免 KYC VPS，合法又安全吗？

在几乎所有司法管辖区，答案都是肯定的。KYC（Know Your Customer，实名认证）义务适用于银行和受监管的金融机构——并不适用于基础设施提供商。托管公司完全可以在不收集你姓名或证件的情况下出售服务器，以这种方式购买服务器，也是一笔正常、合法的交易。对大量正当的互联网基础设施而言，隐私本来就是默认的做法。

不过有一点要说清楚：你用这台服务器做什么，依然受法律约束。免 KYC 的 VPS 不是“想托管什么就托管什么”的许可证。它去掉的是收集身份信息这一步；至于哪些内容或行为合法，它并不会改变。

绝大多数免 KYC 托管的用途都再普通不过：有人跑个人 VPN、Tor 中继、尊重隐私的网站、加密货币节点、邮件服务器或机器人程序，也有企业只是不想让自己的基础设施和银行账户上的身份绑在一起。

• 正当的：隐私工具、自托管、离岸项目、有争议但合法的内容、避免暴露在数据经纪商面前。
• 不正当的：在运营所在司法管辖区属于违法的一切——CSAM（儿童性虐待材料）、欺诈、恶意软件、可信的威胁。负责任的主机商无论 KYC 政策如何，都会对这些内容采取行动。

安全分为两半：服务商这一半，以及你自己的运营安全这一半。在服务商这一侧，真正的免 KYC 主机商几乎不收集任何东西——没有证件，没有验证过的邮箱，付款用的是加密货币而不是银行卡——所以可供泄露、出售或交出的东西非常少。这比一家掌握你完整身份的主流主机商更私密。

任何主机商能看到的，也就是所有人都能看到的：你服务器的公网 IP，以及它对外提供的内容。只有你自己能掌控的，是你用来连接它的网络，以及你使用的凭证。

服务商为你打好了地基；剩下的就是 opsec 的事。想让它既安全又真正私密，可以这样做：

• 用加密货币付款——想要链上隐私，就用门罗币（Monero，XMR），或者用没有关联到 KYC 交易所的比特币（BTC）。
• 使用化名邮箱，再配一把全新的 SSH 密钥，注释（comment）用中性内容。
• 通过 Tor 或 VPN 连接这台机器，而不是用你家里的 IP——前提是你的威胁模型有这个必要。
• 加固服务器——仅密钥登录的 SSH、防火墙、及时更新——这样它就不会被攻陷、被他人滥用。

对大多数买家来说，真正的安全风险并不是法律，而是遇上假主机商。那些靠“防弹”“什么都能托管”这类宣传招揽生意的服务商，往往收了加密货币就消失，或者干脆就是一个蜜罐。正规的免 KYC 主机商会明确说明自己的司法管辖区，公布清晰的可接受使用政策（acceptable use），把付款和开通流程写成文档，并且有真实可行的滥用投诉（abuse）处理流程。请依据这些信号来选择，而不是依据那些喊得最响的匿名承诺。