你租下了这台机器，却没有透露姓名。
然后你把一个名字钉在了门上。

注册一个域名而不公开你的身份，是合法且平常的事；用虚假信息注册域名则是另一件事，而这正是整个话题所围绕的那条分界线。自 2018 年注册数据处理方式发生变化以来，通用顶级域名的公开记录默认就是隐去的——你的详细信息会被收集并保留，只是不会公开给任何询问者。这就是 2026 年域名的正常状态，不是什么隐私花招，这也正是为什么作为附加服务出售的「WHOIS 隐私保护」这个市场，如今在很大程度上变成了一个卖给你本就已经拥有的东西的市场。真正仍属于可选项的，是准确的详细信息究竟留存在以你的法定身份登记的注册商那里，还是由第三方持有注册、而你与之持有一份合同。两者都是合法的。不合法的，或者至少是不持久的，是提供明知为假的详细信息：依据 ICANN 的认可协议，注册商必须对不准确数据的举报采取行动，而在 EU 境内，NIS2 指令第 28 条要求注册局和注册服务商负有一项积极义务，须保持数据的准确完整并加以核实。建立在编造身份之上的注册，会在有人投诉的那一刻就被取消，而那一刻恰恰是你最不愿意失去它的时刻。可行的立场是：数据准确，尽可能少的人持有，不向任何人公开。此处内容不构成法律意见。

不如以前那么有用了，这个差异值得在你为它付费之前先弄清楚。对于通用顶级域名，公开记录本来就已经显示为隐去后的联系人字段，所以一项付费隐私服务并不会让陌生人多看到更少的信息。它仍然做了两件有用的事。在隐去处理触及不到的地方——注册商自己的目录页面、一些注册局仍会全文公开的数据、批量数据源，以及转移确认邮件——它会用一个转发地址替代你的地址。它还会在你和冲着记录上那个地址而来的大量自动化滥用之间，插入一方作为屏障。它做不到的三件事更加重要。它不会影响你的注册商所持有的详细信息，而那些信息才是凭一份书面请求就会被披露的信息。它不能追溯生效：如果这个域名曾经用你的真实信息公开注册过，那份快照就会永久留存在六七份商业历史档案中，今天开启隐私保护并不能把它抹去。而在许多国家代码域名上，它根本不可用，因为公开与否是由注册局而非注册商决定的。把它当作反垃圾手段外加一层薄薄的屏蔽来看待，而不要把它当作匿名性。

这件事没有那么重要，真正重要的是这些币最初从何而来，而这正是人们常常搞反的地方。一笔 Bitcoin 支付是一条永久的公开记录，把一个金额和一个时间点绑定到一个地址上，而如果这个地址曾经、或将来能被关联到你身上——因为你是从一个用身份证件开设的账户里把它提现出来的，因为你重复使用了它，因为某家链上分析公司把它和另一个已被关联的地址归到了一类——那么这笔支付就成了你的名字与那家注册商在那一天之间的一条持久链接。Monero 不公开金额、发送方或接收方，所以同样的支付不会留下与之对应的记录。但如果这笔 Monero 是几分钟前在一个验证过你身份的交易所购买、然后直接提现给注册商的，那么这家交易所就保留着一条提现记录，其金额和时间都与账单极为接近，而这种关联并不难做出来。真正有用的规则，关乎的是距离而不是选哪种币：在你获取这笔资金的地方和你花掉它的地方之间，插入时间上的距离、金额形态上的差异，以及至少一个无法被归因的中转环节，并且优先选择用一个整数金额为预付余额充值，而不是为每一张账单支付其精确的价格。我们的Monero 指南和Lightning 指南介绍了这两条支付轨道各自的操作细节。

不是，一个做得好的这类服务提供商会明确这么说。在代理持有模式下，提供商以自己的法定名义注册域名，并授予你使用和支配它的权利；你持有的是一份合同，而不是一项注册。这恰恰是它有效的原因——注册局里的任何地方都不会留下关于你的记录，因为你不是注册人——但这也恰恰是它形成风险集中点的原因。现在一切都取决于这一家公司的偿付能力、它的政策，以及它是否愿意按你的指示行事，包括它日后是否愿意在你想要离开时把注册转让给你。做得好的提供商会公开发布一项「按请求转让」的承诺，并留有可查验的履约记录，而这份记录是你唯一能做的真正的尽职调查。要权衡的是失败模式：提供商被收购、修改条款、认定你的内容不符合其政策，或者干脆不再回应的那一天，你就会有一个无法迁移的域名。对于一个可以改名的项目而言，这笔交易往往是值得的。但对于任何「地址即身份」的东西——一个已发布的软件仓库、一个邮件域名、一家有客户的商店——这是一场对第三方的赌注，而躲在隐私服务背后的普通注册并不要求你去下这个赌注。我们在Njalla 对比页面上比较了这一模式的一家提供商。

