Журналы провайдера и СОРМ — что государство видит в твоём интернете

Когда говорят «провайдер видит всё, что ты делаешь» — это упрощение. Чтобы понять, что именно видно, надо разобраться в двух вещах: какие данные провайдер технически способен собрать (это вопрос протоколов) и какие данные он обязан собрать и хранить по закону (это вопрос юрисдикции).

В этой статье — про вторую часть. Про систему оперативно-розыскных мероприятий (СОРМ-3), закон Яровой и то, что они означают на практике в 2026 году. Без алармизма и без политики — фактическое состояние дел.

Что такое СОРМ

СОРМ — это аппаратно-программный комплекс, который российское законодательство обязывает устанавливать всех операторов связи. Изначально система появилась в 1995 году для прослушки телефонных переговоров (СОРМ-1), затем расширилась на интернет-трафик (СОРМ-2, 2008) и сейчас живёт в виде СОРМ-3 (с 2014, с поправками вплоть до 2025).

Технически: провайдер ставит у себя «чёрный ящик» — устройство, которое зеркалирует весь проходящий через него трафик. Доступ к этому ящику есть у территориального управления ФСБ через защищённый канал. Провайдер сам не видит, кого и когда «слушают» — это решает следователь по своему постановлению.

Заметь — СОРМ касается операторов связи, не интернет-сервисов. То есть твой провайдер интернета (Ростелеком, МТС, Билайн домашний интернет) — обязан, а условный Telegram или ВКонтакте — нет (на них действует другой закон, см. ниже).

Закон Яровой и обязательное хранение

В 2018 году вступила в силу часть «закона Яровой», обязывающая операторов связи самостоятельно хранить трафик пользователей. Конкретно:

• Метаданные соединений — кто, когда, с кем, как долго. Срок хранения: 3 года.
• Содержимое интернет-трафика — да, именно «всё, что прошло через оператора». Срок хранения: 6 месяцев, с 2023 — 12 месяцев.

Это не «государство хранит» — это сам провайдер обязан хранить и выдавать по запросу. На практике провайдеры построили огромные дата-центры под этот трафик. Оборудование оплачивает оператор — это переложилось в стоимость интернета для всех нас.

Что обязан хранить интернет-сервис

С 2017 года действует реестр организаторов распространения информации (ОРИ). Сервисы из этого реестра обязаны:

• хранить факт коммуникации (кто кому писал) — 1 год;
• хранить содержимое сообщений — 6 месяцев;
• по запросу ФСБ — выдавать ключи шифрования.

В реестр входят: ВКонтакте, Одноклассники, Mail.ru, Яндекс.Мессенджер, TamTam, Дзен и десятки других. Не входит: Telegram (отказался выдать ключи в 2018 — был формально «заблокирован», но по факту работал; конфликт продолжается до сих пор), большинство иностранных сервисов (они вне юрисдикции).

Это объясняет, почему «защищённость» переписки сильно зависит от конкретного сервиса, а не от того, как ты подключён к интернету.

Что видит твой провайдер интернета на 2026 год

Дальше — техническая реальность. Что именно проходит через «чёрный ящик» СОРМ:

1. Метаданные TCP/UDP-соединений

• Твой IP, IP назначения
• Порт назначения
• Время начала и конца соединения
• Объём трафика в обе стороны

Это всегда видно, никаким VPN/Tor это нельзя скрыть от непосредственного провайдера — провайдер обязан передать пакет дальше, поэтому видит куда. Что прячется при VPN: IP назначения становится адресом VPN-сервера. Конечный сайт скрыт, но факт «ты подключён к VPN-серверу X» — фиксируется.

2. DNS-запросы (по умолчанию)

Если ты не включил DoH/DoT — все DNS-запросы идут к серверу провайдера в открытом виде. Каждый раз когда ты открываешь сайт, твой провайдер видит запрос «какой IP у example.com». DNS — это самый лёгкий канал отслеживания, который закрывается за 3 минуты настроек (см. гайд по DoH).

3. SNI HTTPS-соединений

Server Name Indication — расширение TLS, в котором браузер передаёт имя домена в первом пакете handshake в открытом виде, чтобы сервер выбрал правильный сертификат. Провайдер видит SNI у каждого HTTPS-соединения. Это означает: даже с DoH, провайдер всё ещё знает какие сайты ты открываешь — просто не через DNS, а через SNI.

Закрывается Encrypted Client Hello (ECH), но он ещё не везде. Cloudflare уже включил у себя; крупные российские сайты — нет.

4. Содержимое HTTP

Если сайт открывается по http:// (без шифрования) — провайдер видит всё: страницы, формы, пароли. По состоянию на 2026 год это редкость (>95% веба на HTTPS), но локальные сервисы — старые форумы, пиратские видео, IoT-роутеры — иногда ещё на HTTP.

5. Что НЕ видит провайдер

• Содержимое HTTPS-соединений — расшифровать TLS без приватного ключа сервера невозможно (если у провайдера нет соглашения с конкретным сайтом, что бывает крайне редко).
• Содержимое VPN-туннелей — внутри туннеля трафик зашифрован и закапсулирован.
• Сообщения в end-to-end-зашифрованных мессенджерах (Signal, WhatsApp, новые версии Telegram secret chats) — даже сами серверы сервиса не видят содержимое.

