[Home](https://servhidden.com/it) / [Guide di Hosting Privato](https://servhidden.com/it/guides) / Nascondere l'IP del server di origine: CDN, reverse proxy e cosa trapela Privacy # Nascondere l'IP del server di origine Assorbire un attacco e restare irrintracciabili sono due problemi diversi, e l'assetto che risolve l'uno puo silenziosamente disfare l'altro. Cosa copre il filtraggio a livello di rete, cosa aggiunge e cosa costa una CDN, come vengono trovate davvero le origini — e come verificare la tua. [Leer la guida](#guide-body) [FAQ](#guide-faq) ## En questa pagina - [Guida](#guide-body) - [FAQ](#guide-faq) - [Guide relacionullas](#guide-related) - [Paginas consigliate](#guide-cta) Senza KYC Solo crypto Nessun log DMCA ignorato Root completo NVMe SSD 17 min di lettura Aggiornato Aug 2026 En questa pagina [01Due problemi che sembrano uno solo](#due-problemi-che-sembrano-uno-solo) [02Cosa fa già il tuo host, e dove si ferma](#cosa-fa-già-il-tuo-host-e-dove-si-ferma) [03Cosa nasconde una CDN, e lo sportello reclami che erediti](#cosa-nasconde-una-cdn-e-lo-sportello-reclami-che-erediti) [04I sei modi in cui un indirizzo di origine trapela comunque](#i-sei-modi-in-cui-un-indirizzo-di-origine-trapela-comunque) [05Blindare l'origine perché solo il front possa raggiungerla](#blindare-lorigine-perché-solo-il-front-possa-raggiungerla) [06Un tuo front node al posto di una CDN](#un-tuo-front-node-al-posto-di-una-cdn) [07Come scegliere, in una tabella](#come-scegliere-in-una-tabella) [08L'account è di solito l'anello più debole](#laccount-è-di-solito-lanello-più-debole) [09Verificare la tua esposizione in dieci minuti](#verificare-la-tua-esposizione-in-dieci-minuti) [10Quando l'indirizzo è già bruciato](#quando-lindirizzo-è-già-bruciato) [11La versione breve](#la-versione-breve) [FAQDomande frequenti](#guide-faq) [→Paginas consigliate](#guide-cta) «Dovrei mettere una CDN davanti?» è la prima domanda che quasi tutti si pongono dopo aver comprato un server offshore, e non ha una risposta unica, perché in realtà sono due domande travestite da una sola. Assorbire un attacco e restare irrintracciabili sono problemi diversi con soluzioni diverse, e l'assetto che risolve l'uno può silenziosamente disfare l'altro. La confusione costa cara in entrambe le direzioni. C'è chi mette una grande CDN americana davanti a contenuti per cui aveva scelto apposta un [hosting DMCA-ignored](https://servhidden.com/it/dmca-ignored-hosting), e restituisce così uno sportello reclami esattamente al tipo di intermediario che stava evitando. Altri saltano tutto, vengono colpiti da un flood a livello applicativo che il filtraggio di rete non è mai stato progettato per vedere, e concludono che la protezione DDoS fosse una bugia. Questa guida separa i due problemi, spiega cosa fa davvero ciascuno strato, e dedica la maggior parte del suo spazio alla parte che decide l'esito in entrambi i casi: i sei modi in cui un indirizzo di origine trapela anche quando tutto il resto è configurato correttamente. ## Due problemi che sembrano uno solo Qualunque cosa metti davanti a un server sta svolgendo uno di due compiti: tenere lontano un attacco, oppure tenere sconosciuto il suo indirizzo. Si sovrappongono abbastanza da creare confusione, e differiscono abbastanza perché risolvere quello sbagliato sia uno spreco di denaro. | Di cosa ti preoccupi | Cosa lo risolve davvero | Cosa non lo risolve | | --- | --- | --- | | Un flood volumetrico che riempie la tua pipe (livelli 3 e 4) | Filtraggio al bordo della rete, incluso in ogni nostro piano | Niente che installi sul server — a quel punto la pipe è già piena | | Un flood applicativo di richieste che sembrano reali (livello 7) | Una CDN o un WAF, caching, rate limit, endpoint più economici | Il filtraggio dei pacchetti, che vede HTTP valido e lo lascia passare | | Nessuno deve poter raggiungere la macchina direttamente | Un front (CDN o un tuo nodo) *più* un firewall che accetta solo lui | Una CDN da sola, se l'origine risponde ancora a tutto internet | | Nessuno deve sapere chi la gestisce | Registrazione no-KYC, riservatezza dei pagamenti, disciplina sull'account | Qualunque quantità di infrastruttura — è una questione di identità | | Il contenuto deve sopravvivere ai reclami | La giurisdizione, e un host che non agisce su di essi | Una CDN, che **aggiunge** un canale di reclami invece di toglierne uno | Leggi due volte l'ultima riga, perché è quella che frega la gente. Tutto il resto in questa pagina è ingegneria. Quella riga no. Qualunque cosa stia davanti al tuo server si frappone anche tra te e chi presenta reclami — il che è protezione in una direzione, e un nuovo indirizzo per le notifiche nell'altra. ## Cosa fa già il tuo host, e dove si ferma Il filtraggio di livello 3 e 4 è incluso in ogni piano che vendiamo, senza costi aggiuntivi, e agisce al bordo della rete anziché sul tuo server — l'unico posto in cui può funzionare, perché un uplink saturo non si ripara con nulla che giri dietro di esso. La banda è illimitata, quindi un attacco non si trasforma in una fattura. Per la grande maggioranza di ciò che la gente chiama «un DDoS», è tutta qui la storia. Ciò che non può vedere è l'altro tipo. Cinquecento richieste al secondo verso un endpoint di ricerca provenienti da quarantamila indirizzi residenziali non è traffico malformato; è traffico. Le connessioni Slowloris che trasmettono un header ogni pochi secondi sono, prese singolarmente, educate. Un form di login bombardato con corpi POST reali è indistinguibile, a livello di pacchetto, da un lunedì impegnativo. Nessun filtro di pacchetti aiuta, perché non c'è nulla di sbagliato nei pacchetti. **Il test per capire se ti serve più del solo filtraggio di rete:** una singola richiesta ben formata può costare al tuo server una scansione del database, il ridimensionamento di un'immagine o un hash di password? Se sì, hai una superficie di livello 7, e la soluzione è caching, rate