与其列一份一年之内就会过时的清单，不如拿三个问题去对照注册局自己的政策页面。第一：它是否设有资格条件——居住地、国籍、本地公司、本地行政联系人？如果有，满足这个条件就意味着你要么真的具备这个身份，要么声称自己具备，而第二种做法是一项撤销理由，不是一条变通办法。第二：注册局自己会公开什么？通用域名的注册数据政策是中央统一制定的，会隐去联系人字段，但国家代码注册局各自制定规则，其中不少无论你的注册商向你出售什么服务，都会全文公开注册人姓名。第三：注册局背后是谁，它在暂停域名这件事上的记录如何？有些注册局依据一套书面的争议处理程序运作；另一些则曾应某国家机构的非正式请求下架域名，而一个在你无法参与的程序之外就被没收的域名，是你无法为之辩护的域名。还有第四个问题，几乎没人会问，但每个人都该问：第二年续费要花多少钱？一个冷门后缀的促销首年，紧接着一个高得多的标准续费价格，这是你必须一再面对的重复决定，而一个你续不起的域名，终将败给某个一直盯着它掉落的人。

对于确实存在的一类项目而言，可以，而且这是本页中唯一一种没有注册商、没有注册局、没有续费日期、也没有付款的安排。第三版洋葱地址不是由任何人分配的：它是从你自己生成的一对密钥推导出的 56 个字符的编码，这使得该地址能够自我验证且不可撤销——没有人能转移它、暂停它或让它过期，因为根本不存在任何地方留有可供操作的记录。你放弃的是所有不会安装 Tor Browser 的人——对大多数面向公众的项目而言这几乎是所有人——外加搜索引擎可见性，外加邮件，外加所有假定存在一个普通主机名的集成。实际可行的安排是两者兼备：按本指南所述注册一个明网域名以获得可及性，再为想要它的人提供一个洋葱服务，并在明网站点上设置 Onion-Location 头部，让 Tor 用户自动获得洋葱地址的提示。这同时也给了你一个能在失去域名后依然存活的后备方案——注册商关闭你账户的那一天，洋葱地址仍会继续工作，而那一天正是你会庆幸自己留了这一手的时候。我们的Tor 隐藏服务指南提供了完整的操作步骤。

是的，而且这正是那种最常见的、会把一套本来处理得很仔细的配置推翻的泄露，因为它是在你已经收尾、不再留意之后才开始起作用的。每一张受公众信任的机构签发的证书，都会被提交到只增不减的公开日志中，浏览器会拒绝那些未被提交的证书。这些日志被免费的搜索界面镜像并建立了索引，所以你曾申请过证书的任何东西的完整主机名，都只是一次关键词搜索之外的距离——对任何人，永远如此，包括你以为没有人能猜到的 staging.、backup.、vpn. 和 admin- 这些名称。这没有退出选项，也不应该有；正是这些日志让误签发变得可被察觉。有一个干净的缓解办法：为整个区域申请一张通配符证书，让每一个内部主机名都由它提供服务，这样日志条目就只会显示该区域存在一张证书。代价是你需要使用 DNS-01 挑战，而不是更简单的 HTTP 方式，这是用十分钟的配置去换取一次永久性的信息暴露。在你进一步操作之前，先对你自己的域名做一次这种搜索——只需要一条命令，人们常常会惊讶地发现，某张自己曾经签发后就忘记了的证书，早已把什么东西留在了里面。

