Il 5 agosto 2026, il comitato senatoriale per il commercio degli Stati Uniti ha esaminato cinque progetti di legge "per bambini" su Internet. Quattro di essi sono stati approvati: il Kids Online Safety Act, il CHATBOT Act, il Youth AI Privacy Act del senatore Edward Markey e il Children's Artificial Intelligence Toy Safety Act del senatore Tammy Duckworth. Il quinto — il SCREEN Act — ha ottenuto 15 voti contro 13, ma non è uscito dal comitato: al momento del conteggio non c'era il quorum nella sala.
Per l'industria dei proxy, questa non è una notizia da poco. Il SCREEN Act è il primo progetto di legge federale degli Stati Uniti che inserisce esplicitamente nel testo della legge la categoria "indirizzi VPN noti" e richiede di applicare la verifica dell'età a questi. E mentre il livello federale è bloccato nella procedura, a livello statale una norma simile è già in vigore: la legge della Utah SB 73 è entrata in vigore il 6 maggio 2026.
Cosa richiede esattamente il SCREEN Act dagli indirizzi IP
Il SCREEN Act è S. 737 nel 119° Congresso, il cui titolo completo è Shielding Children's Retinas from Egregious Exposure on the Net Act. L'autore è il senatore Mike Lee, tra i co-sponsor ci sono John Curtis, Jim Banks e James Lankford. Il progetto di legge è stato presentato il 26 febbraio 2025 e fino ad agosto 2026 è rimasto inattivo.
La meccanica è la seguente. Il servizio è obbligato ad applicare "misure tecnologiche di verifica" agli utenti, determinando la loro posizione tramite l'indirizzo IP, a meno che non possa stabilire che l'utente si trova al di fuori degli Stati Uniti. E un punto separato della legge richiede di sottoporre a verifica il traffico proveniente da indirizzi VPN noti. Una semplice casella di controllo "ho più di 18 anni" non è sufficiente: la legge indica chiaramente che l'auto-dichiarazione non basta, sono necessari metodi legati all'identità reale.
La Electronic Frontier Foundation, in un'analisi del 31 luglio 2026, evidenzia due effetti collaterali. Il primo è la portata: le formulazioni sono scritte in modo tale che praticamente qualsiasi servizio che contiene anche solo un frammento di contenuto esplicito rientra in questo ambito, inclusi Netflix, Reddit, Discord, Bluesky. Il secondo è la conservazione dei dati: i requisiti di protezione per i documenti raccolti sono formulati in modo vago, le aziende possono conservarli per tutto il tempo che ritengono ragionevole.
Utah: una legge già in vigore
Il progetto di legge federale è al momento solo un'intenzione. La SB 73 "Online Age Verification Amendments" è stata firmata dal governatore dello Utah Spencer Cox il 19 marzo 2026, e la parte relativa ai VPN è entrata in vigore il 6 maggio.
Lo Utah ha adottato un approccio inaspettato — non attraverso il divieto di VPN per gli utenti, ma attraverso la responsabilità dei siti. Secondo la SB 73, un utente è considerato proveniente dallo Utah se si trova fisicamente lì, indipendentemente dal proxy o VPN che maschera il suo IP. La responsabilità della verifica rimane sul sito anche quando il visitatore ha alterato la geolocalizzazione. Inoltre, c'è un divieto separato: le piattaforme con una sostanziale quantità di contenuti dannosi per i minori non possono pubblicare istruzioni su come eludere i controlli tramite VPN.
NordVPN ha definito questa struttura "una trappola di responsabilità" e "un paradosso irrisolvibile di conformità". La logica è semplice: se un sito non può determinare in modo affidabile la reale posizione di una persona dietro una VPN, e la legge richiede di farlo, ha due opzioni — bloccare tutti gli IP contrassegnati come VPN e proxy, oppure richiedere la verifica a tutti i visitatori del pianeta. Entrambe le opzioni vanno ben oltre l'obiettivo iniziale.
