La etiqueta a prueba de denuncias frente al hosting que ignora el DMCA, descifrada

La etiqueta del hosting del mercado criminal, descifrada: origen, por qué los compradores pierden y las seis preguntas clave. VPS legal sin KYC desde $4.80/mes anual.

Una descripción de puesto salida de los foros de spam, no una categoría de producto

El término que los compradores escriben en los buscadores no es un producto que nadie pueda entregar: es una descripción de puesto. Los foros del comercio de spam y malware de los años 2000 acuñaron una palabra para el proveedor que no actuaría ante ninguna denuncia de abuso —la de esos servidores que ninguna queja podía perforar— y todo el discurso era la inmunidad frente al procedimiento. Ese mercado sigue existiendo en canales privados, y la palabra todavía lo describe con honestidad.

El mecanismo de la etiqueta es simple: convierte la ausencia de un departamento de abuso en una característica con precio. Un proveedor que ignora cada informe —copyright, phishing, protección de menores, tráfico de ataque— puede venderle esa negativa a los gremios que la necesitan, y los gremios pagan; por eso la etiqueta ha sobrevivido a cada proveedor individual que la llevó. Cuando un nombre se quema, los proveedores se marcan de nuevo a su alrededor; la descripción de puesto jamás se jubila.

Donde se rompe es en el buscador, no en la página de ventas. La gente llega al término queriendo una de tres cosas distintas —menos retiradas por copyright, menos fricción de identidad o permiso para el crimen a secas— y la palabra promete las tres mientras que, con honestidad, solo significa la tercera. Los compradores que querían las dos primeras descubren que han pagado precios de mercado criminal por vecinos de mercado criminal.

Esta página conserva la historia y rechaza el truco de vocabulario: ningún host debería venderte una palabra cuando las propiedades de fondo son todas preguntables. Qué monedas liquidan una factura (19), si aparecen documentos en algún gasto (ninguno), qué pasa con un correo de copyright de EE. UU. (archivado) — cada una es una pregunta con respuesta verificable, y el resto de esta página ejecuta la comprobación.

Llámala abreviatura «a prueba de denuncias» y audítala como cualquier afirmación: primero el origen, luego el mecanismo, luego los vecinos con los que se confunde. La siguiente sección es la letra pequeña de la historia del origen: lo que el historial de la etiqueta les hizo a los compradores que se lo creyeron.

La inmunidad frente al procedimiento incluye inmunidad frente a ti

La característica que atrae compradores hacia la etiqueta del mercado criminal —un proveedor que ignora las denuncias— no distingue entre denunciantes. La misma negativa que protege un kit de phishing de un registrador protege a un cliente que paga de un reembolso, y el acuerdo no tiene ningún contrato que un tribunal acepte tocar, porque toda su premisa es que el procedimiento no aplica.

El historial es el mecanismo vestido de historia. Ha habido proveedores que desaparecieron con carteras prepagadas; servidores sembrados con honeypots policiales, de modo que la lista de clientes y las pruebas llegaban juntas; y garantías que parecían absolutas y se evaporaron en la primera incautación. Muchas de esas tiendas aceptaban BTC y desaparecían con las monedas, razón por la cual pagar en cripto no es el seguro que los compradores creen.

Donde se rompe para el comprador legítimo: el día en que tu carga hereda a los vecinos. En un host inmune, el abuso que avanza libremente —campañas de spam, preparación de ataques— degrada la red que todos comparten, y cuando llega el final llega como una incautación o un corte del upstream con 0 aviso —sin ventana de migración, sin salida de datos— porque un host que ignora el procedimiento también se salta la cortesía del mismo.

La versión honesta de lo que quieren los compradores no es inmunidad; es previsibilidad. Quieres saber, por escrito, qué categorías de avisos se archivan y cuáles se actúan, qué órdenes judiciales honra el host y de qué jurisdicción, y qué le pasa a tu servidor cuando otro en la red se porta mal. Cada una de esas es una pregunta de política publicada, que es el territorio de las siguientes secciones.

