Straturile de deasupra serverului dumneavoastră: domeniul, CDN-ul, tranzitul

Alegerea locului unde se află serverul este o decizie din trei, și rareori este cea care hotărăște rezultatul. Deasupra serverului se află un nume, operat de altcineva. În fața serverului se află, pentru majoritatea site-urilor, un proxy invers, operat de altcineva din nou. Niciunul dintre ele nu este ținut de politica furnizorului dumneavoastră, niciunul nu se află sub jurisdicția furnizorului dumneavoastră, iar amândurora li se poate ordona să acționeze de către o instanță care nu are nicio putere asupra furnizorului dumneavoastră. Aceasta este partea din stivă pe care găzduirea offshore nu o acoperă, și merită știut exact unde se oprește ea.

Trei straturi, trei proprietari diferiți

Un site accesibil depinde, în orice caz, de cel puțin trei afaceri distincte, iar acestea cedează independent unele de altele.

Numele. Un registrator vi l-a vândut; un registru operează extensia sub care trăiește. Două societăți, de obicei două țări, iar a doua nu a auzit niciodată de dumneavoastră.

Fața. Dacă ceva răspunde în numele dumneavoastră — un CDN, un proxy invers, o margine anycast — acesta termină conexiunile vizitatorilor înainte ca serverul dumneavoastră să le vadă. Prin urmare, cunoaște adresa dumneavoastră de origine prin însăși construcția sa, și tot el primește plângerile.

Cablul și mașina. Furnizorul dumneavoastră, operatorii săi de tranzit, centrul de date, plaja de adrese în care se află serverul dumneavoastră. Acesta este stratul pentru care oamenii aleg un furnizor, și este singurul dintre cele trei pe care o jurisdicție de găzduire îl guvernează cu adevărat.

Obiceiul care merită schimbat este să le gândiți ca pe o singură achiziție. Sunt trei, iar a le pune pe toate trei într-o singură mână — sau într-un singur sistem de drept — este exact modul în care un singur ordin doboară totul dintr-o dată.

Domeniul: registratorul, și registrul de deasupra lui

Registratorul dumneavoastră este magazinul. Registrul este angrosistul care operează extensia, și este stratul pe care aproape nimeni nu-l verifică înainte de a cumpăra.

Ce pune un registrator în mișcare

Din 5 aprilie 2024, registratorii acreditați poartă o obligație contractuală de a acționa asupra a ceea ce ICANN numește DNS Abuse: atunci când dețin dovezi acționabile, trebuie să ia prompt măsuri de atenuare, rezonabil necesare pentru a perturba numele. Jumătatea utilă a acestei reguli este definiția ei. DNS Abuse înseamnă malware, rețele botnet, phishing, pharming și spam, unde spam-ul este vectorul de livrare pentru una dintre celelalte. Conținutul site-ului este exclus din domeniul de aplicare, iar dreptul de autor este exclus — în mod explicit.

Citiți asta ca pe un prag, nu ca pe o liniște sufletească. Vă spune ce formă trebuie să aibă o plângere înainte ca registratorul dumneavoastră să fie obligat să se miște; vă mai spune că tot ce se află în afara acestei liste trebuie să sosească sub forma unui ordin dat de o instanță sau de o autoritate, ceea ce este mai lent, verificabil și contestabil. Ambele jumătăți merită cunoscute înainte să vă ocupați de plângerea pe care sunteți pe cale să o primiți.

Ce poate face registrul, și unde se situează

Un registru are o singură pârghie, absolută: poate seta un status pe numele dumneavoastră care îl elimină din zonă. Numele nu se mai rezolvă atunci pentru nimeni, nicăieri, indiferent ce crede registratorul dumneavoastră și indiferent unde se află serverul dumneavoastră. Nimic la nivelul stratului de găzduire nu atenuează acest lucru, pentru că nimic din stratul de găzduire nu este implicat.