limiting ed endpoint più economici — con o senza una CDN davanti. C'è una direzione di traffico su cui interveniamo, ed è bene dirlo chiaramente: attacchi e spam di massa *originati* dalla nostra rete possono essere null-routati per mantenere sana il resto dell'infrastruttura. È una misura operativa, non una misura sui contenuti — la distinzione che la nostra [guida sull'hosting DMCA-ignored](https://servhidden.com/it/guides/dmca-ignored-hosting-explained) traccia in modo più dettagliato. ## Cosa nasconde una CDN, e lo sportello reclami che erediti Il meccanismo è semplice e genuinamente efficace. Il tuo dominio risolve verso gli indirizzi del provider, i client si connettono lì, e il provider recupera i contenuti dalla tua origine. L'indirizzo reale non compare mai nella connessione di un client, quindi non può essere attaccato da chi conosce solo il dominio. Lo stesso trucco è il motivo per cui il fronting via CDN funziona per i [proxy resistenti alla censura](https://servhidden.com/it/censorship-resistant-hosting/v2ray): un censore vede traffico verso un indirizzo che non può permettersi di bloccare. Tre cose arrivano insieme, e nessuna è nascosta nelle note in piccolo: - **Il bordo termina il tuo TLS.** Il traffico è testo in chiaro dentro la rete del provider per progettazione — è così che funzionano caching e filtraggio. Qualunque cosa digitino i tuoi utenti raggiunge una terza parte prima di raggiungere te. - **Un canale di abuso che prima non esisteva.** I reclami possono essere presentati direttamente contro la CDN, e una CDN risponde: inoltrandoli a te, identificando il tuo provider di hosting, oppure eliminandoti come cliente. Se la tua ragione per stare offshore è che i reclami non vanno da nessuna parte, mettere davanti un intermediario statunitense ricollega la catena che avevi pagato per spezzare. - **Un account.** Indirizzo email, metodo di pagamento, spesso un numero di telefono, legati al tuo dominio e conservati a tempo indeterminato. Ne parliamo più avanti, perché di solito è l'anello più debole dell'intero assetto. Niente di tutto ciò rende sbagliata una CDN. Ne fa una decisione a due facce: eccellente per un negozio o un'applicazione con utenti reali e vera pressione di livello 7, attivamente controproducente per una pubblicazione che attira takedown. La nostra risposta alla domanda, sulla [pagina dell'hosting DMCA-ignored](https://servhidden.com/it/dmca-ignored-hosting), è sempre stata la versione breve di questo: per resistere ai takedown, usa il filtraggio di rete che hai già e salta la CDN. ## I sei modi in cui un indirizzo di origine trapela comunque Questa è la sezione che conta, perché l'occultamento non è un prodotto che compri — è una proprietà che mantieni o perdi, di solito nel giro di pochi giorni, a causa di una di sei cose. Le origini vengono trovate ogni giorno dietro configurazioni CDN perfettamente valide. - **I log di Certificate Transparency.** Ogni certificato pubblicamente attendibile emesso per il tuo dominio viene pubblicato in log pubblici, permanenti e ricercabili entro pochi minuti. Non pubblicano il tuo indirizzo; pubblicano i tuoi *hostname* — staging, mail, vpn, il sottodominio che hai configurato una volta nel 2024. Ognuno è un candidato da risolvere, e un solo record che non punta al front chiude la questione. - **La cronologia DNS.** I servizi di passive-DNS archiviano ogni indirizzo a cui il tuo dominio ha mai risolto. Spostarsi dietro una CDN in seguito non fa sparire ciò che era già stato registrato — l'occultamento deve iniziare prima che il dominio risolva per la prima volta, oppure ti serve un nuovo indirizzo, non un nuovo front. - **I record che non si possono proxare, e quelli che hai dimenticato.** I mail exchanger devono puntare a qualcosa di raggiungibile. Lo stesso vale per un record AAAA lasciato indietro quando hai proxato solo IPv4, un vecchio hostname FTP o del pannello, un wildcard, o l'host di sviluppo «temporaneo» che ormai ha tre anni. - **Qualunque cosa il server invii.** La posta dall'origine porta il suo indirizzo nelle intestazioni Received — un messaggio di reset della password è un'autodenuncia. Webhook, recuperi di immagini in uscita, anteprime di link, pingback, controlli di aggiornamento e crash reporter contattano tutti l'esterno dall'indirizzo reale, e chiunque riesca a far parlare la tua applicazione con un host che controlla lo scopre. - **La scansione di tutto internet.** Ogni indirizzo IPv4 viene scansionato e indicizzato continuamente da servizi pubblici, e i risultati sono interrogabili in pochi secondi. Se la tua origine risponde sulla porta 443 con il tuo certificato, o serve la tua homepage a qualunque header Host, farla corrispondere è una sola query contro un hash del corpo, un'impronta del certificato o un hash della favicon. È così che vengono trovate la maggior parte delle origini, e non costa nulla a chi cerca. - **L'applicazione che parla di sé stessa.** URL assoluti e redirect che contengono l'indirizzo grezzo, endpoint di stato o metriche lasciati aperti, stack trace verbosi che nominano host interni, header che rivelano il backend, e il virtual host predefinito che serve allegramente il tuo sito a chiunque lo richieda per indirizzo. **Cinque di questi sei sono questioni di configurazione, non di crittografia.** Nulla in questa lista viene sconfitto da un piano CDN più grande, e nulla in essa è esotico — sono le prime sei cose che chiunque controlla, in questo ordine. ## Blindare l'origine perché solo il front possa raggiungerla Un occultamento che dipende dal fatto che nessuno indovini l'indirizzo non è occultamento. L'assetto regge solo quando l'origine rifiuta di parlare con chiunque non sia il front, così che un indirizzo trapelato sia un fastidio e non un evento. - **Default-deny, poi consenti il front.