o servidor fica é uma decisão em três, e raramente é a que decide o resultado. Acima do servidor está um nome, operado por outra empresa. À frente do servidor está, para a maioria dos sites, um proxy reverso operado por mais outra empresa. Nenhum dos dois está sujeito à política do seu provedor, nenhum está sob a jurisdição do seu provedor, e ambos podem receber ordens de um tribunal que não tem alcance algum sobre o seu provedor. Esta é a parte da pilha que a hospedagem offshore não cobre, e vale a pena saber exatamente onde ela termina.

Três camadas, três donos diferentes

Um site que esteja de fato acessível depende de pelo menos três empresas separadas, e elas falham de forma independente.

O nome. Um registrador vendeu o nome a você; um registro opera a extensão sob a qual ele existe. Duas empresas, geralmente dois países, e a segunda nunca ouviu falar de você.

A frente. Se alguma coisa responde em seu nome — um CDN, um proxy reverso, uma borda anycast — ela encerra as conexões dos seus visitantes antes que o seu servidor as veja. Por construção, ela conhece o seu endereço de origem, e é ela quem recebe as reclamações.

O fio e a máquina. O seu provedor, as operadoras de trânsito dele, a instalação, a faixa de endereços em que o seu servidor está. Esta é a camada que as pessoas escolhem na hora de comprar, e é a única das três que uma jurisdição de hospedagem realmente governa.

O hábito que vale a pena quebrar é pensar nessas três coisas como uma única compra. São três, e colocar as três em uma só mão — ou em um só sistema jurídico — é como uma única ordem derruba tudo de uma vez.

O domínio: o registrador, e o registro acima dele

O seu registrador é a loja. O registro é o atacadista que opera a extensão, e é a camada que quase ninguém verifica antes de comprar.

O que faz um registrador agir

Desde 5 de abril de 2024, os registradores credenciados carregam a obrigação contratual de agir sobre o que a ICANN chama de DNS Abuse: quando dispõem de evidência acionável, devem tomar prontamente as medidas de mitigação razoavelmente necessárias para interromper o nome. A metade útil dessa regra é a sua definição. DNS Abuse significa malware, botnets, phishing, pharming e spam, sendo o spam o vetor de entrega de um dos outros. O conteúdo do site está fora do escopo, e o direito autoral está fora do escopo — explicitamente.

Leia isso como um limiar, não como um consolo. Ele diz a forma que uma reclamação precisa ter antes que o seu registrador seja obrigado a agir; e diz também que tudo o que fica fora dessa lista só chega como ordem de um tribunal ou de uma autoridade, o que é mais lento, verificável e recorrível. As duas metades valem a pena conhecer antes da reclamação que você está prestes a receber.

O que o registro pode fazer, e onde ele se situa

Um registro tem uma única alavanca, absoluta: pode atribuir ao seu nome um status que o remove da zona. O nome então deixa de resolver para qualquer pessoa, em qualquer lugar, não importa o que o seu registrador pense e não importa onde o seu servidor esteja. Nada na camada de hospedagem mitiga isso, porque nada na camada de hospedagem está envolvido.

Não é teórico. Em junho de 2026, um tribunal distrital do Texas emitiu um mandado de penhora determinando que a Verisign, que opera o .com, colocasse motherless.com em registry hold. A operadora era uma empresa luxemburguesa que havia ignorado uma decisão judicial do Texas sob a lei estadual de verificação de idade; a ordem fixou uma fiança de US$ 9,14 milhões como condição para recuperar o nome. O site não estava hospedado no Texas e a empresa não estava no Texas. O nome estava no .com, e o .com é operado por uma empresa dos Estados Unidos sob jurisdição dos Estados Unidos. Isso bastou.

A lição generalizável não é sobre esse caso específico. É que a extensão que você escolhe é uma escolha de jurisdição, exatamente como o país onde o seu servidor está, e a maioria das pessoas a faz por hábito. Pergunte quem opera a extensão, sob qual lei, e se esse sistema jurídico tem o costume de dar ordens a registros. Depois decida se quer que o seu único nome esteja ali.

Privacidade no nome é sobre publicação, não sobre conhecimento

A ocultação em WHOIS e RDAP barra o raspador em massa e a consulta casual. Ela não torna o seu registrador ignorante: a acreditação o obriga a manter os dados de registro, e ele os revela sob processo legal como qualquer outro. Um serviço de privacidade na frente do registro é uma configuração de publicação, não um escudo — e um registrador que nunca pediu nada a você não pode revelar o que não tem, o que é uma propriedade totalmente diferente, e a única que vale a pena pagar.

