无视 DMCA 的主机：它究竟意味着什么

这个说法至少涵盖五类买家，而他们想要的东西彼此不相容。

• 运营存档站、镜像站或 paste（文本分享）服务的人——这类服务会招来成千上万封自动发出的版权投诉，没有一封经过人工审核。
• 小众论坛或新闻站的经营者，其竞争对手把投诉当作骚扰手段。
• 被主流主机商停用的企业——对方仅凭一封未经核实的邮件就动手，事后才来过问。
• 发布合法但不受欢迎内容的人——泄密材料、对某家公司的批评、成人内容——他们想要一家不会在商业压力下让步的主机商。
• 还有少数人，意思其实是“我想违法，而且谁也动不了我”。

前四类是真实存在的问题，也有真实可行的解法：选对司法管辖区，再加上一家公开说明自己什么能做、什么不做的主机商。第五类，没有任何服务商能给出解法，而那些承诺能做到的页面，卖的通常并不是主机托管。在对比服务商之前，先想清楚你属于这五类中的哪一类。

《数字千年版权法》（DMCA）于 1998 年成为美国法律。与主机托管相关的部分是第二章（Title II），编入 17 U.S.C. § 512。

人们普遍把它误读成一部强制服务商删除内容的法律，实际上它更接近反面：它是一面盾牌。美国的服务提供者只要在美国版权局登记了指定代理人，在收到合规通知后迅速移除相关材料，并执行针对重复侵权者的政策，便可就用户存储的内容，获得免于金钱赔偿责任的避风港保护。漏掉其中任何一步，这面盾牌就不复存在。

这套结构，解释了你见到过的那种行为。美国的主机商之所以先删后问，是因为判断失误可能招来法定赔偿，而撤下你的网站，代价不过是惹恼一位客户。这部法律确实在 § 512(g) 中提供了反通知（counter-notice）途径，要求在大约 10 到 14 个工作日内恢复内容，除非投诉方起诉；§ 512(f) 也规定，明知而作虚假陈述的，可被追究责任——但这两条都很少被用上，而批量发函的“表单工厂”对此心知肚明。

第 512 条适用于受美国司法管辖的服务提供者。一家在美国没有任何实体存在的主机商，从没登记过指定代理人，也从没主张过避风港，自然也没有避风港可以失去。发给这样的主机商的 DMCA 通知，不过是一个外国私人主体寄来的函件，援引的还是一部并不适用的外国法律。之所以没有队列，是因为根本没有这套流程；而专门搭一套，反而会凭空制造出一项原本并不存在的义务。

CryptoVpsHost 处于这一位置，是客观事实使然，而不是出于对抗：服务器位于巴黎、雷克雅未克、苏黎世和布加勒斯特，运营实体设在圣基茨和尼维斯。我们的滥用投诉政策说得很直接——DMCA 通知不处理、不转发、不确认收悉。

接下来说坦诚的另一半。这并不等于身处版权法之外。几乎每个国家都签署了《伯尔尼公约》，并有自己的版权制度和执法程序。法国和罗马尼亚是欧盟成员国，那里自 2024 年起适用《数字服务法》（欧盟 2022/2065 号条例），该法规定了它自己的通知与行动（notice-and-action）机制。离岸环境里缺少的，是美国的那条快速通道，以及随之而来的条件反射式商业下架——这确实是一种差别，但比营销话术暗示的要窄。

销售文案常把这几个词混着用，其实它们描述的是完全不同的几种生意。

防弹主机（bulletproof hosting）主打的是无视一切滥用投诉和一切法律。它首先不是一种法律姿态，而是一个客户构成的问题：这样的承诺会吸引出租 DDoS 攻击的运营者、海量群发垃圾邮件的发送源，以及恶意软件的命令与控制（C2）服务器。这些“邻居”会让服务商的 IP 段被它自己的上游线路供应商做黑洞路由（null-route），而一旦失去连通性，没有哪个司法管辖区能保住你的服务。结局来得很突然，还会把所有毫不相干的客户一起拖下水。我们的术语表说得很直白：CryptoVpsHost 不是这样的主机。

“无视 DMCA”是一个窄得多的说法——版权通知不被处理。对任何非美国主机商来说，这默认就成立，说出来也不花一分钱。至于真正要紧的那种情形——一份真正的命令送达时会怎样——它什么也没告诉你。

