La alianza de los 14 Eyes, para compradores de hosting

Five, Nine y Fourteen Eyes es un mapa de inteligencia, no una ley de hosting. Países y planes desde $4.80/mes anual, con las contrapartidas claras.

Un mapa de intercambio, no una ley de hosting

El dato contraintuitivo sobre los Five, Nine y Fourteen Eyes —los anillos de 5, 9 y 14 Estados— es que ningún tratado de la serie regula el hosting en absoluto. Las alianzas mueven inteligencia de señales entre agencias miembros en virtud de acuerdos permanentes; no licitan centros de datos, no definen el contenido permitido ni obligan qué puede alquilarte un proveedor. Los compradores toman prestado el mapa como atajo —una forma rápida de adivinar con cuánta facilidad los datos de una cuenta podrían viajar entre gobiernos— y el atajo es útil precisamente porque no es ley.

Trata los anillos como una heurística de ordenación aplicada a una sola pregunta estrecha: ¿una agencia local entregaría los datos de tu cuenta a un homólogo extranjero con descuido, o solo mediante un proceso documentado? La pertenencia a la alianza es un indicador indirecto de la respuesta, y por eso las comparaciones serias ponen el mapa junto a la política de KYC (verificación de identidad) y la lista de monedas en lugar de tratarlo como un veredicto. La RFC 7258 califica la vigilancia masiva como un ataque en palabras del propio IETF: la interceptación a escala estatal es el entorno para el que existen estas alianzas, y fingir lo contrario no ayuda a nadie.

Lo que los tratados organizan es la confianza entre agencias: las interceptaciones y los registros circulan con menos ceremonial dentro del club que a través de sus fronteras, porque los acuerdos de intercambio son permanentes y no se negocian caso por caso. Para un rack alquilado, eso se traduce en la velocidad y la formalidad del proceso legal —cuántas firmas necesita una petición, cuánta revisión recibe— y no en otro hardware, otros planes u otras reglas sobre qué puedes alojar.

Donde se equivocan los compradores es en dejar que el mapa responda preguntas que no puede responder. Ningún tratado Eyes regula qué puede alojar un host; un Estado miembro no convierte tu carga de trabajo en ilegal, y un no miembro no convierte una bandeja de entrada en privada. La AUP (política de uso aceptable), la postura de KYC y tu propia higiene operativa pesan cada uno más que cualquier margen, y por eso la guía de requisitos sin KYC debería estar en tu lista de lectura junto a esta antes de pedir nada.

Los tres anillos, contados correctamente

El anillo interior —Five Eyes— vincula a Estados Unidos, Reino Unido, Canadá, Australia y Nueva Zelanda, cinco Estados cuyos acuerdos de inteligencia de señales se remontan a la época de guerra y de posguerra y siguen definiendo el intercambio rutinario más profundo. La relación derivada del UKUSA permite que interceptaciones y solicitudes circulen entre los cinco con una fricción mínima, razón por la cual el anillo interior tiene nombre propio mientras los círculos exteriores se conocen sobre todo por su número.

Nine Eyes añade Dinamarca, Noruega, Países Bajos y Francia, hasta llegar a 9 miembros. Fourteen completa el mapa estándar con Alemania, Bélgica, Italia, España y Suecia, para un total de 14. En los comentarios circulan cifras mayores —17 y 41 ojos aparecen en gráficos de foros— pero carecen de la base documental en tratados que tienen los catorce, y un comprador cuidadoso los trata como folclore hasta que aparezca un documento primario con nombres propios.

Toma la lista como históricamente sólida, pero proyéctala hacia el futuro solo con cautela. Los tratados sobreviven a los gobiernos: el entusiasmo de un miembro por compartir sube y baja con la política, mientras que la fontanería legal que habilita el intercambio sigue construida. A los compradores les rinde más leer lo que obligan los estatutos propios de cada país —deberes de retención, umbrales de divulgación, revisión judicial— que memorizar en qué edición aniversario del diagrama aparece cada país. El diagrama es la leyenda; los estatutos son el terreno, y solo uno de los dos llega con citas que puedes comprobar.

La lista de miembros sorprende dos veces. Países Bajos y Suecia están dentro del club mientras Islandia y Suiza quedan fuera, invirtiendo lo que implica el folclore europeo de la privacidad. Y las cuatro sedes APAC del catálogo —Tokio, Singapur, Hong Kong, Taipéi— quedan por completo fuera de las alianzas occidentales, regidas por sus propios estatutos y no por la coreografía de ningún anillo, lo cual es una distancia de otro tipo que la que sugiere el mapa.

