La Gran Bretagna è passata da "controlla l'età" a "chiudi le falle". Nell'estate del 2026, il governo sta preparando un divieto sui social media per i bambini sotto i 16 anni e, per la prima volta in modo aperto, discute delle restrizioni sui VPN stessi, mentre la Commissione Europea li definisce "una falla da chiudere". Analizziamo cosa sta succedendo, perché i VPN commerciali sono nel mirino e quali strumenti di privacy sopravvivranno realmente a questa ondata.
Cosa è successo: da controlli dell'età a caccia all'evasione
La storia si sviluppa come in un manuale. Inizialmente, lo stato introduce il controllo dell'età, gli utenti iniziano a utilizzare massicciamente i VPN per fingersi residenti in un altro paese, e allora lo stato si rivolge ai VPN stessi. Il Regno Unito ha approvato i primi due atti nel 2025 e ora sta entrando nel terzo.
Il punto di partenza è l'Online Safety Act 2023, entrato in vigore il 25 luglio 2025. Ha obbligato i siti con contenuti "per adulti" e materiali su autolesionismo a implementare un controllo dell'età "altamente efficace": caricamento di un documento d'identità governativo e un selfie. La reazione è stata immediata e record: Proton VPN ha riportato un aumento delle registrazioni in Gran Bretagna del 1400% subito dopo l'entrata in vigore della legge e, al picco, ha superato ChatGPT come l'app gratuita più scaricata nell'App Store britannico; successivamente, l'azienda ha registrato una crescita costante delle registrazioni giornaliere fino al 1800%. NordVPN ha confermato un'impennata degli acquisti nel Regno Unito del 1000%, cinque app VPN sono entrate nella top 10 dell'App Store. La petizione sul sito del parlamento per annullare l'Online Safety Act è stata firmata da oltre 270.000 persone.
Non si tratta di un'anomalia britannica. Salti simili si sono già verificati in Francia (+1000% dopo l'introduzione di regole simili a giugno 2024) e in Turchia (+1100% dopo il rafforzamento delle restrizioni su Internet). Abbiamo scritto in dettaglio su come le leggi sul controllo dell'età stiano dividendo Internet in tutto il mondo e perché la domanda di proxy e VPN stia raggiungendo record nel nostro articolo sulla verifica dell'età e l'impennata della domanda di evasione — questo è il contesto in cui si svolge il nuovo episodio.
Nuovo episodio: "Australia-plus" e mira ai VPN
Nel giugno 2026, il governo ha annunciato un divieto sui social media per i minorenni sotto i 16 anni, definendolo un approccio "Australia-plus" — più severo di quello australiano. Sono inclusi TikTok, Instagram, Snapchat, X, Reddit, YouTube e Facebook. A differenza dell'Australia con i suoi "passi ragionevoli", la Gran Bretagna richiede una conferma dell'età "altamente efficace", mentre il regolatore Ofcom valuta le tecnologie di coercizione.
Il cambiamento chiave è che, per la prima volta, l'evasione stessa è entrata nell'agenda. Andy Burnham, considerato un probabile futuro primo ministro, secondo la stampa sta preparando restrizioni sui VPN affinché i minorenni non possano eludere il divieto. La ministra per la tecnologia Liz Kendall ha dichiarato esplicitamente: "Faremo ulteriori dichiarazioni sui VPN a luglio". Ciò significa che lo stato sta passando dal controllo dei contenuti al controllo dello strumento di accesso.
Dal punto di vista tecnico, il divieto presenta un'aritmetica scomoda: circa il 10% dei minorenni non ha un passaporto. Pertanto, si stanno discutendo alternative — stima dell'età tramite il volto (facial age estimation), schemi di identificazione digitale (Digital ID) e verifica tramite dati finanziari e telecomunicazioni. I difensori dei diritti umani suonano l'allerta. Maya Thomas di Big Brother Watch avverte che la raccolta di ID e biometria non renderà i bambini più sicuri, ma creerà "un insieme completamente nuovo di rischi informatici" per tutti. L'ex deputato del Parlamento Europeo David Campbell Bannerman si è espresso in modo più deciso: "Stiamo entrando in un incubo distopico mentre dormiamo".
Europa: "VPN sono una falla da chiudere"
La Gran Bretagna non è sola. La vicepresidente esecutiva della Commissione Europea Henna Virkkunen ha sostenuto l'idea di limitare i VPN. La Commissione Europea stessa sta promuovendo un'app per il controllo dell'età e un concetto di "passaporto digitale" per l'accesso a Internet, sottolineando separatamente che il loro sistema non può essere eluso tramite VPN. Il centro di analisi del Parlamento Europeo ha addirittura definito i VPN "una falla da chiudere".
È importante comprendere una questione fondamentale che i regolatori hanno finalmente realizzato. Ci sono due tipi diversi di blocco:
- Geo-blocco per IP. Il sito verifica da quale paese proviene la richiesta. Contro di esso, i VPN e i proxy funzionano: prendi l'IP del paese desiderato — e il contenuto si sblocca.
- Controllo legato all'identità. L'età è confermata tramite un documento d'identità governativo e uno scan del volto a livello di account, e non tramite geolocalizzazione. Contro di esso, la sostituzione della posizione è inutile: non importa quale sia il tuo IP, se il sistema richiede proprio il tuo volto e il tuo documento.
