PBN e tracce di rete
Cosa significa effettivamente l'hosting PBN "senza tracce"
Un'impronta è qualsiasi segnale che collega i Vostri siti tra loro o a un modello di hosting di cui i motori di ricerca hanno imparato a diffidare — ecco dove si nascondono questi segnali e come li eliminiamo a livello di progettazione.
Un'impronta è una correlazione, non un singolo indizio
L'espressione "senza impronta" (Footprint-free) viene spesso usata con troppa leggerezza, pertanto è opportuno fare chiarezza. Un'impronta (footprint) è qualsiasi segnale che consenta a terze parti — un motore di ricerca, un concorrente che impiega uno strumento di analisi o un revisore umano — di raggruppare i Vostri siti tra loro, oppure di associarli a un modello di hosting già riconducibile a manipolazioni. La deindicizzazione raramente deriva da un singolo elemento compromettente. È invece il risultato di una correlazione: una dozzina di siti che, singolarmente, appaiono del tutto legittimi, ma che condividono lo stesso tag generator, la medesima coppia di nameserver, la stessa subnet /24, la stessa impronta del tema e la medesima frequenza di pubblicazione. Ciascuno di questi fattori, preso singolarmente, è solo rumore di fondo. Messi insieme, costituiscono una rete.
Questo ridefinisce l'intero problema. Non siete alla ricerca di un singolo elemento da nascondere; state cercando di interrompere la correlazione su ogni livello contemporaneamente: l'HTML emesso dal sito, il percorso di rete attraverso cui viene risolto, l'account che fa da interfaccia e il raggio di impatto condiviso con i vicini. Tralasciate un livello e gli altri risulteranno comunque allineati. Ecco perché anteporre una CDN a un server condiviso economico non serve a quasi nulla: modifica una sola variabile lasciando l'impronta digitale sul sito, il pattern DNS e l'isolamento a destino comune identici su tutte le proprietà.
Impronte sul sito: cosa rivela l'HTML
Le tracce più economiche da rilevare sono quelle che un sito annuncia nel proprio output. Un'installazione predefinita di WordPress trasmette la propria versione in un tag meta generator e nelle stringhe di query dei suoi asset, include collegamenti agli endpoint di rilevamento wp-json e a un'interfaccia XML-RPC, invia header pingback e restituisce un header X-Powered-By che indica lo stack. Nulla di tutto ciò è visibile a un lettore umano, ma ogni elemento è facilmente automatizzabile tramite script: in un pomeriggio potete identificare le impronte digitali di diecimila siti tramite questi segnali.
Il nostro strumento di rimozione dell'impronta rimuove esattamente questa superficie a ogni deploy: il tag della versione e del generatore, i link di rilevamento, XML-RPC, i pingback e X-Powered-By vengono tutti eliminati, in modo che ogni sito presenti una superficie pulita e generica anziché una tipica di WordPress. Poiché viene eseguito come parte del deploy e non come pulizia una tantum, l'aggiornamento di un plugin o la modifica di un tema non possono reintrodurre silenziosamente un'intestazione che si pensava di aver rimosso. Il punto non è la segretezza fine a se stessa: è negare il segnale di correlazione più economico e scalabile che esista.
Anche le impronte digitali del tema e della struttura sono importanti. Una rete in cui ogni sito presenta lo stesso tema con lo stesso layout dei widget e lo stesso testo a piè di pagina risulta correlata già solo per la disposizione. La distribuzione tramite HTML statico è d'aiuto in questo caso: servire un sito come HTML puro rimuove del tutto gli indizi dello stack attivo e consente al markup di ciascun sito di distinguersi in modo autonomo.
Impronte di rete: IP, CDN e DNS
Il livello su cui la maggior parte degli operatori sbaglia è la rete. Ospitare cento siti su una sola macchina li colloca su un unico IP, all'interno di una sola /24, dietro un unico pattern reverse-DNS: un cluster da manuale. Distribuirli su una manciata di server di proprietà aiuta a malapena, poiché un piccolo pool di IP resta pur sempre un pool. E instradare tutto attraverso un singolo account CDN o un unico provider DNS sposta semplicemente il cluster di un livello più in alto: ora la correlazione è l'account, o l'insieme di nameserver, anziché l'IP.