El error de conteo es citar una tabla de meme como si fuera texto de tratado; el error de decisión es darle tanto peso a la lista que la latencia, el coste y la política de aceptación nunca llegan a compararse. Ambos se corrigen en cuanto lees la membresía en una fuente primaria y pasas a los criterios que de verdad fijan el precio y la forma de tu despliegue. Los anillos son un mapa del intercambio, y un mapa no es el territorio donde vive tu servidor.

Por qué el término se lo apropian los compradores de hosting

Los compradores de hosting se apropian del término porque la pregunta operativa para un servidor es estrecha: ¿con cuánta ligereza cruzan la frontera los datos de una cuenta aquí? Dentro de un Estado miembro, la respuesta práctica tiende a transferencias más rápidas y menos visibles; fuera, a más proceso por cada solicitud. Ninguna de las dos respuestas cambia lo que la máquina puede ejecutar, pero ambas moldean cómo viajaría una solicitud legal sobre tu cuenta y quién la revisaría por el camino.

Por eso las comparaciones offshore ponen el mapa junto a la política de KYC y la lista de monedas: juntos son las tres señales baratas de comprobar sobre cuánto papel se acumula detrás de una cuenta. La guía de requisitos cubre la identidad, la guía de anonimato cubre las superficies que sí puedes controlar, y la RFC 6973 aporta la advertencia de los diseñadores de protocolos: la recogida de metadatos es un problema de privacidad en sí misma, independiente del contenido.

Un ejercicio práctico concreta la abstracción: elige dos ciudades candidatas del catálogo y traza qué le pasaría a una hipotética solicitud de registros en cada una. Quién la recibe, bajo qué estatuto, qué legitimación necesita una agencia extranjera, cuánto tarda la revisión judicial —cada paso es conocimiento público, y escribir ambas rutas lado a lado convierte un eslogan en una comparación. Quienes hacen este ejercicio suelen descubrir que las banderas que temían y las que preferían intercambian posiciones en cuanto entra en escena el procedimiento real.

La heurística también envejece: las membresías son estables, pero la práctica deriva con la política y la tecnología. Un juicio formado en 2013 puede hoy halagar o difamar a un país, así que usa el mapa para generar preguntas —cómo funciona el proceso aquí, qué exige la ley de retención— en lugar de para dictar veredictos. El catálogo de doce sedes hace que esas preguntas tengan respuesta por sede, porque la ley aplicable de cada centro de datos está publicada y no se adivina.

El error es quedarse por completo en el mapa. Una caja de metal barata fuera de la alianza sigue necesitando una carga de trabajo aceptable según la AUP, y un rack en un Estado miembro puede seguir siendo la respuesta correcta cuando la latencia de ida y vuelta a tus usuarios es la restricción determinante. Ambos intercambios son públicos, y puedes hacerlos conscientemente. La sección de ordenación siguiente sitúa la jurisdicción en su lugar honesto dentro de la secuencia de compra: útil, pero nunca primero.

Qué cambia la pertenencia para un rack

Dentro de un Estado miembro, los datos de la cuenta pueden moverse entre agencias más rápido de lo que a un comprador le gustaría, y la ley nacional sigue rigiendo todo lo que recibe el centro de datos. Fuera del club, la distancia y la fricción de tratados ralentizan los mismos cauces sin bloquear el proceso legítimo. Ninguna de las dos configuraciones cambia un solo hecho mecánico del servidor que alquilas: las mismas CPUs, la misma capa KVM, la misma consola fuera de banda y el mismo pipeline de aprovisionamiento.

El Investigatory Powers Act de Reino Unido de 2016 —el estatuto es público— muestra con claridad la maquinaria doméstica: obligaciones de retención y poderes de interceptación escritos en ley nacional, ejercidos por autoridades nacionales bajo supervisión nacional. Ese es el modelo que cabe esperar en cada Estado del mapa. El cuerpo legal local, y no la alianza, es el documento al que responde de verdad el equipo de cumplimiento de un centro de datos cuando alguien viene a preguntar.