Los proveedores inmunes no rinden cuentas a nadie, lo cual se lee como libertad hasta que eres tú quien presenta la única denuncia que te importa. El vecino legal de la etiqueta —el de los avisos de copyright— es donde de verdad vive la previsibilidad, y merece su propia sección.

Ignorar el DMCA es el vecino legal, no un sinónimo

Junto a la etiqueta del mercado criminal hay un término que describe algo más estrecho y legal: ignorar el DMCA. Nombra a un host fuera de la jurisdicción de EE. UU. que recibe el correo estadounidense de retirada por copyright y lo archiva en vez de actuar, porque la ley estadounidense no alcanza al país del rack —mientras que el proceso penal local corre exactamente con normalidad. Es una postura sobre una categoría de avisos civiles, no una afirmación sobre todo.

El mecanismo es jurisdiccional, no rebelde. El régimen de aviso y retirada administrado bajo la Oficina de Copyright de EE. UU. obliga a los proveedores con sede en EE. UU.; un rack en Reikiavik o Zúrich simplemente está fuera de él, así que la plantilla de aviso llega como correo extranjero sin fuerza de ley adjunta. El puerto seguro codificado en la sección 512 obliga a proveedores bajo jurisdicción estadounidense —que es precisamente la parte que la frase excluye. Este catálogo vende exactamente esa postura: el correo de plantilla de copyright se archiva en vez de actuarse, y todo lo demás sigue sujeto al AUP y a la ley de las instalaciones.

Donde se rompe: compradores que leen la frase como una autorización general. Un aviso de copyright de EE. UU. archivado no inmuniza una página de phishing frente a la ley del propio rack, ni una investigación por fraude frente a la policía local, ni una orden judicial frente al tribunal local —esos caminos los sigue el host como cualquier operador abierto. El otro fallo son los proveedores que anuncian la frase mientras alojan bajo jurisdicción de EE. UU., lo cual no es una postura: es una cuenta atrás.

La prueba práctica está a un correo de distancia y no cuesta nada: pregunta al proveedor, por escrito, qué pasa con un aviso de copyright de EE. UU. y qué pasa con una orden judicial del país de las instalaciones. Un operador honesto responde en dos frases —archivado lo primero, honrada lo segundo— y la respuesta sirve además como la separación más clara posible de la etiqueta del mercado criminal.

Archivado, no actuado; ley local, plenamente honrada: ese es todo el vecino legal. Lo que no puede hacer es decidir las categorías sin ningún matiz jurisdiccional —las que todo host debe rechazar— y esa frontera es justo donde la siguiente sección traza la línea.

La ley del rack y el AUP deciden; la inmunidad no está en el menú

Todo host se asienta sobre discos físicos en una jurisdicción legal, y ese hecho —no el vocabulario— decide el límite exterior de lo que cualquier cliente puede ejecutar. Este catálogo nombra su borde directamente: CSAM, phishing, spam y tráfico de ataque están prohibidos en todos los planes, pagados con cualquiera de las diecinueve monedas, en cada una de las doce ubicaciones. Ninguna moneda, duración de plazo ni bandera compra una excepción.

El mecanismo es que dos sistemas obligan a un servidor a la vez. El AUP es el contrato que aceptas al registrarte, y los informes de protección de menores siguen los canales normales como en todo host que opera abiertamente. Las denuncias de abuso se tramitan bajo la ley de la ubicación de las instalaciones, así que el país del rack define tanto el proceso como las apelaciones —y las convenciones de contacto para recibir esos informes se estandarizaron hace mucho en la RFC 2142. La capacidad de mitigación también escala por la gama, con filtrado L7 en el nivel dedicado superior.

Donde se rompe: el proveedor que anuncia inmunidad frente a esas categorías nombradas. Ese proveedor miente a sus clientes o está a punto de perder el rack —las redes que transportan ese tráfico son cortadas aguas arriba, y el corte no se agenda en torno a tu ventana de migración. En cualquier caso, el comprador paga dos veces: una por el servidor, otra por el día en que desaparece sin plan de respaldo.