** Accetta le porte 80 e 443 solo dai range di indirizzi pubblicati dal provider, e aggiorna automaticamente quella lista — i range cambiano, e una lista non aggiornata fallisce aperta o fallisce chiusa nel momento peggiore. Tutto il resto, SSH compreso, appartiene a un tunnel o a un indirizzo di gestione, come nella nostra [checklist di hardening della prima ora](https://servhidden.com/it/guides/first-hour-vps-hardening-checklist). - **Autentica il front.** I certificati client tra la CDN e la tua origine — di solito chiamati authenticated origin pulls — fanno sì che anche un indirizzo corretto più un header Host corretto non ottengano nulla senza il certificato. - **Meglio ancora: nessuna porta in ingresso.** Un tunnel solo in uscita dall'origine verso il bordo, sia esso il connettore proprio della CDN o WireGuard verso un nodo che gestisci tu, fa sì che l'origine non sia mai in ascolto su un'interfaccia pubblica. La scansione non può trovare ciò che non risponde, ed è la versione singolarmente più solida dell'assetto. - **Un solo virtual host, un solo header Host.** Il server predefinito non dovrebbe restituire nulla di utile. Se il tuo sito si carica per indirizzo, verrà individuato da uno scanner entro la settimana. - **Sposta la posta fuori dall'origine web.** La posta deve essere raggiungibile e deve identificarsi; tienila su una macchina propria, come presuppone la [guida al server di posta](https://servhidden.com/it/guides/offshore-mail-server-setup). - **Verifica dall'esterno.** Ogni controllo di questa lista è privo di senso se eseguito dal server stesso. Testa da una rete che non è la tua. ## Un tuo front node al posto di una CDN La terza opzione viene saltata perché non ha budget di marketing: un piccolo VPS come volto pubblico, un tunnel cifrato verso la macchina che detiene i dati, e nginx o HAProxy che fa passare il traffico tra i due. Dall'esterno sembra un qualunque server web. Quello vero sta altrove, senza alcuna porta in ingresso. Quello che ottieni è occultamento senza nessun altro coinvolto nell'assetto — nessun account di terze parti, nessuno sportello reclami esterno, nessuno sconosciuto che termina il tuo TLS. Ottieni anche una separazione di giurisdizione altrimenti difficile da comprare: il front dove stanno gli utenti, i dati dove la legge ti conviene, scelti tra le nostre [sette location](https://servhidden.com/it/locations). E poiché nessuna identità è stata associata alla registrazione, il front è usa e getta — un indirizzo bruciato si sostituisce in pochi minuti anziché negoziarlo. Quello che non ottieni è capacità anycast. Un nodo ha la capacità di un nodo, e mentre il nostro filtraggio di rete lo protegge esattamente come protegge qualunque altro server, un attacco volumetrico davvero grande è una gara di banda che vince una rete globale. Il posizionamento onesto: un front node è la risposta giusta per nascondere un backend pesante o costoso — uno storage array, una macchina con GPU, un server di posta, un database — e per separare le giurisdizioni. Non è un sostituto di una CDN sotto pressione di livello 7 sostenuta. ## Come scegliere, in una tabella | La tua situazione | Assetto | Motivazione | | --- | --- | --- | | Pubblicazione che attira notifiche di takedown | Diretto, senza CDN, in una giurisdizione scelta apposta | Una CDN aggiunge uno sportello reclami che il tuo host deliberatamente non ha | | Negozio o SaaS con utenti reali e pressione di livello 7 | CDN davanti, origine blindata sui suoi range | Il livello 7 è il problema per cui una CDN è davvero costruita | | Endpoint di circumvention in un paese censurato | Fronting via CDN | Il censore vede un indirizzo che non può permettersi di bloccare | | Grande traffico statico o multimediale | CDN per lo scarico della cache | Banda e latenza sono l'obiettivo; l'occultamento è un effetto collaterale | | L'anonimato è il requisito primario | Un tuo front node, o niente davanti | Un account di terze parti è un record identitario che prima non avevi | | Backend pesante che vale la pena nascondere | Front node più tunnel solo in uscita | La macchina costosa non compare mai su internet pubblico | ## L'account è di solito l'anello più debole Considera cosa succede quando l'infrastruttura è perfetta e la documentazione no. Il server è stato pagato in Monero, senza documenti d'identità e senza indirizzo email — l'assetto descritto nelle nostre pagine sull'[hosting no-KYC](https://servhidden.com/it/no-kyc-hosting). Poi viene aperto un account CDN con una carta, un indirizzo personale e un numero di telefono, elencando il dominio che protegge. Quell'account è un record identitario più solido e più duraturo di qualunque cosa sul server, detenuto da un'azienda che risponde alle citazioni legali, e vanifica del tutto la riservatezza del pagamento. La correzione non è complicata, solo facile da dimenticare: se l'obiettivo è l'anonimato, o il front appartiene a te, oppure l'account che gli sta davanti è usa e getta e non attribuibile quanto il server dietro di esso. [Server OpSec](https://servhidden.com/it/guides/server-opsec-staying-anonymous) tratta questa disciplina in modo corretto, e [la nostra risposta onesta sull'anonimato offshore](https://servhidden.com/it/guides/is-offshore-hosting-truly-anonymous) è franca su quali anelli della catena di solito si spezzano per primi. Quasi mai sono quelli tecnici. ## Verificare la tua esposizione in dieci minuti Ogni voce qui sotto è qualcosa che una parte interessata controllerebbe nei primi minuti. Eseguile tu stesso, da una macchina che non è il server, prima di averne bisogno. - **Elenca ogni hostname che hai mai certificato.** Cerca il tuo dominio apice in un motore di ricerca per Certificate Transparency e risolvi ogni risultato. Tutto ciò che non punta al front è una falla, inclusi gli host che non usi più. - **Leggi la tua stessa cronologia DNS.** Una ricerca passive-DNS mostra gli indirizzi a cui il tuo dominio risolveva prima della CDN. Se l'origine di ieri è ancora l'origine di oggi, l'occultamento non è mai stato reale. - **Interroga direttamente l'origine.