El corolario merece párrafo propio porque las webs de comparativas se lo saltan: la alianza te habla de transferencias entre gobiernos, mientras que la inmensa mayoría del movimiento de datos de cuenta es comercial y mundano —conciliaciones de facturación, consultas a procesadores de pago, informes de abuso entre proveedores. Esos flujos obedecen al derecho contractual y a los estatutos del centro de datos, no a ningún pacto de inteligencia. Un comprador que modele su exposición debería dedicar más tiempo a qué empresas ocupan las cadenas de pago y de registro que a qué agencias comparten un tratado, porque los flujos aburridos tocan la cuenta todos los días y los dramáticos casi nunca.

El aprovisionamiento y la mecánica de producto corren al mismo ritmo bajo cada bandera: un VPS se genera en torno a un minuto después de que la factura se acredite, el metal dedicado tarda unas horas con la IPMI entregada al final, y los puertos sin límite de tráfico de 1 Gbps a 10 Gbps aparecen a ambos lados de la línea de la alianza. Nada en el formulario de pedido sabe dónde traza el mapa sus círculos, y nada en el centro de datos lo pregunta.

El tropiezo es asumir que el club cambia el producto: que un rack en territorio Fourteen Eyes trae CPUs más viejas o un aprovisionamiento más lento, o que un rack fuera del club trae unas más rápidas. El hardware, los plazos y los puertos son constantes de todo el catálogo; la jurisdicción opera sobre el papeleo, y en el papeleo es donde debes evaluarla. Si la distinción importa para tu carga de trabajo, evalúala ahí y pasa al dimensionamiento, porque el silicio por sí mismo no notará la diferencia.

Qué no cambia la pertenencia

La pertenencia a la alianza ni anula el GDPR, la FADP o el procedimiento penal local, ni vuelve difícil de leer una factura en Bitcoin. El GDPR aplica porque el centro de datos está en la UE, no por el elenco de tratados de nadie; la FADP suiza aplica en Zúrich por la misma razón local. Las reglas de datos salen del cuerpo legal del centro de datos, y la lista de miembros del club sencillamente no es el documento operativo para lo que ocurre con tu rack.

Otra invariancia merece enunciarse sin rodeos: los hechos técnicos de la plataforma no cambian con la geografía. Una máquina en un Estado no miembro arranca la misma imagen, presenta la misma consola y respeta las mismas reglas de firewall que su gemela dentro de la alianza, y una instantánea tomada en una ciudad se restaura en otra sin traducción. Quienes lo verifican una vez dejan de pagar la prima geográfica en su cabeza; las únicas columnas de la tabla de sedes que cambian el comportamiento son la ley aplicable, el enlace de subida y el multiplicador de precio premium, y las tres están impresas.

Las blockchains públicas imprimen sus registros sin importar la latitud: un pago en BTC o USDT deja un rastro público permanente que las empresas de analítica leen igual en Reikiavik que en Ámsterdam. El comprador que quiere un corredor más discreto elige XMR —la guía de Monero cubre la mecánica— y el que quiere distancia de procedimiento elige la bandera. Son diales distintos, y girar uno no gira el otro.

La independencia funciona en ambos sentidos: alojar fuera de las alianzas no exime a una carga de trabajo de las leyes que sí aplican. La postura islandesa de no retención obligatoria reduce lo que el centro de datos está obligado a conservar; no autoriza contenidos que la AUP prohíbe, y no deroga el derecho penal del lugar donde viven tus usuarios. El trabajo legal sigue siendo legal, el prohibido sigue prohibido, y el mapa no cambia ninguno de los dos.

La fantasía que hay que evitar es compuesta: una bandera no miembro más una factura en cripto igual a una caja sin regulación. Cada centro de datos responde ante alguna jurisdicción con nombre y sistema de tribunales, y la pregunta honesta es cuál, y bajo qué proceso. La tabla de sedes lo responde por ubicación y no por leyenda: lee primero la columna de ley aplicable y segundo la de peering, en ese orden.

Miembros dentro de este catálogo

Ámsterdam está dentro del club, y el rack sigue listado: el peering AMS-IX y DE-CIX lo convierte en la sede de la UE con la latencia más baja del catálogo, y el intercambio está publicado, no escondido. Quienes pesan mucho la alianza simplemente eligen otra bandera. La gracia de un mapa de doce sedes es que la decisión sigue siendo tuya y no la toma un valor por defecto.

Fuera de la alianza, el catálogo ofrece posturas genuinamente distintas. Islandia combina un rack fuera de la UE con ausencia de retención obligatoria por +20%; Suiza aplica el proceso de la FADP por +35%; el régimen de confianza de datos de Luxemburgo cuesta +15%; Noruega extiende el GDPR del EEE por +20%. Tokio, Singapur, Hong Kong y Taipéi quedan por completo fuera de las alianzas occidentales, cada una bajo su propio estatuto: una lógica de gobierno distinta, ni más fuerte ni más débil.

