Comment héberger un site web sans révéler qui je suis ?

Mon paiement peut-il m'identifier ?

Oui, si les coins remontent jusqu'à vous. bitcoin.org indique que toutes les transactions Bitcoin sont publiques, traçables et conservées de façon permanente, et que n'importe qui peut voir le solde et les transactions de n'importe quelle adresse. L'hébergeur ne voit jamais votre nom dans le paiement. Quiconque suit les coins peut néanmoins remonter à leur origine.

Pour le réduire, partez de la source : un paiement n'est séparé de votre nom que dans la mesure du portefeuille qui l'a envoyé. bitcoin.org conseille aussi une nouvelle adresse pour chaque paiement que vous recevez. Cela compte si votre site accepte la crypto : une adresse imprimée sur la page relie chaque paiement à elle.

Monero fonctionne autrement : un explorateur public ne montre ni l'expéditeur ni le montant d'un paiement Monero, et Velumhold l'accepte. Cela n'efface pas le lien de notre côté : la recharge entre quand même dans votre dossier de facturation avec son ID de transaction.

Velumhold conserve un enregistrement de chaque recharge pour la facturation, listé ci-dessous. Il ne demande pas qui vous êtes.

Mon nom de domaine révèle-t-il qui je suis ?

Oui. L'ICANN demande aux titulaires d'enregistrement de fournir des informations exactes pour les annuaires comme WHOIS et de les tenir à jour. Ce que le public voit est une autre question.

Depuis le 28 janvier 2025, RDAP est la source définitive pour les données des domaines génériques de premier niveau, à la place de WHOIS, selon l'ICANN. Sa Registration Data Policy, en vigueur depuis le 21 août 2025, impose la rédaction des données personnelles lorsque la loi l'exige. Le nom, la rue, le code postal et le téléphone du titulaire figurent sur sa liste de rédaction, et les registres doivent rédiger les e-mails du titulaire et techniques. L'organisation et la ville du titulaire peuvent être rédigées, mais ne doivent pas l'être. La page de l'ICANN consacrée au titulaire mentionne aussi les enregistrements effectués via des services de confidentialité ou de proxy.

Pour la réduire, choisissez un registrar selon ce qu'il publie, consultez votre propre enregistrement après l'inscription et ne saisissez aucune fausse donnée. Velumhold n'y change rien : Les domaines ne sont pas vendus ici : pointez un domaine que vous possédez vers le compte avec deux serveurs de noms ou un enregistrement A. Ce que l'hébergement web privé dissimule couvre les autres couches.

Mon adresse e-mail peut-elle me trahir ?

Oui, à trois endroits : l'adresse de contact dans l'enregistrement de votre domaine, l'adresse imprimée sur votre site et les en-têtes des messages que vous envoyez.

Côté en-têtes, la norme e-mail RFC 5321 indique que la ligne Received qu'ajoute un serveur de messagerie doit inclure l'adresse IP de la machine qui s'y est connectée. Un message peut donc porter l'adresse de la connexion d'où il provient, selon le service de messagerie.

Même les hébergeurs qui se passent de pièce d'identité demandent en général un e-mail. Selon l'enquête Velumhold du 2 novembre 2026, les 4 vendeurs d'hébergement mutualisé sans contrôle d'identité à l'inscription demandent tous une adresse e-mail.

Pour la réduire, utilisez une adresse séparée sur le domaine du site (comment obtenir un e-mail sur son propre domaine). Envoyez-vous un message test depuis chaque compte et lisez ses en-têtes complets avant de vous y fier. Chez Velumhold : Email accounts on your own domain with webmail, IMAP and SMTP; outgoing mail is rate-limited to keep spam off the servers. L'e-mail du compte est facultatif : Votre seul numéro de compte vous connecte ; une adresse email, vous l'ajoutez ou non.

Que révèlent l'adresse IP du serveur et les logs ?

L'adresse IP nomme l'hébergeur, pas vous. Les logs nomment vos visiteurs. L'enregistrement A de votre domaine pointe vers l'adresse du serveur. Les enregistrements de réseaux IP sont publics via RDAP, servi par les registres régionaux (RFC 9083), si bien que le propriétaire du réseau est facile à trouver.

Les logs sont l'autre moitié. La documentation d'Apache indique que le journal d'accès enregistre toutes les requêtes traitées par le serveur, et son format commun inclut l'adresse IP du client. Le considérant 30 du RGPD cite les adresses IP parmi les identifiants en ligne pouvant aider à identifier des personnes.