** curl -sI --resolve example.com:443:198.51.100.10 https://example.com/ — se il sito risponde, il tuo firewall non sta limitando l'accesso al front, e chiunque abbia un indirizzo candidato può confermarlo con una sola richiesta. - **Interrogala senza garbo.** curl -skI https://198.51.100.10/ non dovrebbe restituire nulla di riconoscibile. Un virtual host predefinito che serve la tua homepage è l'errore singolo più comune su questa pagina. - **Controlla ogni tipo di record, non solo A.** dig +short AAAA example.com, dig +short MX example.com, e lo stesso per ogni sottodominio rivelato dai log di trasparenza. Un IPv6 lasciato non proxato è un classico. - **Mandati un'email dall'applicazione.** Attiva un reset della password e leggi l'intera catena Received. Se l'indirizzo di origine c'è, allora c'è anche in ogni messaggio che hai mai inviato. - **Conferma che le porte siano chiuse.** Da una rete non collegata, nmap -Pn -p80,443 198.51.100.10 dovrebbe mostrare filtered, non open. - **Cerca negli scanner.** Cerca l'impronta del tuo certificato e l'hash della favicon della tua homepage in un indice pubblico di scansione di internet. Se la tua origine è indicizzata, è così che verrà trovata. ## Quando l'indirizzo è già bruciato Dai per scontato che restera bruciato. Un indirizzo apparso nel passive-DNS e negli indici di scansione è un record pubblico permanente, e nessuna modifica di configurazione lo ritira. La risposta è meccanica, non ingegnosa. - **Prima chiudi la falla.** Ruotare verso un nuovo indirizzo senza chiudere il buco riproduce la situazione entro pochi giorni, e avrai speso una migrazione per non imparare nulla. - **Poi ruota.** Distribuisci un sostituto — in una giurisdizione diversa se la ragione era legale anziché tecnica — ripristina, e fai il cutover. Poiché nessuna identità era stata associata al primo server, questo è un nuovo inizio anziché una trattativa, il che è il ritorno pratico e poco glamour di comprare server senza uno storico account. - **Prepara il cutover prima dell'emergenza.** Un TTL DNS breve, una configurazione ridistribuibile da un repository e un ripristino testato trasformano un brutto pomeriggio in venti minuti. Nessuno organizza tutto questo durante un attacco. - **Ritira correttamente il vecchio indirizzo.** Non lasciare il vecchio server parcheggiato sul vecchio indirizzo a servire lo stesso contenuto; è una conferma dal vivo per chiunque stia osservando, e mantiene fresco il record. ## La versione breve Il filtraggio a livello di rete gestisce gli attacchi volumetrici, arriva con il server e non costa nulla in più. Una CDN gestisce lo strato applicativo e nasconde l'origine, al prezzo di un intermediario che termina il tuo TLS, risponde ai reclami e sa chi sei. Un tuo front node compra occultamento senza l'intermediario, ma non capacità globale. La giurisdizione decide la questione legale e nessuno dei tre la tocca. E tutti e tre vengono vanificati da un solo record non proxato, un'email dall'origine, o un solo virtual host predefinito. Decidi in base all'obiettivo e non all'abitudine, poi dedica dieci minuti all'audit — trova più esposizione reale di qualunque upgrade. Se vuoi l'architettura senza la terza parte, un piccolo [VPS](https://servhidden.com/it/vps) come front e il lavoro vero su [hardware dedicato](https://servhidden.com/it/dedicated) dietro di esso è l'assetto che vediamo più spesso tra chi è già stato trovato una volta. FAQ ## IP di origine e DDoS — domande frequenti ### 01 Una CDN nasconde il vero indirizzo IP del mio server? Lo nasconde ai client, ed è la maggior parte del beneficio: i visitatori si connettono alla CDN e non vedono mai il tuo indirizzo. Non lo nasconde dai record pubblici già esistenti, da qualunque cosa il tuo server invii verso l'esterno, né dagli scanner che analizzano l'intero internet e possono riconoscere la tua origine dal certificato o dalla homepage. E funziona solo se il tuo firewall impedisce all'origine di rispondere a chiunque non sia la CDN — altrimenti l'indirizzo è a una sola richiesta confermata dal tornare utile. ### 02 Mettere Cloudflare o un'altra CDN davanti vanifica l'hosting DMCA-ignored? In pratica sì. Una CDN è parte del tuo servizio e ha un proprio processo di gestione degli abusi: le notifiche possono essere presentate direttamente contro di essa, e di norma le inoltrerà a te, identificherà il tuo provider di hosting, oppure ti eliminerà come cliente. Questo ricollega la catena dei takedown che l'hosting offshore viene scelto proprio per spezzare. Per contenuti che attirano reclami, l'assetto migliore è l'hosting diretto in una giurisdizione scelta apposta, con il filtraggio DDoS a livello di rete già incluso nel server. ### 03 La protezione DDoS di livello 3/4 basta da sola? Per gli attacchi volumetrici — quelli che saturano l'uplink — sì, ed è l'unico livello che può aiutare in quel caso, perché agisce prima che il traffico ti raggiunga. È incluso in ogni piano con banda illimitata, quindi un attacco non produce nemmeno una fattura. Ciò a cui non può rispondere è un flood di livello 7 fatto di richieste ben formate. Se una singola richiesta alla tua applicazione può innescare una scansione del database o il ridimensionamento di un'immagine, è lì che si trova il tuo rischio, e la risposta è caching, rate limiting e un WAF, non il filtraggio dei pacchetti. ### 04 Come si trova l'IP di origine dietro una CDN? Sei strade coprono quasi tutti i casi: i log di Certificate Transparency che rivelano sottodomini non proxati, gli archivi passive-DNS che conservano l'indirizzo usato dal dominio prima del cambio, i record che non possono essere proxati come i mail exchanger, le connessioni in uscita dal server stesso comprese le sue stesse intestazioni email, la scansione dell'intero internet che riconosce l'origine dal certificato o dal contenuto della pagina, e l'applicazione che rivela il proprio