Guía de Cloudflare para solicitudes de datos policiales y gobierno
Cómo trabajan los investigadores con Cloudflare: por qué remitimos al hosting, canales de abuso y legales, divulgación de emergencia y la ruta MLAT.
Esta guía ofrece orientación general y profesional para agentes del orden público, fiscales e investigadores de ciberdelincuencia que necesiten registros relacionados con un sitio web que utiliza Cloudflare. No constituye asesoramiento legal. Los investigadores deben actuar bajo la autoridad legal adecuada para su jurisdicción y confirmar los procedimientos actuales directamente con el proveedor antes de confiar en cualquier paso descrito aquí.
- Cloudflare generalmente le dirige al host, no es el host. Para la mayoría de sus productos, actúa como proxy del tráfico y no almacena el contenido del sitio web.
- Lo más útil que puede proporcionarle suele ser la identidad del proveedor de alojamiento de origen detrás de un sitio con proxy, además de los detalles de cuenta y facturación del cliente.
- Cloudflare distingue un reporte de abuso de un proceso legal formal. Los datos del suscriptor generalmente requieren una citación judicial (subpoena), y los registros más sensibles generalmente requieren una orden judicial o una orden de registro.
- Cloudflare generalmente notifica a su cliente sobre una solicitud legal a menos que esté legalmente prohibido hacerlo, lo cual es importante cuando planea un arresto o una incautación.
- Cloudflare tiene su sede en EE. UU., por lo que las agencias no estadounidenses generalmente canalizan las solicitudes formales a través de un tribunal estadounidense, a menudo mediante un tratado de asistencia jurídica mutua (MLAT).
Qué es realmente Cloudflare
Cloudflare es una red de entrega de contenido (CDN), proveedor de DNS, proxy inverso y servicio de protección contra DDoS. Para la gran mayoría de los sitios que lo utilizan, Cloudflare se sitúa frente a un sitio web que está alojado en otro lugar. El tráfico de los visitantes llega primero al borde (edge) de Cloudflare, y Cloudflare lo transmite al servidor real del cliente, conocido como el origen. Debido a este modelo de transmisión, Cloudflare generalmente no es el host del contenido del sitio web y no almacena ese contenido en el sentido tradicional.
Existe una excepción importante. Cuando un cliente utiliza los productos de plataforma propios de Cloudflare para servir contenido en el borde, como Pages, Workers, Workers KV, Stream, Images o almacenamiento R2, Cloudflare puede ser en sí mismo el host de origen para ese contenido específico. Para esos productos, las solicitudes relacionadas con el contenido pueden dirigirse a Cloudflare. Para los sitios web con proxy ordinarios, no pueden.
Qué almacena Cloudflare y qué no
Cloudflare conserva información limitada de la cuenta del cliente. Según sus directrices para las fuerzas del orden, esto suele incluir el nombre del cliente, dirección de correo electrónico, dirección física, número de teléfono y los medios o fuente de pago, junto con detalles de la actividad de la cuenta, como los tiempos de inicio de sesión y las direcciones IP asociadas.
Lo que Cloudflare generalmente no tiene para los sitios con proxy es el contenido del sitio web, y no recopila ni conserva de forma rutinaria datos sobre los usuarios finales que visitan los sitios de los clientes. Declara que rara vez tiene datos que respondan a órdenes que busquen registros de IP de visitantes o fechas de acceso, porque dicha información se conserva solo por un tiempo limitado. Planifique en consecuencia: no asuma que Cloudflare puede reconstruir quién visitó un sitio.
| Lo que usted busca | Quién lo tiene realmente | Cómo obtenerlo |
|---|---|---|
| El contenido o archivos del sitio web (sitio con proxy) | El proveedor de alojamiento de origen, no Cloudflare | Identifique el host a través de Cloudflare, luego presente el proceso legal ante el host |
| Cuenta del cliente, facturación y detalles de contacto | Cloudflare | Citación (subpoena) para datos básicos del suscriptor a Cloudflare |
| Identidad del host de origen detrás de un dominio con proxy | Cloudflare | Proceso legal a Cloudflare, o en casos urgentes una solicitud de emergencia |
| Contenido servido por Pages, Workers, Stream, Images o R2 | Cloudflare (es el origen aquí) | Orden judicial o de registro a Cloudflare |
| Registros de IP de visitantes y tiempos de acceso | A menudo nadie los conserva a largo plazo; verifique con el host de origen | Orden judicial, pero espere datos limitados o nulos |
Por qué el proxy oculta el origen y por qué los investigadores acuden a Cloudflare
Cuando un dominio utiliza un proxy, las búsquedas públicas como WHOIS y DNS se resuelven en las direcciones IP de Cloudflare en lugar del servidor real del cliente. Esto es intencional y protege al origen de ataques directos. El efecto secundario para los investigadores es que la ubicación real del alojamiento queda enmascarada. Esa es la razón principal por la que las fuerzas del orden se acercan a Cloudflare: no para obtener el contenido del sitio, sino para atravesar el proxy y conocer qué proveedor de alojamiento se encuentra detrás, de modo que el contenido y los registros del servidor puedan ser perseguidos en el host real.
Reporte de abuso frente a proceso legal formal
Estos son dos canales separados y producen resultados muy diferentes.
