Вы арендовали машину, не называя своего имени.
Затем вы прибили имя к двери.

Регистрировать домен без публикации своей личности законно и обычно; регистрировать его с заведомо ложными данными — совсем другое дело, и именно на этом различии держится весь предмет разговора. После изменений 2018 года в подходе к работе с регистрационными данными публичная запись для родового домена верхнего уровня по умолчанию скрыта — ваши данные собираются и хранятся, просто они не публикуются никому, кто их запрашивает. Это нормальное состояние домена в 2026 году, а не какой-то трюк с приватностью, и именно поэтому рынок «приватности WHOIS» как дополнительной услуги во многом превратился в рынок того, что у вас уже есть по умолчанию. Что по-настоящему остаётся вопросом выбора — это хранятся ли точные данные у регистратора под вашим юридическим именем, или регистрацию держит третья сторона, а у вас с ней договор. Оба варианта законны. Незаконно, или по крайней мере ненадёжно, — предоставлять данные, о ложности которых вы заведомо знаете: по соглашению об аккредитации ICANN регистратор обязан реагировать на сообщение о недостоверных данных, а внутри ЕС статья 28 Директивы NIS2 обязывает и реестры, и регистраторов хранить точные и полные данные и проверять их. Регистрация, построенная на вымышленной личности, — это регистрация, которую могут аннулировать в момент, когда кто-то подаст жалобу, а это именно тот момент, когда вам меньше всего хотелось бы её потерять. Работоспособная позиция — точные данные, хранящиеся у как можно меньшего числа сторон, и не опубликованные никому. Ничто из сказанного здесь не является юридической консультацией.

Меньше, чем раньше, и в этой разнице стоит разобраться, прежде чем платить за неё. Для родового домена верхнего уровня публичная запись уже показывает скрытые поля контактов, поэтому платная служба конфиденциальности не добавляет ничего к тому, что может прочитать посторонний. Но у неё всё же есть две полезные функции. Она подставляет переадресующий адрес вместо вашего там, куда скрытие не доходит, — в собственных страницах-каталогах регистратора, в данных, которые некоторые реестры всё ещё публикуют полностью, в массовых выгрузках данных и в письмах с подтверждением передачи домена. И она ставит посредника между вами и объёмом автоматизированных злоупотреблений, направленных на адрес, указанный в записи. Три вещи, которых она не делает, важнее. Она не влияет на данные, которые хранит ваш регистратор и которые раскрываются по документированному запросу. Она не действует ретроактивно: если домен когда-либо был зарегистрирован с вашими данными в открытом виде, этот снимок навсегда остаётся в полудюжине коммерческих исторических архивов, и включение приватности сегодня его не удаляет. А на многих национальных доменах она просто недоступна, потому что то, что публикуется, решает реестр, а не регистратор. Оценивайте её как защиту от спама плюс тонкий дополнительный слой, а не как анонимность.

Это менее важно, чем то, откуда взялась сама монета, и именно в этом люди чаще всего путаются, понимая всё наоборот. Платёж в Bitcoin — это постоянная публичная запись, связывающая сумму и время с адресом, и если этот адрес когда-либо можно привязать к вам — потому что вы вывели его с аккаунта, открытого по документу, удостоверяющему личность, потому что вы использовали его повторно, потому что фирма, занимающаяся анализом цепочек, объединила его в один кластер с уже привязанным, — то платёж становится устойчивой связью между вашим именем и этим регистратором в этот конкретный день. Monero не публикует суммы, отправителей или получателей, поэтому тот же платёж не оставляет равнозначной записи. Но если Monero была куплена за несколько минут до этого на бирже, проверившей вашу личность, и выведена прямо регистратору, биржа хранит запись о выводе средств почти в точности на сумму счёта и почти в точное время счёта, и эту корреляцию установить не сложно. Правило, которое действительно помогает, касается не монеты, а дистанции: разнесите во времени, по форме суммы и хотя бы одним неатрибутированным промежуточным шагом место, где вы приобрели ценность, и место, где вы её потратили, и предпочитайте пополнение предоплаченного баланса округлой суммой оплате каждого счёта по его точной цене. Наше руководство по Monero и руководство по Lightning разбирают механику обоих способов оплаты.

Нет, и хороший провайдер этой модели прямо об этом говорит. При владении через посредника провайдер регистрирует имя на своё юридическое лицо и предоставляет вам право использовать домен и управлять им; у вас на руках договор, а не регистрация. Именно это делает схему эффективной — в реестре нигде нет записи о вас, потому что регистрант — не вы, — и именно это превращает её в концентрацию риска. Теперь всё зависит от платёжеспособности одной компании, её политики и её готовности выполнять ваши указания, включая готовность передать вам регистрацию, если вы позже решите уйти. Провайдеры, которые делают это добросовестно, публично заявляют о готовности передать домен по запросу и имеют видимую историю выполнения этого обещания, и эта история — единственная реальная проверка, доступная вам. Сопоставьте это со сценарием отказа: в день, когда провайдера покупают, он меняет условия, решает, что ваш контент не соответствует его политике, или просто перестаёт отвечать, у вас остаётся имя, которое вы не можете перенести. Для проекта, который можно переименовать, такой обмен часто оправдан. Для всего, чей адрес и есть его идентичность — опубликованный репозиторий кода, почтовый домен, магазин с клиентами, — это ставка на третью сторону, которую обычная регистрация со службой конфиденциальности от вас не требует. Мы сравниваем одного из провайдеров этой модели на нашей странице сравнения с Njalla.