indirizzo tramite redirect, endpoint di stato o un virtual host predefinito. Nessuna di queste richiede alcuna abilità. ### 05 Posso usare una CDN e restare anonimo? Solo se l'account è anonimo quanto il server, il che raramente è il caso. Un account CDN porta con sé un indirizzo email, un metodo di pagamento e spesso un numero di telefono, legati al tuo dominio e conservati a tempo indeterminato da un'azienda che risponde ai procedimenti legali. Se hai pagato il server in Monero senza documenti d'identità e poi hai aperto un account CDN con una carta personale, l'account è ora il record identitario più solido dell'intero assetto. O tieni il front sotto il tuo controllo diretto, oppure rendi l'account usa e getta quanto tutto il resto. ### 06 Mi serve tutto questo per un sito piccolo? Di solito no. Un sito piccolo su un server con filtraggio a livello di rete, un firewall default-deny e nessun servizio superfluo è un assetto del tutto normale e ragionevolmente solido. La questione dell'origine diventa concreta quando esiste una ragione specifica per nascondere la macchina — un pubblico che include persone disposte ad attaccarla, un backend che vale più del front, o contenuti il cui assetto di hosting preferiresti non pubblicizzare. ### 07 Il server di posta dovrebbe girare sullo stesso IP del sito? No, ed è uno dei modi più comuni in cui un'origine viene esposta. La posta deve essere raggiungibile a un indirizzo che non può essere proxato, e ogni messaggio che invia porta quell'indirizzo nelle proprie intestazioni. Far girare la posta su una macchina separata tiene l'origine web fuori da ogni email che invii e fuori dai record DNS che chiunque può interrogare. Impedisce anche che un problema di reputazione della posta diventi un problema del sito. ### 08 Il mio IP di origine è già trapelato — e adesso? Considera l'indirizzo permanentemente pubblico, perché gli archivi passive-DNS e di scansione lo conservano. Chiudi prima la falla, che si tratti di un record non proxato, di un percorso email o di un virtual host predefinito, poi passa a un nuovo indirizzo ed esegui il cutover con un TTL DNS breve preparato in anticipo. Non lasciare il vecchio server a rispondere sul vecchio indirizzo con lo stesso contenuto. Poiché nulla del server originale era legato a un'identità, sostituirlo è un deployment ordinario, non una trattativa con nessuno. Guide relacionullas ## Seguir leyendo [### Come Scegliere una Giurisdizione di Hosting Offshore in 2026 Compra Un quadro decisionale pratico per scegliere una giurisdizione offshore: leggi sulla conservazione dei dati, esposizione ai trattati MLAT, posizione sul DMCA, velocità dei tribunali e applicazione reale della legge — paese per paese. FAQ di 6 domande](https://servhidden.com/it/guides/choosing-an-offshore-jurisdiction) [### VPS vs Server Dedicato per Workload Critici per la Privacy Compra Quando un VPS va bene, quando la tenancy condivisa è un rischio e quando il bare metal è l'unica risposta onesta. Isolamento hardware, rischio hypervisor e costo rispetto al modello di minaccia. FAQ di 6 domande](https://servhidden.com/it/guides/vps-vs-dedicated-for-privacy) [### VPN Autogestionulla in un VPS Senza KYC: WireGuard vs OpenVPN Operaciones Perché una VPN self-hosted batte i provider commerciali, e come si confrontano davvero WireGuard e OpenVPN su privacy, prestazioni e rischio operativo nel 2026. FAQ di 6 domande](https://servhidden.com/it/guides/self-hosted-vpn-wireguard-vs-openvpn) [### RTX 4090 vs H100 SXM5 per inferenza IA (e dove rientra la RTX 5090) Compra Guida all'acquisto: quale GPU NVIDIA scegliere per carichi di lavoro LLM, immagine, video, voce e fine-tuning self-hosted nel 2026. RTX 4090 vs RTX 5090 vs H100 SXM5 vs doppio H100 — VRAM, throughput, $/token, quando vince ciascuna. FAQ di 6 domande](https://servhidden.com/it/guides/rtx-4090-vs-h100-for-ai-inference) [### RDP Windows Offshore per Trading Forex con MT4 / MT5 / cTrader Operaciones Guida completa: perché scegliere un RDP Windows per il trading forex, come scegliere una giurisdizione offshore a bassa latenza, la configurazione di MT4 / MT5 / cTrader / Expert Advisor, la latenza verso i server dei broker e il percorso di checkout senza KYC. FAQ di 6 domande](https://servhidden.com/it/guides/offshore-windows-rdp-for-forex-trading) [### Hosting con DMCA Ignorato: Cosa Significa Davvero nel 2026 Compra Cosa acquista davvero un hosting "DMCA ignored", quali giurisdizioni lo supportano concretamente, i carichi di lavoro che ne hanno bisogno e le insidie sul copyright che il termine non copre. FAQ di 6 domande](https://servhidden.com/it/guides/dmca-ignored-hosting-explained) [### Registrazione Anonima di Domini con Crypto: Privacy WHOIS nel 2026 Privacy Una guida pratica 2026 per registrare domini senza rivelare la propria identità: regimi WHOIS per TLD, scelta del registrar, opzioni di pagamento crypto e gli errori operativi che vi espongono comunque. FAQ di 6 domande](https://servhidden.com/it/guides/anonymous-domain-registration-with-crypto) [### Pagamenti Crypto per Hosting: Monero vs Bitcoin vs USDT Privacy Come la scelta della moneta di pagamento influisce su ciò che il tuo host scopre di te. Privacy, commissioni, finalità ed esposizione all'analisi della catena per XMR, BTC e USDT — con una raccomandazione chiara. FAQ di 6 domande](https://servhidden.com/it/guides/crypto-payments-monero-vs-bitcoin-vs-usdt) [### L'hosting offshore è davvero anonimo? Una risposta onesta Privacy L'hosting offshore no-KYC elimina l'identità che un host normale raccoglie — ma "anonimo" dipende dal pagamento, dai log del provider e dalla tua opsec. Ecco cosa è davvero tracciabile. FAQ di 6 domande](https://servhidden.com/it/guides/is-offshore-hosting-truly-anonymous) [### La prima ora di hardening di un VPS: una checklist Operaciones Una checklist concreta e ordinata per mettere in sicurezza un nuovo VPS in meno di un'ora: chiavi SSH, un