Hébergement offshore ou bulletproof hosting : quelle est la différence ?

Qu'est-ce que le bulletproof hosting ?

Le bulletproof hosting est un hébergement vendu à des criminels avec la promesse que les signalements d'abus et les demandes de la police ne le feront pas tomber. Un guide publié le 19 novembre 2025 par la CISA, la NSA, le FBI et des agences partenaires définit un fournisseur de bulletproof hosting comme un fournisseur qui commercialise et loue sciemment et intentionnellement son infrastructure à des cybercriminels.

Le bulletproof hosting se définit par ceux qu'il sert et par son refus de coopérer avec la procédure judiciaire, pas par son pays. Le guide indique que ces fournisseurs ne coopèrent pas de bonne foi avec les assignations, les décisions de justice ou les plaintes des victimes. Leurs clients utilisent les serveurs pour des ransomwares, du phishing, la diffusion de malwares et le command-and-control.

Le Trésor américain utilise la même idée : des serveurs conçus pour aider des criminels à échapper à la détection et à résister aux forces de l'ordre.

Qu'est-ce que l'hébergement offshore ?

L'hébergement offshore est un hébergement ordinaire acheté auprès d'une entreprise ou d'un datacenter hors de votre propre pays. On le choisit pour les lois de l'hébergeur sur la vie privée, les demandes de données et les notifications de droits d'auteur, ou pour une inscription sans pièce d'identité.

L'hébergement offshore change la loi qui s'applique ; le bulletproof hosting refuse de répondre devant quelque loi que ce soit. Un hébergeur offshore suit la loi de son propre pays et agit face aux abus réels. Plus d'informations sur qu'est-ce qu'un VPS offshore.

OffshoreKVM est-il un bulletproof host ?

Non. OffshoreKVM est un hébergeur offshore avec des règles publiées : les notifications de droits d'auteur venant de l'étranger sont ignorées, les abus qui nuisent aux personnes ne le sont pas.

• Ignorés : DMCA ignoré : nous ne donnons pas suite aux notifications DMCA ni aux autres notifications de droits d'auteur étrangères. Nous ne répondons qu'à la loi panaméenne et aux ordonnances des tribunaux panaméens.
• Bannis : Pas de spam ni d'emailing de masse, pas de phishing, pas de malware ni de contrôle de botnet, pas de DDoS ni d'autres attaques, pas de scan ni de force brute sur les systèmes d'autrui, pas de services de booter ou de stresser, pas de carding ni de fraude, pas de contenu pédopornographique, pas de minage de cryptomonnaies, et aucun service aux personnes ou entreprises sanctionnées.
• Traités : les signalements de spam, de phishing, de malwares, de contrôle de botnets, d'attaques et de matériel d'abus sexuels sur enfants mènent à une suspension. Envoyez-les à [email protected].
• Mail : Le port sortant 25 (SMTP) est fermé sur chaque VPS pour empêcher le spam, et il reste fermé. Les ports 465 et 587 vers les fournisseurs de messagerie restent ouverts.
• Paiements : Pour chaque crypto que nous acceptons sauf Monero, l'adresse d'où vient un paiement est recherchée dans les listes publiques de sanctions d'adresses blockchain, et un paiement venant d'une adresse listée n'est pas crédité. Un paiement Monero masque cette adresse, la recherche n'a donc rien à comparer.
• Pays : Not available to people or companies in Cuba, Iran, North Korea, Syria, Russia, Belarus, China, Yemen or Western Sahara, or in the occupied regions of Ukraine.

Les règles complètes figurent dans la OffshoreKVM politique d'utilisation acceptable.

DMCA ignoré, est-ce la même chose que bulletproof ?

Non. « DMCA ignored » ne couvre qu'un type de notification : les retraits pour atteinte au droit d'auteur américain, que le US Copyright Office qualifie de volontaires, même pour les hébergeurs américains. Le bulletproof hosting ignore toutes les plaintes, y compris le phishing, les malwares et les demandes de la police.

Selon la vérification de OffshoreKVM sur 29 October 2026, 7 des 36 hébergeurs VPS offshore actifs annoncent qu'ils ignorent les notifications DMCA. Au moins quatre autres déclarent par écrit qu'ils ne sont pas des bulletproof hosts : MyNymBox, SporeStack, TLDBunker et WebCare360.

La politique est expliquée sur que signifie DMCA ignored pour un VPS offshore, et les hébergeurs sont comparés sur quel est le meilleur hébergement DMCA ignored.

Le bulletproof hosting est-il illégal ?

L'exploiter mène à des condamnations et des sanctions. Trois affaires :

• CyberBunker, Allemagne : le 13 décembre 2021, un tribunal de Trèves a condamné huit personnes pour avoir formé une organisation criminelle afin d'exploiter un centre de données dans un ancien bunker militaire. Les enquêteurs l'ont qualifié de bulletproof hoster.
• Aeza Group, Russie : désigné par le Trésor américain le 1er juillet 2025 comme fournisseur de bulletproof hosting au service d'opérateurs d'infostealers et de ransomwares.
• Media Land, Russie : sanctionné le 19 novembre 2025 par les États-Unis, l'Australie et le Royaume-Uni, avec d'autres personnes liées à Aeza.

Pour les personnes américaines, les règles OFAC interdisent généralement les transactions avec des entreprises désignées telles qu'Aeza Group. La question de savoir si l'hébergement offshore est légal pour vous est traitée sur l'hébergement offshore est-il légal.

Pourquoi cette différence importe-t-elle aux clients ?

Elle décide si votre serveur reste en ligne. Les clients d'un bulletproof host partagent des plages IP avec des criminels, et le guide de la CISA demande aux opérateurs réseau de lister les ressources malveillantes et de les filtrer. Une saisie met aussi tous les clients hors ligne d'un coup.

Interdire les véritables abus protège la réputation des plages IP que chaque client partage. C'est pourquoi OffshoreKVM ferme le port sortant 25 et suspend le spam, le phishing et les malwares. Les utilisateurs de mail lisent puis-je héberger un serveur mail sur un VPS offshore.

Comment distinguer un bulletproof host d'un hébergeur offshore ?

Lisez ses règles avant de payer. Signes d'alerte :

1. Aucune politique d'utilisation acceptable publiée, ou une politique qui n'interdit rien.
2. Une promesse d'ignorer toutes les plaintes, pas seulement les notifications de droit d'auteur.
3. Des exigences de paperasse avant tout retrait, un schéma que décrit le guide de la CISA.
4. Une inscription sur une liste de sanctions (OFAC, UE ou Royaume-Uni). La vérification de OffshoreKVM sur 29 October 2026 a trouvé Aeza Group sur les listes OFAC et britannique.
5. Un marketing ciblant un usage, comme le spam, les booters ou le carding, plutôt que la confidentialité ou la juridiction.

Un hébergeur offshore montre l'inverse : des interdictions écrites, une adresse pour les abus et une juridiction nommée dont il suit les tribunaux.