Как анонимно разместить сайт

Прежде чем вводить хоть одну команду, решите, от кого вы прячетесь. Быть «анонимным» для любопытного соседа несложно; быть анонимным для стороны гражданского спора с большими ресурсами или для государства — совсем другая дисциплина. Ваши операционные правила — с какого устройства вы заходите по SSH, подключаетесь ли когда-нибудь к серверу с домашнего IP, можно ли сопоставить домен и сервер — вытекают из этого ответа.

Три идентичности, которые нужно держать порознь

• Идентичность сервера — кто оплатил сервер и кто им управляет. Раскрывается регистрацией с KYC или отслеживаемой картой. Решение: VPS без KYC с оплатой в Monero.
• Идентичность имени — кто владеет доменом. Раскрывается через WHOIS, платёжные записи регистратора или DNS, который указывает на ваши настоящие серверы имён. Решение: зарегистрируйте домен отдельным анонимным путём.
• Идентичность оператора — отпечатки, которые вы оставляете, управляя сайтом. Раскрывается повторно используемыми SSH-ключами, входом из дома, CMS, которая вшивает ваше имя пользователя, или аналитикой, шрифтами и скриптами, подгружаемыми у третьих сторон.

Запишите, какие из них важны для вашего проекта. Маркетинговому сайту, уважающему приватность, нужны первые две. Архиву утечек или журналистскому «дропбоксу» (защищённой точке приёма материалов) нужны все три — плюс описанный ниже подход со скрытым сервисом Tor.

Чем анонимность НЕ является

Это не единый «приватный режим». Это не доверие к переключателю «скрыть мой IP» у CDN, пока ваш исходный сервер по-прежнему отвечает по своему настоящему адресу. И это не юридическое прикрытие для запрещённой деятельности: у CryptoVpsHost есть единственная красная линия — нулевая терпимость к CSAM (материалам сексуального насилия над детьми), — и мы исполняем обязательные судебные постановления. Анонимность здесь означает, что вас нельзя легко идентифицировать, а у оператора нет документов, которые вас идентифицируют, — а не то, что законы физики или вашей юрисдикции перестают действовать.

От того, где физически лежат байты, зависит, какие суды и чего могут от вас потребовать. CryptoVpsHost использует одинаковое оборудование в четырёх регионах, поэтому юрисдикцию можно выбирать без ущерба для производительности:

• Рейкьявик, Исландия (REK) — инициатива IMMI в защиту свободы прессы, отсутствие обязательного закона о хранении данных и возобновляемая геотермальная энергия. Сильный выбор для журналистики и архивов утечек.
• Цюрих, Швейцария (ZRH) — сильная конституционная защита приватности (FADP), нахождение вне соглашения об обмене разведданными «14 глаз» (14-Eyes), а ст. 271 уголовного кодекса ограничивает содействие иностранным органам. Консервативный выбор для моделей угроз с активным противником.
• Бухарест, Румыния (OTP) — член ЕС, отличная связность, исторически устойчив к чрезмерному давлению с требованиями об удалении, самая низкая стоимость среди площадок в ЕС.
• Париж, Франция (PAR) — ЕС, надёжный пиринг и инфраструктура, GDPR. Второй по дешевизне регион (входной тариф за $5 такой же, как в Бухаресте) и наименьшая задержка для большей части Европы.

Чтобы максимально отделить себя от любой одной правовой системы, размещайтесь в Рейкьявике или Цюрихе, а домен регистрируйте у регистратора в ещё одной юрисдикции. Полный разбор правовых оснований смотрите в обзоре юрисдикций. В каком бы регионе вы ни разместились, корпоративная площадка для любых юридических требований — Сент-Китс и Невис, и оператор уведомит вас, прежде чем исполнять надлежащим образом врученное постановление.

Создайте аккаунт с одноразовым email и надёжным паролем — это и есть вся регистрация: без письма с подтверждением, без телефона, без капчи. Затем пополните баланс криптовалютой. Monero (XMR) — вариант по умолчанию для приватности: он зачисляется примерно за 30 секунд и не оставляет в блокчейне публичного следа, связывающего платёж с вами. Биткоин тоже подойдёт, но зачисляется за несколько минут и прозрачен в блокчейне, поэтому для этого сценария лучше выбрать XMR.

