Hosting web offshore: come ospitare un sito offshore passo per passo

In breve: hosting web offshore significa far girare il tuo sito su un server situato fuori dal paese in cui vivi, di solito con un provider che chiede pochi dati personali. Per configurarlo, noleggia un VPS all'estero, registra il dominio con privacy WHOIS e paga in cripto, punta il DNS al server, servi il sito con Caddy per avere HTTPS automatico, poi metti in sicurezza il server, fai i backup e tieni l'identità del sito separata dalla tua.

L'hosting offshore cambia chi custodisce il tuo server e i dati del tuo account. Non rende legali contenuti illegali, non ti nasconde al registrar né alla traccia dei pagamenti e non corregge gli errori operativi. L'ultima sezione tratta questi limiti nel dettaglio. Per una panoramica più ampia, vedi hosting offshore.

Passo 1: scegli un VPS offshore

Un VPS ti dà root completo, quindi controlli tu web server, log e chiavi TLS invece di dipendere da un pannello di hosting condiviso. Per un sito statico o un piccolo CMS bastano 1–2 vCPU e 1–2 GB di RAM; database e app più pesanti richiedono di più.

Su NoctisNode i nuovi server vengono attivati in FI-1 (Finlandia). La registrazione richiede solo email e password, il pagamento è solo in cripto con XMR come opzione predefinita e un server si attiva circa 35 secondi dopo l'accredito del pagamento. Il piano Wisp (1 vCPU, 1 GB di RAM, 20 GB NVMe, $6 ogni 28 giorni) gestisce un sito statico; Pulse (2 vCPU, 2 GB, 40 GB, $10) è adatto a WordPress o simili. Nota che non esiste un reset della password via email, quindi conserva le credenziali in modo sicuro. Confronta le opzioni in migliori VPS offshore.

Passo 2: registra il dominio in modo privato e paga in cripto

• ▹Scegli un registrar che accetti criptovalute e offra privacy o oscuramento WHOIS gratuiti, così i tuoi recapiti non vengono pubblicati.
• ▹Ricorda che il registrar conserva comunque ciò che gli fornisci. Usa un indirizzo email dedicato per il dominio, non quello personale.
• ▹In genere i registrar richiedono dati di contatto corretti secondo i loro termini; dati falsi possono essere motivo di sospensione, quindi leggi i termini prima di decidere cosa inviare.
• ▹Alcuni TLD nazionali hanno requisiti di residenza o non consentono la privacy. Controlla la policy del TLD prima di comprare, invece di darlo per scontato.
• ▹Attiva la 2FA sull'account del registrar e il blocco del trasferimento. Perdere il dominio è un rischio maggiore che perdere il server.
• ▹Paga il VPS con Monero per ridurre al minimo i collegamenti on-chain; vedi [pagare un VPS con Monero](/guides/pay-for-vps-with-monero).

Passo 3: punta il DNS al server

Usa il DNS del registrar o un provider DNS separato. In entrambi i casi, chi ospita il DNS può vedere quali record esistono e spesso i volumi di query. Durante la configurazione imposta un TTL basso (300 secondi) così le modifiche si propagano rapidamente.

Passo 4: servi il sito con Caddy e HTTPS automatico

Caddy ottiene e rinnova automaticamente i certificati TLS non appena il DNS punta al server e le porte 80 e 443 sono aperte. Debian 12/13 e Ubuntu 24.04 includono un pacchetto `caddy`; il repository apt di Caddy ha versioni più recenti se ti servono. Metti i tuoi file in `/var/www/example`, sostituisci `example.com` con il tuo dominio e ricarica. Per fare da proxy verso un'app invece che servire file statici, vedi reverse proxy con Caddy.

sudo apt update && sudo apt install -y caddy
sudo mkdir -p /var/www/example

# /etc/caddy/Caddyfile
example.com {
    root * /var/www/example
    file_server
    encode zstd gzip
    header {
        Strict-Transport-Security "max-age=31536000"
        X-Content-Type-Options "nosniff"
        Referrer-Policy "no-referrer"
        -Server
    }
    log {
        output discard
    }
}

www.example.com {
    redir https://example.com{uri} permanent
}

sudo systemctl reload caddy

Passo 5: metti in sicurezza il server e configura i backup

1. 01.Crea un utente sudo non root, passa alle chiavi SSH e disattiva il login con password; segui [hardening SSH](/guides/ssh-hardening).
2. 02.Attiva un firewall: `sudo ufw allow OpenSSH && sudo ufw allow 80/tcp && sudo ufw allow 443/tcp && sudo ufw enable`.
3. 03.Attiva gli aggiornamenti di sicurezza automatici: `sudo apt install -y unattended-upgrades && sudo dpkg-reconfigure -plow unattended-upgrades`.
4. 04.Conserva solo i log che ti servono. Il Caddyfile sopra scarta gli access log; decidi consapevolmente invece di affidarti ai valori predefiniti.
5. 05.Fai il backup di file del sito e database fuori dal server con backup cifrati, per esempio restic verso una seconda posizione; vedi [backup con restic](/guides/restic-backups).
6. 06.Prova un ripristino almeno una volta. Conta anche il saldo prepagato del provider: se si esaurisce il server viene sospeso, quindi tienilo ricaricato.

Tieni separati il sito e la tua identità

• ▹Usa un'email dedicata per l'account di hosting, il registrar e qualsiasi servizio del sito; non riutilizzare mai il tuo indirizzo o nome utente personale.
• ▹Evita ID di analytics, pubblicità o tag di terze parti che usi anche su siti personali; gli ID condivisi collegano i siti tra loro.
• ▹I log di Certificate Transparency pubblicano ogni hostname per cui ottieni un certificato, quindi non creare sottodomini che rivelino più di quanto vuoi.
• ▹Rimuovi i metadati da immagini e documenti (EXIF, campi autore) e controlla la cronologia git alla ricerca di nomi ed email reali prima di pubblicare.
• ▹Amministra il server tramite Tor o una VPN invece che dal tuo IP di casa, e non ospitare i tuoi progetti personali sullo stesso IP.
• ▹Tieni separato anche il pagamento: ricarica l'account da un wallet non legato a un account exchange intestato a te.

Da cosa non protegge l'hosting web offshore

• ▹La legge del tuo paese: ospitare un sito all'estero non cambia le regole che si applicano a te dove vivi.
• ▹Rimozione del dominio: il registrar o il gestore del TLD può sospendere un dominio indipendentemente da dove si trova il server.
• ▹Gestione degli abusi: gli host intervengono comunque sulle segnalazioni di abuso verificate, offshore o no.
• ▹Tracce di pagamenti e account: exchange, processor di carte e provider email conservano i propri registri.
• ▹I tuoi errori: nomi utente riutilizzati, ID di analytics condivisi, metadati e accessi amministrativi dal tuo IP di casa vanificano tutto il resto.
• ▹Attacchi al sito: la posizione offshore non è una protezione DDoS, e un CMS non aggiornato viene compromesso ovunque.

FAQ