Блокировки становятся точнее, приложения учатся распознавать средства обхода, а пользователям предлагают установить новый корневой сертификат. Все эти события объединяет общий процесс: контроль постепенно перемещается с сетевой инфраструктуры на личные устройства.
Ещё недавно ограничения в интернете воспринимались как внешняя преграда: провайдер закрывал доступ к сайту, пользователь включал VPN и возвращал себе привычные сервисы. Теперь эта схема усложняется. В борьбу с обходом блокировок вовлекаются хостинг-провайдеры, крупные цифровые платформы и сами смартфоны. Параллельно формируется отдельный контур доверия для российских сайтов — с национальными сертификатами, которые пользователю предлагают добавить в операционную систему.
По отдельности каждое решение можно объяснить безопасностью, стабильностью или исполнением законодательства. Но вместе они показывают более важный сдвиг: государственное регулирование всё глубже проникает в настройки устройств и в повседневные цифровые привычки человека.
«Белый список» больше не гарантирует неприкосновенность
Один из новых механизмов касается IP-адресов, внесённых в перечень исключений. Такие адреса используют компании и технологические сервисы, которым необходимо продолжать работу во время ограничений. Раньше после проверки адрес фактически получал защиту от случайной блокировки. Этим могли пользоваться и владельцы VPN-инфраструктуры: сначала подтвердить легитимное назначение сервера, а затем изменить способ его использования.
По данным СМИ, Минцифры обсуждает с российскими хостинг-провайдерами постоянный мониторинг адресов из подобных перечней. Если на защищённом IP регулярно обнаруживается инфраструктура для обхода ограничений, хостер должен будет объяснить её назначение или согласиться на исключение адреса из списка. Одновременно предлагается учитывать способ идентификации клиента: минимальная проверка по телефону или банковской карте будет давать меньше времени на устранение нарушения, чем подтверждение через государственную систему идентификации, биометрию или договор с юридическим лицом. Пока речь идёт об обсуждаемом механизме, а не о вступившем в силу универсальном правиле. Описание предложений со ссылкой на источники РБК.
Для рынка здесь возникает серьёзная техническая проблема. IP-адрес давно не равен конкретному человеку или даже одной компании. Адреса арендуют, повторно выдают другим клиентам, используют для облачной инфраструктуры и совместного хостинга. Ошибка в оценке способна затронуть добросовестный бизнес, который не имеет отношения к запрещённому сервису. Чем быстрее должна происходить блокировка, тем выше цена ложного срабатывания.
Усиленная идентификация также меняет саму модель доверия. Получается, что клиент с подтверждённой через государственные сервисы личностью получает возможность сначала объясниться, а пользователь с минимальным набором данных рискует потерять услугу автоматически. Для российских хостингов это может означать отток части аудитории к зарубежным площадкам, а для государства — ещё одну причину усиливать контроль за трансграничной инфраструктурой.
Смартфон как датчик VPN
Второе изменение происходит уже не на сервере, а на пользовательском устройстве. Весной 2026 года СМИ сообщили о методических рекомендациях Минцифры для крупных интернет-компаний. В документе описывалась проверка признаков VPN: анализ IP-адреса, сопоставление с репутационными базами и получение параметров активного соединения через собственное приложение платформы.
На Android приложение технически может определить, что трафик проходит через VPN-интерфейс. На iOS доступ к системным данным ограничен сильнее, поэтому результат менее однозначен. Дополнительные сложности создают VPN на роутере, домашние прокси, виртуальные машины и раздельная маршрутизация, когда через защищённый канал идёт трафик только выбранных приложений. Даже авторы рекомендаций, по сообщениям отраслевых изданий, признают ограничения метода и не советуют вести непрерывную проверку из-за расхода трафика и заряда батареи. Разбор методики и её технических ограничений.
Из этого рождается тревожная гипотеза: данные множества приложений могут помочь точнее определять используемую VPN-инфраструктуру. Если один и тот же внешний адрес регулярно появляется у большого числа пользователей с активным VPN, он становится удобной целью для последующей фильтрации.
Однако важно отделять техническую возможность от доказанного факта. В открытом доступе нет подтверждения, что российские приложения массово передавали регулятору сведения, которые затем напрямую использовались в конкретной волне блокировок. Поэтому утверждение о том, что пользователи «сами помогли заблокировать VPN», корректнее считать вероятным сценарием, а не установленным событием.
Тем не менее практический вывод остаётся: современное приложение способно знать о сетевом окружении больше, чем кажется владельцу смартфона. Значение имеют разрешения программы, политика конфиденциальности, состав собираемой телеметрии и то, кому эти сведения могут передаваться.
Дело Дурова и статус Telegram: почему это не одно и то же
Отдельная часть дискуссии связана с Павлом Дуровым*. 30 июля 2026 года Росфинмониторинг внёс его в перечень лиц, в отношении которых имеются сведения о причастности к экстремистской деятельности или терроризму. Этому предшествовало сообщение ФСБ о предъявленном обвинении. Для самого Дурова включение в перечень означает ограничения на финансовые операции в России. Информация о решении и его последствиях.
Но юридический статус основателя платформы не тождественен статусу самой платформы. На дату подготовки материала Telegram как организация не был включён в тот же перечень. Следовательно, сам факт использования мессенджера, оплата Premium или подписка на платный канал не превращаются автоматически в финансирование запрещённой организации.
Ситуация могла бы измениться при отдельном решении в отношении юридического лица или сервиса, но и тогда последствия зависели бы от формулировок решения, даты его вступления в силу и правоприменительной практики. Пользователям важно следить именно за официальным статусом Telegram, а не переносить ограничения, наложенные на физическое лицо, на всю экосистему мессенджера. В спорной ситуации разумнее сверяться с актуальными официальными реестрами и получать консультацию юриста, а не ориентироваться на пересказы в социальных сетях.
