Tòa án ở Utah: định vị địa lý qua IP không chính xác

Ngày 24 tháng 9 năm 2026, thẩm phán liên bang tại Utah, David Barlow, đã đình chỉ phần của luật SB 73 yêu cầu các trang web phải xác định vị trí thực tế của người dùng ngay cả khi họ sử dụng VPN hoặc proxy. Lập luận chính của tòa án được trình bày gần như theo cách kỹ thuật: không có định vị địa lý lý tưởng nào qua IP hiện nay, trong khi luật yêu cầu chính xác điều đó. Vào cuối tháng 10, Ofcom của Anh sẽ công bố các khuyến nghị về việc phát hiện VPN. Dưới đây, chúng ta sẽ phân tích quyết định của tòa án, sự khác biệt với quan điểm của Vương quốc Anh và những gì thay đổi cho những người làm việc với các dịch vụ phụ thuộc vào địa lý, scraping và proxy.

Quyết định của tòa án tại Utah

Đơn kiện được nộp bởi Aylo (chủ sở hữu Pornhub và các trang web người lớn khác), vụ án Aylo Freesites Ltd v. Utah, số 2:26-cv-00340. Một điều khoản đã bị ảnh hưởng: điều khoản 78B-3-1002(3), được thêm vào bởi các sửa đổi năm 2026. Nó coi người dùng có mặt vật lý tại Utah là cư dân của bang, ngay cả khi vị trí của họ được ẩn giấu bởi VPN hoặc proxy. Trang web phải chịu trách nhiệm cho người dùng như vậy.

Tòa án đã ban hành lệnh cấm tạm thời (preliminary injunction). Những lập luận chính bao gồm:

Trong quy định không có điều khoản về "nỗ lực hợp lý". Về mặt hình thức, trang web phải chịu trách nhiệm cho mỗi người dùng bị bỏ sót, tức là phải xác định vị trí tất cả mà không có sai sót. Cả hai bên đều đồng ý rằng định vị địa lý lý tưởng là không thể.
Gánh nặng thương mại ngoài bang. Vì không thể phân biệt chính xác cư dân Utah qua VPN với cư dân Seattle hoặc Thượng Hải, trang web sẽ phải kiểm tra tuổi của tất cả người dùng trên toàn thế giới. Trong quyết định có con số: Aylo sẽ phải xác minh 28 triệu người dùng. Tòa án cho rằng điều này có thể vi phạm điều khoản thương mại "ngủ" của Hiến pháp Hoa Kỳ (dormant Commerce Clause).
Bang có những cách ít gánh nặng hơn để bảo vệ người chưa thành niên.

Utah đã phản đối rằng luật không yêu cầu sự hoàn hảo, mà là các biện pháp hợp lý: việc sử dụng VPN có thể được tính toán, và vị trí có thể được suy ra từ cài đặt thiết bị và hoạt động tài khoản. Tòa án đã trả lời rằng họ đang phân tích văn bản của luật được thông qua bởi cơ quan lập pháp, chứ không phải cách mà tổng chưởng lý đề xuất áp dụng nó.

Những gì vẫn có hiệu lực

Nghĩa vụ chính của các trang web người lớn là kiểm tra tuổi "bằng các phương pháp hợp lý" vẫn có hiệu lực.
Cấm các trang web này tiết lộ cách vượt qua kiểm tra qua VPN, Aylo không tranh cãi, điều này cũng vẫn được giữ nguyên.
Các quy tắc thực hiện R152-78B, được công bố vào ngày 1 tháng 9 và có thể có hiệu lực từ ngày 8 tháng 10, không thể áp dụng trong khi lệnh cấm của tòa án còn hiệu lực.
Các bên đã đồng ý hoãn phiên tòa cho đến khi kết thúc phiên họp của cơ quan lập pháp Utah năm 2027: dự kiến luật sẽ được viết lại.

Bối cảnh: các luật về kiểm tra tuổi cho nội dung người lớn đã được thông qua ở 27 bang của Hoa Kỳ (tính đến tháng 8 năm 2026), nhưng chỉ có Utah đã cố gắng yêu cầu trực tiếp các trang web xác định người dùng qua VPN. Chúng tôi đã phân tích điều khoản này trước khi tòa án và lý do tại sao nó đã thúc đẩy các trang web thực hiện việc chặn IP hàng loạt trong bài viết về SCREEN Act và Utah SB 73.

Tại sao IP không cho biết vị trí của người dùng

Quyết định của tòa án về mặt kỹ thuật là chính xác và vượt xa các trang web người lớn. Định vị địa lý qua IP là một ước lượng xác suất dựa trên cơ sở dữ liệu, chứ không phải là một phép đo. Trang web chỉ thấy địa chỉ mà yêu cầu được gửi đến. Nếu lưu lượng truy cập đi qua VPN hoặc proxy, đó là địa chỉ của máy chủ trung gian hoặc thiết bị của người khác.

