Ha noleggiato la macchina senza fornire un nome.
Poi ha inchiodato un nome alla porta.

Registrare un dominio senza pubblicare la propria identità è legale e ordinario; registrarne uno con dati falsi è una cosa diversa, ed è la distinzione su cui ruota l'intero argomento. Dal cambiamento del 2018 nel modo in cui vengono trattati i dati di registrazione, il record pubblico di un dominio generico di primo livello è oscurato per impostazione predefinita — i suoi dati vengono raccolti e custoditi, semplicemente non vengono pubblicati a chiunque li richieda. Questo è lo stato normale di un dominio nel 2026, non un trucco di privacy, ed è il motivo per cui il mercato del «WHOIS privacy» come servizio aggiuntivo è diventato in gran parte un mercato per qualcosa che lei ha già. Ciò che resta realmente opzionale è se i dati accurati risiedano presso un registrar sotto il suo nome legale, oppure se un terzo detenga la registrazione mentre lei ha con quel terzo un contratto. Entrambe le soluzioni sono lecite. Ciò che non è lecito, o quantomeno non è sostenibile, è fornire dati consapevolmente falsi: in base all'accordo di accreditamento di ICANN un registrar deve agire in seguito alla segnalazione di dati inesatti, e all'interno dell'UE, l'articolo 28 della Direttiva NIS2 impone ai registri e ai servizi di registrazione l'obbligo positivo di mantenere dati accurati e completi e di verificarli. Una registrazione costruita su un'identità inventata è una registrazione che può essere cancellata nel momento in cui qualcuno presenta una segnalazione, che è esattamente il momento in cui le farebbe più comodo non perderla. La posizione praticabile è: dati accurati, detenuti dal minor numero possibile di soggetti, pubblicati a nessuno. Nulla di quanto scritto qui costituisce consulenza legale.

Meno di quanto avvenisse in passato, e la differenza vale la pena di essere capita prima di pagarla. Per un dominio generico di primo livello il record pubblico mostra già i campi di contatto oscurati, quindi un servizio di privacy a pagamento non aggiunge nulla a ciò che un estraneo può leggere. Fa comunque due cose utili. Sostituisce un indirizzo di reindirizzamento al suo, nei punti che l'oscuramento non raggiunge — le pagine della directory del registrar stesso, i dati che alcuni registri pubblicano ancora per intero, i feed bulk, e le email di conferma del trasferimento. E interpone un soggetto tra lei e il volume di abusi automatizzati indirizzati a qualsiasi indirizzo figuri nel record. Le tre cose che non fa sono più importanti. Non incide sui dati che il suo registrar detiene, che sono quelli che vengono divulgati su richiesta documentata. Non si applica retroattivamente: se il nome è mai stato registrato con i suoi dati in chiaro, quell'istantanea rimane per sempre in una mezza dozzina di archivi storici commerciali, e attivare oggi la privacy non la rimuove. E su molti domini nazionali è semplicemente indisponibile, perché è il registro, non il registrar, a decidere cosa viene pubblicato. Lo giudichi come un controllo antispam più un sottile strato protettivo, non come anonimato.

Conta meno di dove la moneta sia arrivata all'origine, ed è proprio questo l'aspetto che le persone capiscono al contrario. Un pagamento in Bitcoin è una voce pubblica permanente che collega un importo e un momento a un indirizzo, e se quell'indirizzo può mai essere collegato a lei — perché l'ha prelevato da un account aperto con un documento d'identità, perché l'ha riutilizzato, perché una società di chain analysis lo ha raggruppato con uno che lo era — allora il pagamento è un collegamento duraturo tra il suo nome e quel registrar in quel giorno. Monero non pubblica importi, mittenti o destinatari, quindi lo stesso pagamento non lascia una voce equivalente. Ma se il Monero è stato acquistato pochi minuti prima su un exchange che ha verificato la sua identità, e prelevato direttamente verso il registrar, l'exchange conserva il record di un prelievo di un importo molto vicino a quello della fattura, effettuato in un orario molto vicino a quello della fattura, e quella correlazione non è difficile da stabilire. La regola che aiuta davvero riguarda la distanza, non la moneta: metta tempo, una differenza nella forma dell'importo, e almeno un passaggio non attribuito, tra il punto in cui ha acquisito il valore e quello in cui l'ha speso. Meglio finanziare un saldo prepagato con un importo rotondo che pagare ogni fattura al suo prezzo esatto. La nostra guida a Monero e la guida a Lightning illustrano la meccanica di entrambi i metodi.

