Hospedagem web offshore: como hospedar um site offshore passo a passo

Resposta curta: hospedagem web offshore significa rodar seu site num servidor localizado fora do país onde você mora, geralmente com um provedor que pede poucos dados pessoais. Para configurar, alugue um VPS no exterior, registre o domínio com privacidade de WHOIS e pague em cripto, aponte o DNS para o servidor, sirva o site com Caddy para ter HTTPS automático e depois reforce o servidor, faça backups e mantenha a identidade do site separada da sua.

A hospedagem offshore muda quem guarda o seu servidor e os dados da sua conta. Ela não torna legal um conteúdo ilegal, não esconde você do registrador nem do rastro do pagamento e não corrige erros operacionais. A última seção detalha esses limites. Para uma visão geral mais ampla, veja hospedagem offshore.

Passo 1: escolha um VPS offshore

Um VPS dá root completo, então você controla o servidor web, os logs e as chaves TLS em vez de depender de um painel de hospedagem compartilhada. Para um site estático ou um CMS pequeno, 1–2 vCPU e 1–2 GB de RAM bastam; bancos de dados e apps mais pesados precisam de mais.

Na NoctisNode, os novos servidores são implantados em FI-1 (Finlândia). O cadastro exige só e-mail e senha, o pagamento é apenas em cripto com XMR como padrão, e o servidor é implantado cerca de 35 segundos depois que o pagamento é creditado. O plano Wisp (1 vCPU, 1 GB de RAM, 20 GB NVMe, $6 por 28 dias) dá conta de um site estático; o Pulse (2 vCPU, 2 GB, 40 GB, $10) serve para WordPress ou similares. Observe que não há redefinição de senha por e-mail, então guarde suas credenciais com segurança. Compare as opções em melhor VPS offshore.

Passo 2: registre o domínio com privacidade e pague com cripto

• ▹Escolha um registrador que aceite criptomoedas e ofereça privacidade ou ocultação de WHOIS gratuita, para que seus dados de contato não sejam publicados.
• ▹Lembre-se de que o registrador continua guardando o que você informa. Use um endereço de e-mail dedicado para o domínio, não o pessoal.
• ▹Os registradores geralmente exigem dados de contato corretos segundo os seus termos; dados falsos podem justificar uma suspensão, então leia os termos antes de decidir o que enviar.
• ▹Alguns TLDs de código de país têm regras de residência ou não permitem privacidade. Confira a política do TLD antes de comprar, em vez de presumir.
• ▹Ative o 2FA na conta do registrador e o bloqueio de transferência. Perder o domínio é um risco maior do que perder o servidor.
• ▹Pague o VPS com Monero para ter o mínimo de ligação on-chain; veja [como pagar um VPS com Monero](/guides/pay-for-vps-with-monero).

Passo 3: aponte o DNS para o servidor

Use o DNS do registrador ou um provedor de DNS separado. Em ambos os casos, o host de DNS consegue ver quais registros existem e, muitas vezes, os volumes de consultas. Defina um TTL baixo (300 segundos) durante a configuração para que as mudanças se propaguem rápido.

Passo 4: sirva o site com Caddy e HTTPS automático

O Caddy obtém e renova certificados TLS automaticamente assim que o DNS aponta para o servidor e as portas 80 e 443 estão abertas. Debian 12/13 e Ubuntu 24.04 trazem um pacote `caddy`; o repositório apt do próprio Caddy tem versões mais novas, se você precisar. Coloque seus arquivos em `/var/www/example`, substitua `example.com` pelo seu domínio e recarregue. Para fazer proxy para um app em vez de servir arquivos estáticos, veja reverse proxy com Caddy.

sudo apt update && sudo apt install -y caddy
sudo mkdir -p /var/www/example

# /etc/caddy/Caddyfile
example.com {
    root * /var/www/example
    file_server
    encode zstd gzip
    header {
        Strict-Transport-Security "max-age=31536000"
        X-Content-Type-Options "nosniff"
        Referrer-Policy "no-referrer"
        -Server
    }
    log {
        output discard
    }
}

www.example.com {
    redir https://example.com{uri} permanent
}

sudo systemctl reload caddy

Passo 5: reforce o servidor e configure backups

1. 01.Crie um usuário sudo que não seja root, passe a usar chaves SSH e desative o login por senha; siga o [hardening de SSH](/guides/ssh-hardening).
2. 02.Ative um firewall: `sudo ufw allow OpenSSH && sudo ufw allow 80/tcp && sudo ufw allow 443/tcp && sudo ufw enable`.
3. 03.Ative as atualizações de segurança automáticas: `sudo apt install -y unattended-upgrades && sudo dpkg-reconfigure -plow unattended-upgrades`.
4. 04.Mantenha só os logs de que você precisa. O Caddyfile acima descarta os logs de acesso; decida isso de propósito, e não por padrão.
5. 05.Faça backup dos arquivos do site e dos bancos de dados para fora do servidor com backups criptografados, por exemplo restic para um segundo local; veja [backups com restic](/guides/restic-backups).
6. 06.Teste uma restauração pelo menos uma vez. O saldo pré-pago no provedor também importa: se acabar, o servidor é suspenso, então mantenha-o abastecido.

Mantenha o site e a sua identidade separados

• ▹Use um e-mail dedicado para a conta de hospedagem, o registrador e quaisquer serviços do site; nunca reutilize seu endereço ou nome de usuário pessoal.
• ▹Evite IDs de analytics, anúncios ou tags de terceiros que você também usa em sites pessoais; IDs compartilhados ligam os sites entre si.
• ▹Os logs de Certificate Transparency publicam todos os hostnames para os quais você obtém certificado, então não crie subdomínios que revelem mais do que você pretende.
• ▹Remova metadados de imagens e documentos (EXIF, campos de autor) e confira o histórico do git em busca de nomes e e-mails reais antes de publicar.
• ▹Administre o servidor via Tor ou VPN em vez do seu IP de casa e não hospede seus projetos pessoais no mesmo IP.
• ▹Mantenha o pagamento separado também: abasteça a conta a partir de uma carteira que não esteja ligada a uma conta de exchange no seu nome.

Contra o que a hospedagem web offshore não protege

• ▹As leis do seu país: hospedar um site no exterior não muda as regras que valem para você onde mora.
• ▹Remoção do domínio: o registrador ou o operador do TLD pode suspender um domínio independentemente de onde está o servidor.
• ▹Tratamento de abuso: os hosts continuam agindo sobre denúncias de abuso verificadas, offshore ou não.
• ▹Rastros de pagamento e de conta: exchanges, processadores de cartão e provedores de e-mail mantêm seus próprios registros.
• ▹Seus próprios erros: nomes de usuário reutilizados, IDs de analytics compartilhados, metadados e logins administrativos a partir do seu IP de casa desfazem todo o resto.
• ▹Ataques ao site: estar offshore não é proteção contra DDoS, e um CMS sem atualizações é comprometido em qualquer lugar.

Perguntas frequentes