За использование VPN в России штрафа нет: такой нормы не существует ни в КоАП, ни в Уголовном кодексе. Зато есть штраф до 500 000 ₽ за рекламу, до миллиона рублей владельцу сервиса за повторное нарушение и от 3 000 до 5 000 ₽ за умышленный поиск экстремистских материалов. Первое в стране решение по рекламе досталось не сервису, а блогеру из Вологды, который выложил в своём Telegram-канале две ссылки.
Почему тогда полстраны уверено, что VPN запретили? Потому что 1 сентября 2025 года заработали сразу четыре разные нормы из двух разных законов, и в пересказах они слиплись в одну.
Разберём по осям. Есть закон — он говорит, кому и что нельзя, и адресован в основном не вам. Есть техника — фильтрация, которая за пять лет сменила четыре поколения и к 2026 году перестала интересоваться тем, каким сервисом вы пользуетесь. И есть деньги, где рублёвая арифметика даёт самый неожиданный ответ. Масштаб темы, кстати, тоже стоит зафиксировать честно: 40% россиян пользуются VPN активно — это апрельский замер Russian Field на 1 600 респондентах, который половина публикаций почему-то приписывает ВЦИОМу. У ВЦИОМа такого замера нет.
Наказали первым не пользователя, а рассказчика
В январе 2026 года Вологодское УФАС признало ненадлежащей рекламу VPN-сервисов. Нарушитель — владелец Telegram-канала, разместивший ссылки на двух ботов, через которых оформлялся доступ. Дело возбудили по заявлению Центра по противодействию экстремизму УМВД по Вологодской области. Предписание в итоге не выдали: к моменту рассмотрения записи были удалены.
Это первое такое решение в России. По данным «Ведомостей», на 28 января 2026 года других в базе ФАС не было. Следом появились дело УФАС по Хабаровскому краю — из-за каталога в бизнес-аккаунте WhatsApp со ссылкой на бота — и в марте 2026 первое дело против независимого медиа, телеграм-канала «Сердитая Чувашия».
Юристы отмечают расширительное толкование: ФАС исходила из того, что VPN по своей природе есть средство обхода, а значит, любая его реклама нарушает запрет — независимо от формулировок и отсутствия прямых призывов. Сам запрет живёт не в КоАП, а в части 10.8 статьи 5 закона «О рекламе». КоАП только назначает цену.
Пакет от 31 июля 2025 года — четыре нормы, которые постоянно принимают за одну
| Норма | Кого касается | За что | Сколько |
|---|---|---|---|
| ч. 18 ст. 14.3 КоАП | рекламораспространителя | реклама средств доступа к ограниченным ресурсам | 50-80 тыс. ₽ гражданину, 200-500 тыс. ₽ юрлицу |
| ст. 13.52 КоАП | владельца сервиса | нарушение порядка взаимодействия с РКН, неподключение к ФГИС | до 500 тыс. ₽, при повторе до 1 млн ₽ |
| ст. 13.53 КоАП | гражданина | умышленный поиск экстремистских материалов из федерального списка | 3-5 тыс. ₽ |
| п. «ф» ч. 1 ст. 63 УК | обвиняемого в преступлении | отягчающее обстоятельство, если при преступлении применялись такие средства | срок, а не штраф |
Обратите внимание, чего в таблице нет. Строки «пользователь» там нет вообще.
Что на самом деле произошло 1 сентября 2025 года
Статья 13.53 КоАП наказывает умышленный поиск материалов, заведомо являющихся экстремистскими и включённых в опубликованный федеральный список, — и получение доступа к ним, в том числе через средства доступа к ограниченным ресурсам. Уберите из этой фабулы VPN — состав останется. Уберите умышленный поиск материала из списка — состава не будет вовсе.