Пополнение и развёртывание

• Пополните баланс — с него будут списываться развёртывания. Бонус растёт вместе с суммой: +30 % при $100, +70 % при $1000 (между ними — линейно).
• Выберите тариф. S1 (2 vCPU / 4 ГБ DDR5 / 80 ГБ NVMe, от $5/мес) — более чем достаточно для статического или небольшого динамического сайта. Для CMS, базы данных и запаса мощности переходите на S2 Pro (4 vCPU / 16 ГБ / 320 ГБ, от $15/мес).
• Выберите образ ОС: Debian 13 — компактный вариант по умолчанию, именно на нём построены команды ниже. Также доступны Ubuntu 24.04, Rocky 9, Alma 9, Alpine, Arch и FreeBSD 14.
• Выберите период оплаты. Скидки за период существенные и разовые (без автопродления): 25 % за 3 месяца, 35 % за 6 месяцев, 50 % за 12 месяцев.

Запустите развёртывание. Медианная загрузка занимает около 47 секунд; в панели вы получите адрес IPv4, блок IPv6 /64 и начальные учётные данные root. Добавьте свой публичный SSH-ключ при оформлении заказа, если такая возможность предлагается, или вставьте его при первом входе, как показано далее. Готовы начать? Заказать VPS.

# From the order panel you receive an IPv4 like 203.0.113.10
# First login (replace with your address):
ssh [email protected]

Сервер, открытый в публичный интернет, начинают сканировать уже через несколько минут. Закройте его до того, как отдадите хотя бы один байт. Сделайте всё это в первой же сессии.

1. SSH только по ключам, без входа root по паролю

Если у вас ещё нет ключа, сгенерируйте его на локальной машине (используйте отдельный ключ для этого проекта — не переиспользуйте рабочий):

# Local machine
ssh-keygen -t ed25519 -f ~/.ssh/anon_site -C ""
ssh-copy-id -i ~/.ssh/anon_site.pub [email protected]

Затем на сервере отключите вход по паролю и вход root по паролю:

# /etc/ssh/sshd_config.d/hardening.conf
PasswordAuthentication no
PermitRootLogin prohibit-password
KbdInteractiveAuthentication no
AuthenticationMethods publickey

systemctl restart ssh

Параметр -C "" убирает комментарий user@hostname, чтобы в файле ключа не оказалось имени хоста или имени пользователя вашего ноутбука — это небольшая, но реальная утечка идентичности оператора.

2. Файрвол с политикой default-deny

apt update && apt install -y nftables
# Allow SSH, HTTP, HTTPS only; drop the rest inbound.
cat > /etc/nftables.conf <<'EOF'
table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    ct state established,related accept
    iif lo accept
    tcp dport { 22, 80, 443 } accept
    ip protocol icmp accept
    ip6 nexthdr icmpv6 accept
  }
}
EOF
systemctl enable --now nftables

3. fail2ban против шума от перебора

apt install -y fail2ban
cat > /etc/fail2ban/jail.local <<'EOF'
[sshd]
enabled = true
maxretry = 3
bantime  = 1h
findtime = 10m
EOF
systemctl enable --now fail2ban

Кроме того, включите автоматические обновления безопасности (apt install unattended-upgrades) и создайте для повседневной работы непривилегированного пользователя с доступом к sudo. В руководстве по защите VPS подробнее разобраны auditd, параметры ядра sysctl и минимизация логов.

Обычный публичный сайт вы отдаёте по HTTPS с настоящего IP сервера. Анонимность обеспечивается не сокрытием IP, а тем, что и IP, и домен ни к кому не ведут. (Если вы хотите поставить перед сервером ещё и CDN — пожалуйста, но никогда не оставляйте исходный сервер (origin) отвечающим на ваш настоящий домен по угадываемому адресу; ограничьте доступ к нему диапазонами IP-адресов CDN в nftables, иначе вы раскроете origin.)