Dentro del borde, las 12 banderas son regímenes legales genuinamente distintos, y las diferencias son el producto real. Reikiavik opera bajo ley islandesa sin retención obligatoria de datos; Zúrich bajo la FADP suiza fuera de la UE; Ámsterdam bajo jurisprudencia GDPR de hosting; Estocolmo bajo una tradición de libertad de prensa. Elige la jurisdicción por la postura legal que necesitas —la guía de jurisdicción primero y la introducción al offshore existen exactamente para esto— y trata la bandera como una elección de ley, no como un decimal de latencia.

Borde, ley, contrato: tres capas, todas por escrito, ninguna en jerga. Antes de las seis preguntas, eso sí, lee el final de la propia etiqueta —cómo terminan de verdad los proveedores inmunes—, porque el final es la parte que los compradores nunca ven venir.

La mecánica de la salida: cómo acaban de verdad los proveedores inmunes

La parte contraintuitiva del ciclo de vida de la etiqueta del mercado criminal es que los hosts inmunes no se desvanecen: terminan en una de tres salidas —el corte del upstream, la descontinuación del registro, la incautación del hardware— y cada una es legible en la infraestructura pública mucho antes de que cualquier post en un foro lo anuncie a los supervivientes.

El mecanismo es fontanería prestada. Toda red existe sobre transit que alquila y espacio de direcciones que anuncia: las rutas BGP viven a discreción de los registros regionales —RIPE NCC en Europa, ARIN en Norteamérica— y un rango que atrae quejas sostenidas deja de ser enrutable cuando el registro o un upstream lo retira. El rack en sí está en unas instalaciones que honran las órdenes judiciales locales, así que la incautación es un evento físico con los discos dentro, no una disputa de facturación.

Nada de esto es visible desde dentro de un plazo prepagado. No se activa ninguna cláusula de aviso, porque la premisa del contrato es que el procedimiento no aplica; la salida de datos depende de la cooperación del proveedor, que es la misma cooperación que nunca estuvo allí. El prepago en cripto compra cero protección a la salida —las monedas se liquidaron meses antes, de forma irrevocable, y no existe ningún mecanismo de reembolso en un libro mayor diseñado para impedir la reversión.

Donde se rompe: compradores que modelan la salida como migra-cuando-avisen, aunque los proveedores inmunes no avisan, porque avisar es procedimiento; y compradores que asumen que una incautación necesita su nombre, cuando las incautaciones a nivel de rack recogen la columna entera de clientes —incluidos los inocentes— y lo ordenan después al ritmo de las propias instalaciones, con tu archivo como almacén de pruebas hasta entonces.

Corte, descontinuación, incautación: tres salidas, todas públicas en su infraestructura, ninguna programada. La insignia no puede proteger la salida más de lo que puede proteger el uptime; solo las preguntas hechas antes del pago moldean lo que ocurre —las seis de la siguiente sección.

Seis preguntas que vencen al eslogan

Cualquier vendedor honesto puede responder seis preguntas en un párrafo, y la insignia del mercado criminal no responde ninguna, y eso es lo que convierte a las preguntas en un mejor instrumento de compra que cualquier adjetivo. Son preguntables a cualquier host, incluido este, y las respuestas son verificables, no atmosféricas. Aquí van las seis, con las respuestas de este catálogo, para que veas cómo se ve una respuesta verificable.

Primera: ¿qué monedas liquidan una factura? Diecinueve, desde BTC y XMR pasando por USDT en siete redes hasta ADA y DOGE. Segunda: ¿aparece el KYC en algún gasto? No —una cuenta es un token o un correo más una contraseña de 12 caracteres, en todos los niveles. Tercera: ¿qué pasa con un correo de copyright de EE. UU.? Se archiva, no se actúa. Cuarta: ¿dónde están la empresa y los racks? Una empresa de San Cristóbal y Nieves sobre doce instalaciones en doce países.