Lo Utah è diventato il primo stato in cui ciò è stato formalizzato in legge. Il Wisconsin ha cercato di andare oltre e di scrivere un divieto diretto per le VPN nella SB 130 / AB 105, ma dopo le critiche pubbliche il senatore Van Wanggaard ha rimosso questo punto a febbraio 2026, e il disegno di legge è stato inviato al governatore senza di esso. Secondo la Free Speech Coalition, le leggi sulla verifica dell'età sono state approvate in 25 stati, e in altri circa 15 sono in fase di esame.
Come sono strutturati gli elenchi di "indirizzi VPN noti"
La cosa più interessante di queste leggi è che si basano su una tecnologia che non descrivono. Un "indirizzo VPN noto" non è un fatto legale, ma una stringa in un database commerciale di reputazione IP. Servizi come IPQualityScore, IPinfo e ipgeolocation.io vendono tali elenchi, e vengono raccolti da diversi strati.
- Mapping ASN. Gli intervalli vengono confrontati con i dati dei registri Internet regionali: di chi è questo indirizzo — dell'hosting o del provider domestico.
- Intervalli pubblicati di cloud. AWS, DigitalOcean, OVH e altri pubblicano le loro reti. I server VPN commerciali si trovano quasi sempre lì, e non sulle linee domestiche, quindi l'intero pool dei data center è sospetto per definizione.
- DNS inverso e modelli di nomi. Le tipiche registrazioni PTR dell'hosting rivelano l'infrastruttura non peggio dell'ASN.
- Segnali comportamentali. Una densità anomala di diversi utenti su un unico indirizzo, la non corrispondenza della geolocalizzazione dell'IP con il fuso orario e la lingua del cliente.
Secondo le dichiarazioni dei fornitori, contro gli endpoint VPN commerciali noti, tali sistemi forniscono oltre il 95% di attivazioni corrette con una percentuale di falsi sotto l'1% sulle reti residenziali. Sembra buono fino a quando questo 1% non viene moltiplicato per tutto il traffico del paese.
Dove gli elenchi sbagliano
I falsi positivi nella reputazione IP non sono rari, ma una caratteristica strutturale. Le fonti tipiche di errori includono:
- Riutilizzo degli indirizzi. L'IP che il mese scorso ospitava un endpoint VPN, questo mese è già stato assegnato a un'attività commerciale normale. Negli elenchi neri obsoleti rimane contrassegnato.
- CGNAT presso i provider. Gli operatori nascondono migliaia di abbonati dietro un unico indirizzo, e i modelli ASN non tipici costringono i classificatori a confondere gli utenti domestici con i proxy.
- Operatori mobili. Parte del traffico cellulare viene instradato attraverso infrastrutture vicine a quelle dei data center, e finisce sotto sospetto.
- VPN aziendali. Tecnologicamente non sono distinguibili da quelle consumer: stesso tunnel, stesso indirizzo di uscita dell'hosting.
Finché tale elenco è uno strumento anti-frode, l'errore costa un captcha in più. Quando diventa uno strumento di conformità, l'errore costa un rifiuto di accesso — e il sito non ha motivazione per indagare, perché la multa è per una violazione, non per una precauzione. È per questo che la pressione normativa sposta sempre le soglie verso un blocco più aggressivo. Un'analisi dettagliata di come le piattaforme classificano gli indirizzi e quali segnali utilizzano per distinguere il traffico domestico da quello infrastrutturale è stata fatta in un articolo su IP-intelligence e rilevamento dei proxy residenziali.
Chi sarà colpito, oltre al pubblico target della legge
Formalmente, il SCREEN Act e la SB 73 sono scritti riguardo ai contenuti per adulti. Praticamente, cambiano l'economia dei blocchi per tutto Internet immediatamente — perché il sito non costruisce uno strato separato di rilevamento "per conformità" e uno separato "per tutto il resto". Acquista un unico database di reputazione IP e lo applica a tutto il traffico.
Di conseguenza, tutto ciò che vive su indirizzi infrastrutturali ne risente:
- Raccolta dati e monitoraggio. Parsing dei prezzi, verifica dei risultati per regione, monitoraggio dell'assortimento — compiti in cui il pool dei data center è storicamente stata la soluzione più economica.