No, e un buon fornitore di questo modello lo dichiara apertamente. Nell'intestazione fiduciaria il fornitore registra il nome a proprio nome legale e le concede il diritto di utilizzarlo e di indirizzarlo; lei detiene un contratto, non una registrazione. È esattamente questo che la rende efficace — non esiste alcun record di lei nel registro, perché lei non è il registrante — ed è esattamente questo che la rende una concentrazione di rischio. Tutto dipende ora dalla solvibilità di un'unica azienda, dalle sue politiche e dalla sua disponibilità ad agire secondo le sue istruzioni, inclusa la disponibilità a trasferirle la registrazione se in seguito vuole andarsene. I fornitori che gestiscono bene questo servizio pubblicano un impegno dichiarato a trasferire su richiesta e hanno una storia verificabile di averlo rispettato, e quella storia è l'unica vera due diligence a sua disposizione. La confronti con la modalità di fallimento: il giorno in cui il fornitore viene acquisito, cambia i propri termini, decide che i suoi contenuti sono fuori dalla propria politica, o semplicemente smette di rispondere, lei si ritrova con un nome che non può spostare. Per un progetto che può essere rinominato, lo scambio vale spesso la candela. Per qualsiasi cosa la cui identità coincide con il suo indirizzo — un repository software pubblicato, un domain di posta, un negozio con clienti — è una scommessa su un terzo che una semplice registrazione dietro un servizio di privacy non la obbliga a fare. Confrontiamo un fornitore di questo modello nella nostra pagina di confronto con Njalla.

Invece di un elenco che diventerebbe obsoleto entro un anno, usi tre domande contro la pagina delle politiche del registro stesso. Primo: impone una condizione di ammissibilità — residenza, cittadinanza, una società locale, un referente amministrativo locale? Se sì, soddisfare quella condizione significa esserlo davvero oppure dichiarare di esserlo, e la seconda opzione è un motivo di revoca, non un modo per aggirarla. Secondo: cosa pubblica il registro stesso? La politica sui dati di registrazione per i domini generici è stabilita a livello centrale e oscura i campi di contatto, ma i registri dei domini nazionali stabiliscono le proprie regole, e diversi pubblicano il nome del registrante per intero indipendentemente da ciò che il suo registrar le vende. Terzo: chi c'è dietro il registro, e qual è la sua storia in materia di sospensione dei nomi? Alcuni registri operano secondo una procedura di contestazione documentata; altri hanno rimosso nomi su semplice richiesta informale di un ente nazionale, e un dominio confiscato senza una procedura a cui lei possa partecipare è un dominio che non può difendere. C'è una quarta domanda che nessuno pone e che tutti dovrebbero porsi: quanto costa il rinnovo al secondo anno? Un primo anno promozionale su un'estensione inusuale, seguito da un grande rinnovo standard, è una decisione ricorrente che deve continuare a prendere, e un nome che non può permettersi di rinnovare è un nome che alla fine perderà a favore di qualcuno che aspettava che cadesse.