Nu este teoretic. În iunie 2026, o instanță districtuală din Texas a emis un ordin de sechestru prin care i-a cerut Verisign, care operează .com, să plaseze motherless.com în regim serverHold. Operatorul era o societate luxemburgheză care ignorase o hotărâre texană dată în temeiul statutului statal privind verificarea vârstei; ordinul a stabilit o cauțiune de 9,14 milioane de dolari drept condiție pentru recuperarea numelui. Site-ul nu era găzduit în Texas, iar societatea nu se afla în Texas. Numele se afla în .com, iar .com este operat de o societate americană, sub jurisdicția Statelor Unite. Asta a fost suficient.

Lecția generalizabilă nu ține de acest caz anume. Este că extensia pe care o alegeți este o alegere de jurisdicție, exact ca țara în care se află serverul dumneavoastră, iar majoritatea oamenilor o fac din obișnuință. Întrebați cine operează extensia, sub ce lege, și dacă acel sistem de drept are obiceiul de a da ordine registrelor. Apoi decideți dacă doriți ca singurul dumneavoastră nume să fie acolo.

Confidențialitatea numelui ține de publicare, nu de cunoaștere

Redactarea WHOIS și RDAP oprește colectorul automat în masă și căutarea ocazională. Nu îl face însă pe registratorul dumneavoastră ignorant: acreditarea îl obligă să dețină datele de înregistrare, iar el le divulgă la cerere legală, ca oricine altcineva. Un serviciu de confidențialitate pus în fața înregistrării este o setare de publicare, nu un scut — iar un registrator care nu v-a cerut niciodată nimic nu poate divulga ceea ce nu deține, ceea ce este o proprietate cu totul diferită și singura care merită plătită.

Proxy-ul din față: ce elimină, ce redirecționează

Un CDN este un intermediar de tip stocare-cache. Nu vă stochează site-ul în mod durabil, așa că „scoateți fișierul” nu este de obicei ceva ce poate face. Ce poate face este să nu vă mai proxieze — ceea ce, pentru un site care depinde de proxy ca să rămână accesibil și ca să-și țină originea tăcută, este o eliminare și o divulgare, deodată.

Comportamentul mai interesant este cel zilnic, și cel mai mare furnizor din domeniu îl publică fără ocolișuri. La primirea unui raport de abuz despre un site pe care doar îl proxiază, va redirecționa plângerea dumneavoastră către operatorul site-ului și către furnizorul de găzduire, și îi va oferi furnizorului de găzduire adresa IP de origine a conținutului în cauză. Ambele fraze sunt citate chiar din propria sa politică de abuz, și sunt exact opusul a ceea ce cumpărătorii presupun că plătesc.

Așadar proxy-ul nu este un tampon între dumneavoastră și departamentul de abuz al furnizorului dumneavoastră. Este un curier. Duce plângerea la furnizorul dumneavoastră, și îi spune furnizorului exact la ce mașină să se uite. Dacă v-ați ales furnizorul pentru felul în care gestionează plângerile, este în regulă — plângerea ajunge acolo unde ați vrut să ajungă. Dacă ați ales un proxy sperând că plângerea se va opri acolo, nu se oprește.

Documentația aceluiași furnizor vă impune, la rândul ei, o obligație: să mențineți o adresă de contact pentru abuz, gestionată și monitorizată activ, și să răspundeți la orice notificare de raport de abuz în douăzeci și patru de ore. Nerespectarea acestui termen poate duce la eliminarea sau blocarea conținutului semnalat, precum și la suspendarea sau încetarea contului. Intermediarul care nu poate elimina conținutul dumneavoastră și-a scris totuși propria clauză de eliminare, și un ceas.

O excepție contează. Acolo unde aceeași societate și găzduiește — stocarea sa de obiecte, platforma sa serverless, produsele sale pentru media și pagini — este furnizor de găzduire pentru acel conținut, o spune chiar ea, și elimină conținutul printr-un proces de notificare și eliminare cu contra-notificare, în forma prescrisă de legea Statelor Unite. Două produse ale aceluiași furnizor, două răspunsuri complet diferite. Aflați pe care îl folosiți de fapt.

Ce nu ascunde un CDN, și cum sunt găsite originile

Mulți oameni pun un proxy în fața unui server dintr-un singur motiv: ca să țină adresa de origine departe de internetul public. Merită știut cât de bine funcționează asta în practică, iar răspunsul onest este că funcționează până când una dintre cinci greșeli obișnuite o desface. Niciuna dintre ele nu este exotică; chiar furnizorii de proxy le documentează.