Норма об отягчающем обстоятельстве в КоАП, о которой писали десятки изданий, до финальной редакции не дожила: её убрали ко второму чтению. Отягчающее есть только в Уголовном кодексе — пункт «ф» части 1 статьи 63, введённый отдельным законом, 282-ФЗ. Оно применяется к преступлению, которое и без всякого туннеля остаётся преступлением.
За полгода действия нормы издание «Вёрстка» нашло два приговора с этим отягчающим. Оба — о покупке наркотиков. В декабре 2025 Новомосковский районный суд Тульской области дал год и восемь месяцев колонии, в феврале 2026 в Ухте — три года условно. В «ОВД-Инфо» о политических делах с таким отягчающим не знают.
Первое дело по самой статье 13.53 разбирали в Каменске-Уральском. Двадцатилетний сотрудник медучреждения; по версии защиты — ехал в автобусе, наткнулся на материалы, полистал, закрыл. В деле две картинки и протокол допроса. Сведения о просмотре передал мобильный оператор. Шестого ноября 2025 года судья вернула материалы в полицию из-за недостатков, в декабре назначила штраф в три тысячи рублей, защита ушла в кассацию. В августе 2026 в Кургане оштрафовали девятнадцатилетнего — искал признанную экстремистской аудиозапись, вычислил Центр «Э».
Три тысячи рублей и год работы правоохранительной машины. Практика точечная, и сводной статистики по статье нет.
Блокируют не бренд, а кусок карты интернета
Пока юристы спорили о составах, инженеры четыре раза сменили единицу блокировки. В 2021-2023 блокировали сервис — по адресу сервера или домену его API. В 2023-2024 перешли на протокол: с первой волны в феврале 2023 в восточных регионах не работал именно протокол, а адреса серверов оставались доступны. В 2025 единицей стало адресное пространство. В 2026 — форма потока и отпечаток клиентской программы.
Самое интересное случилось 9 июня 2025 года. Фильтр перестал опознавать протокол вообще: он смотрит на репутацию автономной системы, куда идёт трафик, и на объём — и рвёт соединение примерно после 16 килобайт, без RST. Формулировка первоисточника не оставляет двусмысленности: неважно, легитимный это HTTPS или кто-то под него маскируется. Cloudflare подтвердил независимо — на пике 13-15 июня трафик из России к их сети упал вдвое.
Масштаб измерили в феврале 2026 года: с точки в сети «Ростелекома» на северо-западе 72 автономные системы ограничены полностью, около 319 частично — суммарно 391 система и больше 225 миллионов адресов. Под раздачу через адресное пространство Cogent попали веб-интерфейсы домашних роутеров в США и в Ливии. Люди, которые ничего не обходили и про Россию не думали.
Вот здесь и ломается утешительная мысль «заведу свой сервер — и порядок». Личный сервер в европейском дата-центре попадает под то же правило, что коммерческий, потому что правило написано не про сервис, а про адресное пространство. Фильтрация по отпечатку клиентской программы, применённая в марте 2026, вообще не смотрит на адрес. А первого апреля 2026 прокси Telegram встали по всей стране разом — из-за двух ошибок в клиенте, одинаковых у всех, чей бы сервер ни стоял на другом конце.
Единственный воспроизводимый замер после майской волны 2026 года сделала «Теплица»: 27 конфигураций, шесть сетей, четыре региона. Работали три. У федеральных операторов — ноль из восьми, у региональных провайдеров — четыре из девятнадцати. Редакция честно оговаривает, что двадцать семь измерений это срез, а не картина по стране.
При всём этом система ничего не расшифровывает. Лучшее доказательство — блокировка Cloudflare ECH пятого ноября 2024 года: ECH прячет имя запрашиваемого сайта, которое раньше шло открытым текстом, и фильтр ослеп ровно в тот момент, когда у него отобрали одно нешифрованное поле. Расшифровывающая система этого бы не заметила. Заодно стоит поправить и самый популярный технический миф: Роскомнадзор с августа 2023 года отчитался о стопроцентной оснащённости узлов связи, а не об обработке ста процентов трафика. Целевые показатели, опубликованные в мае 2026, говорят о 92% эффективности против средств обхода и 98% контролируемого трафика к концу 2030 года. Система сама себя стопроцентной не считает.