- Verifica dei risultati locali e pubblicità. Le agenzie devono vedere la pagina con gli occhi di un utente di uno stato o paese specifico; un filtro VPN aggressivo rompe proprio questo.
- Multi-accounting e SMM. Le piattaforme, anche senza nuove leggi, interpretano il segnale "proxy" come un segnale di rischio durante la registrazione e l'accesso.
- Utenti normali di tunnel aziendali. Un dipendente che utilizza una VPN di lavoro appare al sito come una persona che nasconde la propria posizione.
Cosa significa per la scelta del tipo di proxy
La principale conclusione pratica: il divario tra indirizzi infrastrutturali e residenziali crescerà solo, e sarà determinato non dalla qualità del traffico, ma dall'origine dell'IP.
I proxy dei data center entrano negli elenchi per primi e quasi automaticamente: il loro ASN è pubblicamente noto, gli intervalli sono pubblicati dagli stessi host. Rimane la soluzione più veloce ed economica per le piattaforme che non si preoccupano del tipo di indirizzo — API interne, parsing di fonti leali, test di carico. Ma usarli dove è presente un controllo per VPN sta diventando sempre più insensato.
I proxy residenziali passano attraverso linee abbonate reali di provider domestici: per ASN appartengono a normali ISP, e questo traffico non rientra nella categoria "indirizzo VPN noto". Questo li rende un'opzione valida dove la verifica dell'origine dell'IP si sta inasprendo.
I proxy mobili si basano su pool di operatori cellulari, dove dietro un unico indirizzo ci sono naturalmente decine e centinaia di abbonati. È per questo che bloccare tali indirizzi costa di più alle piattaforme: il costo di un falso positivo non è misurato da un singolo visitatore, ma dall'intero pool.
Tuttavia, nessun tipo di indirizzo annulla gli altri segnali di rilevamento — impronta TLS, comportamento del browser, coerenza degli header e del fuso orario. Cambiare IP risolve solo una parte del problema; di come appare il resto, abbiamo scritto in un'analisi sulle iniziative britanniche per limitare le VPN.
Dove si sta dirigendo la situazione al di fuori degli Stati Uniti
La storia americana è parte di un cambiamento generale. L'Australia ha avviato il divieto dei social media per i bambini sotto i 16 anni il 10 dicembre 2025, la Malesia ha seguito il 1° giugno 2026, la norma brasiliana è entrata in vigore a marzo 2026, e la Turchia ad aprile 2026 ha limitato l'accesso per gli utenti sotto i 15 anni. Il servizio di ricerca del Parlamento europeo ha registrato un notevole aumento dell'uso delle VPN per eludere i controlli di età, e nel Regno Unito si sta discutendo l'idea di limitare l'accesso ai servizi VPN stessi con un censimento di età.
La direzione generale è chiara: prima i regolatori richiedono di verificare l'età, poi scoprono che la verifica viene elusa cambiando IP, e il passo successivo è cercare di chiudere la possibilità stessa di cambiare IP. Il linguaggio giuridico, nel frattempo, resta sempre indietro rispetto alla tecnologia — "indirizzo VPN noto" rimane un riferimento a un database commerciale, che nessuno è obbligato a pubblicare o contestare.
Conclusione
Il fallimento del SCREEN Act il 5 agosto è un rinvio della procedura, non una cancellazione della direzione: il disegno di legge ha ottenuto la maggioranza dei voti e non è passato solo a causa dell'assenza. Un vero precedente è già stato creato nello Utah, dove la responsabilità per l'utente dietro una VPN ricade sul sito dal 6 maggio 2026, e la logica di questa legge spinge le piattaforme verso un blocco totale degli indirizzi contrassegnati.
Per coloro che utilizzano proxy nel lavoro, la conclusione pratica è: gli indirizzi infrastrutturali stanno diventando più economici e più rischiosi, e l'affidabilità dell'accesso dipende sempre di più da dove è fisicamente preso l'IP. È importante controllare non la velocità dichiarata del pool, ma la sua origine e come appare nei database di reputazione IP — perché è proprio su di essi che ora si basa la legge.