Você alugou a máquina sem dar um nome.
Depois, você pregou um nome na porta.

Registrar um domínio sem publicar sua identidade é legal e comum; registrar um com dados falsos é outra coisa, e é essa a distinção sobre a qual todo o assunto gira. Desde a mudança de 2018 na forma como os dados de registro são tratados, o registro público de um domínio de topo genérico é ocultado por padrão — seus dados são coletados e mantidos, simplesmente não são publicados para quem pergunta. Esse é o estado normal de um domínio em 2026, não um truque de privacidade, e é por isso que o mercado de "privacidade do WHOIS" como complemento se tornou, em boa parte, um mercado para algo que você já tem. O que permanece genuinamente opcional é se os dados exatos ficam com um registrador sob seu nome legal, ou se um terceiro detém o registro e você tem um contrato com ele. Ambos são lícitos. O que não é lícito, ou pelo menos não é sustentável, é fornecer dados conscientemente falsos: segundo o acordo de acreditação da ICANN, um registrador deve agir mediante um relatório de dados inexatos, e, dentro da UE, o Artigo 28 da Diretiva NIS2 impõe aos registros e aos serviços de registro o dever positivo de manter dados exatos e completos e de verificá-los. Um registro construído sobre uma identidade fabricada é um registro que pode ser cancelado no momento em que alguém reclamar, que é exatamente o momento em que você menos gostaria de perdê-lo. A posição viável é dados exatos, mantidos por tão poucas partes quanto possível, publicados para nenhuma. Nada aqui é aconselhamento jurídico.

Menos do que costumava fazer, e vale a pena entender a diferença antes de pagar por isso. Para um domínio de topo genérico, o registro público já mostra os campos de contato ocultados, então um serviço de privacidade pago não adiciona nada ao que um estranho pode ler. Ainda assim, ele faz duas coisas úteis. Substitui um endereço de reenvio pelo seu, nos lugares onde a ocultação não alcança — as próprias páginas de diretório do registrador, os dados que alguns registros ainda publicam por completo, os feeds em lote, e os e-mails de confirmação de transferência. E coloca uma parte entre você e o volume de abuso automatizado direcionado a qualquer endereço que esteja no registro. As três coisas que ele não faz são mais importantes. Não afeta os dados que o seu registrador guarda, que são os que acabam sendo divulgados mediante solicitação documentada. Não se aplica retroativamente: se o nome já foi registrado com seus dados à mostra, esse instantâneo está permanentemente guardado em meia dúzia de arquivos históricos comerciais, e ativar a privacidade hoje não o remove. E, em muitos domínios de código de país, ele simplesmente não está disponível, porque o registro, não o registrador, decide o que é publicado. Avalie-o como controle de spam mais uma camada fina, não como anonimato.

Isso importa menos do que de onde a moeda veio, e é essa a parte que as pessoas entendem ao contrário. Um pagamento em Bitcoin é um lançamento permanente e público que liga um valor e um horário a um endereço, e, se esse endereço puder algum dia ser ligado a você — porque você o sacou de uma conta aberta com documento de identidade, porque você o reutilizou, porque uma empresa de análise de blockchain o agrupou com um que já era conhecido — então o pagamento é uma ligação durável entre o seu nome e aquele registrador, naquele dia. O Monero não publica valores, remetentes ou destinatários, então o mesmo pagamento não deixa um lançamento equivalente. Mas, se o Monero foi comprado minutos antes em uma exchange que verificou sua identidade e sacado diretamente para o registrador, a exchange guarda o registro de um saque muito próximo do valor da fatura, em um horário muito próximo do horário da fatura, e essa correlação não é difícil de fazer. A regra que realmente ajuda é sobre distância, e não sobre a moeda: coloque tempo, uma diferença no formato do valor, e pelo menos um salto não atribuído entre onde você adquiriu o valor e onde você o gastou, e prefira financiar um saldo pré-pago em um valor redondo a pagar cada fatura pelo seu preço exato. Nosso guia de Monero e o guia de Lightning cobrem a mecânica nos dois trilhos.

Não, e um bom provedor desse modelo diz isso claramente. Na titularidade por proxy, o provedor registra o nome em seu próprio nome legal e concede a você o direito de usá-lo e direcioná-lo; você tem um contrato, não um registro. É exatamente isso que torna o modelo eficaz — não existe nenhuma informação sua no registro, porque você não é o titular — e é exatamente isso que o torna uma concentração de risco. Tudo agora depende da solvência de uma única empresa, das políticas dela e da disposição dela em agir conforme suas instruções, incluindo a disposição de transferir o registro para você se, mais tarde, você quiser sair. Provedores que fazem isso bem publicam um compromisso declarado de transferir mediante solicitação e têm um histórico visível de honrar esse compromisso, e esse histórico é a única diligência real disponível para você. Pese isso contra o modo de falha: no dia em que o provedor for adquirido, mudar seus termos, decidir que seu conteúdo está fora da política dele, ou simplesmente parar de responder, você tem um nome que não pode mover. Para um projeto que pode ser renomeado, a troca costuma valer a pena. Para qualquer coisa cujo endereço é sua identidade — um repositório de software publicado, um domínio de e-mail, uma loja com clientes — é uma aposta em um terceiro que um registro simples atrás de um serviço de privacidade não exige que você faça. Comparamos um provedor desse modelo em nossa página de comparação do Njalla.

