۲۴ سپتامبر ۲۰۲۶، قاضی فدرال در یوتا، دیوید بارلو، بخشی از قانون SB 73 را که از وب‌سایت‌ها می‌خواست موقعیت واقعی بازدیدکننده را حتی با وجود VPN یا پروکسی شناسایی کنند، معلق کرد. استدلال اصلی دادگاه تقریباً به‌صورت مهندسی بیان شده است: هیچ جغرافیای ایده‌آلی بر اساس IP وجود ندارد و قانون دقیقاً به آن نیاز داشت. در پایان اکتبر، Ofcom بریتانیا باید توصیه‌های خود را درباره شناسایی VPN منتشر کند. در ادامه بررسی می‌کنیم که دادگاه چه تصمیمی گرفت، این تصمیم چه تفاوتی با موضع بریتانیا دارد و چه تغییراتی برای کسانی که با خدمات وابسته به جغرافیا، اسکرپینگ و پروکسی کار می‌کنند، ایجاد می‌شود.
چه تصمیمی دادگاه در یوتا گرفت
شکایت توسط Aylo (مالک Pornhub و سایر وب‌سایت‌های بزرگسالان) ارائه شد، پرونده Aylo Freesites Ltd v. Utah، شماره ۲:۲۶-cv-۰۰۳۴۰. یک بند تحت تأثیر قرار گرفت: بخش ۷۸B-۳-۱۰۰۲(۳)، که با اصلاحات سال ۲۰۲۶ اضافه شده بود. این بند بازدیدکننده‌ای را که به‌طور فیزیکی در یوتا قرار داشت، ساکن آن ایالت می‌دانست، حتی اگر موقعیت او با VPN یا پروکسی پنهان شده باشد. وب‌سایت مسئول چنین کاربری بود.
دادگاه حکم موقت قضایی (preliminary injunction) صادر کرد. استدلال‌های اصلی:
- در بند هیچ اشاره‌ای به «تلاش‌های معقول» نشده است. به‌طور رسمی، وب‌سایت مسئول هر کاربر از دست رفته است، یعنی موظف است همه را بدون خطا جغرافیاییابی کند. در عین حال، هر دو طرف توافق کردند که جغرافیای ایده‌آل غیرممکن است.
- بار بر تجارت خارج از ایالت. از آنجا که نمی‌توان به‌طور دقیق ساکن یوتا را از ساکن سیاتل یا شانگهای تشخیص داد، وب‌سایت مجبور می‌شد سن همه بازدیدکنندگان جهان را بررسی کند. در این تصمیم به عددی اشاره شده است: Aylo مجبور بود ۲۸ میلیون کاربر را تأیید کند. دادگاه بر این باور بود که این احتمالاً به «بند تجاری خوابیده» قانون اساسی ایالات متحده (dormant Commerce Clause) آسیب می‌زند.
- ایالت روش‌های کمتری برای محافظت از نوجوانان دارد.
یوتا اعتراض کرد که قانون به کمال نیاز ندارد، بلکه به تدابیر معقول نیاز دارد: احتمال استفاده از VPN قابل محاسبه است و موقعیت می‌تواند از تنظیمات دستگاه و فعالیت حساب استخراج شود. دادگاه پاسخ داد که متن قانون تصویب شده توسط قانون‌گذاران را بررسی می‌کند، نه اینکه چگونه دادستان کل پیشنهاد می‌کند که آن را اجرا کند.
چه چیزهایی در حال حاضر معتبر است
- وظیفه اصلی وب‌سایت‌های بزرگسالان برای بررسی سن «با روش‌های معقول» همچنان برقرار است.
- ممنوعیت این وب‌سایت‌ها برای بیان چگونگی دور زدن بررسی از طریق VPN، Aylo به چالش نکشید و این نیز حفظ می‌شود.
- قوانین اجرایی R152-78B، که در ۱ سپتامبر منتشر شده و قادر به اجرایی شدن از ۸ اکتبر است، تا زمانی که حکم دادگاه معتبر است، قابل اجرا نیست.
