NordBastion 8.6 / 10

NordBastion exploite quatre « bastions » nordiques — Stockholm, Helsinki, Oslo et Reykjavík — qui vendent des VPS et des serveurs dédiés sans KYC, facturés en cryptomonnaie depuis 2023. La société opératrice, NordBastion OÜ, est immatriculée en Estonie. Le socle produit est délibéré : aucun document d'identité, nom légal, numéro de téléphone ou justificatif d'adresse n'est collecté. Un compte se résume à un email et un mot de passe, avec TOTP 2FA optionnelle, et un solde prépayé rechargé dans douze cryptomonnaies dont Bitcoin, Monero, Ethereum, Litecoin, Tether et USDC.

Fonctionnement

Le client crée son compte avec ses identifiants, choisit un palier (Sentinel jusqu'à Citadel pour les VPS, Bastion-Lite jusqu'à Bastion-Hyperion pour le bare-metal), pointe une localisation et paie depuis son solde prépayé. Les VPS se déploient en environ quatre-vingt-dix secondes ; le bare-metal en une trentaine de minutes. Bande passante illimitée, liens de 1 à 10 Gbps en VPS et jusqu'à 25+ Gbps en dédié. Chaque bastion est interconnecté sur un backbone privé 100 Gbps avec 8 ms de latence médiane inter-site, mitigation DDoS permanente et routage Anycast BGP sous AS213232.

KYC et vie privée

Aucune vérification d'identité, à aucun niveau. La politique de confidentialité ne conserve que l'email du compte, le hash du mot de passe et les données de paiement déjà exposées par la blockchain. La doctrine refuse de journaliser le contenu des workloads, d'inspecter les disques ou d'enregistrer le payload du trafic. Un rapport de transparence couvre une fenêtre glissante de douze mois ; un warrant canary est resigné le premier de chaque mois en PGP (empreinte B9BB 3413 6FDC C3DA 8356 50C8 1A32 1442 3855 B282) et interrogeable par programme via /v1/transparency/canary.

Forces et limites

Le pari juridictionnel est l'élément différenciant. Chaque bastion s'ancre sur un véritable régime constitutionnel de liberté de la presse : la Tryckfrihetsförordningen suédoise (1766, la plus ancienne au monde), la Sananvapauslaki finlandaise, l'article 100 norvégien hors de portée directe de la Cour de justice de l'UE, et le cadre IMMI islandais (2010). La politique d'usage acceptable ne fixe qu'une seule limite dure (CSAM) ; les notifications DMCA ne sont pas exécutées. Le looking glass, la status page avec historique sur 90 jours et les réponses API signées en PGP placent l'opérateur au-dessus de la moyenne du segment. Contrepartie : le solde prépayé implique une garde temporaire, les paiements on-chain sont finaux et aucune adresse email de support n'est publiée — tout passe par le panel authentifié.

Verdict

Note pondérée de 8,6/10 pour un hébergeur nordique sans KYC, à la doctrine écrite, au canary signé mensuellement et adossé à quatre juridictions légitimes sur un backbone privé — l'une des postures les plus propres du segment. Recommandé aux équipes qui ont besoin d'une infrastructure hors zone de chauffe européenne sans céder leur identité à l'inscription.