Em vez de uma lista que ficaria desatualizada dentro de um ano, use três perguntas contra a própria página de política do registro. Primeira: ela impõe uma condição de elegibilidade — residência, cidadania, uma empresa local, um contato administrativo local? Se impõe, satisfazer essa condição significa ou ser aquilo, ou declarar que você é, e a segunda opção é motivo de revogação, não uma solução alternativa. Segunda: o que o próprio registro publica? A política de dados de registro para domínios genéricos é definida centralmente e oculta os campos de contato, mas os registros de código de país definem suas próprias regras, e vários publicam o nome do titular por completo, independentemente do que o seu registrador venda para você. Terceira: quem está por trás do registro, e qual é o seu histórico de suspensão de nomes? Alguns registros operam segundo um processo de disputa documentado; outros já retiraram nomes do ar a partir de um pedido informal de um órgão nacional, e um domínio confiscado sem um processo do qual você possa fazer parte é um domínio que você não pode defender. Existe uma quarta pergunta que ninguém faz e que todo mundo devia fazer: quanto custa a renovação no segundo ano? Um primeiro ano promocional em uma extensão pouco comum, seguido de uma renovação padrão bem maior, é uma decisão recorrente que você precisa continuar tomando, e um nome que você não pode pagar para renovar é um nome que, eventualmente, você vai perder para alguém que está de olho esperando ele cair.

Para uma classe real de projetos, sim, e é o único arranjo desta página sem registrador, sem registro, sem data de renovação e sem pagamento. Um endereço onion versão 3 não é alocado por ninguém: é uma codificação de 56 caracteres derivada de um par de chaves que você mesmo gera, o que torna o endereço autoautenticável e irrevogável — ninguém pode transferi-lo, suspendê-lo ou deixá-lo vencer, porque não existe registro dele em lugar nenhum sobre o qual agir. O que você perde é todo mundo que não vai instalar o Tor Browser, o que, para a maioria dos projetos voltados ao público, é quase todo mundo, mais a visibilidade em buscas, mais o e-mail, mais toda integração que pressupõe um hostname comum. O arranjo que funciona na prática é o dos dois: um domínio na clearnet, registrado como este guia descreve, para alcance, um serviço onion para quem o quiser, e o cabeçalho Onion-Location no site da clearnet, para que um usuário do Tor receba automaticamente a opção do onion. Isso também dá a você um substituto que sobrevive à perda do domínio — o endereço onion continua funcionando no dia em que o registrador encerrar sua conta, que é exatamente o dia em que você vai desejar ter um. Nosso guia de serviço oculto Tor é o passo a passo.

Sim, e esse é o vazamento que mais frequentemente desfaz uma configuração, de resto, cuidadosa, porque opera depois que você termina e para de prestar atenção. Todo certificado emitido por uma autoridade publicamente confiável é enviado a logs públicos de acréscimo apenas, e os navegadores rejeitam certificados que não constem deles. Os logs são espelhados e indexados por interfaces de busca gratuitas, de modo que o hostname completo de qualquer coisa para a qual você solicitou um certificado está a uma busca por palavra-chave de distância — para qualquer pessoa, para sempre, incluindo os nomes staging., backup., vpn. e admin- que você presumiu que ninguém adivinharia. Não há como optar por sair, e não deveria haver; os logs são o que torna a emissão indevida detectável. Existe uma mitigação limpa: solicite um único certificado wildcard para a zona inteira e sirva todo hostname interno a partir dele, e a entrada do log passa a dizer apenas que existe um certificado para a zona. Isso custa a você o desafio DNS-01, em vez do desafio HTTP mais simples, o que são dez minutos de configuração contra uma divulgação permanente. Faça a busca no seu próprio domínio antes de continuar — leva um único comando, e as pessoas costumam se surpreender com o que já está lá, de um certificado que emitiram uma vez e esqueceram.

