Ваш хостинг у ЄС — а CDN, DNS і пошта ні

Коротко: орендувати сервер у Франкфурті чи Гельсінкі — це проста частина. А все, що навішано навколо — CDN (роздає сайт із найближчих до відвідувача серверів), DNS (знаходить адресу сайту за його іменем), пошта, веб-шрифти, іноді форми — дуже часто працює на американських компаніях, і закон США дотягується до даних американської компанії, хоч би де фізично стояли сервери. «Хостинг у ЄС» і «поза досяжністю США» — це не те саме. Нижче — у чому різниця, як перевірити свій стек (набір сервісів, на яких працює сайт) і що варто перенести.

Ми тримаємо хостинг з обслуговуванням на серверах у ЄС, і нас часто запитують «мої дані в ЄС?» — тож тут чесна практична версія, а не лекція з права.

Резиденція — це де лежать байти. Суверенітет — чий закон до них дотягнеться.

Два різних питання, які постійно плутають:

Резиденція даних — де дані фізично зберігаються. Франкфурт, Гельсінкі, Дублін.
Суверенітет даних — яка правова система може вимагати до них доступ.

Сервер у Франкфурті дає резиденцію. Але сам по собі він не дає суверенітет: якщо компанія, що ним керує, підпорядковується закону США, розташування диска — не вирішальний чинник. Як формулює сам Cloudflare, резиденція каже, де лежать дані, але не каже, яка держава може їх запросити.

Чому важливо, чия це компанія — коротко

Причина — два американські закони:

CLOUD Act (2018) дозволяє владі США зобов’язати американського провайдера видати дані, що в нього «у володінні, під опікою чи під контролем», — незалежно від того, зберігаються вони в США чи за кордоном. Американська компанія, що тримає ваші дані у Франкфурті, лишається американською компанією під ордером США.
FISA, розділ 702 дозволяє розвідці США зобов’язати американських провайдерів зв’язку допомагати у стеженні за не-американцями за межами США.

Це не «США читають вашу пошту». Реальність скромніша й конкретніша: американський провайдер може бути юридично зобов’язаний видати дані, і розташування в ЄС саме по собі цього не скасовує. Не змова, а зона ризику — і саме тому ЄС увесь 2025 рік намагається знизити залежність від американських хмар (ініціатива EuroStack, межа даних ЄС у Microsoft, європейська суверенна хмара в AWS, нова «драбина суверенітету» Єврокомісії для держзакупівель).

США ховаються у вашому «європейському» сайті

Ось що дивує людей. Можна хоститися в Німеччині й усе одно надсилати дані відвідувачів у США за кожного завантаження сторінки — через сервіси, про які ви забули:

CDN — Cloudflare, Fastly, AWS CloudFront. Американські компанії. Через них іде ваш трафік.
DNS — Cloudflare DNS, Route 53. Кожен запит вашого домену.
Пошта — Google Workspace, Microsoft 365. Найболючіше. Ваше робоче листування.
Шрифти — Google Fonts, що підвантажуються із серверів Google. (Див. нижче — через це німецький сайт уже втратив гроші.)
Форми / антиспам / карти / відео — reCAPTCHA, Google Maps, вбудований YouTube, американські віджети форм.

Складіть усе — і сайт «на хостингу в ЄС» встигає звернутися до американської інфраструктури з десяток разів ще до того, як сторінка домалюється.

Конкретний приклад: шрифт за €100

Це не теорія. У січні 2022 року земельний суд Мюнхена I (справа 3 O 17493/20) зобов’язав власника сайту виплатити €100 компенсації одному відвідувачеві — бо сайт підвантажував Google Fonts із серверів Google, а це передавало IP-адресу відвідувача в Google у США без згоди. Суд указав на очевидне рішення: розміщувати шрифт у себе. Один забутий <link> на американський CDN — і реальна відповідальність. Більшість сайтів «на хостингу в ЄС» так роблять досі.

Як за десять хвилин перевірити свій стек

Для першого проходу юрист не потрібен:

Домен і DNS: проженіть WHOIS (публічна довідка про домен) і подивіться на nameservers (сервери, що відповідають за ваш домен). Бачите Cloudflare або AWS — це під управлінням США.
Пошта: перевірте MX-записи домену (куди домен спрямовує пошту). google.com чи outlook.com означає, що пошта живе в американського провайдера.
CDN: загляньте в заголовки відповіді (або просто спитайте хостера). cf-ray, x-amz-…, x-served-by: …fastly себе видають.
Сама сторінка: відкрийте вкладку «Мережа» у браузері й дивіться, що вантажиться. Усе з fonts.googleapis.com, google-analytics.com, gstatic.com чи recaptcha — це звернення у США.

Чесна частина

Нічого з цього не означає, що американські сервіси незаконні або що завтра треба викорчувати їх усі. Для багатьох невеликих компаній американський CDN — свідомий і розумний компроміс. Проблема — коли це не вибір: коли ви впевнені, що «повністю в ЄС», а це не так, і не можете відповісти клієнту чи аудитору, який спитає. Суверенітет — це не вмикач «увімк/вимк», а шкала. Сенс у тому, щоб знати, де стоїть ваша стрілка.

Де тут ми

Ми за замовчуванням зсуваємо стрілку в бік ЄС — клієнтам так простіше тримати відповідь: сервери Hetzner у Німеччині та Фінляндії, DNS у ЄС, пошта на вашому домені, розміщена в ЄС (а не віддана Google), власні шрифти (жодного fonts.googleapis.com і сюрпризу на €100) і аналітика в ЄС без куків замість американського трекера. Сайт той самий — просто на питання «де живуть мої дані?» він відповідає однією країною. Хочете побачити, як виглядає стек цілком у ЄС, або порівняти реальних хостерів — почніть із нашого чесного порівняння хостингів ЄС.