Una progettazione di rete footprint-free implica la distribuzione su più account e più provider, non su uno solo. I nostri pool di account CDN e DNS distribuiscono i siti su molteplici account Cloudflare, bunny.net, CDN77 e KeyCDN e su vari provider DNS, tra cui ClouDNS — ed è possibile aggiungere al pool anche i propri account. La distribuzione viene ricalcolata a partire dallo stato attivo degli account a ogni deploy; in questo modo, con la crescita del parco siti, non si verifica una concentrazione non rilevata sull'account casualmente impostato come predefinito. Gli IP di origine si trovano dietro la CDN, pertanto il server che eroga effettivamente i contenuti non corrisponde mai al risultato restituito da una ricerca.
La parola chiave in questo caso è «pool». Una rete priva di impronta non è un singolo e ingegnoso nascondiglio; si tratta di un numero sufficiente di superfici indipendenti, assegnate con criterio, in modo che nessun singolo account, nameserver o subnet accumuli una quota sospetta dei vostri siti.
Perché le impronte digitali devono essere gestite a ogni distribuzione e non impostate una sola volta
Le reti non sono statiche. Aggiungete domini, ne dismettete altri, ne migrate un gruppo, cambiate un tema, spostate un livello. Ognuno di questi eventi rappresenta un'opportunità per il riemergere di un footprint: un endpoint XML-RPC riabilitato, un nuovo sito che finisce su un account CDN sovrautilizzato, un backup ripristinato che contiene un vecchio tag generator. Un audit del footprint risultato pulito al momento del lancio non ha alcun valore sei mesi e duecento distribuzioni dopo.
Questo è il motivo per cui consideriamo la gestione del footprint come una proprietà della pipeline di deploy anziché come una checklist da eseguire occasionalmente. La rimozione sul sito, il bilanciamento del pool di account e la baseline dei plugin vengono riapplicati ogni volta che un sito viene sottoposto a provisioning o modificato, calcolati in base allo stato attuale dell'infrastruttura — non in base a uno snapshot della configurazione iniziale. Il bilanciamento viene ricalcolato a partire dai dati in tempo reale dell'account a ogni deploy, cosicché il centesimo sito venga posizionato con la piena consapevolezza di dove siano finiti i novantanove precedenti. La modalità "imposta e dimentica" è la causa del fallimento; l'applicazione continua a ogni deploy è la soluzione.
Isolamento a destino condiviso: l'impronta del collasso
Esiste un'impronta che si manifesta solo sotto stress. Se cento siti condividono un unico file system e un unico pool PHP, un solo sito compromesso, un singolo processo fuori controllo o un picco di risorse trascina con sé i vicini — e un'intera sottorete che restituisce soft-404 o rallenta nello stesso momento costituisce di per sé un segnale di correlazione, del tutto a prescindere dal malware o dal disservizio. L'hosting a destino condiviso trasforma il problema di un singolo sito in un evento che coinvolge l'intera rete.
L'isolamento per sito colloca ciascun sito all'interno del proprio confine di contenimento, impedendo a un sito di accedere a file, processi o memoria di un altro, con scansione antimalware e protezione DDoS attive per impostazione predefinita. Ciò protegge i siti a cui non avete apportato modifiche da quello colpito e garantisce inoltre che l'intero parco siti non ceda come un blocco unico: una proprietà fondamentale sia per la disponibilità sia, discretamente, per il footprint. La memorizzazione nella cache svolge un ruolo correlato: grazie a LiteSpeed Enterprise e a una cache di oggetti per sito che assorbono la maggior parte del traffico, un picco su un sito raramente si trasforma fin dal principio in un problema di risorse che si ripercuote all'esterno.
