VPS sans vérification d'identité : ce à quoi s'attendre

Ce que le no-KYC supprime concrètement

Les hébergeurs classiques constituent un dossier avant de vous vendre un serveur : nom légal, adresse de facturation, téléphone, carte bancaire (qui implique son propre KYC), et souvent une « vérification antifraude » qui signifie discrètement un téléversement de pièce d'identité. Chaque élément existe pour leurs circuits de paiement et leur posture de conformité, pas pour faire tourner votre charge de travail — un hyperviseur n'a pas besoin de connaître votre nom pour démarrer une VM.

L'hébergement no-KYC supprime le dossier et conserve l'hyperviseur. À l'inscription ici, le formulaire complet se résume à un pseudonyme — n'importe lequel — et un mot de passe. Aucun e-mail, aucun téléphone, aucun nom, aucune adresse, aucune carte, aucun « niveau de vérification » à débloquer ultérieurement. Le paiement est exclusivement en crypto sur un solde prépayé, si bien qu'aucun processeur de carte ni profil de facturation n'entre jamais dans la relation.

Méfiez-vous de l'étiquette ailleurs : de nombreux prestataires font de la publicité pour un « VPS anonyme » mais exigent un e-mail fonctionnel, le conservent indéfiniment, et se réservent le droit de demander des documents « en cas de soupçon ». Le test, c'est ce que le formulaire d'inscription et la politique de confidentialité disent réellement, pas la page marketing.

Le processus d'inscription, concrètement

Voici l'intégralité du processus, sans rien omettre. Vous choisissez un pseudonyme — 3 à 63 caractères, lettres, chiffres, points, tirets, underscores ; un pseudonyme jetable convient parfaitement et la plupart des utilisateurs en choisissent un. Vous définissez un mot de passe d'au moins 12 caractères, stocké sous forme de hash argon2id. Vous cochez une case acceptant la politique d'utilisation acceptable. C'est la création du compte, terminée, en moins d'une minute.

Immédiatement après, le compte génère huit codes de récupération à usage unique au format XXXX-XXXX-XXXX et les affiche exactement une fois, avec un bouton de téléchargement. Ce sont vos mécanismes de réinitialisation de mot de passe — plus de détails ci-dessous. En option, vous activez le TOTP à deux facteurs depuis la page de compte : codes RFC 6238 standards compatibles avec n'importe quelle application d'authentification, sans numéro de téléphone requis.

De là, le chemin vers un serveur est : alimentez le solde en crypto (entre $30.00 et $5,000.00 par recharge), choisissez un plan parmi les 6 régions disponibles, et déployez — en ligne en environ 15 min pour un VPS, 2–12 h pour du matériel dédié. À aucun moment une étape de vérification n'apparaît, car elle n'existe pas dans le code.

Codes de récupération à la place des réinitialisations par e-mail

Le lien de réinitialisation par e-mail est la récupération de compte par défaut sur internet — et sa fuite d'identité par défaut. Une adresse e-mail enregistrée relie le compte à une boîte mail, la boîte mail à un historique d'adresses IP, et généralement à un numéro de téléphone via la propre chaîne de récupération du fournisseur de messagerie. Un hébergeur qui ne conserve pas d'e-mail ne peut pas envoyer de liens de réinitialisation, il faut donc quelque chose pour les remplacer.

Les codes de récupération jouent ce rôle. Chacun des huit codes est un identifiant à usage unique : brûler l'un d'eux, associé à votre pseudonyme, vous permet de définir un nouveau mot de passe. Ils sont stockés côté serveur uniquement sous forme de hachages SHA-256, de sorte qu'une copie de notre stockage ne les révèle pas. Les codes utilisés sont définitivement invalidés ; vous pouvez générer un nouveau jeu depuis la page du compte à tout moment (ce qui invalide l'ancien), et vous devriez le faire après en avoir consommé quelques-uns.

Traitez ces codes comme de l'argent liquide. Stockage judicieux : une entrée dans un gestionnaire de mots de passe, un fichier chiffré, ou du papier en lieu sûr — idéalement deux de ces options. Le scénario d'échec à respecter est total : perdre le mot de passe et les huit codes rend le compte irrécupérable par conception. Aucun canal de support ne peut y déroger, car une voie de dérogation pour vous est une voie de dérogation pour un usurpateur, et nous n'avons aucune identité en dossier pour vous distinguer l'un de l'autre. Cette limite infranchissable est le prix de la propriété que vous êtes venu chercher.

Ce qu'un hébergeur no-KYC détient tout de même

No-KYC ne signifie pas zéro donnée, et un prestataire qui prétend ne rien conserver du tout ment ou est défaillant. L'inventaire honnête ici, reproduit sur la page de politique no-KYC : votre pseudonyme, le hash argon2id du mot de passe, les codes de récupération hachés, le solde et son registre de transactions, les caractéristiques de ce que vous avez commandé (offre, région, OS, durée), et les journaux d'accès du serveur web supprimés au bout de 14 jours. Les commandes enregistrent également l'IP qui les a créées — d'où le conseil constant d'utiliser Tor ou un VPN dès le premier contact, afin que même les données opérationnelles éphémères soient propres.