把它当作十年之内某个时刻必然会发生的事情来规划，而不是当作一场意外，因为触发它的原因通常都很平常：一条针对加密货币支付的自动反欺诈规则，一条关于域名上某些内容的投诉，注册商那边的一次所有权变更，或者这家公司决定不再想暴露在某个司法管辖区之下。四项准备工作能让你在这种情况下活下来，而且全部免费。保持转移锁开启，同时把一份最新的授权码离线保存，因为一个已经关闭了你账户的注册商，是不会再为你生成授权码的。把你自己的注册数据牢记于心——创建日期、留档的注册人邮箱、上一次转移的日期——因为任何恢复流程都会问到这些。把区域文件导出并保存在注册商之外的地方，这样在新的注册商那里重建，就是一次十五分钟的粘贴操作，而不是一场考古发掘。而且不要让你的注册商、DNS 运营商、主机商和邮件服务商都是同一家公司，因为那样一个账户被关闭，就会同时带走这四样东西。如果这种情况还是发生了，注册商依据转移政策，必须提供一套书面流程和一个升级申诉的渠道，而在它之上的注册局是一个独立的第三方，有自己的申诉途径。这个办法很慢、很讲程序，但通常都能成功——前提是你没有同时失去整个账户所锚定的那个邮箱。

通常不建议，这也是本系列少数几处自托管反而是较弱选项的地方。权威 DNS 需要两台或更多位于不同网络上的服务器，需要恰好在你的主服务器宕机那次事故期间也能正常运作，还需要持续投入精力去抵御放大攻击滥用，而不是配置一次就完事——而且一旦它失效，所有通过这个域名解析的东西都会跟着失效，包括本可以让你修复问题的证书续期。反对自托管还有一个与通常说法恰恰相反的隐私理由：一台与你运营的其他一切共用同一地址段的自建权威服务器，会成为把它们全部直接关联在一起的线索，任何人都能在被动 DNS 数据集中查到这一点。务实的做法是选择一个带 anycast 网络的 DNS 运营商，挑选标准是它是否要求身份证件，而不是它的功能列表，并保留一份可以一条命令导出的区域文件。请注意，这与本系列别处介绍的私有解析器是不同的工作：那一个是把你自己查询过什么的日志迁移到你自己的机器上，这显然是一种收益。而这一个则会把其他所有人查询关于你的什么信息公开出去，这是一种完全不同的风险状况。

是的，而且这是本页里价值最高的五分钟。注册商账户上的那个邮箱地址不是一个联系方式，它是一把万能钥匙：它接收那条过期后可能导致域名被暂停的验证消息，它批准转移，它重置密码，它是每一个恢复流程的锚点。三个特性很重要。它必须是专用的，不能是出现在你的提交历史、论坛资料，以及某个 2019 年数据泄露语料库里的那个地址——重复使用地址，是一次精心策划的匿名注册最终被关联到某个人身上的最常见方式，而避免它不花一分钱。它必须是持久的：一个会失效的临时邮箱，正是人们在九个月后才发现自己的验证邮件的原因，而且免费服务商会关闭不活跃的账户。它还必须是一个你真正会去查看的邮箱，因为真正重要的消息很少出现，而且看起来和那些不重要的消息几乎一模一样。可以是你自己域名下的一个邮箱，托管在某个邮件服务商那里，也可以是链条之外某个服务商的一个付费邮箱，但不能是你正在注册的这个域名本身——一个恢复邮箱地址就架设在这个域名本身之上的域名，一旦过期，就再也无法恢复。在设置的同一时刻，为账户加上一个基于时间的一次性密码第二因素，并把恢复码和授权码存放在一起，而不是存放在它们所保护的那个邮箱里。

因为它们暴露的是不同的东西，而掌握了其中一个的对手，一定会去找另一个。域名记录回答的是「谁注册了这个名字」；托管账户回答的是「谁在为这台机器付费、用的哪个地址、哪张卡，以及他们还运行着什么」——而后面这份档案通常要丰富得多。它也是那种会被法律程序索取、而不是从公开接口就能读到的档案，这意味着它所处的司法管辖区，本身就是你实际暴露面的一部分。由此得出两个特性。机器所在的位置决定了什么程序能够触及它：Stockholm、Helsinki、Oslo 和 Reykjavík 是四个拥有强新闻自由传统的宪政体制，且全部位于 EEA 之内，这也让你需要写下的任何东西都不必再考虑国际数据转移的问题。而账户上挂着谁的名字，决定了这个账户本身会泄露什么——在 NordBastion，不需要身份证件、不需要法定姓名、不需要信用卡，账单以 Monero 或 Bitcoin 结算，客户记录里根本就不存在别人想要索取的那个东西。这并不能让域名本身变得私密；没有什么能让域名变得私密。它能做到的是，阻止域名成为一条链条的第一环，而这条链条的终点是一份写着你护照信息的托管档案。司法管辖区指南介绍了这四个地方各自的法律底线。