Planeje para isso como uma certeza em algum momento ao longo de uma década, e não como um acidente, porque o gatilho costuma ser banal: uma regra automatizada de fraude em um pagamento cripto, uma reclamação sobre algo no domínio, uma mudança de titularidade no registrador, ou uma jurisdição à qual a empresa decide que não quer mais estar exposta. Quatro preparações tornam isso sobrevivível, e as quatro são gratuitas. Mantenha o bloqueio de transferência ativado, mas mantenha um código de autorização atual guardado off-line, porque um registrador que encerrou sua conta não vai gerar um para você. Conheça de memória os seus próprios dados de registro — a data de criação, o e-mail do titular cadastrado, a data da última transferência — já que é isso que qualquer processo de recuperação vai pedir. Mantenha o arquivo de zona exportado em algum lugar fora do registrador, para que reconstruir tudo em um novo seja colar por quinze minutos, em vez de um projeto arqueológico. E não deixe que o registrador seja a mesma empresa que o seu operador de DNS, o seu host e o seu provedor de e-mail, porque uma única conta encerrada leva as quatro coisas de uma vez. Se acontecer mesmo assim, o registrador é obrigado, segundo a política de transferência, a ter um processo documentado e um ponto de escalonamento, e o registro acima dele é uma parte separada com seu próprio canal de reclamação. A resposta é lenta, processual e geralmente bem-sucedida — desde que você também não tenha perdido a caixa de e-mail à qual toda a conta está ancorada.

Geralmente não, e este é um dos poucos pontos da série em que o autogerenciamento é a resposta mais fraca. O DNS autoritativo exige dois ou mais servidores em redes separadas, funcionamento correto durante exatamente o incidente que tirou seu servidor principal do ar, e uma resistência a abuso por amplificação que é um trabalho contínuo, e não uma etapa de configuração — e, se falhar, tudo que resolve por meio daquele nome falha junto, incluindo a renovação de certificado que permitiria corrigir a situação. Há também um argumento de privacidade contra essa opção que vai no sentido contrário ao habitual: um servidor autoritativo autogerenciado no mesmo bloco de endereços que tudo o mais que você opera é uma ligação direta entre todos eles, visível em conjuntos de dados de DNS passivo que qualquer pessoa pode consultar. O arranjo pragmático é um operador de DNS com uma rede anycast, escolhido por exigir ou não um documento de identidade, e não pela lista de recursos, e uma zona que você pode exportar em um único comando. Note que essa é uma tarefa diferente do resolvedor privado tratado em outro ponto da série: aquele move o log do que você consulta para a sua própria máquina, o que é uma vantagem clara. Este publicaria o que todo mundo consulta sobre você, o que é um perfil de risco totalmente diferente.

Sim, e são os cinco minutos de maior valor desta página. O endereço em uma conta no registrador não é um dado de contato, é a chave-mestra: recebe a mensagem de verificação cujo vencimento pode suspender o nome, aprova transferências, redefine a senha, e é a âncora de todo processo de recuperação. Três propriedades importam. Ele precisa ser dedicado, ou seja, não pode ser o endereço que está no seu histórico de commits, no seu perfil de fórum e em um vazamento de dados de 2019 — a reutilização é a forma mais comum de um registro cuidadosamente anônimo acabar ligado a uma pessoa, e evitar isso não custa nada. Ele precisa ser durável: uma caixa de e-mail descartável que deixa de existir é como as pessoas descobrem, com nove meses de atraso, seu e-mail de verificação, e provedores gratuitos encerram contas inativas. E precisa ser um que você realmente leia, porque as mensagens que importam chegam raramente e se parecem exatamente com as que não importam. Ou o seu próprio domínio em um provedor de e-mail, ou uma caixa de e-mail paga em um provedor fora da cadeia, mas não o mesmo domínio que você está registrando — um nome cujo e-mail de recuperação vive no próprio nome não pode ser recuperado depois que vence. Adicione um segundo fator de senha de uso único baseada em tempo (TOTP) na conta, na mesma sessão, e guarde os códigos de recuperação junto com o código de autorização, e não na caixa de e-mail que eles protegem.

Porque eles expõem coisas diferentes, e um adversário que tiver um vai procurar o outro. O registro do domínio responde "quem registrou este nome"; a conta de hospedagem responde "quem paga pela máquina, a partir de qual endereço, com qual cartão, e o que mais essa pessoa opera" — e esse segundo arquivo costuma ser muito mais rico. É também aquele que é solicitado por processo legal, em vez de lido em uma interface pública, o que significa que a jurisdição em que ele está é parte da sua exposição real. Disso decorrem duas propriedades. Onde a máquina está decide qual processo a alcança: Estocolmo, Helsinki, Oslo e Reykjavík são quatro regimes constitucionais com fortes tradições de liberdade de imprensa, todos dentro do EEE, o que também remove a questão da transferência internacional de qualquer coisa que você precise declarar por escrito. E de quem é o nome na conta decide o que a própria conta revela — na NordBastion não há documento de identidade, nem nome legal, nem cartão, a fatura é liquidada em Monero ou Bitcoin, e o cadastro do cliente simplesmente não contém aquilo que alguém estaria procurando. Isso não torna o domínio privado; nada torna um domínio privado. Isso impede que o domínio seja o primeiro elo de uma cadeia que termina em um arquivo de hospedagem com seu passaporte dentro. O guia de jurisdição cobre o piso legal de cada um dos quatro.