Quinta: ¿el filtrado DDoS está incluido o se vende aparte? Incluido, L3/L4 como mínimo en todo el catálogo. Sexta: ¿qué tan rápido se aprovisiona un servidor tras el pago? Cerca de un minuto para un VPS —el pago cotiza unos 60 segundos del pago al SSH— y 2–4 horas de montaje para metal dedicado, con la IPMI entregada al final. Seis respuestas, seis hechos, cero adjetivos.

Donde se rompe: vendedores que responden a las preguntas con el eslogan. Si un proveedor no puede enunciar su lista de monedas, sus requisitos de identidad, su gestión de avisos, su sede corporativa, su postura DDoS y su reloj de aprovisionamiento, las respuestas que faltan son el producto —el comprador está pagando por la niebla. Aplica las seis a la página de ventas de cualquier host y la conversación o se vuelve concreta o termina.

Las seis preguntas funcionan porque no le cuestan nada al comprador y todo al vendedor evasivo, y se trasladan perfectamente entre hosts, niveles de precio y países. Dos de las respuestas merecen ampliación, eso sí, porque son las que más se malinterpretan —lo que la elección de moneda cambia y lo que no, que es el tema de la siguiente sección.

La cripto cambia el libro mayor, no la ley

La moneda de pago decide exactamente una cosa: qué registra el libro mayor. XMR mantiene importes y contrapartes privados en su propia cadena; BTC y USDT escriben entradas públicas que cualquiera con un navegador puede rastrear; todo lo demás queda en medio. La moneda no cambia ni el AUP que aceptaste, ni la ley del país donde están los discos, ni una palabra de las seis preguntas de arriba.

El mecanismo que vale la pena entender es el que elimina: el procesador de tarjetas. Un pago en fiat le da a una empresa de pagos palanca sobre el host —congelar la cuenta, retener las liquidaciones— y los hosts históricamente han doblado políticas bajo esa presión. La liquidación en cripto quita al intermediario, que es una ganancia de independencia real para el host, y es el núcleo honesto de lo que la etiqueta del mercado criminal insinuaba sin decir jamás. La documentación del proyecto Monero cubre la mecánica de privacidad; la guía de pagos cubre el lado del checkout.

Donde se rompe: supersticiones simétricas. Pagar en XMR no hace legal una carga ilegal, y pagar en BTC no hace culpable una carga legal; el análisis de cadena lee libros públicos todo el día, y las monedas de privacidad se aceptan precisamente para que la pata de pago no añada nada al cuadro. Lo que la moneda nunca toca es la lista de categorías —las cargas nombradas en el AUP viajan con el servidor, liquidara lo que liquidara la factura.

Para la prueba de conducción, mantenla pequeña y honesta: reserva un Core a $4.80/mes en el plazo anual (lista $6.00/mes), líquidala con la de las diecinueve monedas que encaje en tu modelo de amenaza, y califica la experiencia contra las seis preguntas en lugar del ambiente. Una factura dice más sobre un host que un año de hilos de foro, y cuesta más o menos un bocadillo.

Libro mayor, intermediario, lista de categorías: la moneda es una decisión de transporte con ajuste de privacidad, no una decisión legal. Queda por corregir la última lectura errónea —lo que desbloquea de verdad la ausencia de verificación de identidad, y la lista de cargas legales a la que se aplica.

Lo que de verdad corre aquí: la lista de cargas legales

Las cargas que la imaginación cercana a la insignia asigna a hosts como este y las cargas que de verdad se sirven son casi disjuntas. Lo que corre: plataformas editoriales, servicios y puentes Tor, extremos VPN, nodos de blockchain, servidores de correo, servidores de juego y archivos de ficheros —todo legal, todo sin ninguna compuerta en el pago, todo regido por el mismo borde breve del AUP que en cualquier otro sitio.

