Суд в Юте: геолокация по IP не точна

24 сентября 2026 года федеральный судья в Юте Дэвид Барлоу приостановил ту часть закона SB 73, которая требовала от сайтов узнавать реальное местоположение посетителя даже за VPN или прокси. Главный довод суда сформулирован почти инженерно: идеальной геолокации по IP сейчас не существует, а закон требовал именно её. В конце октября свои рекомендации по выявлению VPN должен выпустить британский Ofcom. Ниже разбираем, что решил суд, чем это отличается от позиции Великобритании и что меняется для тех, кто работает с гео-зависимыми сервисами, скрапингом и прокси.

Что решил суд в Юте

Иск подала Aylo (владелец Pornhub и других сайтов для взрослых), дело Aylo Freesites Ltd v. Utah, № 2:26-cv-00340. Под удар попала одна норма: раздел 78B-3-1002(3), добавленный поправками 2026 года. Она считала посетителя, физически находящегося в Юте, жителем штата, даже если его местоположение скрыто VPN или прокси. За такого пользователя отвечал сайт.

Суд выдал предварительный судебный запрет (preliminary injunction). Основные доводы:

В норме нет оговорки о «разумных усилиях». Формально сайт отвечает за каждого пропущенного пользователя, то есть обязан геолокировать всех без ошибок. При этом обе стороны согласились, что идеальная геолокация невозможна.
Нагрузка на торговлю за пределами штата. Раз нельзя точно отличить жителя Юты за VPN от жителя Сиэтла или Шанхая, сайту пришлось бы проверять возраст у всех посетителей мира. В решении фигурирует цифра: Aylo пришлось бы верифицировать 28 млн пользователей. Суд счёл, что это, вероятно, нарушает так называемую «спящую» торговую оговорку Конституции США (dormant Commerce Clause).
У штата есть менее обременительные способы защитить несовершеннолетних.

Юта возражала, что закон требует не совершенства, а разумных мер: вероятное использование VPN можно вычислить, а местоположение вывести из настроек устройства и активности аккаунта. Суд ответил, что анализирует текст закона, принятый легислатурой, а не то, как генеральный прокурор предлагает его применять.

Что осталось в силе

Основная обязанность сайтов для взрослых проверять возраст «разумными методами» действует.
Запрет таким сайтам рассказывать, как обойти проверку через VPN, Aylo не оспаривала, он тоже сохраняется.
Правила исполнения R152-78B, опубликованные 1 сентября и способные вступить в силу с 8 октября, применять нельзя, пока действует запрет суда.
Стороны договорились отложить процесс до окончания сессии легислатуры Юты 2027 года: ожидается, что закон перепишут.

Контекст: законы о проверке возраста для взрослого контента приняты в 27 штатах США (на август 2026), но только Юта попыталась прямо обязать сайты вычислять пользователей за VPN. Как эта норма выглядела до суда и почему она подталкивала сайты к массовой блокировке IP, мы разбирали в статье про SCREEN Act и Utah SB 73.

Почему IP не говорит, где человек

Вывод суда технически верен и выходит далеко за пределы сайтов для взрослых. IP-геолокация — это вероятностная оценка по базе данных, а не измерение. Сайт видит только адрес, с которого пришёл запрос. Если трафик идёт через VPN или прокси, это адрес промежуточного сервера или чужого устройства.

Даже без VPN точность невысока. По данным самой MaxMind (одна из крупнейших геобаз), для США в радиусе 50 км правильно определяется около 60% IP-адресов, ещё 33% привязаны к городу, но промахиваются больше чем на 50 км, а для 7% данных на уровне города нет вовсе. Компания отдельно оговаривает, что не гарантирует точность в будущем.

Ошибка складывается из нескольких слоёв:

Привязка блоков к региону регистрации. Провайдер может зарегистрировать подсеть в одном городе, а раздавать её абонентам в другом.
Мобильный NAT. У сотовых операторов за одним публичным IP сидит много абонентов, а выход в интернет часто идёт через узел в другом регионе.
Корпоративные сети и облака. Сотрудник в Юте с офисным VPN выглядит как пользователь из штаб-квартиры в Калифорнии или из дата-центра.
Задержка обновления баз. Подсети переходят между провайдерами и странами, а базы догоняют это неделями.

Поэтому любое требование «определи точно» упирается в физику сети. Суд Юты стал, по сути, первым судом, который зафиксировал это в решении о VPN.

Великобритания идёт другим путём

В Великобритании проверка возраста по Online Safety Act действует с 25 июля 2025 года, штрафы достигают £18 млн или 10% мировой выручки. Реакция пользователей была мгновенной: регистрации Proton VPN из Великобритании выросли на 1400% в день вступления правил в силу, а приложение ненадолго обошло ChatGPT в британском App Store.