Înregistrările pe care le-ați publicat înainte de a vă muta. DNS este public și este arhivat. Aproape fiecare site care s-a mutat în spatele unui proxy are adresa dinainte de mutare așezată, permanent, într-un set de date istoric al cuiva. Chiar ghidul furnizorului recomandă rotirea adresei de origine după integrare — dacă nu ați făcut-o, mutarea a fost doar cosmetică.

Înregistrările pe care le-ați lăsat fără proxy. Este de ajuns un singur subdomeniu care indică direct spre mașină: mail, ftp, cpanel, dev, staging, vpn, gazda de monitorizare pe care ați configurat-o cândva. Verificați fiecare înregistrare din zonă, nu doar pe cele pe care vă amintiți că le-ați creat.

Corespondența care iese de pe mașină. Dacă originea trimite e-mail, adresa ei călătorește în anteturi. Trimiteți un mesaj către o adresă care nu există, iar mesajul de respingere sosește purtând-o. Poșta electronică trebuie să stea pe o mașină diferită de cea pe care încercați să o țineți tăcută.

Transparența certificatelor. Fiecare certificat de încredere publică este înregistrat împreună cu numele pe care le acoperă. Jurnalele nu predau o adresă, dar predau lista completă de subdomenii de încercat, inclusiv pe cele pe care le credeați private.

Scanarea în masă. Întregul spațiu de adrese este scanat continuu și indexat după ceea ce răspunde. O pagină distinctivă servită de la o adresă goală este o căutare într-o bază de date, nu o investigație.

Remediile sunt bine cunoscute, și merită aplicate în ordinea puterii lor, nu în ordinea comodității.

1. Un tunel doar-ieșire. Originea deschide o conexiune către margine și nu ascultă pe nimic. Nu există niciun port de găsit, așa că adresa încetează să mai fie interesantă chiar dacă se scurge. Aceasta este singura opțiune din listă care nu depinde de a configura corect o regulă.
2. mTLS dinspre margine. Originea răspunde doar unui client care prezintă certificatul proxy-ului. Adresa se poate scurge; ea nu va răspunde. Solidă, și supraviețuiește momentului în care adresa devine publică.
3. Firewall pe plajele publicate ale proxy-ului. Mai bine decât nimic și ușor de implementat, dar plajele se schimbă, iar propria comparație a furnizorului marchează această abordare ca vulnerabilă la falsificare. Tratați-o ca pe un prag minim, nu ca pe o soluție.
4. Ordine în gospodărie. Rotiți adresa de origine odată ce sunteți în spatele marginii, mutați poșta electronică de pe mașină, și verificați înregistrările fără proxy după fiecare modificare. Majoritatea expunerilor sunt una dintre aceste trei, nu un atac ingenios.

Un proxy ascunde originea de un necunoscut cu un browser. Nu ascunde originea de proxy — care o cunoaște prin însăși definiția sa, și care, la primirea unei plângeri, se angajează să-i spună furnizorului dumneavoastră de găzduire care este ea.

Sub mașină: tranzitul, prefixul, centrul de date

Sub serverul dumneavoastră mai există un set de părți, și sunt cele despre care un furnizor este de obicei cel mai puțin dornic să vorbească.

Operatorii de tranzit. Furnizorul dumneavoastră cumpără conectivitate de la cineva. Acei operatori au propriile departamente de abuz, propriile contracte și propriul apetit pentru risc, iar un operator care decide că sunteți o problemă poate lua decizia în locul furnizorului dumneavoastră. Întrebați câți operatori sunt — unul singur înseamnă un singur punct de politică, dar și un singur punct de eșec — și puneți întrebarea mai ascuțită: acceptă furnizorul dumneavoastră, tăcut, listele de blocare impuse de operator pe traficul dumneavoastră?

Prefixul pe care îl împărțiți. Sistemele de reputație funcționează pe plaje de adrese, nu pe clienți. Vă moșteniți vecinii, și îi moșteniți fără să vi se spună cine sunt. Acesta este costul concret al unui furnizor care se anunță drept refugiu pentru absolut orice: listele de blocare ajung la nivelul plajei, iar e-mailul dumneavoastră și apelurile dumneavoastră API se află în interiorul ei.