Ngay cả khi không có VPN, độ chính xác cũng không cao. Theo dữ liệu từ chính MaxMind (một trong những cơ sở dữ liệu địa lý lớn nhất), cho Hoa Kỳ trong bán kính 50 km, khoảng 60% địa chỉ IP được xác định chính xác, 33% còn lại được gán cho thành phố, nhưng sai lệch hơn 50 km, và đối với 7% dữ liệu không có thông tin ở cấp độ thành phố. Công ty nhấn mạnh rằng họ không đảm bảo độ chính xác trong tương lai.

Lỗi phát sinh từ nhiều lớp:

Gán các khối cho khu vực đăng ký. Nhà cung cấp có thể đăng ký một subnet ở một thành phố, nhưng phân phối cho người dùng ở thành phố khác.
NAT di động. Các nhà mạng di động có nhiều người dùng ngồi sau một IP công cộng, và việc truy cập internet thường diễn ra qua một nút ở khu vực khác.
Mạng doanh nghiệp và đám mây. Nhân viên ở Utah với VPN văn phòng có thể trông giống như người dùng từ trụ sở ở California hoặc từ trung tâm dữ liệu.
Độ trễ trong việc cập nhật cơ sở dữ liệu. Các subnet chuyển đổi giữa các nhà cung cấp và quốc gia, trong khi các cơ sở dữ liệu mất hàng tuần để cập nhật.

Vì vậy, bất kỳ yêu cầu nào về "xác định chính xác" đều gặp phải giới hạn của vật lý mạng. Tòa án Utah đã trở thành, về cơ bản, tòa án đầu tiên ghi nhận điều này trong quyết định liên quan đến VPN.

Vương quốc Anh đi theo con đường khác

Tại Vương quốc Anh, việc kiểm tra tuổi theo Đạo luật An toàn Trực tuyến có hiệu lực từ ngày 25 tháng 7 năm 2025, với mức phạt lên đến £18 triệu hoặc 10% doanh thu toàn cầu. Phản ứng của người dùng là ngay lập tức: số lượng đăng ký Proton VPN từ Vương quốc Anh đã tăng 1400% trong ngày quy định có hiệu lực, và ứng dụng đã tạm thời vượt qua ChatGPT trong App Store của Vương quốc Anh.

Quan điểm của chính quyền cẩn trọng hơn so với Mỹ:

Ngày 15 tháng 7 năm 2026, Bộ trưởng Công nghệ Liz Kendall đã tuyên bố trong quốc hội rằng chính phủ sẽ không cấm VPN và không áp dụng kiểm tra tuổi cho chúng.
Ofcom nói rõ rằng luật không cho phép họ yêu cầu chặn VPN.
Trong báo cáo tháng 7 năm 2026, cơ quan quản lý đã thừa nhận rằng không có phương pháp nào kiểm tra tuổi hoàn toàn loại trừ việc vượt qua, và khuyến nghị một cách tiếp cận đa tầng với sự tham gia của các cửa hàng ứng dụng và kiểm soát ở cấp độ thiết bị.
Trong khi đó, Ofcom được giao đến cuối tháng 10 năm 2026 phát hành các khuyến nghị về những gì các dịch vụ có thể làm để phát hiện và ngăn chặn việc sử dụng VPN.

Tức là mô hình của Anh không phải là "định vị hoàn hảo dưới hình phạt", mà là "thực hiện các biện pháp hợp lý". Các phân tích ngành đã mô tả cho các dịch vụ một sơ đồ gồm ba trạng thái: người dùng chắc chắn từ Vương quốc Anh (áp dụng yêu cầu), chắc chắn không phải từ Vương quốc Anh (ngoài luật) và "không thể kiểm tra vị trí" - một quyết định riêng về rủi ro, chẳng hạn như kiểm tra tuổi của tất cả trong nhóm này.

Các trang web sẽ phát hiện VPN và proxy như thế nào

Cả tòa án Mỹ và cơ quan quản lý Anh đều không hủy bỏ thực tế rằng các trang web sẽ tiếp tục đánh dấu lưu lượng nghi ngờ. Bộ tín hiệu điển hình:

ASN của nhà cung cấp dịch vụ. Các địa chỉ từ các dải đám mây và trung tâm dữ liệu (AWS, Hetzner, OVH, M247 và tương tự) được đánh dấu đầu tiên: người dùng thông thường không truy cập từ đó.
Danh sách máy chủ VPN. Nhiều VPN công bố địa chỉ máy chủ của họ, những cái khác dễ dàng thu thập được khi kết nối với dịch vụ.
Mật độ người dùng trên IP. Hàng trăm tài khoản khác nhau từ một địa chỉ trong thời gian ngắn cho thấy nút đầu ra.
Sự không khớp. Múi giờ của trình duyệt, ngôn ngữ hệ thống, bố cục, địa phương của thẻ thanh toán so với quốc gia của IP.
Tín hiệu hành vi và tài khoản - chính xác là những gì Utah đã đề cập trong tòa án.