O proxy à frente: o que ele remove, o que ele encaminha

Um CDN é um intermediário de cache. Ele não armazena o seu site de forma durável, então “tirar o arquivo do ar” geralmente não é algo que ele consiga fazer. O que ele pode fazer é parar de fazer proxy para você — o que, para um site que depende do proxy para continuar acessível e para manter a sua origem discreta, é uma remoção e uma revelação em um único movimento.

O comportamento mais interessante é o cotidiano, e o maior provedor o publica sem rodeios. Ao receber uma denúncia de abuso sobre um site do qual apenas faz proxy, ele vai encaminhar a sua reclamação ao operador do site e ao provedor de hospedagem, e vai fornecer ao provedor de hospedagem o endereço IP de origem do conteúdo em questão. As duas citações vêm da própria política de abuso dele, e são o oposto do que os compradores presumem estar pagando.

Então o proxy não é um amortecedor entre você e o setor de abuso do seu provedor. É um mensageiro. Ele leva a reclamação até o seu provedor, e diz ao seu provedor exatamente qual máquina olhar. Se você escolheu o seu provedor pela forma como ele trata reclamações, tudo bem — a reclamação chega onde você queria que chegasse. Se você escolheu um proxy na esperança de que a reclamação parasse ali, ela não para.

A documentação do mesmo provedor também impõe uma obrigação a você: manter um endereço de contato de abuso ativamente gerenciado e monitorado, e responder a qualquer notificação de denúncia de abuso em até vinte e quatro horas. Não responder a tempo pode resultar na remoção ou no bloqueio do conteúdo denunciado, e na suspensão ou no encerramento da conta. O intermediário que não consegue remover o seu conteúdo, ainda assim, escreveu para si mesmo uma cláusula de remoção — e um relógio.

Uma exceção importa. Quando a mesma empresa também hospeda — o seu armazenamento de objetos, a sua plataforma serverless, os seus produtos de mídia e páginas —, ela é uma provedora de hospedagem para esse conteúdo, ela mesma o diz, e remove conteúdo sob um processo de notificação e remoção com contranotificação, na forma que a lei dos Estados Unidos determina. Dois produtos de um mesmo fornecedor, duas respostas inteiramente diferentes. Saiba qual dos dois você está realmente usando.

O que um CDN não esconde, e como as origens são encontradas

Muita gente coloca um proxy na frente de um servidor por um único motivo: manter o endereço de origem fora da internet pública. Vale a pena saber o quanto isso funciona na prática, e a resposta honesta é que funciona até que um de cinco erros comuns o desfaça. Nenhum deles é exótico; os próprios fornecedores de proxy os documentam.

Os registros que você publicou antes de migrar. O DNS é público e é arquivado. Quase todo site que migrou para trás de um proxy tem o seu endereço anterior sentado em algum conjunto de dados histórico de alguém, permanentemente. A própria orientação do fornecedor é rotacionar o endereço de origem depois da integração — se você não fez isso, a migração foi cosmética.

Os registros que você deixou sem proxy. Um único subdomínio apontando direto para a máquina já é suficiente: mail, ftp, cpanel, dev, staging, vpn, o host de monitoramento que você configurou uma vez. Audite todos os registros da zona, não só os que você lembra de ter criado.

O e-mail que sai da máquina. Se a origem envia e-mail, o endereço dela viaja nos cabeçalhos. Envie uma mensagem para um endereço que não existe, e a devolução chega carregando-o. E-mail pertence a uma máquina diferente daquela que você está tentando manter discreta.

Transparência de certificados. Todo certificado publicamente confiável é registrado junto com os nomes que ele cobre. Os registros não entregam um endereço, mas entregam a lista completa de subdomínios a tentar, incluindo os que você achava que eram privados.

Varredura em massa. Todo o espaço de endereços é varrido continuamente e indexado pelo que responde. Uma página característica servida a partir de um endereço nu é uma consulta a banco de dados, não uma investigação.

As correções são bem conhecidas, e vale a pena aplicá-las na ordem de força, não na ordem de conveniência.

1. Um túnel apenas de saída. A origem abre uma conexão até a borda e não escuta em nada. Não há porta para encontrar, então o endereço deixa de ser interessante mesmo que vaze. É a única opção da lista que não depende de configurar uma regra corretamente.
2. TLS mútuo a partir da borda. A origem só atende a um cliente que apresenta o certificado do proxy. O endereço pode vazar; ele não vai responder. É forte, e sobrevive à publicação do endereço.
3. Firewall para as faixas publicadas do proxy. Melhor que nada e fácil de implantar, mas as faixas mudam, e a própria comparação do fornecedor assinala essa abordagem como vulnerável a spoofing. Trate-a como um piso, não como uma solução.
4. Manutenção básica. Rotacione o endereço de origem assim que estiver atrás da borda, tire o e-mail da máquina, e audite os registros sem proxy depois de cada mudança. A maioria das exposições é uma dessas três, não um ataque engenhoso.

