Un VPS sans KYC, et la courte liste de ce que nous demandons quand même.

Exact. Commander demande une adresse e-mail et un paiement, et la liste s'arrête là. Aucun document à téléverser, aucun selfie, aucune vérification téléphonique, aucun contrôle d'adresse, aucune carte enregistrée. Nous n'avons jamais fait de vérification d'identité et nous ne comptons pas commencer — le moyen le moins coûteux de protéger les documents d'un client est de n'en détenir aucun.

Votre adresse e-mail, vos factures, la configuration de vos serveurs, et 72 heures de métadonnées de connexion de niveau NetFlow, utilisées uniquement pour le traitement des abus. Rien d'autre. À la clôture du compte, tout est effacé sous 24 heures, sauf les factures, que la loi comptable nous oblige à garder dix ans — elles portent un nom de facturation de votre choix et aucune identité vérifiée.

Oui, et beaucoup de clients le font. Tout ce qui vous joint de façon fiable convient — Proton, Tuta, SimpleLogin, addy.io, un catch-all sur votre propre domaine. La seule chose à garder en tête : les accès aux serveurs et les avis de renouvellement partent là. Si vous perdez la boîte, vous perdez le compte.

Oui. Le parcours de commande, la console et l'API fonctionnent via Tor et via n'importe quel VPN. Nous ne prenons pas d'empreinte de navigateur, nous ne notons pas les commandes selon un risque de fraude, et nous ne bloquons pas les nœuds de sortie.

Non. Pas de contrôle d'identité veut dire que nous ne nous soucions pas de qui vous êtes ; cela ne veut pas dire que nous ne nous soucions pas de ce qui sort de notre réseau. Hameçonnage, spam, diffusion de logiciels malveillants, command-and-control de botnets, credential stuffing, attaques sortantes et contenus pédocriminels entraînent la résiliation immédiate de l'instance, sans remboursement et sans recours. La charte d'usage acceptable tient en deux pages, elle est écrite en langage clair, et nous l'appliquons intégralement.

Oui aux trois, et des milliers de clients le font. Les nœuds de sortie Tor sont autorisés à Amsterdam, Reykjavík, Chișinău et Bucarest, et nous vous demandons d'appliquer la politique de sortie réduite standard et de renseigner un contact abus. Les sorties ne sont pas autorisées dans les autres régions, parce que leurs transitaires ne les tolèrent pas et que nous préférons vous le dire plutôt que de laisser votre serveur disparaître.

Nous vous le transmettons avec les éléments de preuve et vous laissons 24 heures pour répondre, sauf pour les attaques sortantes actives et le CSAM, qui sont coupés immédiatement. Nous ne suspendons pas sur simple réception d'une plainte non vérifiée, et nous ne remettons pas de données clients sans une injonction valide dans la juridiction où se trouve le serveur. Quand une telle injonction nous parvient, nous vous en informons, sauf interdiction légale.

Une équipe de dix-neuf personnes, principalement en Europe, qui exploite son propre matériel dans des espaces loués depuis 2014. Nous ne revendons pas le cloud de quelqu'un d'autre, nous n'avons pris aucun investissement extérieur, et l'entreprise est rentable depuis 2017 — c'est pour cela que nous pouvons nous permettre de refuser des affaires.