- Reporte de abuso. Cloudflare opera un formulario de reporte de abuso en su página de abuso (la sección de reporte de abuso del Trust Hub enlaza al formulario actual). Para los sitios con proxy, Cloudflare generalmente reenvía la queja al operador del sitio web y al proveedor de alojamiento responsable, y proporciona al denunciante la información de contacto del proveedor de alojamiento. Esta es una forma rápida de identificar al host y hacer llegar una queja a la parte que realmente puede actuar sobre el contenido. No es un sustituto del proceso legal y no le entregará registros de suscriptores.
- Proceso legal formal. Para obligar a la entrega de registros de clientes, usted debe presentar un proceso legal válido. Las directrices de Cloudflare indican que los datos básicos del suscriptor generalmente requieren una citación (subpoena), mientras que la información más sensible o adicional generalmente requiere una orden de registro emitida por un tribunal u otra orden judicial. Los oficiales deben contactar al canal de fuerzas del orden de Cloudflare ([email protected]) y deben proporcionar detalles de identificación como número de placa y de caso, rango, agencia y unidad.
El flujo de trabajo práctico
- Confirme que el sitio está realmente detrás de Cloudflare (WHOIS o DNS resolviéndose a rangos de Cloudflare, encabezados de respuesta).
- Decida qué necesita. Si desea contenido o registros del lado del servidor, su objetivo real es el host de origen, no Cloudflare.
- Utilice Cloudflare para identificar el origen. Envíe un reporte de abuso para obtener los detalles de contacto del proveedor de alojamiento, o presente un proceso legal para obligar a la entrega de la información de cuenta y origen del cliente.
- Presente el proceso ante el host de origen. Una vez que conozca al proveedor de alojamiento, dirija su citación, orden judicial o de registro para obtener contenido y registros a ese host.
- En paralelo, presente el proceso ante Cloudflare para los registros que sí posee, a saber: cuenta del cliente, facturación e información de contacto.
- Envíe una solicitud de preservación con antelación a las partes pertinentes para que los datos no se pierdan mientras se prepara el proceso legal.
Preservación, divulgación de emergencia y notificación al cliente
Preservación frente a producción. Una solicitud de preservación pide a un proveedor que retenga los registros existentes para que no sean eliminados; por sí misma no divulga nada. La producción requiere el proceso legal apropiado. Dada la corta retención de datos transitorios por parte de Cloudflare, envíe las solicitudes de preservación con prontitud.
Divulgación de emergencia. Cuando una solicitud involucra un peligro inminente de muerte o lesiones físicas graves a una persona, Cloudflare puede divulgar información sin demora, evaluado caso por caso bajo la ley de EE. UU. Utilice el canal de fuerzas del orden y documente claramente la emergencia.
Agencias no estadounidenses y MLAT
Cloudflare es una empresa con sede en EE. UU. Espera que los gobiernos fuera de EE. UU. sigan los mismos requisitos de debido proceso y, por lo general, prefiere que las solicitudes se realicen a través de un tribunal estadounidense mediante un proceso diplomático, como una solicitud de tratado de asistencia jurídica mutua. Los investigadores fuera de EE. UU. deben tener en cuenta este enrutamiento, y el tiempo que conlleva, en sus planes, mientras siguen utilizando el canal de abuso para identificar al host mientras tanto. Cloudflare publica un informe de transparencia de forma recurrente y mantiene directrices públicas para las fuerzas del orden; revise las versiones actuales antes de enviar una solicitud.
Preguntas frecuentes
¿Puede Cloudflare darme el contenido del sitio web? Para los sitios proxy habituales, no. Cloudflare no aloja ese contenido; actúa como proxy. Usted obtiene el contenido del proveedor de alojamiento de origen. La excepción es el contenido servido a través de los propios productos de borde de Cloudflare, como Pages, Workers, Stream, Images y R2, donde Cloudflare puede ser el host.
¿Cómo encuentro el host real detrás de un sitio de Cloudflare? Pregunte a Cloudflare. Un informe de abuso suele proporcionar la información de contacto del proveedor de alojamiento, y un proceso legal formal puede obligar a revelar la cuenta del cliente y los detalles de origen. Luego, notifique directamente a ese host.
¿Qué proceso legal necesito y se le informará al cliente? Los datos básicos del suscriptor generalmente requieren una citación; los registros más confidenciales generalmente requieren una orden judicial o una orden de registro. Cloudflare generalmente notifica al cliente a menos que esté legalmente prohibido, así que solicite una orden de no divulgación si la confidencialidad es importante.
Estoy fuera de los Estados Unidos. ¿Qué hago? Utilice el canal de abuso para identificar al host rápidamente, pero dirija las solicitudes formales de divulgación obligatoria a través del proceso legal estadounidense apropiado, comúnmente mediante una solicitud de MLAT.
Guías relacionadas
- Evidencia en la nube: obtención de datos de AWS, Azure y Google Cloud
- Atribución de IP y dominio: convertir una dirección en un sospechoso
- Obtención de evidencia de plataformas de redes sociales: registros, preservación y proceso legal
Para ver el directorio completo de portales de solicitudes de las fuerzas del orden de las plataformas, consulte nuestro centro de portales LERS.
Imagen principal: Un cable de red de fibra óptica. · Crédito: Bidgee · Wikimedia Commons · CC BY-SA 3.0 AU · fuente