Quienes terminan identificados rara vez caen por un ataque ingenioso al cifrado. Los identifican los vínculos: el mismo nombre de usuario, el mismo correo, la misma IP, los mismos hábitos de escritura. La seguridad operacional (OpSec) es la disciplina de eliminar esos vínculos. Esta es una lista práctica para quien gestiona un servidor y valora la privacidad, ya sea por seguridad, negocio o principios.
1. Decide de quién te escondes
Un competidor, un acosador, un gobierno hostil y un scraper aburrido necesitan defensas muy distintas. Anota primero tu amenaza y luego dedica esfuerzo donde importa. "Todo el mundo" no es un modelo de amenazas.
2. Mantén las identidades separadas
Usa un nombre de usuario, una dirección de correo y una contraseña distintos para cada proyecto. Nunca reutilices un alias de una cuenta personal o anterior. Un solo dato compartido basta para unir los puntos.
3. Nunca inicies sesión desde casa sin protección
La IP de tu casa es el identificador más fuerte que tienes. Accede al servidor mediante una VPN o Tor, y sé constante. Un solo inicio de sesión directo desde tu conexión doméstica queda registrado para siempre en los logs del proveedor y en el auth.log de tu servidor.
4. Paga de una forma acorde con tu amenaza
Los pagos con tarjeta y bancarios están vinculados a tu nombre. Las monedas difieren en lo rastreables que son, y los exchanges piden identificación. Lee los fundamentos de privacidad cripto y recarga la cuenta con monedas que se ajusten a tu objetivo.
5. Vigila tus metadatos
- Los documentos y las imágenes contienen nombres de autor y datos GPS. Elimínalos antes de publicar.
- Los registros WHOIS exponen a los titulares de dominios salvo que la privacidad esté activada. Consulta cómo comprar un dominio de forma anónima.
- Los certificados TLS son públicos. Un certificado para un nombre que usas en otro sitio vincula ambos.
6. Mantén al mínimo la cara pública del servidor
Cierra todos los puertos que no uses, oculta las versiones del software y usa un virtual host por defecto que no revele nada ante una petición a la IP sin más. La guía de UFW y fail2ban explica los pasos.
7. No mezcles la web clara y los servicios ocultos
Ejecutar un sitio público y un servicio onion en la misma máquina invita a la correlación por tiempos, disponibilidad y banners de software. Usa servidores separados.
8. Gestiona el correo con cuidado
Las cabeceras del correo muestran la IP de envío. Envía desde un relay y no desde el origen, y consulta qué hacer y qué no al autoalojar correo.
9. Haz copias de seguridad y cífralas
Una copia sin cifrar en tu cuenta personal en la nube lo deshace todo. Usa copias de seguridad cifradas y guarda las claves aparte de los datos.
10. Recuerda tus propios hábitos
Publicar a las mismas horas, usar las mismas frases y cometer los mismos errores tipográficos identifican a una persona. Sé consciente de ello y no hables de tu proyecto en lugares vinculados a tu nombre real.
Ninguna configuración te hace invisible, y ningún host puede prometerlo. Procura que identificarte resulte costoso y evita los errores fáciles de arriba. Para conocer los límites, lee qué tan anónimo es realmente el hosting anónimo.