Хостинг, игнорирующий DMCA: что это значит на самом деле

За этой формулировкой стоят как минимум пять разных покупателей — и хотят они несовместимого.

• Тот, кто держит архив, зеркало или paste-сервис, куда тысячами сыплются автоматические жалобы на нарушение авторских прав, и ни одну из них не проверял человек.
• Нишевый форум или новостной сайт, на который конкурент подаёт жалобы как способ травли.
• Бизнес, которого отключил обычный хостер — по одному непроверенному письму, а вопросы стал задавать уже потом.
• Тот, кто публикует законные, но непопулярные материалы — утечки, критику компании, контент для взрослых — и хочет хостера, который не прогнётся под коммерческим давлением.
• И меньшинство, которое имеет в виду «хочу нарушать закон и оставаться неприкасаемым».

Первые четыре — настоящие проблемы с настоящими решениями: юрисдикция плюс хостер, который публикует, что он будет делать, а чего не будет. У пятой нет решения ни у одного провайдера, а страницы, которые его обещают, обычно торгуют чем-то другим, а не хостингом. Прежде чем сравнивать провайдеров, определите, к какому из пяти относитесь вы.

Закон об авторском праве в цифровую эпоху (Digital Millennium Copyright Act, DMCA) стал американским законом в 1998 году. Для хостинга важна его часть — раздел II (Title II), кодифицированный в 17 U.S.C. § 512.

Его часто понимают неправильно — как закон, который заставляет провайдеров удалять контент. На деле всё скорее наоборот: это щит. Американский поставщик услуг, который регистрирует назначенного агента в Бюро авторских прав США (US Copyright Office), оперативно удаляет материал по уведомлению, соответствующему требованиям закона, и ведёт политику в отношении повторных нарушителей, получает «безопасную гавань» — защиту от денежной ответственности за то, что хранят его пользователи. Пропустите эти шаги — и щита нет.

Эта конструкция объясняет поведение, которое вы наблюдали. Американский хостер сначала удаляет, а потом разбирается: ошибка грозит установленной законом компенсацией (statutory damages), а отключение вашего сайта стоит ему лишь одного недовольного клиента. Закон действительно предусматривает путь встречного уведомления по § 512(g): он обязывает восстановить материал примерно через десять–четырнадцать рабочих дней, если заявитель не подаст в суд, а § 512(f) делает заведомо ложные заявления основанием для иска, — но и тем и другим пользуются редко, и те, кто штампует шаблонные жалобы, это прекрасно знают.

Раздел 512 распространяется на поставщиков услуг, подпадающих под юрисдикцию Соединённых Штатов. Хостер без присутствия в США никогда не регистрировал назначенного агента, никогда не претендовал на «безопасную гавань» — и терять ему нечего. Уведомление DMCA, отправленное такому хостеру, — это письмо от иностранной частной стороны со ссылкой на иностранный закон, который здесь не действует. Очереди нет, потому что нет процедуры, а создание такой процедуры породило бы обязательство, которого в противном случае не существует.

CryptoVpsHost находится именно в таком положении — по факту, а не из желания бросить вызов: серверы в Париже, Рейкьявике, Цюрихе и Бухаресте, компания-оператор — в Сент-Китс и Невис. Наша политика обработки жалоб говорит об этом прямо: уведомления DMCA не обрабатываются, не пересылаются, получение их не подтверждается.

А теперь честная половина. Это не значит, что вы оказываетесь вне авторского права. Почти все страны — участницы Бернской конвенции, и у каждой есть собственный режим авторского права и своя процедура его защиты. Франция и Румыния — члены ЕС, где с 2024 года применяется Закон о цифровых услугах (Digital Services Act, Регламент (ЕС) 2022/2065), который предусматривает собственный механизм «уведомление и действие» (notice-and-action). В офшоре отсутствует американский ускоренный путь и сопутствующее ему рефлекторное коммерческое удаление контента — разница реальная, но более узкая, чем её рисует маркетинг.

В рекламных текстах эти понятия употребляют как взаимозаменяемые. На деле это совершенно разные бизнесы.

Bulletproof-хостинг рекламирует игнорирование любых жалоб (abuse) и любых законов. Это не столько юридическая позиция, сколько проблема состава клиентов: такое обещание притягивает операторов DDoS на заказ, массовых спамеров и командные серверы вредоносного ПО. Из-за таких соседей собственные транзитные поставщики хостера отправляют его IP-диапазоны в null-route, а потерю связности не переживёт никакая юрисдикция. Конец наступает резко и утягивает за собой всех клиентов, которые тут ни при чём. В нашем глоссарии сказано без обиняков: CryptoVpsHost — не bulletproof-хостинг.

«Игнорирует DMCA» — гораздо более узкое утверждение: уведомления об авторском праве не обрабатываются. Для любого хостера вне США это верно по умолчанию, и сказать это ничего не стоит. О том случае, который действительно важен, оно не говорит ничего: что будет, когда вручат настоящее постановление.

