Вы уехали из Петербурга, а счёт, зарплатный проект или ипотека остались в Банке «Санкт-Петербург». Открываете bspb.ru с ноутбука в Тбилиси, Ереване или Белграде — и вместо сайта получаете предупреждение о небезопасном соединении. Первая мысль обычно одна: нужен адрес российского оператора, и всё заработает. Мы это проверили и сразу скажем главное: адрес помогает, но не с тем барьером, о котором вы думаете. Если вам нужен российский IP для других задач, самый предсказуемый вариант из тех, что мы тестировали, — Proton VPN, и ниже мы объясним, почему именно он и в чём его собственное ограничение.
13 сентября 2026 года мы прогнали адреса банка через внешний сканер и через обычный HTTP-клиент с стандартным набором корневых сертификатов. Нашли кое-что, чего не ждали: публичный сайт и интернет-банк настроены по-разному, и разница меняет то, что вы физически сможете сделать в браузере. Дальше — только то, что мы измерили сами, с оговорками там, где проверить не вышло.
Что мы измерили и чего не видим
Инструментов было три: публичный сканер Qualys SSL Labs, который снаружи смотрит, какой сертификат отдаёт сервер и признают ли его пять основных хранилищ доверия — Mozilla, Apple, Android, Java и Windows; публичный DNS Google; база RIPE.
Чего мы не видим — тоже важно. В личный кабинет мы не заходили: счёта в этом банке у нас нет. Что происходит после ввода логина — спросит ли система подтверждение, дойдёт ли СМС на иностранный номер — мы не знаем. Сканер смотрит на первый ответ сервера, а не на страницу после скриптов.
Оговорим и неудачу. Собственную справку банка — про интернет-банк, установку приложения и контакты — мы прочитать не смогли: наш клиент отказывается соединяться с www.bspb.ru ровно по той причине, о которой эта статья. Поэтому вместо справки мы цитируем официальный канал банка в Telegram.
Реквизиты взяты только из карточки участника на сайте Банка России: ПУБЛИЧНОЕ АКЦИОНЕРНОЕ ОБЩЕСТВО «БАНК «САНКТ-ПЕТЕРБУРГ», рег. № 436 от 03.10.1990, ОГРН 1027800000140, ИНН 7831000027, БИК 044030790, адрес 195112, г. Санкт-Петербург, пр-кт Малоохтинский, д. 64 литер А, генеральная лицензия № 436 с 31.12.2014. Там же указан телефон +7 (812) 329-50-50 — городской номер, на который можно дозвониться из любой страны, в отличие от 8-800.
Адрес за адресом: что вернулось 13 сентября
Сначала карта имён. У bspb.ru в DNS две A-записи: 213.172.3.49 и 217.195.86.165. Публичный сайт www.bspb.ru живёт на втором, интернет-банк i.bspb.ru — на первом. Имена b2b, online, dbo, business и i2b в зоне bspb.ru не существуют вовсе — на запрос приходит NXDOMAIN.
| Адрес | Что вернулось | Что это значит на практике |
|---|---|---|
| www.bspb.ru 217.195.86.165 | Оценка T, при игнорировании доверия A−. Цепочка: Russian Trusted Sub CA → Russian Trusted Root CA. Сертификат выписан 17.07.2026. HSTS выключен, max-age=0. Только TLS 1.2 | Браузер покажет красное предупреждение, но оставит кнопку «Всё равно перейти» |
| i.bspb.ru 213.172.3.49 | Оценка T, при игнорировании доверия A−. Тот же корень. Сертификат выписан 29.06.2026. HSTS на год, max-age=31536000 | Предупреждение обойти нельзя: при живом HSTS браузер не показывает кнопку «перейти» |
| old.bspb.ru оба адреса | Оценка F. Сервер отдаёт две цепочки: одну все пять хранилищ помечают «certificate revoked», вторую — «path does not chain to a trusted anchor» | Здесь видно «до и после»: старый международный сертификат отозван, новый российский ещё не признан |
| inkas.bspb.ru | Тот же адрес 213.172.3.49; наш внешний клиент разорвал соединение с ошибкой проверки сертификата | Служебный домен, указан в карточке ЦБ, тоже за российским корнем |
| b2b / online / dbo / business / i2b .bspb.ru | NXDOMAIN | Отдельного веб-адреса для бизнес-контура мы не нашли |
Оценка «T» означает не слабое шифрование, а проблему доверия: вторая колонка, «если доверие проигнорировать», на обоих рабочих адресах A−. Спор идёт только о том, чьей подписи верит ваше устройство. Подробный разбор механизма — в материале про Альфа-Банк.
Одна деталь из отчёта: сервер отдаёт цепочку из трёх сертификатов, и третьим идёт сам самоподписанный Russian Trusted Root CA. То есть банк присылает корень вместе с остальным. Браузеру это не помогает: корень нужно иметь в своём хранилище заранее, присланный по дороге он не засчитывает.
Главная находка: сайт и интернет-банк настроены по-разному
На www.bspb.ru заголовок HSTS выключен явно — max-age=0. На i.bspb.ru он выставлен на год: max-age=31536000. Для пользователя это не мелочь настройки, а разный набор доступных действий.
Когда HSTS не включён, браузер оставляет путь наружу: «Дополнительно» → «Перейти на сайт». Некрасиво, но тарифы и адреса офисов вы прочитаете. Когда HSTS включён и браузер запомнил политику, этой кнопки просто нет: Chrome и Firefox считают ошибку сертификата фатальной.
Вывод: сайт банка вы откроете почти всегда, а во вход в кабинет упрётесь намертво, пока в системе не появится российский корневой сертификат. Российский IP здесь ничего не меняет — проверка идёт внутри устройства, до того как трафик куда-либо ушёл.