La distancia entre las banderas también tiene una ventaja práctica: la replicación. Quien mantiene una copia templada de la configuración y los datos en un segundo país hereda una resiliencia que ninguna sede aislada puede ofrecer, y la extensión del catálogo a dos continentes hace trivial montar la pareja. Elige la pareja por propiedades ortogonales —una de baja latencia para los usuarios, otra lejos para el procedimiento— y ensaya el failover dos veces al año. Un cuarto de hora de ensayo convierte una hipótesis aterradora en un runbook, el seguro más barato que existe en este oficio.

Para un primer despliegue, la receta práctica es preseleccionar dos banderas —una por ley, otra por latencia— y presupuestar ambas. Un único precio de lista cubre las doce sedes salvo las primas publicadas, y la facturación anual resta el mismo veinte por ciento en todas. Levanta la carga de prueba en Core a $6/mes de lista —$4.80 en el término anual— y haz tus benchmarks desde tu propio escritorio antes de comprometer la máquina de producción.

Leer la prima como señal de calidad o como penalización es el primer error de lectura: no es ninguna de las dos cosas, solo el coste publicado de la sede. El segundo error es asumir que las banderas APAC son más baratas o más privadas; no lo son. Están gobernadas de otra manera, lo cual es razón para leer sus estatutos, no para dar nada por supuesto. Deliberar es gratis; las suposiciones son la parte cara.

Criterios de ordenación para una compra

Ordena la decisión como ocurre de verdad los fracasos. El uso aceptable va primero, porque ninguna jurisdicción rescata una carga de trabajo prohibida: CSAM, phishing, spam y tráfico de ataque están fuera en todos los planes, y la AUP se lee igual bajo cada bandera. La postura de KYC va segunda: si la cuenta necesita documentos o solo credenciales. El soporte de monedas va tercero. La jurisdicción, con el mapa de los Eyes dentro, va cuarta —y por debajo de la latencia hacia tus usuarios.

Escribe la ordenación como una lista de comprobación literal antes de abrir cualquier página de precios, con una línea por criterio y una marca de cumple-o-no-cumple junto a cada uno. La disciplina suena burocrática hasta que aparece el primer caso dudoso: un país que te gusta con una moneda que no puedes usar, o un plan que encaja con la carga de trabajo pero solo en una jurisdicción que habías descartado. Las listas convierten esos momentos de debates en consultas, y dejan un registro de por qué se tomó la decisión —que tu yo futuro, mirando una migración, querrá más que la justificación de cualquier línea suelta.

Esta ordenación es impopular en los artículos comparativos, que encabezan con el banner de jurisdicción y se saltan por completo la carga de trabajo. También es la manera en que la gente real se quema: no por un tratado, sino por asumir que un país seguro excusa lo que haga la caja. La FAQ de VPS con cripto y el recopilatorio 2026 sin KYC cubren las capas de pago e identidad con la profundidad que esta sección solo esboza.

Cuando la carga de trabajo es almacenamiento masivo o cómputo pesado, la propia máquina empieza a importar más que el mapa. Sube a Forge a $49/mes de lista —$39.20 en el término anual— por 32 GB DDR5 y 2 x 1 TB NVMe con IPMI en todos los niveles, y dimensiona a partir de ahí. Elige el país por su ley, dimensiona el metal para el trabajo, y no dejes nunca que el segundo paso deshaga en silencio el primero.

La inversión clásica es comprar primero la jurisdicción y descubrir que el plan no aguanta la carga de trabajo, o que la lista de monedas no incluye el único monedero que usas de verdad. Cinco minutos con la ordenación anterior te ahorran los correos de reembolso y el fin de semana de migración. Los criterios tienen un orden por la misma razón que las listas de comprobación: los errores caros ocurren cuando los pasos se dan fuera de secuencia.

La ley ante la que responde un rack

Cada centro de datos está bajo un cuerpo legal concreto, y el conducto de abuso funciona bajo la ley de la ubicación del centro, no de la oficina de la empresa. VPSbit es operado por Meridian Node Ltd., registrada en San Cristóbal y Nieves, mientras que los racks viven en 12 ciudades cuya ley aplicable la tabla de sedes lista por ubicación. Una solicitud al centro de Ámsterdam sigue el procedimiento neerlandés y de la UE; una solicitud al centro de Reikiavik, el procedimiento islandés.