firewall, fail2ban, aggiornamenti automatici e la riduzione della superficie d'attacco che blocca la maggior parte degli attacchi opportunistici. FAQ di 6 domande](https://servhidden.com/it/guides/first-hour-vps-hardening-checklist) [### Cos'è l'Hosting No-KYC? Definizione, Legalità e Come Funziona Privacy L'hosting No-KYC ti permette di noleggiare un server senza alcuna verifica d'identità — nessun nome, nessuna email, nessun documento. Ecco cosa significa esattamente, come funziona tecnicamente, se è legale e come scegliere un provider affidabile. FAQ di 6 domande](https://servhidden.com/it/guides/what-is-no-kyc-hosting) [### L'Hosting Offshore è Legale? La Risposta Onesta per il 2026 Compra L'hosting offshore è legale — per te e per il provider. Ecco cosa significa davvero il termine, dove si trova il confine giuridico, i miti da sfatare e come usarlo in modo responsabile. FAQ di 6 domande](https://servhidden.com/it/guides/is-offshore-hosting-legal) [### Come pagare l'hosting con Monero (XMR) — Guida passo dopo passo Privacy Una guida passo dopo passo per pagare un VPS o un server dedicato con Monero (XMR): perché XMR è l'opzione più privata, come ottenerlo e come funziona il checkout — dalla fattura al server operativo in pochi minuti. FAQ di 6 domande](https://servhidden.com/it/guides/how-to-pay-for-hosting-with-monero) [### Come ospitare un sito web in modo anonimo — Guida pratica 2026 Privacy Una guida pratica e stratificata per ospitare un sito web senza alcuna identità associata: l'account, il pagamento, il dominio, la giurisdizione, la connessione e il contenuto — ogni livello spiegato nel dettaglio. FAQ di 6 domande](https://servhidden.com/it/guides/how-to-host-a-website-anonymously) [### Come Configurare una VPN WireGuard su un VPS — Guida Passo dopo Passo Operaciones Costruisci la tua VPN privata su un VPS con WireGuard: perché una VPN self-hosted supera quella commerciale, la configurazione completa dall'installazione a un client connesso, e come rafforzarne la sicurezza. FAQ di 6 domande](https://servhidden.com/it/guides/how-to-set-up-wireguard-vpn-on-a-vps) [### Come fare self-hosting di un LLM su un server GPU — Guida 2026 Operaciones Esegui il tuo modello linguistico su un server GPU in affitto: perché il self-hosting supera un'API, quale GPU e modello scegliere, la configurazione con Ollama o vLLM, e i costi reali. FAQ di 6 domande](https://servhidden.com/it/guides/self-host-an-llm-on-a-gpu-server) [### Hosting Bulletproof vs Hosting Offshore — Qual è la Differenza? Compra Hosting bulletproof e hosting offshore vengono continuamente confusi — ma non sono la stessa cosa. Ecco la vera differenza, perché conta e quale dei due fa davvero al caso tuo. FAQ di 6 domande](https://servhidden.com/it/guides/bulletproof-vs-offshore-hosting) [### Come acquistare un VPS con Bitcoin — Guida passo dopo passo (2026) Compra Una guida accessibile anche ai principianti per acquistare un VPS con Bitcoin: come ottenere BTC, scegliere un piano, pagare la fattura e cosa si ottiene — un server attivo senza carta e senza nome associato. FAQ di 6 domande](https://servhidden.com/it/guides/how-to-buy-a-vps-with-bitcoin) [### I migliori paesi per l'hosting ignorato dal DMCA nel 2026 Compra Dove ospitare i tuoi server quando vuoi essere al riparo dai takedown in stile statunitense: le giurisdizioni che funzionano davvero, cosa significa concretamente "ignorato dal DMCA" e come scegliere. FAQ di 6 domande](https://servhidden.com/it/guides/best-countries-for-dmca-ignored-hosting) [### Come ospitare un servizio nascosto Tor (sito .onion) — Guida 2026 Operaciones Configura un servizio onion Tor su un VPS: cos'è un servizio nascosto, perché rappresenta la forma più solida di hosting anonimo, la procedura completa e come mantenerlo davvero anonimo. FAQ di 6 domande](https://servhidden.com/it/guides/how-to-host-a-tor-hidden-service) [### Configurazione di un Server Mail Offshore — Self-Hosting di Email Private nel 2026 Operaciones Gestisci il tuo server email privato su un VPS offshore: perché ospitare la posta in autonomia, cosa ti serve, come configurare uno stack mail all-in-one e come garantire la consegna dei messaggi. FAQ di 6 domande](https://servhidden.com/it/guides/offshore-mail-server-setup) [### Guida all'Hosting di Nodi Crypto — Esegui un Nodo Blockchain su un VPS Operaciones Come ospitare un nodo blockchain su un server: perché gestire il proprio nodo, come dimensionare il server per Bitcoin, Ethereum, Monero e non solo, la configurazione e come mantenerlo privato. FAQ di 6 domande](https://servhidden.com/it/guides/crypto-node-hosting-guide) [### GPU Hosting per Stable Diffusion — Esegui il Tuo Server di Immagini Operaciones Esegui Stable Diffusion sul tuo server GPU dedicato: perché fare self-hosting della generazione di immagini, quale GPU scegliere, la configurazione con una web UI e il confronto dei costi rispetto a un servizio in hosting. FAQ di 6 domande](https://servhidden.com/it/guides/gpu-hosting-for-stable-diffusion) [### Server OpSec — Restare Anonimi Quando Gestisci un Server Privacy Sicurezza operativa per chi gestisce un server anonimo: gli errori che espongono l'identità, le abitudini che li prevengono e come tenere davvero separate le identità. FAQ di 6 domande](https://servhidden.com/it/guides/server-opsec-staying-anonymous) [### Guida alla configurazione di una seedbox — Costruisci la tua seedbox privata nel 2026 Operaciones Come costruire la propria seedbox su un server: cos'è una seedbox, come dimensionarla, come installare un client torrent con interfaccia web e come mantenerla privata e sicura. FAQ di 6 domande](https://servhidden.com/it/guides/seedbox-setup-guide) [### Come aggirare la censura DPI con il tuo VPS (guida 2026) Privacy La tua VPN ha smesso di funzionare? Come aggirare la censura DPI con il tuo VPS: cosa rileva davvero la deep packet inspection, quale dei cinque protocolli del 2026 batte quale tipo