El mecanismo es que el pago filtra la identidad, no el propósito. Una cuenta es un token o un correo más una contraseña de 12 caracteres; ningún campo pregunta para qué es el servidor, porque el AUP gobierna los bordes por carga y jurisdicción, no por interrogatorio. Un nodo de cadena y un kit de phishing se instalan igual; la diferencia es que uno es legal en los doce regímenes y el otro es abuso nombrado en los doce —el cuadro completo de identidad está en la guía sin KYC. Transportes de puente como obfs4 existen para usuarios cuyas conexiones están filtradas, y alojar uno es trabajo ordinario de VPS.

Donde se rompe: leer la verificación de identidad ausente como reglas ausentes. El comprador que asume que sin KYC significa sin aplicación descubre lo contrario el día en que la ley del rack le aplica —aquí la aplicación corre sobre carga y jurisdicción, que es más difícil de burlar que un formulario de registro, porque no puedes des-enviar el tráfico que probó la categoría.

Dimensionar la carga legal es la escalera ordinaria: un Core al precio de entrada corre un sitio personal o un puente; el Forge a $39.20/mes efecto anual (lista $49.00/mes) toma una caja monoinquilino con 16 núcleos, 32 GB y dos NVMe de 1 TB cuando un archivo o un nodo ocupado desborda la virtualización compartida; el nivel superior, con 4 x 2 TB NVMe y un estadio de EPYC dual, queda por encima para los casos de terabytes. Pide el Forge a $39.20/mes en el plazo anual cuando la carga es real pero monoinquilino.

Cargas legales, sin compuerta de identidad, un borde publicado: esa es toda la oferta, y es mucho menos misteriosa que la etiqueta que trae a la gente hasta aquí. La sección de cierre monta la auditoría en el orden de ejecución.

La auditoría de la etiqueta, en el orden de ejecución

Ejecuta la auditoría en este orden. Primero, el origen: cuando un proveedor o una reseña echa mano de la palabra del mercado criminal, pregunta qué está haciendo ahí —un host que comercializa inmunidad al abuso describe el único modelo de negocio que acaba en incautaciones y carteras desaparecidas, y ninguna lista de características sobrevive a esa comprobación de origen.

Segundo, las seis preguntas, por escrito: la lista de monedas, el requisito de identidad, el destino de un correo de copyright de EE. UU., la sede corporativa y los países de los racks, la postura DDoS, el reloj de aprovisionamiento. Las respuestas de este catálogo —diecinueve monedas, un token o correo más una contraseña de 12 caracteres, plantillas de avisos archivadas, una empresa de SKN sobre doce racks, filtrado incluido, cerca de un minuto para un VPS— son la forma que toma una respuesta verificable.

Tercero, los documentos de frontera: lee el AUP para el borde nombrado, y la tabla de ubicaciones para la ley que gobierna cada rack —no retención islandesa, FADP suiza, los regímenes GDPR, la APPI en Tokio, la PDPA en Singapur. El borde y la ley son los dos documentos que deciden el futuro de tu servidor; las páginas de marketing no deciden nada.

Cuarto, guarda las respuestas en papel a medida que llegan y compara hosts rivales lado a lado: un proveedor que responde seis preguntas en un párrafo te ha entregado una especificación, mientras que uno que responde en adjetivos ya ha respondido igualmente, porque la evasiva es en sí el hallazgo. La auditoría es portátil entre proveedores y países, repetible cada vez que migras, y termina siempre igual —con hechos que verificaste tú mismo en lugar de un vocabulario que te pidieron creer.

Quinto, la moneda, decidida como transporte: XMR cuando la pata de pago no deba añadir nada, USDT cuando la cifra en dólares deba quedarse quieta, DOGE o ADA cuando eso es lo que hay en la cartera. La elección cambia el libro mayor y nada más, así que hazla al final, tras resolver la ley y la frontera.

Sexto, el pedido pequeño: una factura de Core, pagada de principio a fin, calificada contra las seis respuestas y no contra el adjetivo. Esa es toda la auditoría —origen, preguntas, documentos, notas, transporte, prueba— y cabe en una tarde, que es exactamente lo que merece el eslogan.