Теперь вас видит не только сеть
Апрель 2026 добавил слой, к сетевой фильтрации отношения не имеющий. RKS Global разобрал тридцать популярных Android-приложений российских компаний: двадцать два отслеживают наличие VPN, и девятнадцать из этих двадцати двух отправляют статус на свои серверы. С 14 апреля крупные сервисы начали ограничивать функциональность при включённом туннеле — маркетплейсы, банковские приложения, видео на платформах VK. С 15 апреля действуют рекомендации Минцифры делать именно так.
Пользователь при этом остаётся полностью в своём праве. Просто половина нужных ему приложений перестаёт работать.
Фоном идут отключения мобильного интернета, и здесь надо быть аккуратным с цифрами. За 2025 год их насчитали 20, 57 или 11 298 — смотря кто считал: Access Now, Top10VPN или проект «На связи». Три числа об одной реальности, и каждое верно в своей методике. Важно другое: во время шатдауна не работает ничего, и выбор сервиса не значит ровным счётом ничего.
Способ оплаты дороже подписки
Официальный курс Банка России на 12 сентября 2026 года — 84,2569 ₽ за доллар. Подписка за 2,99 доллара по этому курсу стоит 251,93 ₽. Заплатите вы от 350 до 700 ₽.
Разница — это цена способа. Российская карта у зарубежного мерчанта не проходит, её отсекают по BIN. Карта банка страны ЕАЭС упирается не в тариф, а в идентификацию: без местного налогового номера счёт нерезиденту не открывают, удалённо его получают через платное цифровое резидентство — 499 долларов в год, то есть 42 044 ₽. Посредники оформляют карту «онлайн из России» от 12 000 ₽, но нерезиденту её выдают максимум на двенадцать месяцев, дальше продление.
Комиссию посредников не публикует никто — все советуют «считать полную стоимость». Один задокументированный замер объясняет почему. Доплата в 73 цента обошлась в 435 ₽. По курсу ЦБ это 61,51 ₽. Переплата в семь раз, и виновата не жадность, а минимальный сбор в 300-500 ₽, который съедает мелкий платёж целиком.
Криптовалюта работает не так, как о ней думают. Статья 14 закона 259-ФЗ запрещает принимать цифровую валюту в оплату товаров, работ и услуг; владеть, покупать, продавать и менять на рубли законно, и Конституционный суд в январе 2026 года подтвердил право на судебную защиту. Расчёт с иностранным контрагентом прямым запретом не охвачен — но это юридическое толкование, а не норма, и выдавать его за разрешение не стоит.
Свой сервер вместо готовой подписки
Плюсы
- Хостеры с зарубежными локациями берут рублями через карту «Мир» и СБП: 90-330 ₽ в месяц. Комиссия способа оплаты на этом маршруте равна нулю
- Нет чужой политики логов и чужого решения закрыться
- Смена локации и пересборка занимают часы, а не переписку с поддержкой
Минусы
- Голая аренда с доменом — 296,60 ₽ в месяц, это уже дороже годового тарифа российского сервиса в 233,25 ₽
- Час своего времени в месяц по медиане ИТ-рынка — 1 161,68 ₽, вчетверо дороже самой аренды
- Фильтрация по автономным системам не отличает личный сервер от коммерческого: правило написано на адресное пространство
- Отпечаток клиентской программы от редкости сервера не зависит вовсе
- Хостер может удалить услугу по требованию регулятора — тогда вы платите полной перенастройкой
Медиана по ИТ-рынку в исследовании Хабр Карьеры — 191 000 ₽ в месяц, то есть 1 161,68 ₽ за час при годовом фонде в 1 973 часа. Отсюда честный счёт владения: голая аренда с доменом — 296,60 ₽ в месяц, с одним часом обслуживания — 1 458,28 ₽, а в первый год, с двенадцатью часами первоначальной настройки, — 2 619,96 ₽.
