Como Registrar um Domínio de Forma Anônima e Hospedá-lo Offshore

Você pode passar uma semana blindando um servidor — sem identidade no cadastro, Monero no checkout, SSH somente com chave, um volume criptografado — e desfazer tudo isso em noventa segundos ao digitar seu nome verdadeiro em um formulário de registro de domínio. Diferente de qualquer outra camada, o domínio vem acompanhado de um diretório global, arquivado permanentemente, criado especificamente para registrar quem é o titular. Esta é a versão honesta: o que o registro anônimo consegue, o que ele não consegue, e como operar o nome e o seu DNS para que nenhum dos dois te identifique.

O que o anonimato significa para um nome de domínio

Um domínio não é um único registro, mas quatro, mantidos por quatro partes sob quatro leis diferentes. Anonimato não é um interruptor que alguma delas venda; é o resultado de garantir que nenhuma das quatro acabe com algo em mãos que aponte de volta para você.

Privacidade do WHOIS não é anonimato

Quase todo registrador vende um produto de privacidade, e quase todo comprador presume que ele faz mais do que realmente faz. Quatro coisas diferentes são vendidas sob esse único rótulo, e só uma muda o que o registrador sabe sobre quem você é.

Escolha a extensão antes do registrador

A extensão decide os tribunais de qual país conseguem alcançar o próprio nome, independentemente de onde o seu registrador está sediado ou onde o seu servidor roda. Decida isso primeiro: é a única parte que você não consegue trocar depois sem mudar de endereço.

• Escolha um registro cuja jurisdição você ficaria confortável em enfrentar, não um cuja extensão simplesmente soa bem.
• Verifique a política de suspensão do registro e se ele age sobre reclamações apresentadas fora dos seus próprios tribunais.
• Registre por vários anos de uma vez — menos renovações significa menos pagamentos, menos e-mails e menos chances de deixar expirar.
• Mantenha o nome discreto. Um endereço que anuncia o que é convida exatamente o escrutínio que você está tentando evitar.

Escolhendo um registrador que nunca descobre o seu nome

Com a extensão decidida, o registrador se torna a parte que guarda mais informações sobre você. Ignore o selo de privacidade na página de marketing e verifique seis coisas concretas.

• Pagamento. Monero em primeiro lugar, Bitcoin ou Litecoin como alternativa. Um cartão, PayPal ou transferência bancária anula o exercício sozinho, e nenhum complemento de privacidade conserta isso.
• Cadastro. Um endereço de e-mail deve ser o máximo exigido. Um número de telefone, o envio de um documento ou um endereço de cobrança verificado é um não categórico, seja qual for a justificativa apresentada.
• Exigências de contato. O registrador precisa aceitar os dados que você fornece sem exigir verificação, ou um fiduciário passa a ser a sua única rota restante.
• Controle de nameservers. Nameservers personalizados e registros glue não são negociáveis se algum dia você pretende rodar o DNS em outro lugar que não seja onde comprou o nome.
• Transferência para fora. Confirme que o código de autorização é autoatendimento. Um registrador que dificulta a saída te prende com a mesma firmeza com que prende os seus dados.
• Jurisdição e política. Onde ele foi constituído, o que já publicou sobre solicitações legais, e ele diz o que faz quando uma chega?

Registrando sem deixar rastro

A ordem das operações importa mais do que qualquer passo individual. Cada um destes é fácil na sequência certa, e incômodo ou impossível de consertar depois.

1. 1

   Construa a identidade antes de precisar dela

   Crie primeiro o endereço de e-mail que o domínio vai usar, em um provedor que não peça número de telefone, e não o use para mais nada. Reaproveitar um endereço que você já tem vincula o domínio a todas as contas por trás dele.

2. 2

   Financie a conta com Monero

   Recarregue o saldo antes de fazer a compra. O XMR rompe o vínculo entre esta compra e tudo o mais que você já comprou; o Bitcoin deixa um livro-razão público que pode ser agrupado anos depois. /pay-with-monero apresenta o mesmo modelo aplicado a servidores.

3. 3

   Faça o pedido por uma conexão que não seja sua

   Tor, ou um shell em um servidor que já não pode ser atribuído a você. O registrador registra o endereço que fez o pedido, esse registro sobrevive à conta, e nenhuma configuração de privacidade alcança esse histórico depois.

4. 4

   Fixe um único registro de contato e nunca o mude

   Serviço de privacidade, fiduciário ou um endereço de encaminhamento genuíno — escolha uma vez e mantenha idêntico em todas as renovações e transferências. É a inconsistência entre registros que torna os registros correlacionáveis, e dados deliberadamente falsos são uma suspensão esperando para acontecer, já que registradores credenciados são obrigados a agir sobre denúncias de dados incorretos.

5. 5

   Ative a privacidade dentro da própria compra

   Não depois do primeiro rastreamento, não amanhã. Se o registrador não consegue ativá-la no checkout, trate isso como um motivo para escolher outro registrador, não como uma tarefa para depois.

6. 6

   Aponte os nameservers, depois tranque tudo

   Direcione o nome para o DNS que você realmente pretende usar antes que ele resolva para qualquer lugar, depois ative o bloqueio do registrador e a autenticação de dois fatores, e guarde o código de autorização offline no mesmo dia.

