Как сохранить доступность SaaS в России при режиме «белых списков»: CDN, проксирование и обратный прокси

Когда у мобильного оператора включены белые списки, он пропускает трафик только к сервисам из перечня Минцифры, и SaaS не из перечня с телефона не открывается. Доступность решает одно: пропускает ли оператор соединение с сайтом. У владельца сервиса есть три архитектурных приёма: CDN или edge-узел, соединения с которым оператор пропускает; проксирование сторонних ресурсов через свой домен; обратный прокси перед origin.

Почему SaaS перестаёт открываться с мобильного интернета?

Соединение обрывается раньше, чем ваш сервер успевает ответить. Браузер показывает ошибку соединения, мобильное приложение получает таймаут запроса к API, а в логах origin пусто: запрос до него не дошёл. С домашнего интернета и из-за границы тот же сервис работает как обычно, поэтому мониторинг из дата-центра ничего не замечает. Первыми о проблеме узнают пользователи с телефонами.

Перечень формирует Минцифры, операторы применяют его в своих сетях. Режим включают по регионам и на время, обычно без предупреждения. Каждый оператор включает его отдельно: в одном округе ограничения могут действовать у МТС и не действовать у Билайна, а состав меняется в течение дня. Статус режима по операторам и округам показывает карта белых списков.

Масштаб виден по данным Vigo, которые 5 августа 2026 года опубликовал «Коммерсантъ»: в июле 2026 года в Центральном федеральном округе без ограничений прошло 30,5% мобильных сессий, а в Москве и области около 49%. Режим действует не только у границы: по данным «АиФ — Нижний Новгород», 10 октября 2026 года в трёх районах Нижнего Новгорода открывались только сайты из белых списков. Курьер, который открывает вашу CRM с телефона, или менеджер с мобильным приложением в такие часы видит ошибку.

Даже если основной домен откроется, интерфейс может загрузиться наполовину. Шрифты, скрипты, аналитика и картинки с чужих доменов не из перечня не загружаются, и одностраничное приложение, чей бандл лежит на стороннем домене, остаётся пустым экраном.

Что решает, откроется ли сервис?

Решает, пропускает ли оператор соединение с сайтом. Бренд хостинга здесь ничего не значит: переезд к другому провайдеру сам по себе сервис не открывает. Для архитектуры из этого следует простое правило: важен узел, который отвечает браузеру посетителя, а origin может стоять где угодно. Если перед origin стоит узел, соединение с которым оператор пропускает, посетитель получает ответ.

Пропуск адреса не вечен. По сообщению «Хакера» от 1 сентября 2026 года, Минцифры попросило хостинг- и CDN-провайдеров вынести IP-адреса из белых списков в отдельные подсети. Адрес, который работает сегодня, придётся проверять и завтра.

Официальный путь в перечень существует, но это отдельный процесс. По данным Хабра от 27 апреля 2026 года, напрямую подать заявку нельзя: Минцифры рассматривает обращение компании только с ходатайством профильного федерального ведомства, сроков и гарантий нет. По данным РБК от 5 октября 2026 года, министерство дорабатывает порядок формирования перечня, и когда заработает обновлённый механизм, неизвестно. Этот путь подробно разобран на странице о том, как попасть в белый список Минцифры. Ниже речь о том, что владелец сервиса может сделать в своей архитектуре без заявки.

Подход 1: CDN или edge-узел, адрес которого пропускают

CDN ставит между посетителем и origin сеть узлов. DNS отдаёт посетителю адрес узла, узел отвечает из кэша или забирает ответ у origin. Для белых списков важна одна деталь: с какого адреса узел отвечает посетителю из России. Если оператор не пропускает соединение с этим адресом, обычный CDN не поможет. Запрос оборвётся на узле так же, как оборвался бы на origin.

Пример — Cloudflare. С 9 июня 2025 года российские операторы ограничивают трафик к адресам Cloudflare; по данным самой Cloudflare из её блога от 26 июня 2025 года, пользователь из России загружает только первые 16 КБ ресурса. Сервис за таким CDN формально работает, а интерфейс у российских пользователей грузится не полностью. Как перевести российских посетителей с Cloudflare, мы разобрали отдельно.

Если выбираете CDN, проверьте три вещи:

• с каких адресов узлы отвечают посетителям из России и проверял ли провайдер их при включённом режиме; списка городов с узлами для ответа мало;
• проходят ли через узел API, WebSocket и загрузка файлов: кэш помогает только статике, динамические запросы всё равно идут к origin;
• что меняется при переезде: NS-серверы или CNAME, TLS-сертификаты, правила кэша и заголовки.