Ce qui n'existe nulle part dans le système : un nom, une adresse, un numéro de téléphone, un e-mail, une carte, un profil de processeur de paiement, ni traceurs analytiques reliant les sessions entre elles. La différence entre « conserve peu » et « ne conserve rien » compte lorsque vous envisagez le pire scénario : une copie complète de notre stockage décrit des serveurs et des soldes, pas des personnes.

Les compromis que vous acceptez

L'hébergement no-KYC supprime certaines fonctionnalités en même temps que le dossier d'identité. À accepter en connaissance de cause :

• Pas de recours en dernier ressort. Si vous perdez votre mot de passe et vos codes, le compte et son solde sont perdus. Personne ne peut vous réidentifier, car personne ne sait qui vous êtes.
• Pas de chargeback. La crypto est définitive. La contrepartie est la politique de remboursement : le solde non utilisé est remboursable en crypto dans les 30 jours suivant la recharge qui l'a financé, déduction faite des frais de réseau.
• Crypto uniquement. Pas de carte, pas de PayPal, pas de virement. Si c'est un obstacle, ce modèle n'est pas pour vous.
• Les règles s'appliquent quand même. No-KYC ne signifie pas sans règles : le spam, le CSAM, les serveurs de commande de malwares et les attaques entraînent la suppression des serveurs en vertu de l'AUP, qu'il y ait identification ou non.

Sur les demandes de retrait, notre position est juridictionnelle, pas rhétorique : les demandes de retrait DMCA ne sont pas traitées ni honorées — le DMCA est un texte de loi américain sans force dans les juridictions où se trouve notre matériel. Nous agissons sur les ordonnances contraignantes d'un tribunal compétent sur le serveur concerné, et sur rien de moins. Ce que cela signifie par région est détaillé sur la page des localisations.

Les opérations courantes sans adresse e-mail

Ce dont personne ne vous prévient, c'est tout ce que l'e-mail faisait discrètement après l'inscription. Il n'y a plus de rappels de renouvellement, plus d'alertes « nouvelle connexion détectée », plus de newsletter — et aucune possibilité de les envoyer, faute d'adresse destinataire. Le panneau remplace la boîte mail : la vue des serveurs affiche chaque machine avec sa durée et sa date de renouvellement, le grand livre détaille chaque mouvement de solde, et les pages de commande indiquent l'état de provisionnement. Prenez l'habitude d'un rapide coup d'œil au panneau aux alentours du renouvellement ; c'est la seule contrainte de maintenance du modèle.

Le support fonctionne de la même manière. Les tickets s'ouvrent depuis le panneau et y reçoivent une réponse — aucun fil de tickets par e-mail ne relie votre infrastructure aux journaux d'un fournisseur de messagerie. Pour tout sujet sensible, c'est strictement préférable : la conversation vit dans le même compte pseudonyme que les serveurs qu'elle concerne.

La discipline qui compte le plus est la garde des identifiants, car les habitudes s'érodent. Les codes de récupération doivent être conservés hors ligne dès le premier jour, le TOTP devrait être activé pendant que le compte est encore récent, et si vous régénérez les codes après en avoir utilisé quelques-uns, l'ancien jeu est invalidé — mettez à jour votre copie stockée immédiatement, pas « plus tard ». Les échecs au lendemain de l'inscription à un hébergement no-KYC ne viennent presque jamais de l'hébergeur ; ils viennent d'utilisateurs qui découvrent que leurs seuls identifiants vivaient dans un onglet de navigateur.

Comment évaluer n'importe quel prestataire no-KYC

L'étiquette ne coûte rien ; vérifiez-la. Une liste de contrôle qui prend dix minutes :

• Le formulaire d'inscription lui-même. S'il demande un e-mail, il en conserve un. Les champs « facultatifs » comptent.
• Les circuits de paiement. L'acceptation de carte signifie qu'un processeur avec KYC est dans la chaîne. Crypto uniquement, idéalement avec Monero en premier plan, constitue la posture cohérente.
• Un inventaire écrit des données. Cherchez une liste précise de ce qui est conservé et pendant combien de temps, avec des durées de conservation des journaux. Des formules vagues du type « nous respectons votre vie privée » sont un signal d'alarme.
• La conception de récupération. Sans e-mail, qu'est-ce qui remplace les réinitialisations ? Un prestataire qui n'a pas réfléchi à cela improvisera mal quand vous serez bloqué.
• La posture en cas d'abus, par écrit. Les prestataires honnêtes précisent ce qui entraîne la résiliation et à quelle procédure légale ils répondent. « Ignorer tout » est une promesse que personne ne peut tenir ; « procédure légale uniquement » est une promesse tenable.
• Les conditions de remboursement. Les modèles prépayés nécessitent une sortie ; la nôtre est indiquée ci-dessus et dans la FAQ.

Tout prestataire qui échoue à deux ou plusieurs de ces critères vend le mot, pas la propriété.