概要
Aluyは、ドイツに登録されたホスティング事業で、個人事業主のJulian Achterが運営しており、cypherpunk層向けのプライバシー重視のインフラストラクチャとして位置づけています。サービスカタログには、Virtual Private Server、専用サーバー（Hetznerオークションの転売も含む）、ストレージボックス、およびASNスポンサーシップやIPv6ブロックなどのRIPE LIRサービスが含まれます。ノードはオランダ、スイス、ブルガリア、フィンランドに分散しており、購入前のレイテンシーテスト用の公開Looking Glassツールを提供しています。カスタムVPSプランは、1 GB RAM / 1コア / 10 GB SSD構成で月額約€3.50から始まり、最大32 GB RAMおよび16コアまでスケールアップできます。同社は10 Gbps共有ポートでのフェアユース帯域を強調し、KVM仮想化による完全なrootアクセスを提供しています。
Aluyをコモディティホストと区別するのは、プライバシー意識の高いユーザーを明示的に対象としている点です：Torブラウザアクセスがサポートされ、コントロールパネルのコードはオープンソースであり、顧客はMonero、Bitcoin、Lightning、現金のほか、PayPalやカードなどの従来の支払いオプションも利用できます。しかし、「プライバシー重視」のブランディングは、アカウントアクション、IPアドレス、ユーザーエージェント、さらにはトランザクショナルメールのレンダリングされた本文まで長期間にわたってログに記録するデータ保持体制と矛盾しています。
プライバシー & KYC
AluyのKYCポリシーは段階的モデルに従っています。標準的なVPSおよび専用サーバーの購入については、チェックアウト時に本人確認は通常不要です。プロバイダーは最小限のログ記録と、マーケティングサイト上での分析トラッカーなしを謳っています。しかし、実際はより複雑で、厳格な匿名性を求める人にとって問題があります。
- アカウントログは広範囲にわたる。 プライバシーポリシーには、セキュリティに関連するすべての動作, ログイン、パスワード変更、2FAの変更、支払い、GDPRリクエスト, をタイムスタンプ、IPアドレス、ユーザーエージェント、相関IDとともに記録する「アカウント監査ログ」が開示されています。これらのログは、悪用報告への回答、アカウント乗っ取りの調査、および法的権限からのリクエストへの対応のために明示的に保持されています。
- メールの保持期間は長期にわたる。 送信されるトランザクションメールは、受信者、送信者、件名、テンプレート、SMTPメッセージID、配信ステータス、およびレンダリング済み本文とともにログに記録されます。本文は90日後に編集されますが、エンベロープは2年間保持されます。
- LIRサービスはID確認を引き起こす。 ASNスポンサーシップおよび特定のIPリソースの注文については、製品ページに記載のとおり、本人確認が必要です。これは、独自のアドレススペースを求めるインフラストラクチャ運用者にとって、厳格なKYCゲートとなります。
- Looking GlassでのIPハッシュ化。 ネットワークテストツールは、悪用対処のためにリクエスト元のIPをハッシュ化し、24時間後に出力を破棄します, これはアカウント側のログ記録と比較して、比較的健全な慣行です。
プロバイダーは、データの販売やウェブサイト間でのユーザートラッキングを行わず、侵害的なウェブ解析も避けていると述べています。しかし、内部ログの粒度の細かさにより、Aluyは強制された場合に正確なユーザーアクティビティのタイムラインを作成できます。KYC不要および匿名ホスティングのユーザー層をターゲットにしているサービスとして、これは大きな齟齬であり、私たちの評価ではプライバシースコアが100点満点中5点まで低下する要因となっています。
対応資産 & 決済方法