Вместо списка, который устареет уже через год, задайте три вопроса странице политики самого реестра. Первый: накладывает ли он условие допуска — резидентство, гражданство, местную компанию, местный административный контакт? Если да, то соответствовать этому условию означает либо реально быть этим, либо заявить, что вы это, и второй вариант — основание для аннулирования, а не обходной путь. Второй: что публикует сам реестр? Политика в отношении регистрационных данных для родовых доменов устанавливается централизованно и скрывает поля контактов, но национальные реестры устанавливают собственные правила, и некоторые из них публикуют имя регистранта полностью независимо от того, что продаёт вам ваш регистратор. Третий: кто стоит за реестром и какова его история блокировки доменов? Некоторые реестры работают по документированной процедуре рассмотрения споров; другие снимали домены по неформальному запросу от государственного органа, а домен, изъятый без процедуры, к которой можно присоединиться, — это домен, который вы не можете защитить. Есть и четвёртый вопрос, который никто не задаёт, а следовало бы всем: сколько стоит продление на второй год? Акционный первый год на нестандартном расширении, за которым следует крупное стандартное продление, — это повторяющееся решение, которое вам придётся принимать снова и снова, а имя, которое вам не по силам продлевать, — это имя, которое вы со временем потеряете в пользу того, кто ждал именно этого момента.

Для реального класса проектов — да, и это единственный вариант на этой странице, где нет ни регистратора, ни реестра, ни даты продления, ни платежа. Onion-адрес версии 3 никем не выделяется: это 56-символьная кодировка, полученная из сгенерированной вами пары ключей, из-за чего адрес самоаутентифицируется и не может быть отозван — никто не может передать его, заблокировать или дать ему истечь, потому что нигде не существует записи о нём, на которую можно было бы воздействовать. Взамен вы теряете всех, кто не станет устанавливать Tor Browser — а для большинства проектов, обращённых к публике, это почти все, — плюс видимость в поиске, плюс почту, плюс любую интеграцию, которая рассчитывает на обычное доменное имя. На практике работает сочетание того и другого: домен в обычном интернете, зарегистрированный так, как описано в этом руководстве, — для охвата аудитории, onion-сервис — для тех, кто хочет им пользоваться, и заголовок Onion-Location на обычном сайте, чтобы пользователю Tor автоматически предлагался onion-адрес. Это же даёт вам запасной вариант, который переживёт потерю домена: onion-адрес продолжает работать в тот день, когда регистратор закрывает ваш аккаунт, — а это именно тот день, когда вы захотите, чтобы он у вас был. Наше руководство по скрытому сервису Tor — это подробный разбор.

Да, и это утечка, которая чаще всего перечёркивает в остальном аккуратно выстроенную настройку, потому что она срабатывает уже после того, как вы всё закончили и перестали следить. Каждый сертификат, выпущенный удостоверяющим центром, которому доверяют браузеры, отправляется в публичные журналы, допускающие только добавление записей, и браузеры отказываются принимать сертификаты, которые туда не попали. Эти журналы зеркалируются и индексируются бесплатными поисковыми интерфейсами, так что полное имя хоста для всего, на что вы когда-либо запрашивали сертификат, находится на расстоянии одного поискового запроса — для кого угодно и навсегда, включая имена staging., backup., vpn. и admin-, которые вы считали неотгадываемыми. Отказаться от этого нельзя, и не должно быть возможности отказаться: именно эти журналы делают ошибочный выпуск сертификатов обнаруживаемым. Есть чистое решение: запросить один wildcard-сертификат для всей зоны и обслуживать из него каждое внутреннее имя хоста — тогда запись в журнале говорит только о том, что для зоны существует сертификат. Это обойдётся вам испытанием DNS-01 вместо более простого HTTP-испытания, то есть десятью минутами настройки против постоянного раскрытия данных. Проверьте поиском собственный домен, прежде чем идти дальше, — это одна команда, и люди регулярно удивляются тому, что там уже есть, от сертификата, который они когда-то выпустили и забыли.

