“免 KYC”（无需实名认证）描述的是账户如何开立，而不是账户里的活动是否合法。KYC（“know your customer”，即“了解你的客户”）这一缩写源自金融监管：美国《银行保密法》、欧盟反洗钱指令和 FATF（金融行动特别工作组）建议等反洗钱（AML）框架，强制要求受监管的金融实体——银行、支付处理机构、加密货币交易所、券商、汇款机构——识别自己的客户。这些规则针对的是资金的流动，而不是租用一台 Linux 服务器。
网站托管不属于受监管的金融活动。并不存在一部类似的法规，规定“VPS 服务商必须先核验护照才能发放服务器”。这就是免 KYC VPS 可以公开存在、正大光明地收款、公布价目表的原因。困惑来自把两个不同的问题混为一谈：“不收集身份信息合法吗？”（几乎总是合法）和“在匿名服务器上做的一切都合法吗？”（不——法律依然约束行为本身）。
为什么主机商无需做 KYC（而银行必须做）
KYC 是反洗钱法律的产物。它的目的是让犯罪所得更难通过金融体系洗白，因此相关义务落在那些代他人经手资金的机构身上：银行、支付处理机构、货币服务业务机构、证券经纪商，以及越来越多地包括加密货币交易所。在欧盟反洗钱指令和 FATF 40 项建议等制度下，这些机构被称为“义务实体”（obliged entities）。它们必须收集身份信息，对照制裁名单进行筛查，并提交可疑活动报告。
托管公司出售的是计算、存储和带宽。它不是经手客户资金的金融中介，因此反洗钱义务并不适用。有少数几项范围很窄的制度会间接涉及托管——例如，部分数据留存规则适用于电信运营商，而欧盟的中介责任规则（《电子商务指令》，现为《数字服务法》）规范的是主机商在收到非法内容通知后应如何应对——但这些规定没有一项要求在销售之前核验客户的身份。实际结果是：服务商可以合法地决定，只收集一个邮箱和一个密码，仅此而已。
这正是坦率地讲清楚这件事如此重要的原因。免 KYC 主机不是不法分子钻的漏洞；它是一种不受监管的商业关系所处的默认法律状态。银行是例外，必须识别你的身份。你的房东、你的杂货店老板和你的 VPS 服务商，则不必如此。
法律范围内的隐私，不是犯罪的通行证
对于任何正在评估离岸或匿名主机的人，最重要的区别是：注册时的匿名，改变的是谁知道你的名字，而不是什么合法。运行 Tor 出口节点、门罗币（Monero，XMR）节点、泄密档案库，或者一个有争议但合法的博客，无论主机商手里有没有你的护照，都是合法的。反过来，钓鱼工具包、僵尸网络的命令与控制（C2）服务器、大规模扫描第三方，以及 CSAM，无论服务器是怎么买来的都构成犯罪——没有 KYC，既不会制造这种责任，也不会消除这种责任。
免 KYC 真正给你带来的，是更少的数据暴露。一个从未收集过你身份信息的服务商，不可能在数据泄露事件中把它泄露出去，也不可能被社会工程学手段骗得交出这些信息，面对随意的或碰运气式的索取，同样无物可交。这是一项真实、合法的隐私收益——和记者使用 Signal、系统管理员使用硬件密钥是同一个道理。这是降低风险，而不是逍遥法外。
- 合法且受欢迎：Tor 中继与出口节点、I2P、混合网络（mixnet）、VPN 出口节点、比特币/门罗币全节点、验证节点和 RPC 端点、新闻报道及信源保护基础设施、泄密档案库、文件托管、成年人自愿参与且面向成年人的成人内容，以及在某些地方有争议、但依法合法的言论。
- 网络滥用——不允许：对外发送垃圾邮件、大规模扫描第三方，以及放大/反射攻击。这些行为会损害网络和其他租户。
- 零容忍——只有一条红线：CSAM。这里没有任何模糊地带，也无法靠挑选司法管辖区来绕开。
如果你的使用场景在这份“绿灯清单”上，那么免 KYC 只是一种更干净、暴露面更小的方式，来购买你本来就有权运行的基础设施。可以参阅 Tor 中继托管，那里有一个完整的实例。
司法管辖区能降低法律风险，但无法消除它
一个常见的误解是，离岸司法管辖区能让服务器变得“无人能动”。事实并非如此。司法管辖区改变的是哪些法院能够强制运营方，以及门槛有多高——它从来不会让有效的法律程序变得不可能。对运营主体确实具有管辖权的法院所作出的、经由正确渠道送达的具有约束力的命令，是可以执行的。选择司法管辖区所起的作用，是过滤掉噪音：试探性的索取、与当地没有任何关联点的外国请求，以及会让一家设在美国或欧盟的主机商立刻屈服的过度宽泛的下架施压。
各个区域的法律依托各不相同，而且都是实实在在的：
- 冰岛（雷克雅未克）：IMMI 新闻自由倡议、没有强制性的数据留存制度、可再生地热能源。
- 瑞士（苏黎世）：强有力的宪法隐私保护和《联邦数据保护法》（FADP），位于十四眼联盟（14 Eyes）之外，《刑法典》第 271 条还限制未经授权向外国当局提供协助。
- 罗马尼亚（布加勒斯特）：欧盟成员国，网络连通性出色，历来抵制过度宽泛的下架施压，价格低廉。
- 法国（巴黎）：欧盟成员国，对等互联和基础设施可靠，享有 GDPR 数据保护权利。
选择区域是风险工程，而不是魔法。再配合良好的操作习惯——由你掌控的全盘加密、通过 Tor 或 VPN 管理服务器、使用加密货币付款——就构成了纵深防御。做决定之前，请先阅读匿名主机的威胁建模。
CryptoVpsHost 实际做什么，又不做什么
具体来说，我们的立场如下，不留任何含糊之处。CryptoVpsHost 的运营地在圣基茨和尼维斯。我们不做任何主动的内容监控——我们不扫描、不画像，也不对客户的合法活动进行监管。root 密码以 AES-256 静态加密保存，密钥由运营方持有。我们只依据对运营主体具有管辖权的法院所发出的、经依法送达的、具有约束力的司法命令采取行动——不会因为一封客客气气的邮件、一封与当地没有任何关联点的外国来函，或是 DMCA 式的威胁而行动。当一份有效的命令真的送达时，只要命令允许，我们会先通知受影响的客户。我们每个月都会发布位于 /canary 的金丝雀声明（warrant canary）；它的消失本身就是信号。
凭证就是全部：邮箱加密码。无需身份证件，无需手机号，无需任何文件，无需邮箱验证，也没有验证码。欢迎使用一次性邮箱。付款仅限加密货币，支持包括比特币和门罗币（XMR）在内的八种币，或通过挂号信寄送现金——采用余额制，部署时从预付余额中扣费，而不是从某张记名银行卡中扣费。这一切都不是变通办法；这就是“我们什么都没收集”在实践中的样子，而它之所以合法，是因为没有任何法规要求相反的做法。
唯一的零容忍红线是 CSAM。其余一切合法的内容都欢迎。如果这样的立场适合你的工作，就开通一台 VPS 或一台独立服务器吧——部署时间中位数约 47 秒。