di blocco, e una guida completa a VLESS+REALITY. FAQ di 6 domande](https://servhidden.com/it/guides/bypass-dpi-censorship-with-your-own-vps) [### Crittografia full-disk su un VPS: setup LUKS e cosa protegge davvero Operaciones Come cifrare un VPS con LUKS: volumi dati cifrati, cifratura full-root con sblocco remoto via SSH, le impostazioni che contano su un server piccolo, e cosa blocca davvero la crittografia del disco. FAQ di 8 domande](https://servhidden.com/it/guides/full-disk-encryption-on-a-vps) [### Backup VPS: Strategia Cifrata, Offsite e Che Funziona Davvero Operaciones Il tuo host non conserva backup. Cosa distrugge davvero i server, perché il backup push muore con loro, restic contro BorgBackup, e come testare un vero ripristino. FAQ di 8 domande](https://servhidden.com/it/guides/vps-backup-strategy) [### Self-Hosting Matrix: federazione, metadati e cosa non copre la E2EE Operaciones Cosa ti dà davvero un homeserver Matrix: Synapse contro Conduit, il server_name che non puoi mai cambiare, i media che riempiono il disco e cosa rivela la federazione. FAQ di 8 domande](https://servhidden.com/it/guides/self-host-a-matrix-server) [### Migrare un Sito su Hosting Offshore Senza Downtime Operaciones L'ordine che rende noiosa una migrazione di host: abbassa il TTL del DNS con giorni di anticipo, fai girare entrambi i server in parallelo, blocca le scritture per minuti anziché ore — e ripulisci la traccia di DNS passivo, Certificate Transparency e WHOIS che il trasloco lascia dietro di sé. FAQ di 8 domande](https://servhidden.com/it/guides/migrate-website-to-offshore-hosting) [### How to Self-Host a Crypto Payment Gateway with BTCPay Server Operaciones Run your own non-custodial checkout on an offshore VPS: BTCPay Server, a pruned Bitcoin node, Lightning and Monero — how to size the disk, why the private keys must never touch the machine, and where KYC quietly reappears at the cash-out. FAQ di 8 domande](https://servhidden.com/it/guides/self-host-a-crypto-payment-gateway) ## Metti lo strato giusto davanti al server giusto Filtraggio DDoS a livello di rete e banda illimitata su ogni piano, in sette giurisdizioni offshore. Fai girare un front node per pochi dollari al mese e tieni il lavoro vero dietro di esso — no-KYC, solo crypto. [Vedi i Piani VPS](https://servhidden.com/it/vps) [DMCA ignorato](https://servhidden.com/it/dmca-ignored-hosting) [Hosting offshore](https://servhidden.com/it/anonymous-hosting) ## Structured data (JSON-LD) ```json { "@context": "https://schema.org", "@type": "Organization", "@id": "https://servhidden.com/#organization", "name": "ServHidden", "url": "https://servhidden.com", "description": "VPS e server dedicati offshore in 7 giurisdizioni. Nessun KYC, nessun log, solo crypto. Privacy per architettura.", "logo": { "@type": "ImageObject", "url": "https://servhidden.com/ServHidden.webp", "width": 512, "height": 512 }, "foundingDate": "2025", "areaServed": [ { "@type": "Country", "name": "Iceland" }, { "@type": "Country", "name": "Panama" }, { "@type": "Country", "name": "Moldova" }, { "@type": "Country", "name": "Romania" }, { "@type": "Country", "name": "Switzerland" }, { "@type": "Country", "name": "Netherlands" }, { "@type": "Country", "name": "Russia" } ], "knowsAbout": [ "Offshore hosting", "Offshore VPS", "Bare-metal dedicated servers", "DMCA-ignored hosting", "No KYC hosting", "Cryptocurrency payments", "Privacy engineering", "Token-based authentication", "Anonymous domain name registration", "No-KYC domain registrar", "WHOIS privacy", "Cheap .com domains", "Crypto-paid domain names", "NVIDIA GPU compute", "Windows RDP hosting", "Agentic commerce" ], "contactPoint": { "@type": "ContactPoint", "contactType": "customer support", "url": "https://servhidden.com/contact", "availableLanguage": [ "en", "ru", "zh", "es", "fr", "de", "pt", "ar", "ja", "ko", "hi", "id", "it", "tr", "fa", "vi" ] }, "sameAs": [ "https://servhidden.com/canary", "https://servhidden.com/press" ] } ``` ```json { "@context": "https://schema.org", "@type": "WebSite", "@id": "https://servhidden.com/#website", "url": "https://servhidden.com", "name": "ServHidden", "publisher": { "@id": "https://servhidden.com/#organization" }, "inLanguage": [ "en", "ru", "zh", "es", "fr", "de", "pt", "ar", "ja", "ko", "hi", "id", "it", "tr", "fa", "vi" ] } ``` ```json { "@context": "https://schema.org", "@type": "Article", "headline": "Nascondere l'IP del server di origine: CDN, reverse proxy e cosa trapela", "description": "Se mettere una CDN davanti a un server offshore: cosa nasconde, lo sportello reclami che erediti, i sei modi in cui un IP di origine trapela comunque, e come verificare il tuo.", "image": "https://servhidden.com/assets/img/guides/hiding-your-origin-server-ip.webp?v=1787175673", "author": { "@type": "Organization", "@id": "https://servhidden.com/#editorial", "name": "ServHidden Editorial", "url": "https://servhidden.com/about", "description": "Operator-side editorial team writing about offshore hosting jurisdictions, offshore server architecture, self-hosted privacy stacks and crypto payments.", "knowsAbout": [ "Offshore hosting jurisdictions", "Data retention law", "MLAT and judicial cooperation", "WireGuard and OpenVPN deployment", "Tor relay operation", "Monero and Bitcoin payment privacy", "KVM virtualization and bare-metal hosting", "DMCA-ignored hosting" ], "parentOrganization": { "@id": "https://servhidden.com/#organization" } }, "publisher": { "@id": "https://servhidden.com/#organization" }, "datePublished": "2026-08-19T00:00:00+00:00", "dateModified": "2026-08-19T00:00:00+00:00", "mainEntityOfPage": "https://servhidden.com/guides/hiding-your-origin-server-ip", "inLanguage": "it", "keywords": "hide origin server IP, origin IP leak, Cloudflare offshore hosting, DDoS protection offshore VPS, reverse proxy hide origin, L7 DDoS mitigation, certificate transparency origin leak, lock origin to CDN IP