离岸隐私主机是第三种模式：有意识地挑选司法管辖区，公开法律程序方面的政策，并且说到做到。宣传起来没那么刺激，却是三者中唯一有长期在线记录的一种。

主机商的收件箱里会落进四种截然不同的东西，把它们混为一谈，正是买家被误导的原因。

1. 自动发出的格式信函通知。由品牌保护服务商批量发送，经常是发给错误的服务商、针对错误的内容。数量庞大，准确率低，在美国避风港制度之外不具备法律效力。
2. 律师函、外国警方请求和“自愿配合”请求。这些都没有强制力。服务商照办，只是因为照办比读完它们更省事——而这恰恰是一份公开的政策所能杜绝的行为。
3. 上游与中转网络层面的升级施压。这不是法律，而是合同。这一类真正有杀伤力：如果某位客户的流量危及服务商的 IP 地址空间，网络方无论身处哪个司法管辖区都会出手。
4. 具有约束力的司法命令。来自对运营实体拥有管辖权的法院，经合法送达，已签署，并点名具体的服务。放眼全球，服从它都不是可选项；声称并非如此的主机商，要么在说谎，要么还没经受过考验。

几乎所有被当作“抵御下架”来卖的东西，针对的都只是第一类。评判一家主机商，要看第二、第三、第四类。

我们的立场是公开写明的，而不是口头许诺的，所以你随时可以拿它来对我们问责。全文见滥用投诉政策和服务条款页面；摘要如下：

不予处理：DMCA 通知；未附带对我们拥有管辖权的法院所出具命令的外国警方函件、检察机关函件和“自愿配合”请求；商标和品牌保护方面的投诉；诽谤指控，因为我们不是法院；针对合法成人内容的投诉；宗教或政治上的冒犯；个人纠纷；以及任何通过第三方滥用投诉表单、声称代表我们而发来的内容——我们并不运营这样的表单。

予以处理：满足上文所述条件的、具有约束力的司法命令，在法律允许的情况下会先通知客户；威胁我们基础设施的上游网络滥用，通常是在可能的情况下先发一封邮件，再对违规 IP 限速或做黑洞路由（null-route）；以及已确认的 CSAM，这意味着立即终止服务、不作通知，并保存证据交给相关主管机关。

与之配套的是：不保留网络流量日志（flow logs），root 密码以加密形式存储，并且每月发布一份带签名的金丝雀声明（warrant canary），可通过 /.well-known/canary 由机器自动获取，并可用 gpg 验证。政策不是物理定律——对我们拥有管辖权的法院依然可以强制我们。它的价值在于：让你在部署之前，就知道这件事大致是什么样子。

每个区域运行的都是完全相同的 AMD EPYC、DDR5 和 NVMe Gen5 硬件，所以选择纯粹取决于法律环境和延迟。细节见离岸托管总览页；简要版本如下：

• 瑞士苏黎世（ZRH）——位于欧盟、欧洲经济区（EEA）和“十四眼”联盟之外。修订后的《联邦数据保护法》（FADP）提供与 GDPR 同等水平的权利，信息隐私在宪法第 13 条中受到保障，《刑法典》第 271 条则把未经授权在瑞士境内为外国国家行事定为犯罪，从而挡住了非正式的外国请求。这是四个区域里法律距离最远的一个，同时也是最贵的一个。
• 冰岛雷克雅未克（REK）——没有强制性的数据留存法律，有宪法层面的言论自由传统，还有 2010 年的 IMMI 新闻自由倡议。位于欧洲经济区而非欧盟之内，使用地热和水力发电。
• 罗马尼亚布加勒斯特（OTP）——欧盟成员国，适用 GDPR，历来抵制过度宽泛的下架压力，到欧洲大部分地区的延迟只有个位数毫秒。
• 法国巴黎（PAR）——欧盟成员国，拥有欧洲大陆最密集的对等互联（peering）。为性能而选它；四个区域中，它提供的法律距离最小。