- طرفین توافق کردند که روند را تا پایان جلسه قانون‌گذاری یوتا در سال ۲۰۲۷ به تعویق بیندازند: انتظار می‌رود که قانون بازنویسی شود.
زمینه: قوانین بررسی سن برای محتوای بزرگسالان در ۲۷ ایالت ایالات متحده تصویب شده است (تا آگوست ۲۰۲۶)، اما تنها یوتا سعی کرده است به‌طور مستقیم از وب‌سایت‌ها بخواهد که کاربران را با VPN شناسایی کنند. ما در مقاله‌ای در مورد قانون SCREEN و یوتا SB 73 بررسی کردیم که این بند قبل از دادگاه چگونه بود و چرا وب‌سایت‌ها را به مسدود کردن انبوه IPها سوق می‌داد.
چرا IP نمی‌گوید که فرد کجاست
نتیجه دادگاه از نظر فنی درست است و فراتر از وب‌سایت‌های بزرگسالان می‌رود. جغرافیای IP یک ارزیابی احتمالی بر اساس پایگاه داده است، نه یک اندازه‌گیری. وب‌سایت فقط آدرسی را می‌بیند که درخواست از آن آمده است. اگر ترافیک از طریق VPN یا پروکسی می‌آید، این آدرس سرور میانی یا دستگاه شخص دیگری است.
حتی بدون VPN، دقت پایین است. بر اساس داده‌های MaxMind (یکی از بزرگ‌ترین پایگاه‌های جغرافیایی)، برای ایالات متحده در شعاع ۵۰ کیلومتر، حدود ۶۰% آدرس‌های IP به‌درستی شناسایی می‌شوند، ۳۳% دیگر به شهر مرتبط هستند، اما بیش از ۵۰ کیلومتر خطا دارند و برای ۷% داده‌ها در سطح شهر هیچ اطلاعاتی وجود ندارد. این شرکت به‌طور جداگانه تأکید می‌کند که دقت را در آینده تضمین نمی‌کند.
خطا از چندین لایه تشکیل می‌شود:
- پیوند بلوک‌ها به منطقه ثبت. ارائه‌دهنده می‌تواند یک زیرشبکه را در یک شهر ثبت کند و آن را به مشترکان در شهر دیگری توزیع کند.
- NAT موبایل. در اپراتورهای تلفن همراه، بسیاری از مشترکان پشت یک IP عمومی نشسته‌اند و خروج به اینترنت اغلب از طریق یک گره در منطقه دیگری انجام می‌شود.
- شبکه‌های شرکتی و ابرها. کارمندی در یوتا با VPN اداری به‌عنوان کاربری از دفتر مرکزی در کالیفرنیا یا از مرکز داده به نظر می‌رسد.
- تاخیر در به‌روزرسانی پایگاه‌ها. زیرشبکه‌ها بین ارائه‌دهندگان و کشورها جابه‌جا می‌شوند و پایگاه‌ها این تغییرات را با هفته‌ها تأخیر دنبال می‌کنند.
بنابراین هرگونه درخواست «شناسایی دقیق» به فیزیک شبکه برمی‌گردد. دادگاه یوتا در واقع اولین دادگاهی بود که این موضوع را در تصمیم‌گیری درباره VPN ثبت کرد.
بریتانیا مسیر دیگری را در پیش گرفته است
در بریتانیا، بررسی سن بر اساس قانون امنیت آنلاین از ۲۵ ژوئیه ۲۰۲۵ اجرایی شده است و جریمه‌ها به ۱۸ میلیون پوند یا ۱۰% درآمد جهانی می‌رسد. واکنش کاربران فوری بود: ثبت‌نام‌های Proton VPN از بریتانیا در روز اجرای قوانین ۱۴۰۰% افزایش یافت و این اپلیکیشن به‌طور موقت ChatGPT را در فروشگاه اپلیکیشن بریتانیا پشت سر گذاشت.
موضع مقامات در این زمینه محتاط‌تر از ایالات متحده است:
- ۱۵ ژوئیه ۲۰۲۶، وزیر فناوری، لیز کندال، در پارلمان اعلام کرد که دولت نمی‌خواهد VPN را ممنوع کند و برای آن‌ها بررسی سن اعمال کند.
