Configurar hosting web offshore: aloja una web en el extranjero paso a paso

Respuesta corta: el hosting web offshore consiste en alojar tu web en un servidor situado fuera del país en el que vives, normalmente con un proveedor que pide pocos datos personales. Para montarlo, alquila un VPS en el extranjero, registra el dominio con privacidad WHOIS y paga en cripto, apunta el DNS al servidor, sirve la web con Caddy para tener HTTPS automático y después bastiona el servidor, haz copias de seguridad y mantén la identidad de la web separada de la tuya.

El hosting offshore cambia quién tiene tu servidor y los datos de tu cuenta. No convierte en legal un contenido ilegal, no te oculta de tu registrador ni de tu rastro de pagos y no arregla los errores operativos. La última sección trata esos límites en detalle. Para una visión más general, consulta hosting offshore.

Paso 1: elige un VPS offshore

Un VPS te da root completo, así que controlas el servidor web, los logs y las claves TLS en lugar de depender de un panel de hosting compartido. Para una web estática o un CMS pequeño bastan 1–2 vCPU y 1–2 GB de RAM; las bases de datos y las aplicaciones más pesadas necesitan más.

En NoctisNode, los servidores nuevos se despliegan en FI-1 (Finlandia). El registro solo pide email y contraseña, el pago es solo en cripto con XMR como opción por defecto, y un servidor se despliega unos 35 segundos después de que se acredite el pago. El plan Wisp (1 vCPU, 1 GB de RAM, 20 GB NVMe, $6 cada 28 días) basta para una web estática; Pulse (2 vCPU, 2 GB, 40 GB, $10) va bien para WordPress o similares. Ten en cuenta que no hay restablecimiento de contraseña por email, así que guarda tus credenciales de forma segura. Compara opciones en el mejor VPS offshore.

Paso 2: registra el dominio de forma privada y paga con cripto

• ▹Elige un registrador que acepte criptomonedas y ofrezca privacidad o redacción WHOIS gratuita, para que tus datos de contacto no se publiquen.
• ▹Recuerda que el registrador sigue guardando lo que le das. Usa una dirección de email dedicada para el dominio, no la personal.
• ▹Los registradores suelen exigir que los datos de contacto sean exactos según sus condiciones; los datos falsos pueden ser motivo de suspensión, así que lee las condiciones antes de decidir qué envías.
• ▹Algunos dominios de código de país tienen requisitos de residencia o no permiten privacidad. Revisa la política del TLD antes de comprar en lugar de darlo por hecho.
• ▹Activa el 2FA en la cuenta del registrador y el bloqueo de transferencia. Perder el dominio es un riesgo mayor que perder el servidor.
• ▹Paga el VPS con Monero para dejar el mínimo rastro on-chain; consulta [cómo pagar un VPS con Monero](/guides/pay-for-vps-with-monero).

Paso 3: apunta el DNS al servidor

Usa el DNS del registrador o un proveedor DNS aparte. En cualquier caso, el proveedor DNS puede ver qué registros existen y a menudo el volumen de consultas. Pon un TTL bajo (300 segundos) mientras configuras para que los cambios se propaguen rápido.

Paso 4: sirve la web con Caddy y HTTPS automático

Caddy obtiene y renueva los certificados TLS automáticamente en cuanto el DNS apunta al servidor y los puertos 80 y 443 están abiertos. Debian 12/13 y Ubuntu 24.04 incluyen un paquete `caddy`; el repositorio apt propio de Caddy tiene versiones más recientes si las necesitas. Pon tus archivos en `/var/www/example`, sustituye `example.com` por tu dominio y recarga. Para hacer proxy a una aplicación en lugar de servir archivos estáticos, consulta reverse proxy con Caddy.

sudo apt update && sudo apt install -y caddy
sudo mkdir -p /var/www/example

# /etc/caddy/Caddyfile
example.com {
    root * /var/www/example
    file_server
    encode zstd gzip
    header {
        Strict-Transport-Security "max-age=31536000"
        X-Content-Type-Options "nosniff"
        Referrer-Policy "no-referrer"
        -Server
    }
    log {
        output discard
    }
}

www.example.com {
    redir https://example.com{uri} permanent
}

sudo systemctl reload caddy

Paso 5: bastiona el servidor y configura las copias de seguridad

1. 01.Crea un usuario sudo que no sea root, pasa a claves SSH y desactiva el inicio de sesión con contraseña; sigue [hardening de SSH](/guides/ssh-hardening).
2. 02.Activa un firewall: `sudo ufw allow OpenSSH && sudo ufw allow 80/tcp && sudo ufw allow 443/tcp && sudo ufw enable`.
3. 03.Activa las actualizaciones de seguridad automáticas: `sudo apt install -y unattended-upgrades && sudo dpkg-reconfigure -plow unattended-upgrades`.
4. 04.Conserva solo los logs que necesites. El Caddyfile de arriba descarta los logs de acceso; decídelo de forma deliberada, no por defecto.
5. 05.Haz copias de los archivos y bases de datos de la web fuera del servidor con copias cifradas, por ejemplo con restic a una segunda ubicación; consulta [copias con restic](/guides/restic-backups).
6. 06.Prueba una restauración al menos una vez. El saldo prepago de tu proveedor también importa: si se agota, el servidor se suspende, así que mantenlo con fondos.

Mantén separadas la web y tu identidad

• ▹Usa un email dedicado para la cuenta de hosting, el registrador y cualquier servicio de la web; nunca reutilices tu dirección o tu nombre de usuario personales.
• ▹Evita los ID de analítica, publicidad o etiquetas de terceros que también uses en webs personales; los ID compartidos vinculan unas webs con otras.
• ▹Los logs de Certificate Transparency publican cada nombre de host para el que obtienes un certificado, así que no crees subdominios que revelen más de lo que pretendes.
• ▹Elimina los metadatos de imágenes y documentos (EXIF, campos de autor) y revisa el historial de git en busca de nombres y emails reales antes de publicar.
• ▹Administra el servidor por Tor o una VPN en lugar de desde tu IP doméstica, y no alojes tus proyectos personales en la misma IP.
• ▹Mantén separado también el pago: recarga la cuenta desde una cartera que no esté vinculada a una cuenta de exchange a tu nombre.

De qué no te protege el hosting web offshore

• ▹Tu legislación local: alojar una web en el extranjero no cambia las normas que se te aplican donde vives.
• ▹Retiradas de dominios: el registrador o el operador del TLD pueden suspender un dominio esté donde esté el servidor.
• ▹Gestión de abusos: los proveedores siguen actuando ante denuncias de abuso verificadas, sean offshore o no.
• ▹Rastros de pagos y cuentas: los exchanges, los procesadores de tarjetas y los proveedores de email guardan sus propios registros.
• ▹Tus propios errores: los nombres de usuario reutilizados, los ID de analítica compartidos, los metadatos y los accesos de administración desde tu IP doméstica deshacen todo lo demás.
• ▹Ataques a la web: la ubicación offshore no es protección DDoS, y un CMS sin parchear acaba comprometido en cualquier parte.

Preguntas frecuentes