Офшорный хостинг с упором на приватность — третья модель: сознательно выбирать юрисдикции, публиковать политику обработки юридических запросов и держаться её. Рекламировать это скучнее — зато только эта модель из трёх на практике доказала, что способна оставаться в сети.

В почту провайдера попадают четыре совершенно разные вещи, и именно из-за их смешения покупателей вводят в заблуждение.

1. Автоматические шаблонные уведомления. Массово рассылаются компаниями, которые занимаются защитой брендов, — нередко не тому провайдеру и не о том контенте. Огромный объём, низкая точность, никакой юридической силы за пределами американской системы «безопасной гавани».
2. Письма юристов, запросы иностранной полиции и просьбы о «добровольном сотрудничестве». Принуждать они не вправе. Провайдеры всё равно подчиняются, потому что подчиниться дешевле, чем разбираться, — и именно такое поведение устраняет опубликованная политика.
3. Эскалация от апстрима и транзитных провайдеров. Это не закон, а договор. Но у этого пункта зубы настоящие: если трафик клиента угрожает IP-пространству провайдера, сеть действует вне зависимости от юрисдикции.
4. Обязательное к исполнению судебное постановление. От суда, обладающего юрисдикцией над компанией-оператором, надлежащим образом врученное, подписанное и называющее конкретный сервис. Исполнение обязательно в любой точке мира; хостер, который утверждает обратное, лжёт или просто ещё не проходил проверку.

Почти всё, что продаётся как устойчивость к требованиям об удалении, касается только первого уровня. Оценивайте хостера по уровням со второго по четвёртый.

Наша позиция опубликована, а не просто обещана, — поэтому с нас можно за неё спросить. Полный текст — на страницах политики обработки жалоб и условий использования; вкратце:

Не служит основанием для действий: уведомления DMCA; письма иностранной полиции, прокуратуры и просьбы о «добровольном сотрудничестве» без судебного постановления суда, обладающего над нами юрисдикцией; жалобы о нарушении товарных знаков и защите бренда; претензии о диффамации — мы не суд; жалобы на законный контент для взрослых; недовольство по религиозным или политическим мотивам; личные споры; и всё, что отправлено через стороннюю abuse-форму, которая заявляет, что представляет нас, — своей такой формы у нас нет.

Служит основанием для действий: обязательное к исполнению судебное постановление, отвечающее перечисленным выше условиям, — с предварительным уведомлением клиента, если закон это позволяет; сетевые нарушения, на которые жалуется апстрим и которые угрожают нашей инфраструктуре, — как правило, мы ограничиваем скорость либо отправляем нарушающий IP-адрес в null-route, по возможности предварительно написав письмо; и подтверждённый CSAM — это немедленное прекращение обслуживания без предупреждения и сохранение доказательств для передачи компетентному органу.

Это подкрепляют три вещи: логи потоков (flow logs) не хранятся, root-пароли хранятся в зашифрованном виде, а подписанный warrant canary («канарейка») публикуется ежемесячно, доступен для автоматической загрузки по адресу /.well-known/canary и проверяется с помощью gpg. Политика — не закон физики: суд, обладающий юрисдикцией, всё равно может принудить нас. Её ценность в том, что вы знаете, как это выглядит, ещё до развёртывания.

Во всех регионах стоит одинаковое оборудование — AMD EPYC, DDR5 и NVMe Gen5, поэтому выбор определяется исключительно правовыми соображениями и задержкой. Подробности — в разделе об офшорном хостинге; если коротко:

• Цюрих, Швейцария (ZRH) — вне ЕС, Европейской экономической зоны (ЕЭЗ) и альянса «14 глаз» (14-Eyes). Пересмотренный швейцарский закон о защите данных (FADP) даёт права уровня GDPR, информационная приватность защищена конституцией (ст. 13), а ст. 271 Уголовного кодекса объявляет преступлением действия в интересах иностранного государства на территории Швейцарии без разрешения, что блокирует неформальные запросы из-за рубежа. Это самая большая правовая дистанция из четырёх — и самый дорогой регион.
• Рейкьявик, Исландия (REK) — нет закона об обязательном хранении данных, есть конституционная традиция свободы слова и инициатива IMMI 2010 года в защиту свободы прессы. Находится в ЕЭЗ, а не в ЕС; энергия — геотермальная и гидроэлектрическая.
• Бухарест, Румыния (OTP) — член ЕС, где действует GDPR; исторически не поддаётся чрезмерно широкому давлению с требованиями об удалении; задержка до большей части Европы — единицы миллисекунд.
• Париж, Франция (PAR) — член ЕС с самым плотным пирингом на континенте. Выбирайте его ради производительности; правовая дистанция здесь самая маленькая из четырёх.

Выбирайте исходя из того, откуда, скорее всего, придёт давление, а не из того, какая страна звучит как самая далёкая.

Абсолютное правило о контенте ровно одно: CSAM. Подтверждённый материал означает немедленное прекращение обслуживания без предупреждения, сохранение доказательств и передачу их компетентному органу. Ни одна юрисдикция этого не меняет.