- Ofcom به‌طور مستقیم می‌گوید که قانون به آن حق نمی‌دهد که از مسدود کردن VPNها درخواست کند.
- در گزارشی از ژوئیه ۲۰۲۶، این نهاد تأیید کرد که هیچ روش بررسی سنی به‌طور کامل از دور زدن جلوگیری نمی‌کند و رویکرد چندلایه‌ای را با مشارکت فروشگاه‌های اپلیکیشن و کنترل در سطح دستگاه توصیه می‌کند.
- در عین حال، Ofcom موظف است تا پایان اکتبر ۲۰۲۶ توصیه‌هایی درباره اقداماتی که خدمات می‌توانند برای شناسایی و جلوگیری از استفاده از VPN انجام دهند، منتشر کند.
بنابراین مدل بریتانیایی — نه «جغرافیاییابی ایده‌آل تحت تهدید جریمه»، بلکه «اقدام معقول» است. بررسی‌های صنعتی در حال حاضر برای خدمات، طرحی از سه حالت را توصیف می‌کنند: کاربر به‌طور قطع از بریتانیا (الزامات را اعمال کنید)، به‌طور قطع نه از بریتانیا (خارج از قانون) و «موقعیت قابل بررسی نیست» — تصمیم جداگانه‌ای درباره ریسک، به‌عنوان مثال، بررسی سن همه در این گروه.
چگونه وب‌سایت‌ها VPN و پروکسی را شناسایی خواهند کرد
نه دادگاه آمریکایی و نه نهاد بریتانیایی هیچ‌کدام از این واقعیت که وب‌سایت‌ها به شناسایی ترافیک مشکوک ادامه خواهند داد، چشم‌پوشی نمی‌کنند. مجموعه‌ای از سیگنال‌های معمول:
- ASN میزبانی. آدرس‌های موجود در دامنه‌های ابر و مراکز داده (AWS، Hetzner، OVH، M247 و مشابه) اولین علامت‌گذاری می‌شوند: کاربران خانگی معمولی از آن‌ها استفاده نمی‌کنند.
- فهرست‌های سرورهای VPN. بسیاری از VPNها آدرس‌های سرورهای خود را منتشر می‌کنند و بقیه به‌راحتی با اتصال به سرویس جمع‌آوری می‌شوند.
- چگالی کاربران بر روی IP. صدها حساب مختلف از یک آدرس در مدت زمان کوتاه، گره خروجی را نشان می‌دهد.
- عدم تطابق‌ها. منطقه زمانی مرورگر، زبان سیستم، چیدمان، محلی کارت پرداخت در مقابل کشور IP.
- سیگنال‌های رفتاری و حسابی — دقیقاً همان چیزی که یوتا در دادگاه به آن اشاره کرد.
مهم است که همه این روش‌ها احتمال را ارائه می‌دهند، نه اثبات. اشتباهات کاذب اجتناب‌ناپذیرند: کارکنانی که از VPN شرکتی استفاده می‌کنند، مشترکان اپراتورهای تلفن همراه، مسافران و سیستم‌های خودکار که به جغرافیا برای کسب‌وکار نیاز دارند، تحت تأثیر قرار می‌گیرند.
این چه معنایی برای کسب‌وکارهایی که با جغرافیا کار می‌کنند دارد
این تصمیم به وب‌سایت‌های بزرگسالان مربوط می‌شود، اما پیامدهای آن وسیع‌تر است. جغرافیا بر اساس IP در قیمت‌گذاری، مجوز محتوا، ضد تقلب، تأیید تبلیغات و نظارت بر نتایج استفاده می‌شود. چند نتیجه عملی.
اگر شما مالک یک سرویس هستید
- مطابقت با الزامات را بر اساس یک پایگاه جغرافیایی نکنید. حتی بدون VPN، هر سومین آدرس در ایالات متحده ممکن است به شهری نادرست مرتبط باشد. برای تصمیماتی که پیامدهای قانونی دارند، نیاز به ثبت «اقدامات معقول» دارید که انجام داده‌اید.
