Как проверить домен и IP в реестре Роскомнадзора: полный разбор оснований блокировки (149-ФЗ, 15.1, 15.2, 15.3)
Когда пользователь из России пишет «сайт не открывается», вебмастер почти всегда слышит одну формулировку: «вас заблокировал Роскомнадзор». На практике за этой фразой прячутся три разные записи реестра и ещё один механизм, который в реестр не смотрит вообще. Запись может висеть на домене, на конкретном URL или на IP-адресе. Пока вы не разделите эти слои, смена хостинга, жалоба регистратору и письмо в поддержку провайдера будут бить мимо цели.
Ниже основания из 149-ФЗ и команды dig, curl, openssl. Сверьте результат с чекером на главной rkn-test.ru: он смотрит реестр, DPI и IP одной проверкой.
Что именно лежит в реестре
Единый реестр, который провайдеры обязаны применять, содержит не «сайты вообще», а три типа указателей: доменное имя, URL страницы и сетевой адрес. Доменная запись закрывает все имена, которые резолвятся в этот хост, включая поддомены, если ограничение наложено на зону целиком. URL-запись бьёт по конкретному пути: главная может открываться, а раздел с материалом нет. IP-запись не смотрит на имя. Если на адресе сидит чужой проект из реестра, ваш чистый сайт на том же shared-IP перестаёт открываться у абонентов вместе с ним.
Отсюда первая развилка. Снимите A- и AAAA-записи и сравните их с тем, что отвечает сервер напрямую, минуя CDN:
dig +short example.com A dig +short example.com AAAA dig +short example.com NS dig +trace example.com | tail -n 20
Если dig с публичного резолвера (1.1.1.1, 8.8.8.8) и с резолвера российского хостинга отдаёт один и тот же адрес, DNS-подмена маловероятна. Если российский резолвер отдаёт другой IP, localhost или NXDOMAIN, пока публичный резолвер отвечает честно, это уже не реестровая запись домена, а фильтрация на DNS. Её имеет смысл отличить от ТСПУ: об этом отдельный материал про блокировку по SNI и DPI.
Основания: 15.1, 15.2 и 15.3 закона 149-ФЗ
Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации» задаёт несколько контуров ограничения доступа. Для вебмастера важны не номера статей как лозунг, а кто вносит запись и какой объект в ней указан. От этого зависит, куда писать: хостеру, площадке, правообладателю или в Роскомнадзор.
| Норма | Кто инициирует | Что обычно блокируют | Практический смысл для владельца |
|---|---|---|---|
| ст. 15.1 | Роскомнадзор по категориям информации, которую закон прямо запрещает распространять | Домен, URL или IP в едином реестре | Провайдеры режут доступ после попадания указателя в реестр. Спор идёт о содержании конкретной страницы или о «соседстве» на IP |
| ст. 15.2 | Правообладатель через Мосгорсуд | Сайт с неоднократным размещением контента без разрешения | Постоянное ограничение возможно после повторности. Зеркало без 301 и без чистки материала задачу не закрывает |
| ст. 15.3 | Генпрокуратура и Роскомнадзор, срочный контур | Призывы к массовым беспорядкам, экстремистские материалы, иная информация из этой статьи | Ограничение ставят быстро, часто на домен или URL. Срок реакции короче, чем у обычной претензии по 15.1 |
| Вне реестра | Оператор связи через ТСПУ | SNI, IP или сигнатура, даже если whois-реестра «нет» | Смотрите DPI-слой, а не только строку «в реестре отсутствует» |
Команды, которые отделяют реестр от падения сервера
Реестровая запись не обязана ронять TCP. Сервер может отвечать 200 из дата-центра за пределами фильтра, пока абонент в РФ получает обрыв. Поэтому одна проверка «у меня на VPS открывается» ничего не доказывает. Соберите три факта: резолвинг, TLS-рукопожатие с SNI и усечённый ответ.
curl -sI --http1.1 --max-time 12 --resolve example.com:443:203.0.113.10 \
https://example.com/ | head -n 20
curl -s -o /tmp/body.bin -w "http=%{http_code} size=%{size_download} time=%{time_total}\n" \
--http1.1 --max-time 15 https://example.com/
Код 200 и размер в сотни килобайт с зарубежного сервера говорят, что origin жив. Повторите тот же curl с машины у российского провайдера или доверьте это проверке домена на rkn-test.ru: сервис ходит через российский канал и отдельно помечает DPI. Обрыв на 16-32 КБ при живом origin почти никогда не бывает «упал nginx». Это типичный след фильтра, а не реестровой плашки на весь домен.
openssl s_client -connect example.com:443 -servername example.com -brief /dev/null \ | openssl x509 -noout -subject -issuer -dates
Успешное рукопожатие и валидный сертификат на имя домена означают, что порт 443 слушается и SNI доезжает до вашего сервера. Обрыв на s_client только из сети РФ при рабочем dig смещает диагноз с «домен в реестре» на фильтрацию провайдера. Подробный двухминутный порядок есть в статье почему сайт открывается через VPN.
IP-запись бьёт по соседям
Если чекер помечает IP, а домен в реестре чистый, вы делите адрес с чужим ресурсом либо ограничение висит на сети целиком. Смена имени без смены A/AAAA ничего не даст. Возьмите у хостера новый адрес и перепроверьте dig, что авторитетные NS отдают его, а не старый кэш. Раз в неделю гоняйте домен и зеркало через REST API: главная может быть чистой, пока конкретный URL уже в реестре. Витрину закрывает виджет, дежурство - тарифы мониторинга.
Что прикладывать к обращению
В обращение кладите домен, URL, IP из dig +short, время UTC и слои чекера. Для ст. 15.2 укажите, какой материал снят. Для чужого IP по ст. 15.1 приложите новый адрес и доказательство, что вашего контента на старом уже нет. Пока запись жива, зеркало без 301 заберёт ещё и поиск: см. переезд без потери трафика.
Вопросы и ответы
Чем доменная запись в реестре отличается от записи IP?
Домен закрывает имя. IP-запись режет адрес целиком, включая чужие сайты на том же хостинге. Смена имени без смены A-записи в этом случае не помогает.
Сайт есть в реестре, но через VPN открывается. Сервер упал?
Сервер при этом обычно жив: VPN уходит в сеть без фильтра провайдера. Сверьте на главной rkn-test.ru слои реестра и DPI по отдельности.
Режется только один URL. Нужен новый домен?
Нет. Снимите материал по этому пути и просите исключить указатель URL. Зеркало домена тут размножает проблему, а не лечит её.
Проверить свой домен на блокировку РКН и DPI прямо сейчас
Реестр Роскомнадзора, фильтрация по российскому каналу и статус IP в одной проверке. Для постоянного контроля подключите мониторинг, API или виджет.