Esa división es ordinaria en el hosting y no sorprende a nadie que haya alquilado colocation antes: el edificio responde ante sus propias policías y tribunales. Lo que la división significa para ti es que las preguntas de jurisdicción tienen una respuesta concreta por servidor —la ley de la sede— y no una abstracta sobre dónde constituyó una empresa sus papeles. Pregunta por el rack y obtienes una ciudad; pregunta por el registro y obtienes una bandera que gobierna menos de lo que crees.

Consecuencia práctica: cuando una cuestión de jurisdicción importa de verdad, dirígela a la sede, no a la marca. La columna de ley aplicable, la postura de retención de ese país y el proceso que debe seguir una autoridad local son los hechos operativos; el domicilio corporativo determina sobre todo qué tribunal oye una disputa contractual sobre la factura misma. Quienes mezclan las dos capas escriben cartas airadas al público equivocado. Sepáralas una vez, por escrito, y toda pregunta jurisdiccional posterior se resuelve sola en segundos.

La práctica de retención y divulgación difiere en consecuencia. Islandia no impone retención obligatoria de datos; las sedes de la UE operan bajo las restricciones del GDPR sobre base legal y procedimiento; las sedes APAC rigen por estatutos de la familia PDPA y APPI. La página de privacidad declara las prácticas propias de la plataforma —sin registro de carga útil, metadatos de conexión conservados como máximo 24 horas— y la AUP gobierna lo que puede circular por el conducto en primer lugar.

La confusión que hay que evitar: citar el registro mercantil de la empresa como la jurisdicción operativa —la empresa está registrada offshore, así que la ley de la UE no alcanza el rack— lo cual está mal dos veces. La ley del centro de datos gobierna el centro, y la ley de la carga de trabajo sigue a los usuarios y al tráfico, no al registro. Dos capas legales, dos preguntas distintas, y mezclarlas es cómo se convencen los compradores de protecciones que no existen.

La decisión de los 14 Eyes, en el orden correcto de ejecución

Ejecuta la decisión en este orden. Primero, define la carga de trabajo y compruébala contra la AUP —todo lo demás es ruido si la carga está fuera de los límites. Segundo, decide la postura de identidad: registro solo con credenciales, mediante token o email, sin documentos en ningún punto del flujo. Tercero, elige la moneda entre las diecinueve disponibles y el término de facturación, sabiendo que la facturación de doce meses aplica su descuento del veinte por ciento de manera uniforme en cada sede del catálogo.

Cuarto, coloca la bandera. Preselecciona por ley —Islandia por la ausencia de retención obligatoria, Suiza por la FADP, Ámsterdam por latencia en la UE, una sede APAC por distancia de las alianzas occidentales— y comprueba cada una contra las primas: +20% para Islandia y Noruega, +35% para Suiza, +15% para Luxemburgo. Quinto, dimensiona la máquina: un nivel VPS para servicios, metal dedicado con IPMI cuando la carga necesita núcleos enteros y NVMe local bajo tu control exclusivo.

Sexto, pide y mide desde tu propio punto de observación: un minuto de aprovisionamiento para un VPS significa que la prueba de latencia puede correr la misma hora en la que pagas. Séptimo, configura claves, firewall y copias de seguridad antes de que aterrice la carga real, no después. Octavo, revisa la elección cada año —las alianzas derivan, los estatutos se mueven, y un mapa de doce sedes convierte la migración en un redespliegue y no en un proyecto con mudanzas y papeleo.

Un hábito de cierre completa la secuencia: guarda una nota de una página con la decisión tomada —bandera, nivel, término, moneda y la razón de cada uno— dentro de las mismas notas que tus claves. Seis meses después, cuando cambie una ley o abra una sede nueva, la nota convierte una redeliberación brumosa en un diff contra la intención registrada. Las decisiones que viven solo en la memoria se rehacen mal bajo presión; las que viven en un archivo se enmiendan, que es como se ve la gobernanza a escala de una sola persona.

Mantenida en ese orden, la función del mapa Eyes ocupa su lugar honesto: un dato entre cinco, útil para preguntas de distancia de procedimiento, inútil para todo lo que decide la propia carga de trabajo. Un rack es un objeto legal antes que un objeto técnico, y el mapa es un boceto de una esquina de esa legalidad. Quienes mantienen separados el boceto y el cuerpo legal acaban con una decisión más rápida y además defendible.