- حالت سوم «نمی‌دانم» را لحاظ کنید. باینری «منطقه ما / منطقه ما نیست» در ترافیک موبایل و شرکتی به‌خوبی عمل نمی‌کند.
- چندین منبع را مقایسه کنید. پایگاه‌های مختلف ممکن است درباره یک آدرس یکسان متفاوت باشند. ما اینها را بر اساس آدرس‌های واقعی مقایسه کردیم.
اگر شما داده‌ها را جمع‌آوری می‌کنید یا تبلیغات را بر اساس مناطق بررسی می‌کنید
- آدرس‌های مراکز داده ابتدا مسدود خواهند شد. موج قوانین بررسی سن و توصیه‌های نهادها وب‌سایت‌ها را به مسدود کردن ASNهای میزبانی به‌طور کامل سوق می‌دهد. برای کارهایی که نیاز به دیدن وب‌سایت از دید کاربر محلی دارند، پروکسی‌های مسکونی با انتخاب کشور و شهر مناسب هستند: آدرس متعلق به ارائه‌دهنده خانگی در منطقه مورد نظر است.
- آدرس‌های موبایل در برابر مسدودسازی مقاوم‌تر هستند، اما دقت کمتری در شناسایی شهر دارند. به‌دلیل NAT اپراتور، وب‌سایت یک آدرس را برای بسیاری از مشترکان می‌بیند، بنابراین مسدود کردن آن هزینه‌بر است. اگر منطقه مهم است، نه شهر دقیق، پروکسی‌های موبایل گزینه‌ای مطمئن هستند.
- بررسی کنید که IP شما در چندین پایگاه کجا «ایستاده» است. وب‌سایت ممکن است از پایگاه نادرستی استفاده کند که چکر شما نیست و منطقه دیگری را ببیند. قبل از جمع‌آوری انبوه، درخواست‌های آزمایشی را اجرا کنید و مقایسه کنید که وب‌سایت هدف چه نسخه محلی را ارائه می‌دهد.
- اثر انگشت مرورگر را با IP مطابقت دهید. منطقه زمانی، زبان و محلی باید با کشور خروج مطابقت داشته باشد: عدم تطابق‌ها بیشتر از خود IP شناسایی می‌شوند.
چه اتفاقی خواهد افتاد
رویدادهای نزدیک که باید به آن‌ها توجه کنید:
- پایان اکتبر ۲۰۲۶ — توصیه‌های Ofcom درباره شناسایی VPN. سوال اصلی: آیا در آن‌ها روش‌های فنی خاصی وجود خواهد داشت یا فرمول «اقدامات معقول» باقی خواهد ماند.
- جلسه قانون‌گذاری یوتا در سال ۲۰۲۷ — احتمالاً قانون با قید تلاش‌های معقول بازنویسی خواهد شد. در این صورت، بحث از «آیا می‌توان ایده‌آل را خواست» به «چه چیزی را معقول بدانیم» تغییر خواهد کرد.
- ایالت‌های دیگر — EFF قبلاً اعلام کرده است که به چالش کشیدن چنین ابتکاراتی را آغاز خواهد کرد، اما قوانین بررسی سن همچنان در حال گسترش به شبکه‌های اجتماعی هستند.
نتیجه‌گیری
دادگاه یوتا تأکید کرد که مهندسان شبکه مدت‌هاست می‌دانند: IP یک نشانه از موقعیت است، نه یک مدرک. قانون‌گذاران می‌توانند از وب‌سایت‌ها بخواهند تدابیر معقولی اتخاذ کنند، اما نمی‌توانند جغرافیای ایده‌آل را بخواهند. برای کسب‌وکار، این به معنای دو چیز است. مالکان خدمات باید منطق جغرافیایی را با احتساب خطا و حالت سوم «نمی‌دانم» بسازند. و کسانی که به دسترسی صادقانه به نتایج محلی نیاز دارند، باید کیفیت آدرس‌ها را دقیق‌تر زیر نظر داشته باشند: تحت فشار نهادها، وب‌سایت‌ها بیشتر به مسدود کردن مراکز داده می‌پردازند و در درجه اول به IPهای مسکونی و موبایل اعتماد خواهند کرد.