ranges", "articleSection": "Privacy", "wordCount": 3334 } ``` ```json { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Una CDN nasconde il vero indirizzo IP del mio server?", "acceptedAnswer": { "@type": "Answer", "text": "Lo nasconde ai client, ed è la maggior parte del beneficio: i visitatori si connettono alla CDN e non vedono mai il tuo indirizzo. Non lo nasconde dai record pubblici già esistenti, da qualunque cosa il tuo server invii verso l'esterno, né dagli scanner che analizzano l'intero internet e possono riconoscere la tua origine dal certificato o dalla homepage. E funziona solo se il tuo firewall impedisce all'origine di rispondere a chiunque non sia la CDN — altrimenti l'indirizzo è a una sola richiesta confermata dal tornare utile." } }, { "@type": "Question", "name": "Mettere Cloudflare o un'altra CDN davanti vanifica l'hosting DMCA-ignored?", "acceptedAnswer": { "@type": "Answer", "text": "In pratica sì. Una CDN è parte del tuo servizio e ha un proprio processo di gestione degli abusi: le notifiche possono essere presentate direttamente contro di essa, e di norma le inoltrerà a te, identificherà il tuo provider di hosting, oppure ti eliminerà come cliente. Questo ricollega la catena dei takedown che l'hosting offshore viene scelto proprio per spezzare. Per contenuti che attirano reclami, l'assetto migliore è l'hosting diretto in una giurisdizione scelta apposta, con il filtraggio DDoS a livello di rete già incluso nel server." } }, { "@type": "Question", "name": "La protezione DDoS di livello 3/4 basta da sola?", "acceptedAnswer": { "@type": "Answer", "text": "Per gli attacchi volumetrici — quelli che saturano l'uplink — sì, ed è l'unico livello che può aiutare in quel caso, perché agisce prima che il traffico ti raggiunga. È incluso in ogni piano con banda illimitata, quindi un attacco non produce nemmeno una fattura. Ciò a cui non può rispondere è un flood di livello 7 fatto di richieste ben formate. Se una singola richiesta alla tua applicazione può innescare una scansione del database o il ridimensionamento di un'immagine, è lì che si trova il tuo rischio, e la risposta è caching, rate limiting e un WAF, non il filtraggio dei pacchetti." } }, { "@type": "Question", "name": "Come si trova l'IP di origine dietro una CDN?", "acceptedAnswer": { "@type": "Answer", "text": "Sei strade coprono quasi tutti i casi: i log di Certificate Transparency che rivelano sottodomini non proxati, gli archivi passive-DNS che conservano l'indirizzo usato dal dominio prima del cambio, i record che non possono essere proxati come i mail exchanger, le connessioni in uscita dal server stesso comprese le sue stesse intestazioni email, la scansione dell'intero internet che riconosce l'origine dal certificato o dal contenuto della pagina, e l'applicazione che rivela il proprio indirizzo tramite redirect, endpoint di stato o un virtual host predefinito. Nessuna di queste richiede alcuna abilità." } }, { "@type": "Question", "name": "Posso usare una CDN e restare anonimo?", "acceptedAnswer": { "@type": "Answer", "text": "Solo se l'account è anonimo quanto il server, il che raramente è il caso. Un account CDN porta con sé un indirizzo email, un metodo di pagamento e spesso un numero di telefono, legati al tuo dominio e conservati a tempo indeterminato da un'azienda che risponde ai procedimenti legali. Se hai pagato il server in Monero senza documenti d'identità e poi hai aperto un account CDN con una carta personale, l'account è ora il record identitario più solido dell'intero assetto. O tieni il front sotto il tuo controllo diretto, oppure rendi l'account usa e getta quanto tutto il resto." } }, { "@type": "Question", "name": "Mi serve tutto questo per un sito piccolo?", "acceptedAnswer": { "@type": "Answer", "text": "Di solito no. Un sito piccolo su un server con filtraggio a livello di rete, un firewall default-deny e nessun servizio superfluo è un assetto del tutto normale e ragionevolmente solido. La questione dell'origine diventa concreta quando esiste una ragione specifica per nascondere la macchina — un pubblico che include persone disposte ad attaccarla, un backend che vale più del front, o contenuti il cui assetto di hosting preferiresti non pubblicizzare." } }, { "@type": "Question", "name": "Il server di posta dovrebbe girare sullo stesso IP del sito?", "acceptedAnswer": { "@type": "Answer", "text": "No, ed è uno dei modi più comuni in cui un'origine viene esposta. La posta deve essere raggiungibile a un indirizzo che non può essere proxato, e ogni messaggio che invia porta quell'indirizzo nelle proprie intestazioni. Far girare la posta su una macchina separata tiene l'origine web fuori da ogni email che invii e fuori dai record DNS che chiunque può interrogare. Impedisce anche che un problema di reputazione della posta diventi un problema del sito." } }, { "@type": "Question", "name": "Il mio IP di origine è già trapelato — e adesso?", "acceptedAnswer": { "@type": "Answer", "text": "Considera l'indirizzo permanentemente pubblico, perché gli archivi passive-DNS e di scansione lo conservano. Chiudi prima la falla, che si tratti di un record non proxato, di un percorso email o di un virtual host predefinito, poi passa a un nuovo indirizzo ed esegui il cutover con un TTL DNS breve preparato in anticipo. Non lasciare il vecchio server a rispondere sul vecchio indirizzo con lo stesso contenuto. Poiché nulla del server originale era legato a un'identità, sostituirlo è un deployment ordinario, non una trattativa con nessuno." } } ] } ``` ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Home", "item": "https://servhidden.com/it/" }, { "@type": "ListItem", "position": 2, "name": "Guide di Hosting Privato", "item": "https://servhidden.com/it/guides" }, { "@type": "ListItem", "position": 3, "name": "Nascondere l'IP del server di origine: CDN, reverse proxy e cosa trapela", "item": "https://servhidden.com/it/guides/hiding-your-origin-server-ip" } ] } ```