O DNS é a outra metade do problema

O registro de propriedade diz quem é o dono do nome. A zona diz o que o nome faz, e estranhos a consultam milhões de vezes. As duas metades precisam ser tratadas, e quase todo mundo para depois da primeira.

• Registros MX apontando para uma caixa de e-mail que você usa pessoalmente, ou para um provedor de e-mail que verificou a sua identidade no cadastro.
• Registros A esquecidos de testes — dev., staging., old., mail. — ainda apontando para uma conexão residencial ou um host anterior.
• Entradas SPF e DKIM nomeando um serviço de envio no qual você se cadastrou com o seu nome real.
• Um wildcard que responde por tudo, transformando qualquer hostname adivinhado em uma confirmação.
• Toda edição feita antes de o domínio se tornar público, preservada indefinidamente por arquivos de DNS passivo.

O que vaza depois que você está no ar

Um registro limpo costuma ser desfeito pelo funcionamento comum da web, não por nada dramático. Quatro mecanismos respondem por quase toda desanonimização real de um domínio registrado de forma privada, e nenhum deles envolve o WHOIS.

Quando você não deveria registrar um domínio

Registrar é uma escolha de compromisso: um registro permanente mantido por um intermediário comercial, em troca de um nome que as pessoas conseguem digitar. Às vezes essa troca não vale a pena.

• Um serviço onion não precisa de registrador, de registro nem de autoridade certificadora — o endereço deriva de uma chave que você mesmo gera, então ninguém vende isso para você e ninguém pode tomar de volta. /tor-vps mostra como rodar um em um servidor que nunca teve vínculo com você.
• Um endereço IPv4 puro com um certificado autoassinado já basta para uma API, um destino de backup ou qualquer coisa que só você e as suas próprias máquinas vão acessar.
• Um subdomínio de um provedor gratuito de DNS dinâmico não custa nada e é trivialmente revogável — certo para um endpoint temporário, errado para qualquer coisa que você pretenda manter.
• Dois nomes muitas vezes vencem um só: um domínio público e indexado para o front-end, e um endereço onion ou IP puro para o lado administrativo, que nunca aparece em nenhuma zona.

Renovações, transferências e o jogo de longo prazo

A maioria dos domínios registrados de forma privada não é exposta no momento do registro. Ela é exposta dois anos depois, por uma renovação que falhou silenciosamente ou uma transferência feita às pressas.

• Um domínio expirado é republicado. O nome volta a um status público, é rastreado por todo serviço de backorder da internet, e passa a ser comprável por qualquer pessoa — inclusive alguém interessado em saber quem o operava.
• Mantenha o caminho de renovação financiado e independente de qualquer conta que te identifique. Registro por vários anos, somado a um saldo permanente em cripto, vence um lembrete de calendário que você acabará ignorando.
• Mantenha o endereço de contato ativo e monitorado. E-mails de verificação obrigatórios ficam sem resposta, o registrador suspende o domínio, e você mesmo causou uma indisponibilidade por um motivo evitável.
• Guarde o código de autorização offline e espere um bloqueio de transferência de sessenta dias depois do registro ou de uma troca de registrante. Planeje movimentações em torno dessa janela em vez de descobri-la no meio de uma migração.
• Reverifique o registro público, a zona e os logs de certificados uma vez por ano. Aquisições de registradores e mudanças de política têm o hábito de resetar configurações que você fez e esqueceu.

Onde o host entra

Um domínio que não identifica ninguém, apontado para um servidor alugado com um cartão em seu próprio nome, não é privado — apenas empurrou a exposição uma camada abaixo. As duas metades precisam combinar: um cadastro sem checagem de identidade, um caminho de pagamento sem nenhum banco envolvido, e uma jurisdição escolhida deliberadamente, não herdada de onde quer que o rack mais barato estivesse.

Todo plano /offshore-vps aqui é implantado a partir de um saldo pré-pago em cripto sem KYC — um e-mail, ou absolutamente nada no modo token — em quinze regiões, seis delas em jurisdições de nível de privacidade listadas em /locations. /offshore-hosting detalha o que a jurisdição realmente muda e o que não muda, /pay-with cobre as moedas aceitas, e /guides tem o texto irmão sobre exatamente o que um host consegue e não consegue ver de uma máquina. Duas instâncias de 1 GB em regiões diferentes também são a forma mais barata de rodar os seus próprios nameservers autoritativos, para que a zona também nunca fique nas mãos de terceiros.

O checklist

• Escolha a extensão pela jurisdição antes de tudo — não pelo preço, e não pela sonoridade do nome.
• Faça o pedido a partir de um perfil de navegador e um caminho de rede sem conexão com mais nada que seja seu.
• Pague em Monero a partir de um saldo pré-pago. Nunca com cartão, PayPal ou transferência bancária.
• Use um endereço de e-mail dedicado, criado com antecedência, em um provedor que não peça número de telefone.
• Ative a privacidade ou o registro fiduciário dentro da própria compra, nunca como uma tarefa posterior.
• Divida registrador, DNS e hospedagem entre três provedores sem relação entre si.
• Emita um certificado wildcard para que hostnames individuais nunca sejam enumerados nos logs de transparência.
• Bloqueie o domínio, ative a autenticação de dois fatores, guarde o código de autorização offline, registre por vários anos.
• Audite o registro público, a zona e os logs de certificados uma vez por ano, em uma data que você realmente cumpra.