Um proxy esconde a origem de um desconhecido com um navegador. Ele não esconde a origem do próprio proxy — que a conhece por definição, e que, ao receber uma reclamação, está comprometido a dizer ao seu provedor de hospedagem qual ela é.

Abaixo da máquina: trânsito, prefixo, instalação

Abaixo do seu servidor há mais um conjunto de partes, e são as que um provedor geralmente menos gosta de discutir.

Operadoras de trânsito. O seu provedor compra conectividade de alguém. Essas operadoras têm os seus próprios setores de abuso, contratos e apetites de risco, e uma operadora que decide que você é um problema pode tomar a decisão pelo seu provedor. Pergunte quantas operadoras existem — uma só é um único ponto de política, além de um único ponto de falha — e faça a pergunta mais afiada: o seu provedor aceita, silenciosamente, blocklists impostas pela operadora sobre o seu tráfego?

O prefixo que você compartilha. Sistemas de reputação funcionam sobre faixas de endereços, não sobre clientes. Você herda os seus vizinhos, e os herda sem que ninguém lhe diga quem eles são. Esse é o custo concreto de um provedor que se anuncia como refúgio para absolutamente qualquer coisa: as blocklists chegam na faixa, e o seu e-mail e as suas chamadas de API estão dentro dela.

A instalação e o hardware. Racks alugados significam um locador com a própria política de abuso, sentado acima do seu provedor, de forma invisível, e cada camada acima do seu provedor é mais uma parte que pode encerrar o seu serviço por motivos que você nunca vai ver.

Como o objetivo deste guia é tornar cada camada responsável por suas respostas, aqui está esta camada nos mesmos termos. Duas operadoras de trânsito, balanceadas por BGP, vinte gigabits combinados, até Chișinău. Filtragem de camada 3 e camada 4 a montante de cada porta, para todos, sem nada a comprar. Blocklists impostas por operadoras não são aceitas sobre o tráfego de clientes: se algo precisa ser bloqueado, um tribunal o determina e nós avisamos você. O hardware é próprio, não alugado, em um único país, pela empresa da qual você compra — os detalhes estão na página da rede e na página da instalação.

E a lacuna, dita sem rodeios: nós não vendemos domínios, e não operamos o proxy que você coloca na frente do seu servidor. Essas duas camadas são suas. Tudo o que foi dito acima sobre registros e sobre reclamações encaminhadas se aplica a você exatamente como está escrito, e nenhuma jurisdição de hospedagem — a nossa inclusive — muda uma palavra disso.

Colocando as três camadas em três mãos diferentes

O guia inteiro se reduz a um punhado de decisões, e nenhuma delas custa nada.

1. Três camadas, três fornecedores, três famílias jurídicas. Nome, borda e servidor nas mãos de uma única empresa estão a uma única ordem de distância do nada. Em três mãos, uma ordem contra qualquer uma delas deixa as outras duas funcionando e lhe dá tempo.
2. Faça a cada camada as mesmas três perguntas. O que podem obrigá-lo a encaminhar, o que podem obrigá-lo a remover, e o que podem obrigá-lo a revelar? Elas falham de forma independente, e um fornecedor que responde às três em uma única frase não entendeu a pergunta.
3. Configure partindo do princípio de que o proxy encaminha, porque ele encaminha. Presuma que toda reclamação chega ao seu provedor com o seu endereço de origem anexado. Se esse resultado é um problema, a correção está na camada de hospedagem ou no que você publica — não em acrescentar mais um intermediário.
4. Feche a origem de forma adequada. Túnel apenas de saída ou TLS mútuo; e-mail em uma máquina diferente; rotação do endereço depois da integração; auditoria dos registros sem proxy. Quatro itens, todos entediantes, e eles cobrem quase toda exposição real.
5. Trate o nome como o seu único ponto de falha, e planeje-se para isso. Saiba qual registro opera a sua extensão e sob qual lei. Mantenha um segundo nome, em uma extensão diferente, em um registrador diferente, e saiba de antemão como avisaria as pessoas para usá-lo.

Nada disso argumenta contra colocar um proxy na frente do seu servidor, e nada argumenta contra a hospedagem offshore — seríamos uma fonte estranha para qualquer um dos dois argumentos. O que se argumenta é que as três camadas são três compras separadas, com três modos de falha separados, e que a camada que mais gente escrutina com mais rigor não é a que mais provavelmente vai encerrá-las. Se você quer que a camada que nós de fato operamos seja mantida no mesmo padrão, os números trimestrais e a página de cumprimento da lei são onde conferir.

Escrito pelos engenheiros que operam a plataforma, e revisado em hoje. Se algo aqui estiver errado ou desatualizado, informe pelo painel — foi de lá que veio cerca de metade destes conteúdos.