Интернет для разных категорий пользователей
Ещё один сюжет исходного материала — опубликованные хакерской группой скриншоты предполагаемой служебной переписки, в которой сотрудники государственного СМИ просили обеспечить редакции доступ к внешнему интернету. Подлинность этих сообщений публично не подтверждена, поэтому использовать их как доказанный факт нельзя.
Но сама проблема выглядит вполне реалистично. Редакциям, исследовательским организациям, экспортным компаниям и государственным структурам требуется связь с зарубежными корреспондентами, доступ к международным базам, фотобанкам, видеоархивам и профессиональным сервисам. Чем сильнее фильтруется общий интернет, тем больше исключений приходится создавать для тех, чья работа без глобальной сети невозможна.
Так появляется риск многоуровневого доступа: для большинства — ограниченный набор ресурсов, для отдельных организаций — расширенный канал по служебной необходимости. Формально это может быть оправдано рабочими задачами. Фактически же универсальная сеть превращается в систему привилегий, где объём доступной информации зависит от статуса пользователя.
Что на самом деле делает корневой сертификат
Самая технически сложная и при этом наиболее важная тема — российские сертификаты доверия.
Когда браузер открывает защищённый HTTPS-сайт, он решает две задачи: шифрует соединение и проверяет, действительно ли перед ним нужный домен. Подлинность подтверждает цифровой сертификат, выпущенный удостоверяющим центром. Список центров, которым доверяет устройство, хранится в браузере или операционной системе.
После 2022 года российские банки и государственные сервисы столкнулись с ограничениями при получении и продлении сертификатов у некоторых зарубежных поставщиков. В ответ был создан Национальный удостоверяющий центр Минцифры. Государственные сервисы предлагают установить его корневые сертификаты на разные операционные системы; соответствующие инструкции опубликованы, в частности, на Госуслугах.
Установка корневого сертификата означает, что пользователь вручную добавляет новый центр в круг доверенных. Это не приводит к чтению переписки или паролей автоматически. Для незаметного перехвата HTTPS дополнительно потребовались бы управление маршрутом трафика и сертификат для конкретного домена. Но новый доверенный корень создаёт техническую предпосылку: устройство примет сертификаты, выпущенные этим центром в пределах предоставленных ему полномочий, даже если изначально браузер ему не доверял.
Именно поэтому корневые сертификаты требуют особенно строгого управления, аудита и прозрачности. Компрометация или злоупотребление полномочиями удостоверяющего центра может позволить выдать поддельный сертификат на чужой домен, а пользователь увидит обычное защищённое соединение без предупреждения.
Подобный риск не является чисто теоретическим. В 2019 году интернет-провайдеры Казахстана требовали от пользователей установить государственный сертификат, позволявший перехватывать защищённый трафик. Mozilla и Google внедрили в Firefox и Chrome специальные механизмы блокировки этого сертификата. Mozilla подробно описала причины своего решения.
Российский сертификат нельзя автоматически приравнивать к казахстанскому сценарию: различаются назначение, инфраструктура и доказанные способы применения. Но пример показывает, почему доверие к корневому центру — не безобидная галочка в настройках, а решение с широкими техническими последствиями.
Как снизить риски без отказа от нужных сервисов
Главный принцип цифровой гигиены в новой среде — разделение контуров. Если российский сертификат нужен только для конкретного банка или государственного сайта, не стоит без необходимости расширять его действие на все программы и всю повседневную активность.
Практически это означает:
-
не устанавливать новый корневой сертификат на уровне всей системы, пока в этом нет реальной необходимости;
-
для совместимых российских сайтов использовать отдельный браузер, в котором необходимое доверие уже предусмотрено разработчиком;
-
для чувствительных операций и зарубежных сервисов сохранять отдельный браузерный профиль, а при повышенных требованиях — отдельное устройство;
-
периодически проверять список пользовательских и системных центров сертификации;
-
внимательно читать предупреждения браузера и не отключать проверку сертификатов ради быстрого доступа к сайту;
-
разделять рабочие, банковские и личные аккаунты, использовать уникальные пароли и двухфакторную аутентификацию.
Один отдельный браузер не всегда обеспечивает полную изоляцию: некоторые программы используют системное хранилище сертификатов. Поэтому перед настройкой важно понимать, куда именно устанавливается корневой сертификат и какие приложения наследуют это доверие.
Контроль становится персональным
Общий знаменатель всех описанных мер — переход от грубой фильтрации сети к точечному управлению доступом. Проверяются уже не только адреса сайтов, но и серверы из перечней исключений, личность клиента хостинга, параметры соединения на смартфоне и набор доверенных сертификатов на устройстве.
Такой подход потенциально эффективнее массовых блокировок, но одновременно повышает цену ошибки и расширяет объём собираемых данных. Пользователь всё меньше взаимодействует с ограничениями как с внешней стеной и всё чаще сам — иногда одним нажатием в настройках — становится частью новой инфраструктуры контроля.
Полностью отказаться от банков, маркетплейсов, государственных услуг и мессенджеров для большинства людей нереалистично. Поэтому наиболее практичная стратегия сегодня — не цифровой аскетизм, а осознанное разделение: разные браузеры и профили, минимально необходимые разрешения, осторожность с корневыми сертификатами и регулярная проверка того, какие приложения и организации получили доступ к сетевым данным.
* - Павел Дуров внесён Росфинмониторингом в перечень террористов и экстремистов