Centrul de date și hardware-ul. Rack-urile închiriate înseamnă un proprietar cu propria politică de abuz, așezat deasupra furnizorului dumneavoastră, invizibil, iar fiecare strat de deasupra furnizorului dumneavoastră este încă o parte care vă poate încheia serviciul din motive pe care nu le veți vedea niciodată.

Din moment ce scopul acestui ghid este ca fiecare strat să poată fi tras la răspundere, iată-l și pe acesta, în aceiași termeni. Doi operatori de tranzit, echilibrați prin BGP, douăzeci de gigabiți combinați, spre Chișinău. Filtrare pe stratul 3 și stratul 4 în amonte de fiecare port, pentru toată lumea, fără nimic de cumpărat. Listele de blocare impuse de operatori nu sunt acceptate pe traficul clienților: dacă ceva trebuie blocat, o instanță o spune și vă anunțăm. Hardware-ul este deținut, nu închiriat, într-o singură țară, de societatea de la care cumpărați — detaliile sunt pe pagina rețelei și pe pagina centrului de date.

Și golul, spus fără ocolișuri: nu vindem domenii, și nu operăm proxy-ul pe care îl puneți în fața serverului dumneavoastră. Aceste două straturi sunt ale dumneavoastră. Tot ce s-a spus mai sus despre registre și despre plângeri redirecționate vi se aplică exact așa cum este scris, iar nicio jurisdicție de găzduire — inclusiv a noastră — nu schimbă niciun cuvânt din asta.

Cele trei straturi, în trei mâini diferite

Întregul ghid se reduce la câteva decizii, și niciuna dintre ele nu costă nimic.

1. Trei straturi, trei furnizori, trei familii de drept. Numele, marginea și serverul în mâinile unei singure societăți sunt la un ordin distanță de nimic. În trei mâini, un ordin împotriva oricăruia dintre ele lasă celelalte două funcționale și vă lasă timp.
2. Puneți fiecărui strat aceleași trei întrebări. Ce poate fi obligat să redirecționeze, ce poate fi obligat să elimine și ce poate fi obligat să divulge? Cedează independent unele de altele, iar un furnizor care răspunde la toate trei într-o singură propoziție nu a înțeles întrebarea.
3. Configurați presupunând că proxy-ul redirecționează, pentru că exact asta face. Presupuneți că fiecare plângere ajunge la furnizorul dumneavoastră cu adresa de origine atașată. Dacă acest rezultat este o problemă, remediul este la nivelul stratului de găzduire sau în ceea ce publicați — nu în adăugarea unui alt intermediar.
4. Închideți originea corect. Tunel doar-ieșire sau mTLS; poșta electronică pe o mașină diferită; rotirea adresei după integrare; verificarea înregistrărilor fără proxy. Patru puncte, toate plictisitoare, care acoperă aproape orice expunere reală.
5. Tratați numele ca pe singurul dumneavoastră punct de eșec, și planificați pentru el. Aflați ce registru operează extensia dumneavoastră și sub ce lege. Păstrați un al doilea nume, într-o extensie diferită, la un registrator diferit, și știți dinainte cum le-ați spune oamenilor să-l folosească.

Nimic din toate acestea nu pledează împotriva punerii unui proxy în fața serverului dumneavoastră, și nimic nu pledează împotriva găzduirii offshore — am fi o sursă ciudată pentru oricare dintre aceste argumente. Ceea ce arată este că cele trei straturi sunt trei achiziții separate, cu trei moduri separate de eșec, și că cel pe care majoritatea oamenilor îl cercetează cel mai atent nu este cel mai probabil să le pună capăt. Dacă doriți ca stratul pe care îl operăm noi să fie ținut la același standard, cifrele trimestriale și pagina pentru autoritățile de aplicare a legii sunt locul unde puteți verifica.

Scris de inginerii care administrează platforma și recitit astăzi. Dacă ceva de aici este greșit sau depășit, spuneți-ne din panou — de acolo provine aproximativ jumătate dintre acestea.