È proprio per questo che la nuova ondata di leggi punta sulla verifica legata all'identità — e questo è un fatto tecnico onesto che vale la pena riconoscere chiaramente: né i VPN né i proxy "eluderanno" il controllo dell'età legato alla biometria e al documento. Qualsiasi servizio che promette il contrario vende un'illusione. Il cambiamento dei regolatori in questa direzione non è una coincidenza, ma una risposta all'impennata dei VPN del 2025.
Perché i VPN commerciali sono i primi a essere colpiti
Se il controllo facciale non può essere eluso dai VPN, perché gli stati dovrebbero vietare i VPN? Perché per i geo-blocchi e la censura funzionano ancora — e perché è tecnicamente più facile identificarli e silenziarli. L'esperienza dei paesi che già reprimono i VPN è significativa.
Russia
Entro metà gennaio 2026, nel paese sono stati bloccati, secondo le stime, 439 servizi VPN — il 70% in più rispetto all'autunno del 2025. Viene utilizzata l'ispezione profonda dei pacchetti (DPI) tramite il sistema TSPU e la classificazione del traffico tramite IA: il sistema impara a riconoscere le "impronte" caratteristiche dei protocolli VPN, senza nemmeno decrittare il contenuto.
Cina
Il "Grande Firewall" ha aggiunto analisi di entropia e sondaggio attivo dei server. Dopo il sequestro dei server di relay interni nel aprile 2026, la percentuale di connessioni riuscite per NordVPN e ProtonVPN è scesa "quasi a zero".
Emirati Arabi Uniti
L'uso di VPN per accedere a servizi bloccati è soggetto al Federal Decree-Law No. 34 del 2021 — con multe fino a 2 milioni di dirham.
Il denominatore comune è semplice: i VPN commerciali sono un insieme ristretto e noto di IP server e una firma di protocollo riconoscibile. Gli intervalli degli endpoint VPN pubblici sono stati catalogati da tempo, gli handshake OpenVPN/WireGuard sono riconosciuti dal DPI e centinaia di migliaia di utenti si connettono tramite gli stessi indirizzi. Per un firewall statale, questo rappresenta un obiettivo grande, statico e facilmente identificabile. Da qui il "quasi nullo" successo delle connessioni in Cina.
Cosa sopravvive realmente a questa ondata
La conclusione per coloro che lavorano con la privacy e i dati in modo legale — analisi aziendale, verifica della pubblicità, monitoraggio dei prezzi, QA in diverse regioni, accesso cross-regionale a contenuti pubblici — è diversa dagli slogan "eludi tutto".
In primo luogo, dove il controllo è legato alla tua identità (biometria, ID governativo), i mezzi tecnici non risolvono affatto il problema — è una questione di legge e consenso, non di proxy. Diciamo la verità e non vendiamo evasione.
In secondo luogo, dove si parla di accesso geo e reputazione IP, la differenza tra gli strumenti diventa decisiva. A differenza degli endpoint VPN pubblici generali, i proxy residenziali e mobili utilizzano IP reali di provider domestici e operatori mobili. Per i sistemi che valutano l'origine e la reputazione dell'indirizzo, tale traffico appare come un utente normale, e non come un noto nodo VPN. Questa è la base della resilienza: non un'astuzia per eludere la legge, ma un'infrastruttura che è più difficile da confondere con un "elenco di VPN pubblici".
- Proxy residenziali — IP di reti domestiche reali; adatti per la raccolta di dati pubblici, verifica dei risultati e pubblicità in regioni specifiche.
- Proxy mobili — IP di operatori mobili; profilo il più "umano" possibile dove il rilevamento è più severo.
È per questo che le analisi di mercato per il 2026 consigliano sempre più IP di operatori reali invece di VPN pubblici e indirizzi di data center: questi ultimi sono più facili da catalogare e bloccare in massa. Ciò che oggi sta silenziando i VPN in Russia e Cina è proprio il fingerprinting degli endpoint statici, e non "proxy come classe".
Cosa significa questo nella pratica
- Distingui il tipo di barriera. Geo-blocco per IP — i proxy aiutano. Controllo dell'identità tramite documento/volto — nulla aiuta, ed è normale riconoscerlo.
- Non fare affidamento su un singolo endpoint VPN pubblico. Come dimostra il 2026, gli intervalli statici vengono silenziati in massa. La resilienza deriva dalla diversità e dalla realtà degli IP, non da un "protocollo segreto".
- Lavora nel rispetto della legge. Le leggi sull'età e la biometria sono territorio di conformità, non di evasione. Gli scenari legali (analisi, pubblicità, monitoraggio dei prezzi, QA cross-regionale) non subiscono danni dalla nuova ondata.
- Preparati all'era DPI. I regolatori stanno passando da blocchi per IP a ispezioni del traffico e collegamenti all'identità. Vince l'infrastruttura che appare come un normale utente domestico o mobile.
Conclusione
Nel luglio 2026, la Gran Bretagna fa ciò che prima o poi fanno tutti coloro che introducono controlli dell'età: smette di combattere contro i contenuti e inizia a combattere contro l'evasione. La Commissione Europea definisce i VPN "una falla", la Russia silenzia centinaia di servizi, la Cina riduce il loro successo a zero. Ma la lezione qui non è "i proxy stanno morendo", ma esattamente il contrario: sta morendo l'era degli endpoint statici, facilmente identificabili. I controlli legati all'identità non possono essere elusi onestamente da nulla — e questo vale la pena dirlo chiaramente. E per un accesso geo-legittimo e per lavorare con dati pubblici, vince l'infrastruttura che non è distinguibile da un vero utente: IP residenziali e mobili reali. Gli stati chiudono le falle — ma chiudono proprio quelle che erano ampie e visibili.