Aluyは、プライバシー重視のユーザーと従来型の顧客という二重のユーザー層を反映し、意図的に幅広い決済方法を受け付けています。暗号通貨のオプションにはMonero（XMR）、Bitcoin（BTC）、およびLightning Network決済が含まれ、銀行の痕跡を避けたいユーザーにとって不可欠です。現金支払いも受け付けられていますが、実際の仕組みについてはサイトで詳しく説明されていません。従来の決済手段は、Payrexxプロセッサーを介したPayPal、カード、Klarna、Apple Pay、Google Pay、およびiDEALをカバーしています。
暗号資産ユーザーにとって、返金ポリシーは注目に値します。Aluyはオンチェーンでの返金は行わないことを明確に述べています。返金が認められた場合、デフォルトでEURの銀行振込またはサービスクレジットでの対応となり、為替レートリスクは顧客が負担します。EUの消費者は14日間の法的取消権を保持しますが、暗号資産による支払いは再びオンチェーンでの返金不可として特別に指定されています。これは暗号資産に対応する販売者では標準的ですが、紛争のライフサイクルを通じて財務上のプライバシーを維持したいユーザーにとっては摩擦が生じます。
Security & custody
Aluyはカストディアル型のホスティングプロバイダーとして運営されています。顧客はハードウェアとネットワークをレンタルしますが、物理的な管理権とハイパーバイザーへのアクセスはAluyが保持します。VPSインスタンスでのフルrootアクセスはこれをある程度緩和し、顧客がゲストレベルでディスクの暗号化やOSの強化を行えるようにします。コントロールパネルはオープンソースであり、プロビジョニングと管理コードのコミュニティによる精査が可能です。これはホスティング業界では珍しく、歓迎すべき透明性です。
ドキュメントに記載されているセキュリティ機能には、プロビジョニング時のSSHキー注入と標準的なKVM仮想化が含まれます。APIはNextAuthに紐づくセッションクッキー認証を使用しており、現在別途のAPIトークンは提供されていません。リセラーは自動化のためにブラウザのクッキーをコピーする必要があり、これは便利ですが、認証情報のローテーションと露出面においてトレードオフを伴います。二要素認証は監査ログの説明で言及されており、ポータルレベルの2FAが利用可能であることを示唆しています。
送信メールポート（25、465、587）はVPSプランではデフォルトでブロックされており、ブロック解除にはサポートチケットが必要です。これはスパム対策として妥当ですが、セルフホスト型メール運用者にとっては運用上の障害となります。フェアユースポリシーはネットワーク帯域のみに適用され、記載されているポート速度（10 Gbps）は保証されたスループットではなく物理的なアップリンククラスを表します。
対象ユーザー, 評価
Aluyは、中途半端な立ち位置にいる。no-KYCホスティングと匿名暗号通貨決済を求めるユーザーにとって、競争力のある欧州価格で機能的なインフラを提供し、Torアクセシビリティやオープンソース管理ツールという珍しい追加機能も備えている。MoneroとLightningのサポートは、日常的なVPS購入における金融的な追跡可能性を実際に低減している。
しかし、プロバイダーのデータ保持慣行は、「ゴーストグレード」の運営というよりは、従来の欧州ホストにかなり近い。詳細な監査ログ、2年間のメールエンベロープ、明示的な法的アクセスへの準拠は、熟練した敵対者が悪用できる書類の痕跡を生み出している。絶対的な匿名性を必要とするユーザー, ジャーナリスト、内部告発者、または脅威下にあるインフラ運用者, は、Aluyを匿名ではなく仮名として扱い、独自の運用セキュリティを重ねるべきである。
私たちはAluyを総合的に6/10と評価する。プライバシーに寛容な開発者、小規模プロジェクト、およびログ付きの説明責任を引き換えに柔軟な決済とEU管轄の信頼性を受け入れる暗号通貨ネイティブ企業にとっては、実行可能な選択肢である。保持される身元データがゼロであることを要求する脅威モデルには適さない。優先事項が安価で高速、XMR対応のVPSで、サポート応答時間もまあまあであるなら、Aluyは検討に値する。優先事項が強制的なデータ提供から自由な主権インフラであるなら、他を探すべきである。