Позиция властей при этом осторожнее американской:

15 июля 2026 года министр технологий Лиз Кендалл заявила в парламенте, что правительство не будет запрещать VPN и вводить для них проверку возраста.
Ofcom прямо говорит, что закон не даёт ему права требовать блокировки VPN.
В отчёте от июля 2026 года регулятор признал, что ни один метод проверки возраста не исключает обхода полностью, и рекомендует многоуровневый подход с участием магазинов приложений и контроля на уровне устройства.
При этом Ofcom поручено до конца октября 2026 года выпустить рекомендации о том, что сервисы могут сделать для выявления и предотвращения использования VPN.

То есть британская модель — не «геолокируй идеально под угрозой штрафа», а «прими разумные меры». Отраслевые разборы уже описывают для сервисов схему из трёх состояний: пользователь точно из Великобритании (применяем требования), точно не из Великобритании (вне закона) и «местоположение не проверить» — отдельное решение о риске, например проверить возраст всем в этой группе.

Как сайты будут выявлять VPN и прокси

Ни американский суд, ни британский регулятор не отменяют того, что сайты продолжат помечать подозрительный трафик. Типовой набор сигналов:

ASN хостинга. Адреса из диапазонов облаков и дата-центров (AWS, Hetzner, OVH, M247 и подобные) отмечаются первыми: обычные домашние пользователи из них не ходят.
Списки серверов VPN. Многие VPN публикуют адреса своих серверов, остальные легко собрать, подключившись к сервису.
Плотность пользователей на IP. Сотни разных аккаунтов с одного адреса за короткое время выдают выходной узел.
Несовпадения. Часовой пояс браузера, язык системы, раскладка, локаль платёжной карты против страны IP.
Поведенческие и аккаунтные сигналы — ровно то, на что ссылалась Юта в суде.

Важно, что все эти методы дают вероятность, а не доказательство. Ложные срабатывания неизбежны: под раздачу попадают сотрудники с корпоративным VPN, абоненты мобильных операторов, путешественники и автоматизированные системы, которым гео нужно для бизнеса.

Что это значит для бизнеса, который работает с гео

Решение касается сайтов для взрослых, но последствия шире. Гео по IP используют ценообразование, лицензирование контента, антифрод, рекламная верификация и мониторинг выдачи. Несколько практических выводов.

Если вы владелец сервиса

Не стройте соответствие требованиям на одной геобазе. Даже без VPN каждый третий адрес в США может быть привязан к неверному городу. Для решений с юридическими последствиями нужна запись о том, какие «разумные меры» вы приняли.
Заложите третье состояние «не знаю». Бинарное «наш регион / не наш» плохо работает на мобильном и корпоративном трафике.
Сверяйте несколько источников. Разные базы расходятся по одному и тому же адресу. Как отличаются IPQS, Scamalytics, IPinfo и другие чекеры, мы сравнивали на реальных адресах.

Если вы собираете данные или проверяете рекламу по регионам

Датацентровые адреса будут резать первыми. Волна законов о проверке возраста и рекомендации регуляторов подталкивают сайты к блокировке хостинговых ASN целиком. Для задач, где нужно видеть сайт глазами местного пользователя, подходят резидентные прокси с выбором страны и города: адрес принадлежит домашнему провайдеру нужного региона.
Мобильные адреса устойчивее к блокировкам, но хуже по точности города. Из-за NAT оператора сайт видит один адрес у множества абонентов, поэтому банить его дорого. Если важен регион, а не точный город, мобильные прокси — надёжный вариант.
Проверяйте, где «стоит» ваш IP в нескольких базах. Сайт может пользоваться не той базой, что ваш чекер, и увидеть другой регион. Перед масштабным сбором прогоните тестовые запросы и сравните, какую локальную версию отдаёт целевой сайт.
Держите отпечаток браузера в согласии с IP. Часовой пояс, язык и локаль должны соответствовать стране выхода: несовпадения ловят чаще, чем сам IP.

Что дальше

Ближайшие события, за которыми стоит следить:

Конец октября 2026 — рекомендации Ofcom по выявлению VPN. Главный вопрос: появятся ли в них конкретные технические методы или останется формула «разумных мер».
Сессия легислатуры Юты 2027 года — закон, скорее всего, перепишут с оговоркой о разумных усилиях. Тогда спор сместится с «можно ли требовать идеала» на «что считать разумным».
Другие штаты — EFF уже заявила, что будет оспаривать подобные инициативы, но законы о проверке возраста продолжают расширяться и на соцсети.

Вывод

Суд в Юте закрепил то, что сетевые инженеры знали давно: IP — это подсказка о местоположении, а не его доказательство. Законодатели могут требовать от сайтов разумных мер, но не идеальной геолокации. Для бизнеса это означает две вещи. Владельцам сервисов стоит строить гео-логику с запасом на ошибку и третьим состоянием «не знаю». А тем, кому нужен честный доступ к локальной выдаче, придётся ещё строже следить за качеством адресов: под давлением регуляторов сайты будут чаще банить датацентры и доверять в первую очередь резидентным и мобильным IP.