VPS sin verificación de identidad: qué esperar

Qué elimina realmente el no-KYC

Los hosting convencionales recopilan un expediente antes de venderte un servidor: nombre legal, dirección de facturación, teléfono, una tarjeta (que conlleva su propio KYC) y, a menudo, una «verificación antifraude» que en silencio significa una carga de identificación. Cada elemento existe para sus vías de pago y su postura de cumplimiento, no para ejecutar tu carga de trabajo: un hipervisor no necesita saber tu nombre para arrancar una VM.

El hosting no-KYC elimina el expediente y conserva el hipervisor. En el registro aquí, todo el formulario es un seudónimo (cualquiera) y una contraseña. Sin correo, sin teléfono, sin nombre, sin dirección, sin tarjeta, sin «nivel de verificación» que desbloquear más tarde. El pago es solo en cripto hacia un saldo prepago, así que ningún procesador de tarjetas ni perfil de facturación entra jamás en la relación.

Ten cuidado con la etiqueta en otros lugares: muchos proveedores anuncian «VPS anónimo» pero exigen un correo electrónico válido, lo registran para siempre y se reservan el derecho de exigir documentos «en caso de sospecha». La prueba es lo que dicen realmente el formulario de registro y la política de privacidad, no la página de marketing.

El flujo de registro, en concreto

Aquí está todo el flujo, sin omitir nada. Eliges un seudónimo: de 3 a 63 caracteres, letras, dígitos, puntos, guiones, guiones bajos; un seudónimo desechable está bien y la mayoría de los usuarios elige uno. Estableces una contraseña de al menos 12 caracteres, que se almacena como un hash argon2id. Marcas una casilla aceptando la política de uso aceptable. Eso es la creación de la cuenta, completa, en menos de un minuto.

Inmediatamente después, la cuenta emite ocho códigos de recuperación de un solo uso con el formato XXXX-XXXX-XXXX y los muestra exactamente una vez, con un botón de descarga. Estos son tu mecanismo de restablecimiento de contraseña; más sobre eso abajo. Opcionalmente, activas TOTP de doble factor desde la página de la cuenta: códigos estándar RFC 6238 que funcionan con cualquier aplicación de autenticación, sin teléfono de por medio.

A partir de ahí, el camino hacia un servidor es: recargar el saldo con cripto (entre $30.00 y $5,000.00 por recarga), elegir un plan y una de las 6 regiones, y desplegar: en línea en unos 15 min para un VPS, 2–12 h para hardware dedicado. En ningún momento aparece un paso de verificación, porque no existe ninguno en el código.

Códigos de recuperación en lugar de restablecimientos por correo

El enlace de restablecimiento por correo es la recuperación de cuenta por defecto de internet, y su fuga de identidad por defecto. Un correo registrado vincula la cuenta a un buzón, el buzón a un historial de IP y, normalmente, a un número de teléfono mediante la propia cadena de recuperación del proveedor de correo. Un hosting que no conserva ningún correo no puede enviar enlaces de restablecimiento, así que algo debe reemplazarlos.

Los códigos de recuperación son ese reemplazo. Cada uno de los ocho códigos es una credencial de un solo uso: usar uno, junto con tu seudónimo, te permite establecer una nueva contraseña. Se almacenan en el servidor únicamente como hashes SHA-256, así que una copia de nuestro almacenamiento no los revela. Los códigos usados quedan inutilizados; puedes regenerar un conjunto nuevo desde la página de la cuenta en cualquier momento (lo que invalida el antiguo), y deberías hacerlo tras consumir unos cuantos.

Trata los códigos como dinero en efectivo. Almacenamiento sensato: una entrada en un gestor de contraseñas, un archivo cifrado o papel en un lugar seguro; idealmente dos de esos. El modo de fallo que hay que respetar es total: pierde la contraseña y los ocho códigos y la cuenta es irrecuperable por diseño. No hay un canal de soporte que pueda anularlo, porque una vía de anulación para ti es una vía de anulación para un suplantador, y no tenemos ninguna identidad registrada para distinguirte. Esa arista dura es el precio de la propiedad por la que viniste.

Qué conserva aún un hosting no-KYC

No-KYC no es sin-datos, y un proveedor que afirma no conservar absolutamente nada miente o está roto. El inventario honesto aquí, reflejado en la página de la política no-KYC: tu seudónimo, el hash de contraseña argon2id, los códigos de recuperación con hash, el saldo y su libro de transacciones, las especificaciones de lo que pediste (plan, región, OS, plazo) y los registros de acceso del servidor web rotados a los 14 días. Los pedidos también registran la IP que los creó, razón por la cual el consejo constante es usar Tor o una VPN desde el primer contacto, para que incluso los datos operativos de corta vida estén limpios.