Per una classe reale di progetti, sì, ed è l'unico tra gli assetti descritti in questa pagina senza registrar, senza registro, senza data di rinnovo e senza pagamento. Un indirizzo onion di versione 3 non viene assegnato da nessuno: è una codifica di 56 caratteri derivata da una coppia di chiavi che lei stesso genera, il che rende l'indirizzo autoautenticante e irrevocabile — nessuno può trasferirlo, sospenderlo o lasciarlo scadere, perché non esiste da nessuna parte un record su cui agire. Ciò a cui rinuncia è chiunque non installi Tor Browser, il che per la maggior parte dei progetti rivolti al pubblico significa quasi chiunque, più la visibilità nei motori di ricerca, più la posta elettronica, più ogni integrazione che presuppone un hostname normale. L'assetto che funziona nella pratica è duplice: un dominio clearnet registrato come descritto in questa guida per la copertura, un servizio onion per chi lo desidera, e l'intestazione Onion-Location sul sito clearnet, in modo che a un utente Tor venga offerto automaticamente l'indirizzo onion. Questo le offre anche un ripiego che sopravvive alla perdita del dominio — l'indirizzo onion continua a funzionare il giorno in cui il registrar chiude il suo account, che è esattamente il giorno in cui vorrebbe averne uno. La nostra guida al servizio nascosto Tor ne è la spiegazione passo per passo.

Sì, e questa è la fuga che più spesso vanifica una configurazione altrimenti accurata, perché agisce dopo che ha finito e ha smesso di prestarci attenzione. Ogni certificato emesso da un'autorità pubblicamente attendibile viene inviato a log pubblici a sola aggiunta, e i browser rifiutano i certificati che non lo sono. I log vengono replicati e indicizzati da interfacce di ricerca gratuite, quindi l'hostname completo di qualsiasi cosa per cui ha richiesto un certificato è a un'unica ricerca per parola chiave di distanza — per chiunque, per sempre, incluse le voci staging., backup., vpn. e admin- che pensava nessuno avrebbe indovinato. Non esiste modo di sottrarsi, e non dovrebbe esisterne uno; sono proprio i log a rendere rilevabile un'emissione indebita. Esiste un'attenuazione efficace: richieda un unico certificato wildcard per l'intera zona e serva ogni hostname interno da quello, e la voce di log dirà soltanto che esiste un certificato per la zona. Le costa la verifica DNS-01 invece della più semplice verifica HTTP, che sono dieci minuti di configurazione contro una divulgazione permanente. Faccia questa ricerca sul suo stesso dominio prima di andare oltre — richiede un solo comando, e le persone sono regolarmente sorprese da ciò che si trova già lì dentro, frutto di un certificato emesso una volta e poi dimenticato.

Lo pianifichi come una certezza che si presenterà a un certo punto nel corso di un decennio, non come un incidente, perché la causa scatenante è di solito banale: una regola antifrode automatizzata su un pagamento in criptovalute, una segnalazione su qualcosa presente sul dominio, un cambio di proprietà del registrar, o una giurisdizione a cui l'azienda decide di non voler più essere esposta. Quattro precauzioni rendono la situazione superabile, e tutte quattro sono gratuite. Mantenga attivo il blocco di trasferimento, ma conservi offline un codice di autorizzazione aggiornato, perché un registrar che ha chiuso il suo account non ne genererà uno per lei. Conosca a memoria i propri dati di registrazione — la data di creazione, l'email del registrante registrata, la data dell'ultimo trasferimento — poiché è ciò che qualsiasi procedura di recupero le chiederà. Conservi il file di zona esportato da qualche parte fuori dal registrar, così ricostruirlo presso un nuovo registrar diventa un copia-incolla di quindici minuti invece di un'operazione archeologica. E non permetta che il registrar sia la stessa azienda del suo operatore DNS, del suo host e del suo fornitore di posta, perché un solo account chiuso si porterebbe via tutti e quattro insieme. Se succede comunque, il registrar è obbligato dalla politica di trasferimento ad avere una procedura documentata e un punto di escalation, e il registro sopra di esso è un soggetto separato con un proprio percorso di reclamo. La risposta è lenta, procedurale e di solito efficace — a condizione che lei non abbia perso anche la casella di posta a cui è ancorato l'intero account.

