Автор: Александр Д.
08.09.2026 · 7 МИН ЧТЕНИЯ
ОБНОВЛЕНО

Шифрование (превращение текста в кашу без ключа) трафика превращает данные, которые устройство отправляет в сеть, в набор символов, бесполезный для всех, кроме получателя с нужным ключом.

Когда оно работает, провайдер, администратор Wi-Fi в кафе и любой человек между вами и сайтом видят только факт передачи и объём, но не содержимое. Проверить, что оно работает, можно без специальных программ: достаточно браузера, настроек телефона и пары бесплатных инструментов.

Коротко:

  • Шифрование трафика это три слоя: HTTPS закрывает содержимое страниц, зашифрованный DNS скрывает DNS-запросы, а VPN-туннель закрывает всё сразу, включая имена сайтов.
  • На Android откройте Настройки → Сеть и интернет → Частный DNS и укажите dns.google или one.one.one.one: зашифрованный DNS получат все приложения.
  • С VPN страница What Is My IP должна показать сервер, тесты IPv6 и WebRTC должны быть чистыми, а в DNS-тесте не должно быть серверов провайдера.

Тут есть тонкость: «трафик зашифрован» это не одно свойство, а три разных слоя, и каждый проверяется отдельно.

ТРИ ПРОВЕРКИ, ПРОГРАММЫ НЕ НУЖНЫРИС. 01HTTPSсодержимое страницзамок в адресной строкев браузереDNSадреса сайтовЧастный DNS в настройках Androidв настройках телефонаТуннельвсё сразу, включая DNSтри теста в браузереWhat Is My IP, IPv6, WebRTCтри слоякаждый отдельно
Три проверки и где искать каждую. Открытый DNS это состояние по умолчанию, и замок в браузере его не закрывает.

Три слоя: что шифруется, а что нет

1. HTTPS закрывает содержимое страниц. Замок в адресной строке означает, что данные между браузером и сайтом зашифрованы по TLS. Провайдер видит, что вы подключились к сайту, и видит его имя (оно передаётся открытым в начале соединения, это поле называется SNI (имя сайта, видное до шифрования)), но не видит, какие страницы вы открыли, что искали и что вводили в формы.

2. DNS отвечает за адреса сайтов. Перед тем как открыть сайт, устройство спрашивает у DNS-сервера его IP-адрес. По умолчанию этот вопрос идёт открытым текстом на сервер провайдера. Получается список всех сайтов, к которым вы обращались, даже если сами страницы защищены HTTPS. Зашифрованные варианты называются DNS over HTTPS (DoH) и DNS over TLS (DoT).

ДО САЙТА УСТРОЙСТВО СПРАШИВАЕТ АДРЕСУстройствотелефон или ноутбуккакой IP у example.com?по умолчанию открытым текстомDNS-сервер провайдеравидит каждый вопрос:список всех ваших сайтовHTTPS: страница зашифрованаСайтсодержимое скрытоЗамок закрывает страницу, но не вопрос об адресе. Его шифруют DoH и DoT.
Страница зашифрована, а вопрос об адресе сайта по умолчанию уходит провайдеру открытым.

3. Туннель закрывает всё сразу. VPN упаковывает и HTTPS, и DNS, и трафик всех приложений в один зашифрованный поток до сервера. Провайдер видит только адрес VPN-сервера и объём.

Если включён только первый слой, провайдер не читает содержимое, но знает, куда вы ходили. Если работают все три, он знает лишь то, что вы подключены к VPN.

ТРИ СЛОЯ ШИФРОВАНИЯРИС. 02[1] HTTPSсодержимое страницПРОВАЙДЕРпровайдер видит имя сайта[2] DNSадреса сайтовПРОВАЙДЕРбез DoH/DoT: открыто[3] Туннельвсё сразу, включая DNSПРОВАЙДЕРпровайдер видит один потокСлои независимы: включён только первый, провайдер не читает содержимое, но знает, куда вы ходили.
Три независимых слоя. Включён только первый: провайдер не читает содержимое, но знает, куда вы ходили.

Что именно обещает значок замка и чего он не обещает, разобрано в статье что значит замок HTTPS.

Как проверить, что сайт работает по HTTPS?

  1. Посмотрите на адресную строку: замок или адрес, начинающийся с https://. Современные браузеры, наоборот, помечают незащищённые сайты надписью «Не защищено».
  2. Нажмите на замок: в разделе «Сертификат» должны совпадать имя сайта и имя в сертификате. Если браузер показывает предупреждение о сертификате, не вводите на сайте ничего.
  3. Включите режим «только HTTPS»: в Chrome это Настройки → Конфиденциальность и безопасность → Безопасность → «Всегда использовать безопасные соединения», в Firefox это Настройки → Приватность и защита → «Режим только HTTPS». Тогда браузер сам откажется открывать незащищённую версию сайта.