Всё остальное в политике допустимого использования защищает сеть, а не контролирует мнения:

• Никаких исходящих массовых спам-рассылок: массовая нежелательная почта загоняет наши IP-диапазоны в чёрные списки и вредит всем остальным клиентам. Один неправильно настроенный почтовый сервер — это другое, и так его не рассматривают.
• Никакой организации DDoS-атак, никаких booter- и stresser-сервисов.
• Никакого массового сканирования портов и перебора паролей SSH/RDP. Исследовательские сканеры с ограничением скорости, уважающие шаблоны отказа (opt-out), допустимы.
• Никаких открытых рекурсивных резолверов и открытых почтовых релеев — и то и другое начинают использовать во зло уже через несколько часов после запуска.
• Никакого майнинга на общих VPS-хостах: он отбирает ресурсы у соседних виртуальных машин. На выделенных серверах майнить можно свободно.
• Нельзя превращать эксплойт гипервизора в оружие. Сообщите о нём — и получите шесть месяцев бесплатно.

Ни одно из этих правил не относится к авторскому праву. Важны они потому, что чаще всего хостер, «игнорирующий DMCA», на самом деле погибает не из-за судебных исков, а из-за жалоб апстрима на злоупотребления.

Признаки, которые стоит считать основанием для отказа:

• «Размещаем что угодно» без письменной политики. Хостер, у которого нет заявленной границы, не продумал день, когда её проверят, и будет импровизировать за ваш счёт.
• Не указано расположение дата-центра — или «юрисдикцией» названа страна регистрации компании, а не место, где стоит диск. Это могут быть разные страны с разным законодательством. Спросите, что именно имеется в виду.
• Нет warrant canary, нет страницы допустимого использования, нет условий, описывающих действительное юридическое предписание. Три дешёвых документа; их отсутствие — это выбор.
• Анонимные операторы, нет страницы статуса, нет истории, нет опубликованных цен. Оплата только криптовалютой сама по себе не тревожный признак — мы и сами так принимаем оплату, — но в сочетании с перечисленным это типичный портрет exit scam.
• Цепочка реселлеров. Если несколько «независимых офшорных» брендов сидят на одном апстриме, одна жалоба обрывает работу сразу всех.
• Цены заметно ниже стоимости железа. Кто-то это субсидирует — и это не провайдер.

Наше руководство по выбору офшорного VPS оценивает конкретных провайдеров по этим критериям — в том числе тех, с кем мы конкурируем.

Покупатели регулярно сваливают всё это в одно слово — «анонимность». Но это независимые свойства, и вам может понадобиться лишь одно из них.

Отсутствие KYC означает, что провайдер никогда не собирал данные о вашей личности. У нас учётные данные — это только email и пароль: ни документа, удостоверяющего личность, ни телефона, ни прочих документов, ни подтверждения email, ни капчи, а одноразовый адрес вполне подойдёт. Значит, раскрывать или терять при утечке почти нечего. Но против судебного постановления об удалении контента это не поможет никак.

Устойчивость к требованиям об удалении — это юрисдикция плюс опубликованная процедура. Она не скрывает, кто вы.

Приватность платежей — это вопрос о том, ведут ли деньги к вам. Мы принимаем восемь криптовалют — BTC, XMR, ETH, LTC, TRX, USDT как в ERC-20, так и в TRC-20, и SOL — а также наличные заказным письмом. Только Monero по умолчанию не оставляет в блокчейне прослеживаемых связей, и на баланс он зачисляется примерно за 30 секунд. Расчёты идут через баланс, поэтому регулярного следа от карты нет.

Сервер может быть без KYC — и всё равно будет законно отключён. Он может стоять в Цюрихе — и всё равно выведет на вас через покупку на бирже с KYC или через SSH-сессию с домашнего IP; см. ошибки, которые вас деанонимизируют и наш честный ответ о законности хостинга без KYC.

Долговечный ответ — архитектурный, а не договорной. Ни одна политика провайдера не стоит столько, сколько независимость от единственного провайдера.

• Разнесите регистратора, DNS и хостинг между тремя сторонами. Домен — уязвимая точка, о которой большинство забывает: приостановка у регистратора отключает вас от сети, каким бы хорошим ни был хостер.
• Храните резервные копии вне провайдера и вне юрисдикции. Восстановление, которое вы ни разу не проверяли, — это не резервная копия.
• Держите второй регион в «тёплом» резерве. Экземпляр S1 за $5/мес в другой стране — дешёвая страховка, а медианное время развёртывания около 47 секунд, так что пересборка редко становится узким местом.
• Разделяйте личности по проектам, чтобы одна жалоба не позволила выйти на всё остальное, что вы запускаете.

Исходите из того, что жалоба рано или поздно куда-нибудь придёт, и проектируйте так, чтобы она стоила вам одного вечера, а не проекта. Именно такая позиция — а не лозунг об игнорировании уведомлений — и держит инфраструктуру в сети годами.