Подход 2: проксирование сторонних ресурсов через свой домен

Этот приём лечит интерфейс, который открылся наполовину. SaaS почти всегда тянет что-то с чужих доменов: шрифты, скрипты аналитики и чата, SDK платёжного виджета, картинки из внешнего хранилища. Задача — чтобы браузер посетителя ходил только на ваш домен.

Статику проще всего положить к себе и отдавать вместе с приложением. Запросы к сторонним API фронтенд отправляет на ваш backend, например на путь /ext/, а backend сам обращается к внешнему сервису из дата-центра и возвращает ответ браузеру.

У подхода есть пределы:

• он не делает доступным сам домен: если соединение с основным адресом обрывается, проксировать уже нечего;
• трафик и задержки внешнего сервиса ложатся на ваш сервер, поэтому нужны кэш и таймауты;
• виджеты, которые сами подгружают код с других доменов, придётся проверять по одному.

Поэтому второй подход дополняет первый или третий и сам по себе доступность не возвращает.

Подход 3: обратный прокси перед origin

Обратный прокси принимает соединения вместо origin. Посетитель открывает ваш домен, DNS отдаёт адрес прокси, прокси завершает TLS и передаёт запрос на ваш сервер. Origin остаётся там, где стоит, а оператор видит только соединение с адресом прокси. Если это соединение он пропускает, сервис открывается.

Схему можно включить только для российских посетителей. Гео-DNS отдаёт посетителям из России адрес прокси, остальным — адрес origin, как раньше. Для пользователей из других стран не меняются ни маршрут, ни задержка.

Если собирать такую схему самостоятельно, придётся решить четыре задачи:

• Адрес. Нужен сервер, соединения с которым операторы пропускают при включённом режиме, и регулярная проверка этого в их сетях: адрес не закреплён навсегда, а режим операторы включают по отдельности.
• TLS. Прокси нужен сертификат на ваш домен и его продление. При гео-DNS проверяющий сервер центра сертификации может попасть на origin вместо прокси, поэтому сертификат удобнее выпускать через DNS-проверку (DNS-01), а не через HTTP-01.
• IP посетителя. Origin видит адрес прокси. Передавайте настоящий адрес в заголовке X-Forwarded-For и доверяйте ему только от адресов прокси. Иначе лимиты по IP и антифрод начнут срабатывать на всех российских посетителей разом.
• Долгие соединения. WebSocket, server-sent events и загрузка больших файлов требуют увеличенных таймаутов и отключённой буферизации на прокси.

Как проверить, что сервис доступен?

Мониторинг из дата-центра режима не видит, поэтому доступность проверяют из мобильных сетей. Проверка белых списков бесплатна и работает без регистрации, нужен только домен.

Проверяйте все домены, к которым обращается интерфейс: приложение, API, авторизацию, статику. Заодно убедитесь, что сервис работает по HTTP/2 поверх TCP: браузер может идти по QUIC поверх UDP, который при ограничениях часто режут.

Taucloud: обратный прокси, который уже собран

Тариф «Белые списки» — готовая версия третьего подхода. Taucloud отдаёт ваш сервис посетителям из России с IP-адреса, который пропускают операторы, и проксирует трафик на ваш origin. Хостинг и сервер остаются вашими, перенос проходит без простоя. Сайт на тарифе открывается у всех операторов, включая МТС, Билайн, МегаФон, Т2, Т-Мобайл, Yota и Ростелеком.

Чтобы подключиться, зарегистрируйтесь, добавьте домен, смените NS-серверы у регистратора на ns.taucloud.ru и ns2.taucloud.ru, включите прокси, подключите тариф и переключателем в панели перенесите имя на узел, адрес которого пропускают операторы. Если свободного узла нет, запрос на перенос отклоняется. Одна подписка — одно доменное имя, поэтому заранее посчитайте, на скольких доменах живут приложение, API и статика. Оплата в рублях. Если подписка закончится, посетители из России увидят страницу продления, а оплата вернёт всё сразу.

Это не включение в официальный перечень Минцифры: ваш сервис в нём не появляется, мы отдаём его российским посетителям с адреса, который пропускают операторы. Как это устроено, рассказано на странице про IP из белых списков операторов, а шаги подключения — на странице заявки на подключение домена к Taucloud.