Ваш хостинг в ЕС — а CDN, DNS и почта нет

Коротко: арендовать сервер во Франкфурте или Хельсинки — это простая часть. А вот всё, что навешано вокруг — CDN (раздаёт сайт с ближайших к посетителю серверов), DNS (находит адрес сайта по его имени), почта, веб-шрифты, иногда формы — очень часто работает на американских компаниях, и закон США дотягивается до данных американской компании, где бы физически ни стояли серверы. «Хостинг в ЕС» и «вне досягаемости США» — это не одно и то же. Ниже — в чём разница, как проверить свой стек (набор сервисов, на которых работает сайт) и что стоит перенести.

Мы держим хостинг с обслуживанием на серверах в ЕС, и нас часто спрашивают «мои данные в ЕС?» — поэтому здесь честная практичная версия, а не лекция по праву.

Резиденция — это где лежат байты. Суверенитет — чей закон до них дотянется.

Два разных вопроса, которые постоянно путают:

Резиденция данных — где данные физически хранятся. Франкфурт, Хельсинки, Дублин.
Суверенитет данных — какая правовая система может потребовать к ним доступ.

Сервер во Франкфурте даёт резиденцию. Но сам по себе он не даёт суверенитет: если компания, которая им управляет, подчиняется закону США, расположение диска — не решающий фактор. Как формулирует сам Cloudflare, резиденция говорит, где лежат данные, но не говорит, какое государство может их запросить.

Почему важно, чья это компания — коротко

Причина — два американских закона:

CLOUD Act (2018) разрешает властям США обязать американского провайдера выдать данные, которые у него «во владении, под опекой или под контролем», — независимо от того, хранятся они в США или за границей. Американская компания, держащая ваши данные во Франкфурте, остаётся американской компанией под ордером США.
FISA, раздел 702 разрешает разведке США обязать американских провайдеров связи помогать в слежке за не-американцами за пределами США.

Это не «США читают вашу почту». Реальность скромнее и конкретнее: американский провайдер может быть юридически обязан выдать данные, и расположение в ЕС само по себе это не отменяет. Не заговор, а зона риска — и именно поэтому ЕС весь 2025 год пытается снизить зависимость от американских облаков (инициатива EuroStack, граница данных ЕС у Microsoft, европейское суверенное облако у AWS, новая «лестница суверенитета» Еврокомиссии для госзакупок).

США прячутся в вашем «европейском» сайте

Вот что удивляет людей. Можно хоститься в Германии и всё равно отправлять данные посетителей в США при каждой загрузке страницы — через сервисы, о которых вы забыли:

CDN — Cloudflare, Fastly, AWS CloudFront. Американские компании. Через них идёт ваш трафик.
DNS — Cloudflare DNS, Route 53. Каждый запрос вашего домена.
Почта — Google Workspace, Microsoft 365. Самое больное. Ваша рабочая переписка.
Шрифты — Google Fonts, подгружаемые с серверов Google. (См. ниже — из-за этого немецкий сайт уже потерял деньги.)
Формы / антиспам / карты / видео — reCAPTCHA, Google Maps, встроенный YouTube, американские виджеты форм.

Сложите всё — и сайт «на хостинге в ЕС» успевает обратиться к американской инфраструктуре десяток раз ещё до того, как страница дорисуется.

Конкретный пример: шрифт за €100

Это не теория. В январе 2022 года земельный суд Мюнхена I (дело 3 O 17493/20) обязал владельца сайта выплатить €100 компенсации одному посетителю — потому что сайт подгружал Google Fonts с серверов Google, а это передавало IP-адрес посетителя в Google в США без согласия. Суд указал на очевидное решение: размещать шрифт у себя. Один забытый <link> на американский CDN — и реальная ответственность. Большинство сайтов «на хостинге в ЕС» так делают до сих пор.

Как за десять минут проверить свой стек

Для первого прохода юрист не нужен:

Домен и DNS: прогоните WHOIS (публичная справка о домене) и посмотрите на nameservers (серверы, отвечающие за ваш домен). Видите Cloudflare или AWS — это под управлением США.
Почта: проверьте MX-записи домена (куда домен направляет почту). google.com или outlook.com означает, что почта живёт у американского провайдера.
CDN: загляните в заголовки ответа (или просто спросите хостера). cf-ray, x-amz-…, x-served-by: …fastly себя выдают.
Сама страница: откройте вкладку «Сеть» в браузере и смотрите, что грузится. Всё с fonts.googleapis.com, google-analytics.com, gstatic.com или recaptcha — это обращение в США.

Честная часть

Ничего из этого не значит, что американские сервисы незаконны или что завтра нужно выкорчевать их все. Для многих небольших компаний американский CDN — осознанный и разумный компромисс. Проблема — когда это не выбор: когда вы уверены, что «полностью в ЕС», а это не так, и не можете ответить клиенту или аудитору, который спросит. Суверенитет — это не выключатель «вкл/выкл», а шкала. Смысл в том, чтобы знать, где стоит ваша стрелка.

Где здесь мы

Мы по умолчанию сдвигаем стрелку в сторону ЕС — клиентам так проще держать ответ: серверы Hetzner в Германии и Финляндии, DNS в ЕС, почта на вашем домене, размещённая в ЕС (а не отданная Google), свои шрифты (никакого fonts.googleapis.com и сюрприза на €100) и аналитика в ЕС без куков вместо американского трекера. Сайт тот же — просто на вопрос «где живут мои данные?» он отвечает одной страной. Хотите посмотреть, как выглядит стек целиком в ЕС, или сравнить реальных хостеров — начните с нашего честного сравнения хостингов ЕС.