Считайте это не случайностью, а почти неизбежностью на каком-то отрезке из десяти лет, потому что триггер обычно самый обычный: автоматическое правило борьбы с мошенничеством, сработавшее на криптоплатеже, жалоба на что-то, связанное с доменом, смена владельца у регистратора или юрисдикция, в которой компания решила больше не находиться. Есть четыре меры, которые делают ситуацию переживаемой, и все четыре бесплатны. Держите блокировку передачи включённой, но храните актуальный код авторизации офлайн, потому что регистратор, закрывший ваш аккаунт, не станет генерировать его для вас. Знайте свои собственные регистрационные данные наизусть — дату создания, адрес электронной почты регистранта в записи, дату последней передачи — потому что именно это спросит любая процедура восстановления. Храните экспортированный файл зоны где-то за пределами регистратора, чтобы восстановление у нового регистратора было вставкой из файла на пятнадцать минут, а не археологической экспедицией. И не допускайте, чтобы регистратор оказался той же компанией, что и ваш DNS-оператор, ваш хостинг и ваш почтовый провайдер, потому что тогда одна закрытая учётная запись забирает все четыре сразу. Если это всё же произойдёт, регистратор обязан по политике передачи иметь документированную процедуру и точку эскалации, а реестр над ним — это отдельная сторона со своим собственным путём подачи жалоб. Ответ на такую ситуацию — медленный, процедурный и обычно успешный, при условии что вы не потеряли ещё и почтовый ящик, к которому привязан весь аккаунт.

Как правило, нет, и это одно из немногих мест в серии, где самостоятельный хостинг — более слабый вариант. Авторитативный DNS требует двух или более серверов в разных сетях, корректной работы именно во время того сбоя, который вывел из строя ваш основной сервер, а также защиты от злоупотреблений через усиление трафика, что является постоянной задачей, а не разовой настройкой, — и если он откажет, вместе с ним откажет всё, что резолвится через это имя, включая продление сертификата, которое могло бы помочь всё исправить. Есть и аргумент в пользу приватности, работающий в обратную сторону по сравнению с обычным: авторитативный сервер, который вы держите сами в том же адресном блоке, что и всё остальное ваше хозяйство, становится прямой связью между всеми этими проектами, видимой в наборах данных пассивного DNS, которые может запросить кто угодно. Практичное решение — DNS-оператор с anycast-сетью, выбранный по тому, требует ли он документ, удостоверяющий личность, а не по списку функций, и зона, которую можно экспортировать одной командой. Обратите внимание, что это отличается от задачи приватного резолвера, описанного в другом месте серии: тот перемещает журнал того, что ищете вы, на вашу собственную машину, и это явный плюс. Этот же вариант публиковал бы то, что о вас ищут все остальные, а это совершенно другой профиль риска.

Да, и это самые ценные пять минут на этой странице. Адрес, привязанный к аккаунту у регистратора, — это не просто контактная деталь, это главный ключ: на него приходит сообщение для подтверждения, невыполнение которого может привести к блокировке домена, через него подтверждаются передачи, через него сбрасывается пароль, и на нём держится любая процедура восстановления. Важны три свойства. Адрес должен быть выделенным — не тем, что фигурирует в истории ваших коммитов, вашем профиле на форуме и в утечке данных 2019 года: повторное использование адреса — самый распространённый способ, которым тщательно анонимную регистрацию всё же привязывают к конкретному человеку, а избежать этого ничего не стоит. Адрес должен быть устойчивым: одноразовый почтовый ящик, который прекращает существовать, — вот как люди узнают о письме с подтверждением на девять месяцев позже, а бесплатные провайдеры закрывают неактивные аккаунты. И этот адрес должен быть таким, который вы действительно читаете, потому что важные сообщения приходят редко и выглядят точно так же, как те, что не важны. Либо ваш собственный домен на почтовом провайдере, либо платный почтовый ящик у провайдера, не связанного с этой цепочкой, но не на том же домене, который вы регистрируете, — имя, чей адрес для восстановления живёт на самом этом имени, невозможно восстановить после того, как оно истекло. В том же сеансе добавьте на аккаунт временный одноразовый код (TOTP) как второй фактор и храните резервные коды вместе с кодом авторизации, а не в почтовом ящике, который они защищают.

Потому что они раскрывают разные вещи, и противник, заполучив одну, начнёт искать и другую. Запись о домене отвечает на вопрос «кто зарегистрировал это имя»; аккаунт у хостинга отвечает на вопрос «кто платит за машину, с какого адреса, какой картой и что ещё этот человек держит» — и этот второй файл обычно куда богаче содержанием. Кроме того, именно его запрашивают через юридическую процедуру, а не считывают из публичного интерфейса, а значит, юрисдикция, в которой он находится, — часть вашей реальной уязвимости. Отсюда следуют два свойства. От того, где физически находится машина, зависит, какая процедура до неё дотянется: Стокгольм, Хельсинки, Осло и Рейкьявик — это четыре государства с конституционным строем и прочными традициями свободы прессы, все в пределах ЕЭЗ, что также убирает вопрос международной передачи данных из всего, что вам приходится где-либо фиксировать. А от того, чьё имя стоит на аккаунте, зависит, что раскрывает сам аккаунт — на NordBastion не нужен документ, удостоверяющий личность, не нужно юридическое имя и карта, счёт оплачивается в Monero или Bitcoin, и в карточке клиента просто нет того, о чём кто-либо мог бы спрашивать. Это не делает домен приватным; ничто не делает домен приватным. Но это не даёт домену стать первым звеном в цепочке, которая заканчивается файлом хостинга с вашим паспортом внутри. Руководство по юрисдикциям разбирает правовой минимум для каждой из этих четырёх стран.