Проверка сайта в белых списках мобильного интернета

Почему сайт открывается с домашнего интернета, но не с мобильного?

При ограничениях мобильного интернета оператор пропускает не весь трафик, а только адреса из белых списков. Сам сайт при этом работает: он отвечает, домен резолвится, сертификат валиден — и с домашнего интернета всё открывается. Но у посетителя с телефона соединение обрывается, и вместо страницы он видит ошибку браузера.

Поэтому владелец сайта узнаёт о проблеме последним. С рабочего ноутбука и с любого мониторинга, который ходит из дата-центра, сайт выглядит живым — дата-центр не стоит за фильтром оператора. Разницу видно только оттуда, где эта фильтрация действует: из самой мобильной сети. Проверка на этой странице идёт через модемы в сетях операторов, а не с сервера в дата-центре. Поэтому она показывает то же, что видит посетитель с телефона.

Ни доступов к сайту, ни установки чего-либо на сервер не нужно: достаточно домена. Результат действует до конца дня по Москве: если этот сайт сегодня уже проверяли, вы увидите тот ответ и время проверки. Новая проверка пройдёт завтра, а если вы вошли в аккаунт, то сразу. Лимит — пять новых проверок в сутки с одного IP-адреса.

Почему результат зависит от оператора и округа?

Состав операторов и округов с белыми списками меняется: у одного и того же оператора режим может быть включён в одном округе и выключен в соседнем, поэтому единица учёта — пара «оператор × округ». Проверка на этой странице идёт только через пары, где белые списки включены. Где именно они включены и как это менялось за 30 дней, показывает карта белых списков.

Где сейчас включены белые списки

На тарифе «Белые списки» сайт открывается у всех операторов, включая МТС, Билайн, МегаФон, Т2, Т-Мобайл, Yota и Ростелеком.

Оговорка к самой проверке: запросы идут через модемы в сетях операторов, а не через браузер на телефоне. И если запрос не прошёл, проверка не отличает «оператор не пропускает этот адрес» от «оператор ещё не обработал этот адрес» — это может сказать только сам оператор.

Как понять, что дело в фильтрации, а не в сайте?

Мы разделяем «блокируется» и «не отвечает» и никогда не выдаём одно за другое. «Блокируется» — это когда соединению отказывают посреди рукопожатия: пакеты до сайта доходят, TCP и TLS устанавливаются, а ответа так и нет. Именно так изнутри мобильной сети выглядит сайт, которого нет в белом списке. «Не отвечает» — это когда не пришло вообще ничего.

Порядок разбора жёсткий. Если сайт ответил любым HTTP-статусом — пусть даже 500-м, — он ответил сам за себя, и списывать это на фильтрацию нельзя: чужая авария, записанная в блокировку, и есть та самая нечестность, ради которой мы держим два разных вердикта. Если упал сам модем оператора, этот юнит исключается из подсчёта: сломанный модем не говорит о вашем сайте ничего и не считается уликой ни в одну сторону.

Сложный случай один: не прошло даже TCP-рукопожатие. Снаружи он неотличим — так выглядит и оператор, отбрасывающий неразрешённый адрес, и обычное падение сервера. Различает их только контрольная проба: перед началом проверки мы сами открываем обычное TCP-соединение на 443-й порт с нефильтрованной точки — ровно тот шаг, на котором спотыкается оператор, когда отбрасывает адрес не из списка. Если у нас соединение открывается, а у оператора не проходит даже рукопожатие, значит режет оператор. Если сайт недоступен и нам тоже — тогда молчание честно называется «не отвечает». Без этой пробы оператор, который молча отбрасывает пакеты, выглядел бы точно так же, как выключенный сервер.

Считаем операторов, а не трафик: каждый оператор учитывается один раз и одинаково, независимо от размера, — иначе один крупный оператор перекрывал бы собой всю картину. Округ на карте зеленеет только тогда, когда сайт открылся у всех его операторов, и доля берётся до округления: округ, который округляется до 100%, но не полон, зелёным не станет.

Что делать, если сайт не открывается на мобильном?

Если сайт не открывает большинство операторов, помогает одно: отдавать его с адреса, который у операторов уже учтён. Это и есть тариф «Белые списки» — имя переносится на ноду Taucloud из белых списков. Нужен включённый прокси Taucloud: переносится именно то имя, которое уже идёт через нас.

Перенос проходит без простоя: целевая нода поднимается и получает сертификат параллельно с текущей, готовность подтверждается настоящей TLS-пробой, и только после этого переключается DNS. Одна подписка держит в белых списках одно имя. Нужно ещё одно — добавьте подписку. После переноса проверьте сайт здесь же: проверка покажет результат по каждому оператору.

Если у одних операторов сайт открывается, а у других нет, посмотрите на ошибку в браузере. ERR_SSL_UNRECOGNIZED_NAME_ALERT обычно значит, что отказал сам сервер: для этого имени на нём нет сайта или в nginx у сервера по умолчанию (default_server) включён ssl_reject_handshake. Такой отказ получают и проверки, которые подключаются по адресу без имени. Это чинится на сервере, а не у оператора.

Страница может открываться наполовину, если тянет шрифты, скрипты, аналитику или картинки со сторонних доменов, которых нет в белых списках. Посмотрите, с каких адресов грузится страница, и перенесите критичное на свой домен.

Если сайт отвечает только по HTTP/3 (QUIC поверх UDP), при ограничениях его может быть не видно: UDP часто режут. Оставьте включённым обычный HTTPS по TCP, чтобы браузеру было куда отступить.