Что видит интернет-сервис из реестра ОРИ

Если провайдер интернета — это «трубочист», то ОРИ-сервис — это уже стороны коммуникации. Условный ВКонтакте видит:

• кто кому пишет;
• содержимое сообщений (если переписка не E2E-зашифрована — а на ВКонтакте обычная переписка не зашифрована);
• метаданные звонков и комментариев;
• IP-адреса входов;
• все действия в сервисе.

И обязан передать это по постановлению. VPN тут не поможет, потому что речь не про канал передачи — речь про данные, которые сам сервис держит у себя.

Кто и как получает данные

Доступ к СОРМ имеют:

• ФСБ — основной потребитель, по постановлению следователя или суда.
• МВД, СК, ФСО, ФСИН, СВР — через ФСБ, для своих расследований.
• Военная разведка ГРУ — теоретически имеет доступ; на практике редко используется.

Никаких «гражданских» запросов нет. Магазин не может посмотреть твой трафик, работодатель — тоже. Это не значит, что данные защищены от утечки — провайдеры периодически роняют свои базы (последний крупный случай был в 2024 у одного из top-5 операторов).

Постановление — не обязательно судебное. Часть запросов делается по «оперативной необходимости» — это право следователя, оформляется постфактум.

Что меняется при использовании защитных мер

Только HTTPS (никаких настроек)

• Содержимое страниц защищено
• DNS-запросы видны провайдеру (и СОРМ соответственно)
• SNI виден
• IP-адреса видны
• Тайминг и объём трафика виден

Это базовый уровень — то, что у среднего пользователя в 2026 году.

+ DoH/DoT

• DNS-запросы скрыты от провайдера
• SNI виден (это пока невыключаемо)
• IP-адреса видны
• Тайминг и объём трафика виден

DoH закрывает один канал утечки, но не картину целиком.

+ VPN-туннель (любой)

• DNS внутри туннеля
• SNI внутри туннеля (провайдер видит только SNI VPN-сервера)
• IP назначения — IP VPN-сервера, не реального сайта
• Виден факт «пользователь подключён к VPN-серверу X» и общий объём трафика в этом туннеле

То есть провайдер знает что ты на VPN, но не знает что именно ты делаешь внутри. Распределение трафика по сервисам видно VPN-провайдеру — здесь возникает вопрос доверия к нему.

+ Tor поверх VPN

• Все вышеперечисленные слои защиты
• VPN-провайдер тоже не видит назначение трафика — оно пройдёт через три случайных Tor-узла
• Скорость падает в десятки раз
• Многие сайты блокируют Tor-узлы

Это сценарий для журналиста, юриста по делам о свободе слова или исследователя — для рутинного использования избыточно.

Юридические нюансы 2026

• С 1 марта 2024 — постановление № 1641 запрещает популяризацию VPN как средства обхода блокировок. Технически это не запрет на использование VPN, это запрет на рекламу VPN с такой формулировкой. Использовать VPN можно.
• С 1 марта 2025 — административная ответственность за поиск «экстремистских материалов» с использованием VPN (статья 13.55 КоАП, штраф до 5000 ₽). Сам факт использования VPN — не нарушение; нарушение — это поиск конкретного контента из реестра.
• Закон о «суверенном интернете» (2019, активно применяется с 2021) — позволяет РКН в кризисных ситуациях фильтровать или блокировать трафик централизованно, минуя провайдеров. Используется для блокировки Twitter / Facebook / Instagram с 2022 года, и для замедления YouTube с 2024.

Что не запрещено:

• Использовать VPN для приватности и защиты соединений в открытых сетях.
• Подключаться к корпоративному VPN работодателя.
• Шифровать DNS через DoH/DoT.
• Использовать end-to-end-зашифрованные мессенджеры.

Стоит ли «бояться»?

Если ты не делаешь ничего противозаконного — твои данные в архивах провайдеров и СОРМ почти наверняка никем не запрашивались. Объём этих данных гигантский (терабайты на одного активного пользователя за год), и системно их никто не разгребает. Запросы делаются под конкретное расследование.

Что реально стоит понимать:

• Ты не «анонимен» в рунете — к любым твоим действиям существует цифровой след. Это не значит, что за тобой следят, но значит, что при необходимости тебя найдут.
• Утечки случаются. База провайдера может оказаться в открытом доступе после взлома — и там будут метаданные всех пользователей.
• Метаданные информативнее, чем кажется. По одним лишь IP-адресам и таймингам можно реконструировать, какие сайты ты посещаешь, когда ложишься спать, в какие часы работаешь, в каких регионах бываешь.

Защититься от единичной утечки и от пассивного логирования технически возможно через комбинацию HTTPS + DoH + VPN — без подвига и без юридических рисков.

Что делать прямо сейчас

Минимальный набор, который снимает большую часть пассивного логирования:

1. Включить DoH — за 3 минуты на любом устройстве. Гайд тут.
2. Включить HTTPS-Only в браузере. Это уже почти везде дефолт.
3. Использовать end-to-end-зашифрованные мессенджеры (Signal или секретные чаты Telegram) для чувствительной переписки.
4. По желанию — VPN-туннель, если переживаешь за метаданные или часто пользуешься открытыми Wi-Fi (см. статью про Wi-Fi-кафе).

Это не «спрятаться». Это просто разумная гигиена цифровых следов — такая же, как закрывать дверь, выходя из квартиры. В большинстве случаев никто не пытается войти. Но дверь всё равно стоит закрывать.