Ripristinare vecchi domini senza importarne l'impronta
I domini scaduti con storico sono un elemento fondamentale per la creazione di reti e comportano un proprio rischio di impronta. Ricostruirne uno a partire da un modello generico vanifica proprio la cronologia che rendeva il dominio degno di essere acquisito, e un gruppo di domini scaduti tutti ricostruiti sullo stesso scheletro finisce per correlarsi tramite quello scheletro. L'approccio più pulito consiste nel ripristinare il sito originale del dominio da Internet Archive e distribuirlo come HTML statico: il percorso più rapido per riportare online un dominio con storico e reindicizzarlo con la sua vera struttura anziché con uno standard di rete.
Il ripristino come HTML statico offre anche un vantaggio in termini di impronta: non c'è alcun CMS attivo da identificare, nessuna versione da esporre, nessun endpoint di individuazione da analizzare. Il sito si presenta esattamente come era in origine. In combinazione con la distribuzione tra pool di account e la rimozione sul sito a ogni implementazione, un dominio riattivato si unisce nuovamente alla vostra rete senza ereditare gli elementi rivelatori che lo avrebbero associato al resto di essa.
Nulla di tutto questo è insolito. L'hosting senza impronta (footprint-free) è semplicemente la disciplina di interrompere la correlazione a ogni livello — HTML, rete, account, isolamento e cronologia — e rafforzarla nuovamente a ogni modifica, sulla scala di una rete reale anziché di una manciata di siti.
Domande frequenti
Mettere una CDN davanti ai miei siti li rende privi di footprint?
No. Un singolo account CDN a monte di un server condiviso modifica una sola variabile — l'IP restituito da una ricerca — lasciando identici su tutti i siti l'impronta digitale interna al sito, il pattern DNS e l'isolamento a destino condiviso. Peggio ancora, instradare un'intera rete attraverso un unico account CDN o DNS non fa altro che trasferire il cluster su quell'account. Una progettazione priva di footprint richiede una distribuzione su molteplici account e provider, la rimozione degli elementi identificativi interni al sito e un isolamento per singolo sito che operino in sinergia, non un semplice livello di proxy.
Quali impronte on-site rimuove effettivamente lo strumento di rimozione delle impronte?
A ogni deploy rimuove la versione di WordPress e il tag generator, i link di rilevamento wp-json, XML-RPC, i pingback e l'intestazione X-Powered-By: gli indizi banali e facili da rilevare via script che consentono a chiunque di tracciare l'impronta di un intero parco siti WordPress su larga scala. Poiché viene eseguito all'interno del deploy anziché come pulizia occasionale, l'aggiornamento di un plugin o di un tema non potrà reintrodurre silenziosamente un segnale già eliminato.
Perché la gestione dell'impronta deve avvenire a ogni distribuzione?
Poiché le reti cambiano costantemente — nuovi domini, migrazioni, cambi di temi, passaggi di livello — e ogni modifica è un'opportunità per una traccia di insinuarsi nuovamente o per un nuovo sito di finire su un account troppo utilizzato. Un controllo delle tracce risultato pulito al momento del lancio perde di significato dopo centinaia di distribuzioni successive. Riapplichiamo la rimozione sul sito, il bilanciamento del pool di account e la configurazione di base dei plugin a ogni evento di provisioning, calcolati in base allo stato in tempo reale dell'infrastruttura anziché a uno snapshot eseguito in fase di configurazione.
Posso utilizzare i miei account Cloudflare o CDN invece del vostro pool?
Sì. Può aggiungere i Suoi account CDN e DNS al pool insieme ai nostri, e la distribuzione viene comunque ricalcolata dallo stato dell'account in tempo reale a ogni distribuzione, in modo che nulla devii verso un cluster. Questo è ideale per gli operatori che possiedono già account datati o affidabili che desiderano mantenere in rotazione.
Correlati
Lo provi gratuitamente per 14 giorni
Attivi i Suoi primi siti gratuitamente per 14 giorni — senza carta di credito. Sta trasferendo una rete esistente? Le migrazioni sono gratuite e senza limiti.
Inizia gratis