Di norma no, e questo è uno dei pochi punti della serie in cui il self-hosting è la risposta più debole. Il DNS autoritativo richiede due o più server su reti separate, un funzionamento corretto proprio durante l'incidente che ha messo fuori uso il suo server principale, e una resistenza agli abusi di amplificazione che è un lavoro continuo, non un singolo passaggio di configurazione — e se fallisce, tutto ciò che si risolve tramite quel nome fallisce con esso, incluso il rinnovo del certificato che le avrebbe permesso di risolvere il problema. C'è anche un argomento di privacy contrario, opposto a quello abituale: un server autoritativo autogestito sullo stesso blocco di indirizzi di tutto ciò che gestisce è un collegamento diretto tra tutti questi servizi, visibile nei dataset di DNS passivo che chiunque può interrogare. L'assetto pragmatico è un operatore DNS con una rete anycast, scelto in base al fatto che richieda o meno un documento d'identità piuttosto che in base al suo elenco di funzionalità, e una zona che può esportare con un solo comando. Da notare che questo è un compito diverso rispetto al resolver privato trattato altrove nella serie: quello sposta sulla sua stessa macchina il log di ciò che lei consulta, il che è un vantaggio netto. Questo invece pubblicherebbe ciò che chiunque altro consulta su di lei, il che è un profilo di rischio completamente diverso.

Sì, e sono i cinque minuti di maggior valore in assoluto su questa pagina. L'indirizzo su un account presso il registrar non è un dato di contatto, è la chiave maestra: riceve il messaggio di verifica la cui scadenza può sospendere il nome, approva i trasferimenti, reimposta la password, ed è l'ancora di ogni procedura di recupero. Contano tre proprietà. Deve essere dedicato, quindi non deve essere l'indirizzo presente nella sua cronologia commit, nel suo profilo su un forum e in un corpus di violazioni di dati del 2019 — il riutilizzo è il modo più comune in cui una registrazione anonima curata con attenzione finisce per essere collegata a una persona, e non costa nulla evitarlo. Deve essere duraturo: una casella usa-e-getta che cessa di esistere è il motivo per cui le persone scoprono la loro email di verifica con nove mesi di ritardo, e i fornitori gratuiti chiudono gli account inattivi. E deve essere uno che legge davvero, perché i messaggi che contano arrivano di rado e sembrano esattamente identici a quelli che non contano. Va bene sia un suo dominio personale presso un fornitore di posta, sia una casella a pagamento presso un fornitore esterno alla catena, ma non lo stesso dominio che sta registrando — un nome la cui email di recupero risiede sul nome stesso non può essere recuperato una volta scaduto. Aggiunga, nella stessa sessione, un secondo fattore TOTP sull'account, e conservi i codici di recupero insieme al codice di autorizzazione, non nella casella di posta che dovrebbero proteggere.

Perché esse rivelano cose diverse, e un avversario che ne ha una andrà a cercare l'altra. Il record del dominio risponde a «chi ha registrato questo nome»; l'account di hosting risponde a «chi paga la macchina, da quale indirizzo, con quale carta, e cos'altro gestisce» — e questo secondo file è di solito molto più ricco. È anche quello che viene richiesto tramite un procedimento legale piuttosto che letto da un'interfaccia pubblica, il che significa che la giurisdizione in cui si trova fa parte della sua esposizione reale. Ne derivano due proprietà. Dove si trova la macchina determina quale procedimento può raggiungerla: Stoccolma, Helsinki, Oslo e Reykjavík sono quattro ordinamenti costituzionali con solide tradizioni di libertà di stampa, tutti all'interno dello SEE, il che elimina anche la questione del trasferimento internazionale da qualsiasi cosa debba dichiarare per iscritto. E il nome presente sull'account determina cosa l'account stesso riveli — su NordBastion non c'è alcun documento d'identità, nessun nome legale e nessuna carta, la fattura si regola in Monero o Bitcoin, e la scheda cliente semplicemente non contiene ciò che qualcuno andrebbe a chiedere. Questo non rende privato il dominio; nulla rende privato un dominio. Impedisce solo che il dominio sia il primo anello di una catena che finisce in una scheda di hosting con il suo passaporto dentro. La guida alle giurisdizioni illustra il livello minimo di tutela legale di ciascuna delle quattro.