要根据压力最可能来自哪里来选，而不是看哪个国家听上去离得最远。

绝对的内容规则只有一条：CSAM（儿童性虐待材料）。一经确认，立即终止服务、不作通知，并保存证据、移交相关主管机关。任何司法管辖区都改变不了这一点。

可接受使用政策里的其余条款，保护的是网络，而不是对观点的管制：

• 禁止对外大批量发送垃圾邮件——海量的未经请求邮件会让我们的 IP 地址段被列入黑名单，伤及所有其他客户。单台配置失误的邮件服务器与此不同，也不会被当作此类行为处理。
• 禁止发起 DDoS，禁止 booter 或 stresser 类服务（出租 DDoS 攻击的服务）。
• 禁止批量端口扫描，禁止对 SSH/RDP 进行暴力破解。有速率限制、并遵循退出（opt-out）约定的研究型扫描器没有问题。
• 禁止开放递归解析器和开放邮件中继——这两者上线几个小时内就会被滥用。
• 共享 VPS 主机上禁止挖矿，因为这会挤占相邻虚拟机的资源。独立服务器上可以随意挖矿。
• 禁止把虚拟化层（hypervisor）漏洞武器化。如果改为上报漏洞，你可以获得 6 个月的免费使用期。

这些都不是版权规则。它们之所以重要，是因为一家“无视 DMCA”的主机真正走向倒闭的最常见原因，是上游网络方面的滥用问题，而不是诉讼。

以下这些情形，值得直接视为不合格：

• “什么都能托管”，却没有书面政策。没有明确底线的主机商，从没想过被考验的那一天，到时只会即兴发挥，代价却由你承担。
• 没有指明具体的机房所在地——或者所谓“司法管辖区”指的是公司注册地，而不是硬盘所在地。这两者可能是不同的国家，适用不同的法律。问清楚它们指的是哪一个。
• 没有金丝雀声明，没有可接受使用政策页面，也没有条款说明何为有效的法律命令。这是三份成本很低的文件；缺失，是一种选择。
• 运营者匿名，没有状态页面，没有历史记录，没有公开定价。仅接受加密货币付款本身并不是警示信号——我们就是这样收费的——但与上述几点叠加，就是一副典型的卷款跑路式骗局（exit scam）的轮廓。
• 层层转售。几个号称“独立离岸”的品牌共用同一个上游，意味着一次投诉就能让它们同时下线。
• 价格远低于硬件成本。总有人在补贴这个价格，而那个人不是服务商。

我们的离岸 VPS 选购指南会按这些标准给具名的服务商打分，其中也包括与我们竞争的服务商。

买家常把这几样一股脑归入“匿名”。其实它们彼此独立，你可能只需要其中一样。

免 KYC指服务商从未收集过你的身份信息。在这里，邮箱和密码就是全部凭据——无需证件，无需手机号，无需文件，不做邮箱验证，没有人机验证，临时邮箱也可以。这意味着可供披露或被攻破的东西极少。但在法院命令面前，它对“让内容继续在线”没有任何帮助。

抵御下架的能力，靠的是司法管辖区加上公开的流程。它不会隐藏你是谁。

付款隐私，指的是这笔钱能否追溯到你。我们接受 8 种币——BTC、XMR、ETH、LTC、TRX、USDT（ERC-20 和 TRC-20 两条链）和 SOL——另外还接受以挂号信寄送现金。只有门罗币（Monero）默认在链上无法关联，约 30 秒即可记入你的余额。计费基于余额，因此不会留下定期扣款的银行卡痕迹。

一台服务器可以免 KYC，却仍然被依法撤下。它可以位于苏黎世，却仍然会因为一笔从实名制交易所发起的购买，或一次来自你家 IP 的 SSH 会话而被追溯到你——参见那些会让你暴露身份的失误，以及我们关于免 KYC 合法性的坦诚回答。

真正持久的答案在于架构，而不在于合同。再好的服务商政策，也比不上不依赖单一服务商。

• 把域名注册商、DNS 和主机托管分给三个不同的主体。域名是大多数人忽略的咽喉要道——不管主机商多可靠，注册商一旦暂停你的域名，你就下线了。
• 把备份放在服务商之外，也放在该司法管辖区之外。从没测试过的恢复流程，算不上备份。
• 让第二个区域保持热备。在另一个国家再放一台 $5/月的 S1 实例，就是一份便宜的保险；而部署耗时的中位数约 47 秒，重建很少会成为瓶颈。
• 每个项目使用独立的身份，这样一次投诉就无法牵出你运营的其他所有项目。

假定投诉迟早会落到某个地方，然后按“它只折腾你一个下午，而不是毁掉整个项目”的目标去设计。让基础设施持续在线多年的，是这种做法，而不是一句关于无视通知的口号。