Слепая зона HTTPS это имя сайта в SNI. Его закрывает только зашифрованный DNS в связке с расширением ECH, которое пока поддерживают не все сайты, либо VPN-туннель.

КАК ПРОВЕРИТЬ HTTPSРИС. 03замок в адресной строкеили адрес с https://домен в адресе тот самыйимя сайта и имя в сертификате совпадаютпредупреждений браузера нетесть предупреждение: ничего не вводитережим «только HTTPS» включёнв настройках Chrome и FirefoxСлепая зона HTTPS: имя сайта в SNI. Его прячут зашифрованный DNS с ECH либо VPN-туннель.

Как проверить, что DNS зашифрован?

На Android. Настройки → Сеть и интернет → Частный DNS. Если стоит «Выключено», запросы идут открытыми. Выберите «Имя хоста провайдера частного DNS» и введите адрес DoT-сервера, например dns.google или one.one.one.one. После этого все приложения на телефоне используют зашифрованный DNS.

На iPhone. Встроенной кнопки нет; зашифрованный DNS включается профилем конфигурации от DNS-провайдера или внутри VPN-приложения, которое отправляет DNS в туннель.

В браузере на компьютере. Chrome: Настройки → Конфиденциальность и безопасность → Безопасность → «Использовать безопасный DNS-сервер». Firefox: Настройки → Приватность и защита → «DNS через HTTPS», режим «Повышенная защита». Это защищает только браузер, остальные приложения продолжают спрашивать DNS открыто.

КОГО ЗАКРЫВАЕТ ЗАШИФРОВАННЫЙ DNSDoH в Chrome или Firefoxна компьютереБраузерзашифрованоПриложенияоткрытоЧастный DNS на Androiddns.google или one.one.one.oneБраузерзашифрованоПриложениязашифрованоDoH в браузере защищает только браузер. Частный DNS получают все приложения телефона.
DoH в браузере закрывает один браузер; Частный DNS на Android закрывает весь телефон.

Проверка результата. На тесте утечки DNS или сайте вроде dnsleaktest.com нажмите расширенный тест: в списке серверов, которые отвечали на ваши запросы, не должно быть серверов вашего провайдера. Если DNS идёт через DoH или VPN, там будут серверы DNS-провайдера или VPN-сервиса.

КАК ПРОВЕРИТЬ DNSРИС. 04откройте проверку утечкиdnsleaktest, расширенный тестпоказан сервер туннеляв списке серверовхорошопоказан сервер провайдерав списке серверовтечётпоказаны обав списке серверовтечёт частичноСерверов вашего провайдера в списке быть не должно.

Как проверить, что VPN-туннель работает без утечек?

Здесь три инструмента, все работают в браузере:

  1. What Is My IP: после подключения должен показывать адрес и страну VPN-сервера, а не вашего провайдера.
  2. Тест утечки IPv6: если у вас есть IPv6-адрес, а туннель работает только по IPv4, часть трафика уходит мимо. Тест это покажет.
  3. Тест утечки WebRTC: браузер может отдать реальный адрес через WebRTC даже при включённом VPN.

Плюс проверка DNS из предыдущего раздела, уже с включённым VPN. Полный порядок и объяснение, откуда берутся утечки, есть в статье утечки DNS и WebRTC: как проверить, что VPN действительно скрывает IP.

ГДЕ ЗАКАНЧИВАЕТСЯ КАЖДОЕ ШИФРОВАНИЕУстройствоРоутерПровайдерVPN-серверСайтWi-FiWPA2 / WPA3провайдер: всё как естьHTTPSзамокпровайдер: имя сайтаТуннельVPNпровайдер: адрес VPN и объёмЗелёный отрезок: данные зашифрованы. Пунктир: дальше идут как есть.
Каждый слой шифрует свой отрезок пути, и имена сайтов от провайдера прячет туннель.

Как увидеть, что видит провайдер

Самый наглядный способ это посмотреть на свой трафик глазами сети. На компьютере это делают программой Wireshark: запустите захват на активном интерфейсе, откройте любой сайт и отфильтруйте пакеты по tls.handshake.extensions_server_name. В поле SNI вы увидите имена сайтов открытым текстом. Затем включите VPN и повторите: вместо десятков соединений останется один поток к адресу VPN-сервера, а внутри не будет ничего читаемого.