Pour le réduire, désactivez les journaux d'accès dont vous n'avez pas besoin. Chez Velumhold : Nous ne conservons aucun journal permettant de vous identifier : aucun enregistrement des connexions au tableau de bord et aucune adresse IP des clients. Le serveur web conserve les logs d'accès de vos propres sites dans votre compte, pour vous, et vous pouvez les désactiver.

Mon contenu et mes statistiques peuvent-ils m'identifier ?

Oui, souvent par accident. Quatre fuites courantes :

• Noms WordPress. L'écran de profil propose « Afficher publiquement sous le nom de », qui reprend par défaut votre prénom et votre nom. Le nom d'utilisateur apparaît souvent dans les URL des archives d'auteur, et personne ne peut le modifier ensuite. La vue utilisateur par défaut de l'API REST liste le nom, le slug et le lien de l'auteur, et une description d'extension indique que n'importe qui peut demander /wp-json/wp/v2/users par défaut.
• Photos. Apple indique que les coordonnées de localisation sont intégrées aux fichiers photo, et les personnes avec qui vous partagez peuvent voir où chacune a été prise. Supprimez la localisation avant de téléverser.
• Scripts et polices. Un script d'analyse, une police ou un embed est chargé depuis le serveur d'une autre entreprise. Ne chargez que le nécessaire.
• Vos propres mots. Une biographie, une signature ou une tournure inhabituelle peuvent vous nommer comme un champ de formulaire. Relisez vos pages avec les yeux d'un inconnu.

Avant de publier, définissez un pseudo et un nom d'affichage qui ne sont pas votre nom, et choisissez avec soin le nom d'utilisateur administrateur. Choisissez « WordPress, installé » au moment du paiement et le compte arrive avec WordPress configuré sur votre domaine ; choisissez « Compte vide » pour téléverser votre propre site.

Que montrent les enregistrements DNS et les certificats ?

Ils publient votre domaine et le serveur vers lequel il pointe. Les enregistrements qui font pointer votre domaine vers votre serveur résident sur des serveurs de noms, qui répondent aux requêtes des résolveurs (RFC 1034). Prévoyez qu'ils soient lisibles.

Les certificats ajoutent une seconde liste publique. Let's Encrypt soumet chaque certificat qu'il délivre aux journaux Certificate Transparency, qui sont en ajout seul et ouverts aux requêtes de tout un chacun. Sa FAQ prévient que les crawlers découvrent alors votre domaine. Chez Velumhold : Certificats SSL gratuits (Let’s Encrypt), émis et renouvelés automatiquement pour chaque domaine du compte.

Pour le réduire, gardez votre nom, votre ville et votre entreprise hors des noms de domaine et de sous-domaine.

Que fait Velumhold, et que ne fait-il pas ?

Oui :

• Pas de KYC, à l'inscription comme à tout moment ensuite : pas de pièce d'identité, pas de selfie, pas de documents, pas de carte, pas de numéro de téléphone (hébergement web sans vérification d'identité).
• Votre seul numéro de compte vous connecte ; une adresse email, vous l'ajoutez ou non.
• Nous ne conservons aucun journal permettant de vous identifier : aucun enregistrement des connexions au tableau de bord et aucune adresse IP des clients. Le serveur web conserve les logs d'accès de vos propres sites dans votre compte, pour vous, et vous pouvez les désactiver.
• Nous ne conservons que ce que la facturation et la gestion de votre compte exigent : le numéro de compte et une adresse email si vous en ajoutez une ; chaque recharge et chaque commande (montant, coin, réseau, identifiant de transaction, date) ; et, pour chaque compte d'hébergement, son offre, son engagement, son emplacement, son point de départ, la clé publique SSH si vous en avez fourni une, et les dates. Aucune donnée ne sort sans une ordonnance d'un tribunal panaméen.
• Les domaines ne sont pas vendus ici : pointez un domaine que vous possédez vers le compte avec deux serveurs de noms ou un enregistrement A.
• Accepter Monero avec les autres coins : BTC, USDT, USDC, ETH, SOL, LTC, XMR.

Non :

• Cacher un paiement à sa propre facturation. Une recharge en BTC, USDT, USDC, ETH, SOL ou LTC figure sur une blockchain publique. Une recharge Monero ne montre aux tiers ni l'expéditeur ni le montant, mais elle reste liée à votre compte, à ses commandes et à l'ID de transaction que vous indiquez.
• Cacher l'enregistrement de votre domaine. Votre registrar décide de ce qui apparaît.
• Cacher votre site. Un site public est public, et les logs d'accès de vos propres sites restent dans votre compte.
• Promettre que personne ne pourra jamais découvrir qui vous êtes. Une ordonnance d'un tribunal peut atteindre ce que nous détenons, comme indiqué ci-dessus.