Điều quan trọng là tất cả các phương pháp này chỉ đưa ra xác suất, chứ không phải bằng chứng. Các cảnh báo sai là không thể tránh khỏi: nhân viên với VPN doanh nghiệp, người dùng di động, du khách và các hệ thống tự động, những người cần địa lý cho doanh nghiệp đều có thể bị đánh dấu.

Điều này có nghĩa gì đối với doanh nghiệp làm việc với địa lý

Quyết định liên quan đến các trang web người lớn, nhưng hậu quả thì rộng hơn. Địa lý qua IP được sử dụng trong định giá, cấp phép nội dung, chống gian lận, xác minh quảng cáo và giám sát kết quả. Một vài kết luận thực tiễn.

Nếu bạn là chủ sở hữu dịch vụ

Đừng xây dựng sự tuân thủ dựa trên một cơ sở dữ liệu địa lý duy nhất. Ngay cả khi không có VPN, mỗi địa chỉ thứ ba ở Mỹ có thể được gán cho một thành phố sai. Đối với các quyết định có hậu quả pháp lý, cần có ghi chép về những "biện pháp hợp lý" mà bạn đã thực hiện.
Đặt trạng thái thứ ba "không biết". Phân loại nhị phân "khu vực của chúng tôi / không phải khu vực của chúng tôi" hoạt động kém trên lưu lượng di động và doanh nghiệp.
Đối chiếu nhiều nguồn. Các cơ sở dữ liệu khác nhau có thể khác nhau về cùng một địa chỉ. Cách mà IPQS, Scamalytics, IPinfo và các công cụ kiểm tra khác khác nhau, chúng tôi đã so sánh trên các địa chỉ thực tế.

Nếu bạn thu thập dữ liệu hoặc kiểm tra quảng cáo theo khu vực

Các địa chỉ từ trung tâm dữ liệu sẽ bị chặn trước tiên. Làn sóng luật về kiểm tra tuổi và các khuyến nghị từ cơ quan quản lý đang thúc đẩy các trang web chặn toàn bộ ASN của các nhà cung cấp. Đối với các nhiệm vụ cần nhìn thấy trang web qua con mắt của người dùng địa phương, các proxy dân cư với lựa chọn quốc gia và thành phố là lựa chọn phù hợp: địa chỉ thuộc về nhà cung cấp địa phương của khu vực cần thiết.
Các địa chỉ di động ổn định hơn trước các lệnh chặn, nhưng độ chính xác về thành phố kém hơn. Do NAT của nhà mạng, trang web thấy một địa chỉ từ nhiều người dùng, vì vậy việc chặn nó là tốn kém. Nếu khu vực quan trọng hơn thành phố chính xác, proxy di động là lựa chọn đáng tin cậy.
Kiểm tra vị trí của IP của bạn trong nhiều cơ sở dữ liệu. Trang web có thể sử dụng cơ sở dữ liệu khác với công cụ kiểm tra của bạn và thấy một khu vực khác. Trước khi thu thập quy mô lớn, hãy chạy các yêu cầu thử nghiệm và so sánh phiên bản địa phương mà trang web mục tiêu cung cấp.
Giữ cho dấu vân tay trình duyệt phù hợp với IP. Múi giờ, ngôn ngữ và địa phương phải tương ứng với quốc gia xuất phát: sự không khớp bị phát hiện thường xuyên hơn so với chính IP.

Điều gì tiếp theo

Các sự kiện sắp tới cần theo dõi:

Cuối tháng 10 năm 2026 - khuyến nghị của Ofcom về việc phát hiện VPN. Câu hỏi chính: liệu có xuất hiện các phương pháp kỹ thuật cụ thể trong đó hay chỉ còn lại công thức "các biện pháp hợp lý".
Phiên họp của cơ quan lập pháp Utah năm 2027 - luật có khả năng sẽ được viết lại với điều khoản về các nỗ lực hợp lý. Khi đó, tranh cãi sẽ chuyển từ "có thể yêu cầu sự hoàn hảo" sang "cái gì được coi là hợp lý".
Các bang khác - EFF đã tuyên bố rằng họ sẽ phản đối các sáng kiến tương tự, nhưng các luật về kiểm tra tuổi vẫn tiếp tục mở rộng và áp dụng cho cả mạng xã hội.

Kết luận

Tòa án tại Utah đã khẳng định điều mà các kỹ sư mạng đã biết từ lâu: IP chỉ là một gợi ý về vị trí, chứ không phải là bằng chứng. Các nhà lập pháp có thể yêu cầu các trang web thực hiện các biện pháp hợp lý, nhưng không thể yêu cầu định vị địa lý hoàn hảo. Đối với doanh nghiệp, điều này có nghĩa là hai điều. Các chủ sở hữu dịch vụ nên xây dựng logic địa lý với sự dự phòng cho lỗi và trạng thái thứ ba "không biết". Còn những ai cần truy cập công bằng vào kết quả địa phương sẽ phải theo dõi chất lượng địa chỉ chặt chẽ hơn: dưới áp lực từ các cơ quan quản lý, các trang web sẽ thường xuyên chặn các trung tâm dữ liệu và ưu tiên các IP dân cư và di động.