БЕЗ ТУННЕЛЯ: десятки соединенийРИС. 05tlsSNI: mail.exampleоткрытоtlsSNI: bank.exampleоткрытоtlsSNI: video.exampleоткрытоdnsA? news.exampleоткрытоС ТУННЕЛЕМ: одно соединениеtlsSNI: cdn-front.exampleодин поток...и больше ничего читаемогоимена сайтов и DNS внутри потокаФильтр Wireshark: tls.handshake.extensions_server_name
Что видно в Wireshark по полю SNI до туннеля и после. Имена сайтов идут открытым текстом, пока их не завернули.

Если ставить Wireshark не хочется, откройте Privacy Checker: он показывает, что устройство сообщает о себе сайтам без учёта IP-адреса. Это другой слой, но он хорошо отрезвляет.

ПРОВЕРКА ЗА ПЯТЬ МИНУТРИС. 061замок в адресной строкеHTTPS2режим «только HTTPS» включёнHTTPS3Частный DNS на Android / профиль iOSDNS4dnsleaktest: серверов провайдера нетDNS5What Is My IP: адрес сервераТУННЕЛЬ6тесты утечек WebRTC и IPv6ТУННЕЛЬШаги 4, 5 и 6 выполняют с уже включённым VPN.
Порядок проверки целиком: от замка в адресной строке до тестов утечек с поднятым туннелем.

Защищает ли шифрование Wi-Fi от провайдера?

Домашний Wi-Fi шифруется своим ключом (WPA2 или WPA3), и это защита только от соседей: роутер расшифровывает пакеты и отправляет их провайдеру как есть. Поэтому «у меня WPA3» и «мой трафик зашифрован» это не одно и то же. Если хочется закрыть все устройства сразу, включая телевизор и приставку, VPN настраивают на самом роутере, и как это сделать, описано в статье VPN на роутере.

ЧТО ВИДИТ ПРОВАЙДЕР В ИТОГЕРИС. 07ЧТО ВКЛЮЧЕНОЧТО ВИДИТ ПРОВАЙДЕРбез всегоимена сайтов, времяHTTPSимена сайтов, времяHTTPS + DoHвремя и объёмтуннельодин адрес и объёмЧем больше слоёв включено, тем меньше остаётся провайдеру.

Если три проверки дали разный результат, соберите их в одно место.

Промт для нейросети
Помоги разобрать результаты проверок шифрования.

HTTPS: (замок есть / браузер ругается / часть
страниц без замка).
DNS: (проверка показывает: что именно).
Туннель: (адрес сменился / не сменился /
не пользуюсь).
Устройство: (какое). Сеть: (какая).

Скажи, какой слой у меня работает, какой нет,
и что чинить первым.
Объясни, что каждый слой закрывает, чтобы я
понимал, чего мне не хватает.

Чеклист: шифрование трафика

  • Замок в браузере и режим «только HTTPS» включены.
  • Частный DNS на Android или DoH в браузере на компьютере включён.
  • С VPN: What Is My IP показывает сервер, тесты IPv6 и WebRTC чистые, в DNS-тесте нет серверов провайдера.
  • Kill Switch в VPN-клиенте включён, чтобы при обрыве туннеля трафик не ушёл открытым.

В 404 VPN туннель строится по VLESS с TLS 1.3 или по WireGuard (конфиг из кабинета, Стамбул и Марсель), DNS-запросы в обоих случаях идут внутри туннеля. При обрыве соединения в приложении для Android срабатывает Kill Switch, а для WireGuard то же отключение интернета при обрыве включают в приложении WireGuard или в системных настройках VPN телефона. Как это устроено, можно прочитать в разделе как это работает, а начать можно с главной.

Частые вопросы

Видит ли провайдер, какие сайты я открываю по HTTPS?

Да, имена сайтов он видит: имя передаётся открыто в начале соединения, а DNS-запросы по умолчанию идут на его сервер. Какие страницы вы открыли, что искали и что вводили в формы, HTTPS от него скрывает.

Как включить режим «только HTTPS» в Chrome?

Откройте Настройки → Конфиденциальность и безопасность → Безопасность и включите «Всегда использовать безопасные соединения». Тогда браузер сам откажется открывать незащищённую версию сайта.

Как включить безопасный DNS в браузере?

В Chrome: Настройки → Конфиденциальность и безопасность → Безопасность → «Использовать безопасный DNS-сервер», в Firefox: Настройки → Приватность и защита → «DNS через HTTPS», режим «Повышенная защита». Это защищает только браузер, остальные приложения спрашивают DNS открыто.

Как включить зашифрованный DNS на iPhone?

Встроенной кнопки нет: зашифрованный DNS включают профилем конфигурации от DNS-провайдера или VPN-приложением, которое отправляет DNS в туннель.

Идут ли DNS-запросы в 404 VPN через туннель?

Да: и при подключении по VLESS, и в конфигах WireGuard из кабинета DNS-запросы идут внутри туннеля.