И вот цифра, которая переворачивает тему. Годовой тариф российского сервиса с рублёвым биллингом — 2 799 ₽, то есть 233,25 ₽ в месяц. Голая аренда своего сервера дороже. Без учёта единой минуты вашего времени.
Корпоративный контур держится на пресс-релизе
Есть сценарий, где всё прямо разрешено. Двадцать второго апреля 2026 года Роскомнадзор заявил дословно: использование сетевых протоколов шифрования для корпоративного взаимодействия в сетях связи внутри страны не ограничивается. Для доступа к зарубежным ресурсам работает заявительный порядок — в перечень исключений включено более 57 тысяч адресов и подсетей 1 730 организаций.
Заявка подаётся письмом в Центр мониторинга и управления сетью связи общего пользования: название организации, ИНН, протокол, адреса источника и назначения, цель соединения. И вот деталь, которая меняет всё: нормативного акта, утверждающего этот порядок, не существует. Ни постановления, ни приказа. Ни утверждённой формы, ни срока рассмотрения, ни отказа, который можно обжаловать.
Корпоративный VPN в России защищён заявлением ведомства, а не нормой права.
Юристы Comply читают ситуацию прямо противоположным образом: по их мнению, требования статьи 15.8 работают не только для публичных сервисов, но и для корпоративных решений. Коллизия не разрешена ни законом, ни практикой — судебных дел по статье 13.52 КоАП в открытых источниках попросту нет.
Защищать канал компанию заставляет при этом не разговор про VPN, а собственная модель угроз. Приказ ФСТЭК № 21 требует защиты персональных данных при передаче по каналам за пределами контролируемой зоны, но шифровальные средства выносит за свои рамки первым же пунктом. Как только применяются криптосредства, включается приказ ФСБ № 378 и классы КС1, КС2, КС3. Класс диктуется не столько угрозами, сколько режимом помещения: надбавка за КС3 у одного из вендоров фиксированная, около 78 275 ₽. Отсутствие замка на серверной стоит ровно эту сумму.
Считать здесь надо не расходы, а разницу. Лицензия защищённого клиента класса КС2 — 4 750 ₽ в год за рабочее место; тысяча мест обходится в 4,75 млн ₽. Штраф за первую же утечку данных более чем ста тысяч человек — от 10 до 15 млн ₽, а оборотный штраф за повторную — от 1 до 3% выручки, но не менее 20 млн ₽. До мая 2025 года потолок по этой статье для юрлица составлял сто тысяч рублей.
Что с этим делать
Задайте себе три вопроса вместо одного. Первый: вы пользователь, распространитель или владелец сервиса? От ответа зависит, есть ли для вас вообще норма — для пользователя её нет, для двух других есть, и цена измеряется сотнями тысяч. Второй: вы обходите ограничения или подключаетесь к своему рабочему контуру? Второе — единственный сценарий с публичной поддержкой регулятора, и для юрлица он оформляется заявкой в ЦМУ ССОП. Третий: вы посчитали способ оплаты, а не подписку? При номинале в 252 ₽ и минимальном сборе посредника в 300-500 ₽ арифметика переворачивается на противоположную.
Для компании счёт совсем простой: сертифицированный клиент на рабочее место стоит меньше пяти тысяч в год, а нижняя граница оборотного штрафа — двадцать миллионов.
И перестаньте искать рейтинг работающих сервисов. Единица блокировки давно не сервис: сначала протокол, потом автономная система, теперь форма потока и отпечаток программы. Три последних уровня к выбору бренда не относятся никак.
Блогер из Вологды, с которого начался этот текст, ничего не обходил. Он выложил две ссылки. Оштрафовать его за пользование было не за что — а за рассказ нашлось. Закон в 2026 году защищает не от туннеля. Он защищает от разговора о нём.