Lo que no existe en ninguna parte del sistema: un nombre, una dirección, un número de teléfono, un correo, una tarjeta, un perfil de procesador de pagos o rastreadores de analítica que cosan sesiones entre sí. La diferencia entre «conserva poco» y «no conserva nada» importa cuando modelas el peor caso: una copia completa de nuestro almacenamiento describe servidores y saldos, no personas.

Compensaciones que aceptas

El hosting no-KYC descarta funciones junto con el expediente. Vale la pena aceptarlas conscientemente:

• Sin recuperación de último recurso. Contraseña y códigos perdidos significa que la cuenta y su saldo se han perdido. Nadie puede verificarte para devolverte el acceso, porque nadie sabe quién eres.
• Sin contracargos. La cripto es definitiva. El contrapeso es la política de reembolsos: el saldo no usado es reembolsable en cripto dentro de los 30 días de la recarga que lo financió, menos las comisiones de red.
• Solo cripto. Sin tarjeta, sin PayPal, sin transferencia bancaria. Si eso es un impedimento, este modelo no es para ti.
• Las reglas siguen aplicándose. No-KYC no es sin-reglas: spam, CSAM, C2 de malware y lanzamiento de ataques hacen que los servidores se retiren bajo la AUP, con identidad o sin ella.

Sobre las retiradas de contenido, nuestra postura es jurisdiccional, no retórica: las notificaciones DMCA no se procesan ni se responden; la DMCA es una ley estadounidense sin fuerza en las jurisdicciones donde se encuentra nuestro hardware. Actuamos ante órdenes vinculantes de un tribunal con jurisdicción sobre el servidor específico, y ante nada menos. Lo que eso significa por región está en la página de ubicaciones.

Operaciones del día a día sin un correo

La parte de la que nadie te advierte es todo lo que el correo hacía discretamente después del registro. No hay mensajes recordatorios de renovación, ni alertas de «nuevo inicio de sesión detectado», ni boletín, y no hay forma de enviarlos, porque no hay ninguna dirección a la que enviar. El panel reemplaza el buzón: la vista de servidores muestra cada equipo con su plazo y fecha de renovación, el libro mayor detalla cada movimiento de saldo y las páginas de pedido llevan el estado de aprovisionamiento. Adopta el hábito de una revisión del panel de treinta segundos cerca del momento de renovación; esa es toda la carga de mantenimiento del modelo.

El soporte funciona igual. Los tickets se abren desde el panel y se responden allí, sin un hilo de tickets por correo que ate tu infraestructura a los registros de un proveedor de buzones. Para cualquier cosa sensible, eso es estrictamente mejor: la conversación vive dentro de la misma cuenta seudónima que los servidores a los que se refiere.

La disciplina que más importa es la custodia de credenciales, porque la rutina se desvanece. Los códigos de recuperación deben estar sin conexión desde el primer día, el TOTP debería activarse mientras la cuenta es nueva, y si regeneras los códigos tras usar unos cuantos, el conjunto antiguo queda inutilizado; actualiza tu copia almacenada de inmediato, no «más tarde». Los fallos del día a día en el hosting no-KYC casi nunca son del hosting; son usuarios que descubren que sus únicas credenciales vivían en una pestaña del navegador.

Cómo evaluar a cualquier proveedor no-KYC

La etiqueta es barata; verifícala. Una lista de evaluación que toma diez minutos:

• El propio formulario de registro. Si pide un correo, está conservando uno. Los campos «opcionales» cuentan.
• Vías de pago. El soporte de tarjeta significa que un procesador con KYC está en la cadena. Solo cripto, idealmente con Monero como opción de primera clase, es la postura coherente.
• Un inventario de datos por escrito. Busca una lista específica de qué se conserva y durante cuánto tiempo, con cifras de retención de registros. La prosa vaga de «respetamos la privacidad» es una señal de alarma.
• Diseño de la recuperación. Si no hay correo, ¿qué reemplaza los restablecimientos? Un proveedor que no ha pensado en esto improvisará mal cuando quedes bloqueado.
• Postura sobre abusos por escrito. Los proveedores honestos dicen qué hace que te retiren y a qué proceso legal responden. «Ignorar todo» es una promesa que nadie puede cumplir; solo-debido-proceso es una que sí pueden.
• Condiciones de reembolso. Los modelos prepago necesitan una salida; la nuestra está indicada arriba y en las preguntas frecuentes.

Cualquier proveedor que falle en dos o más de estos está vendiendo la palabra, no la propiedad.