Установка и получение сертификата

apt install -y nginx certbot python3-certbot-nginx
# Point your domain's A/AAAA records at the VPS IPs first, then:
certbot --nginx -d example.org -d www.example.org \
  --agree-tos --no-eff-email -m [email protected]

В качестве контакта ACME используйте адрес в вашем домене, например [email protected], — но ни в коем случае не личный почтовый ящик. Certbot сам установит таймер продления.

Минимальный сайт на nginx с минимумом логов

# /etc/nginx/sites-available/example.org
server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name example.org www.example.org;
    root /var/www/example.org;

    ssl_certificate     /etc/letsencrypt/live/example.org/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.org/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;

    # Privacy: don't store visitor IPs in access logs.
    access_log off;
    server_tokens off;
    add_header X-Frame-Options DENY;
    add_header X-Content-Type-Options nosniff;
}
server {
    listen 80; listen [::]:80;
    server_name example.org www.example.org;
    return 301 https://$host$request_uri;
}

access_log off означает, что у вас никогда не накопится база IP-адресов посетителей, которую можно было бы истребовать по судебному запросу, — нельзя выдать то, чего вы не храните. Параметр server_tokens off нужен, чтобы баннер с версией не выдавал отпечаток вашего стека. И не встраивайте сторонние сервисы аналитики, шрифты и скрипты: каждый внешний запрос из браузера посетителя — это зацепка для корреляции. Размещайте всё на своём сервере. Применить конфигурацию можно командой nginx -t && systemctl reload nginx.

Чтобы разорвать связь между сайтом и любым IP-адресом наиболее надёжно, опубликуйте его как onion-сервис Tor. У противника не будет публичного IP, который можно изъять, геолоцировать или сопоставить: адрес выводится из пары ключей и доступен только через Tor. Onion-сервис можно запустить рядом с сайтом на чистом IP или вместо него.

apt install -y tor
# /etc/tor/torrc
HiddenServiceDir /var/lib/tor/site/
HiddenServicePort 80 127.0.0.1:8080

systemctl restart tor
cat /var/lib/tor/site/hostname   # your xxxxxxxx.onion address

Направьте nginx на 127.0.0.1:8080 для виртуального хоста onion и привяжите его только к localhost — всю внешнюю доступность обеспечивает Tor, поэтому описанный выше файрвол (он отбрасывает всё, кроме 22/80/443) оставляет onion-бэкенд невидимым для обычного интернета (clearnet). CryptoVpsHost прямо разрешает Tor-ретрансляторы (relay), выходные узлы и скрытые сервисы. Если публичный сайт должен быть ещё и доступен по адресу .onion, объявите его заголовком Onion-Location с виртуального хоста для clearnet — тогда Tor Browser сам предложит перейти на onion-версию.

Это правильная архитектура для архивов утечек, журналистских дропбоксов и всего, где даже изъятый сервер не должен раскрывать ничего ни об операторе, ни о посетителях. Не забывайте и про шифрование диска целиком: root-пароли у нас уже хранятся в зашифрованном виде (AES-256) под ключом, который держит оператор.

Самое трудное вы уже сделали: сервер без KYC, оплаченный криптовалютой, защищённый и пишущий минимум логов. Теперь не сводите это на нет на уровне имён. Именно домен — самое частое место, где анонимность незаметно утекает.

• WHOIS — регистрируйте домен так, чтобы ваше имя не попало в публичную запись. Выберите регистратора, который принимает криптовалюту и включает защиту WHOIS, чтобы у домена и сервера не было общих персональных данных.
• История DNS — если домен когда-либо указывал на ваш домашний IP или на сервер, который уже был связан с вашей личностью, это помнят базы пассивного DNS. Возьмите новый домен или проверьте историю старого, прежде чем использовать его снова.
• Корреляция платежей — платите за домен с того же криптобаланса или с другого, но никогда картой или платёжным каналом, привязанным к вашему имени.
• Серверы имён регистратора — держите DNS у регистратора или на той же анонимной инфраструктуре; не пускайте его через личный аккаунт у третьей стороны.

Когда домен, DNS, сервер и платёж не ведут ни к кому, вы действительно разместили сайт анонимно, а не просто почувствовали себя так. О выборе юрисдикции подробнее — в материалах об офшорном хостинге, а чтобы ещё надёжнее защитить сервер, см. защиту VPS.