Второе — даты. Сертификат кабинета выписан 29 июня 2026 года, сертификат сайта — 17 июля; обе раньше волны 3–4 августа, о которой писали СМИ. Когда их поставили на серверы, мы проверить не можем: выпуск и установка не одно и то же.
Третье — old.bspb.ru. Старый хост до сих пор в DNS и отвечает, и на нём видны обе стороны истории сразу: цепочка, которую хранилища признают, но помечают как отозванную, и рядом та же российская, которая не признаётся.
Совпадает это и с тем, что банк пишет сам. В официальном канале 1 августа 2026 года: «Иностранные удостоверяющие центры массово отзывают сертификаты безопасности у российских сайтов», дальше — предложение установить сертификаты Минцифры по инструкции Госуслуг либо пользоваться Яндекс Браузером или Atom. Месяцем позже, 1 сентября: «В последнее время в работе банковских приложений происходят изменения, связанные с отзывом зарубежных сертификатов безопасности». Как устроена раздача этих сертификатов через государственный портал, мы разбирали в материале про Госуслуги.
Чья это инфраструктура
Обе сети банка — 217.195.86.0/24 и 213.172.3.0/24 — анонсирует автономная система AS24913, держатель «BANKSPB Bank Saint Petersburg PJSC». Весь видимый периметр умещается в эти два блока по 256 адресов.
Но сами адреса — не собственные. В базе RIPE оба блока описаны как Bank-Saint-Petersburg-LAN со статусом ASSIGNED PA и пометкой «JSC PeterStar», а покрывающие их /19 принадлежат AS20632, то есть петербургской сети «Мегафона». Банк держит маршрутизацию, но живёт в адресном пространстве регионального оператора.
Это заметно отличается от картины у ВТБ, где весь периметр целиком лежит в собственной автономной системе банка. И от Т-Банка, который летом тоже ушёл на российский корень, а в сентябре вернулся на международный сертификат — то есть показал, что это выбор организации, а не техническая безвыходность. У БСПБ обратного движения мы не наблюдаем.
Ещё деталь из карточки ЦБ: БИК 044030790 начинается с северо-западного кода, а не с московского; из этой партии банков такой же территориальный БИК только у АБ «Россия» — 044030861. Часть операций, которые в федеральном банке решаются в любом отделении, здесь привязана к сети офисов вокруг одного города. Сколько их и где — из первоисточника подтвердить не вышло: карта отделений нам недоступна.
Барьеры: какой из них решается адресом
Корневой сертификат — адрес не решает
Наш собственный HTTP-клиент, обычный, со стандартным набором корней, на всех трёх рабочих именах банка вернул одну и ту же ошибку: certificate verify failed: self-signed certificate in certificate chain. Он даже не дошёл до содержимого страницы. Подключение через сервер в России эту ошибку не убирает: проверка идёт на вашей стороне.
Региональная фильтрация — адрес решает
Часть российских сервисов действительно отдаёт заглушку по стране адреса. Это тот случай, когда российский IP снимает препятствие полностью. Подтвердить такую фильтрацию именно у БСПБ мы не смогли — до содержимого страницы наш клиент не добрался из-за сертификата, поэтому утверждать, что она есть, не будем.
Магазины приложений — адрес не решает
Мы проверили три каталога. Google Play по идентификаторам ru.bspb и ru.bspb.b2b отдаёт 404 в обоих случаях. Поиск в App Store по тем же идентификаторам в российской витрине возвращает ноль результатов. В RuStore обе программы на месте: «БСПБ» версии 6.49.8, обновление 7 сентября 2026, 100,5 МБ, оценка 4,0 при 6 300 отзывах, больше миллиона установок, Android от 8; и «БСПБ Бизнес» версии 9.43.9441036, обновление 31 августа 2026, 147,7 МБ, оценка 4,7, свыше 30 000 установок.
Смена адреса витрину магазина не переключает: Google и Apple смотрят на страну аккаунта и способ оплаты, а не на маршрут. И не собирайте APK на сторонних сайтах — банковское приложение любимая мишень подделок.
Сервисы, которые ищут сам VPN
Есть и четвёртый барьер, о котором обычно не думают. Весной 2026 года часть крупных российских сервисов начала ограничивать доступ пользователям с включённым туннелем. В технических разборах этой практики из банков упоминается Сбер; в апрельском перечне изданий — Сбербанк, Альфа-Банк, ВТБ и Т-Банк.
Банка «Санкт-Петербург» ни в одном из этих источников нет: тенденция в отрасли есть, записи о БСПБ мы не нашли и додумывать не станем. Технически на Android приложение ищет виртуальный интерфейс, обычно tun0; на iOS используются косвенные признаки; на сервере сверяют базы вроде MaxMind, страну адреса, код оператора SIM и язык системы. Детектор ловит признак «человек под VPN», а не «человек за границей».
Семь шагов перед тем, как нажать «Войти»
- Позаботьтесь о доступе к номеру, на который банк шлёт коды: это решается заранее, а не в момент перевода. Проверка: отправьте себе сервисный SMS и убедитесь, что он дошёл.
- Установите российские корневые сертификаты на устройство или держите наготове браузер, который несёт их в комплекте. Инструкции публикует государственный портал, банк ссылается именно на них. Проверка: откройте
i.bspb.ru— предупреждения быть не должно. - Обновите приложение, пока у вас есть доступ к каталогу, из которого вы его ставили. Проверка: версия в настройках совпадает с версией в каталоге.
- Запишите городской номер +7 (812) 329-50-50 отдельно от телефона: линия 8-800 из-за границы не работает. Проверка: наберите его один раз и дождитесь автоинформатора.
- Подключите VPN с российским адресом и проверьте, что он действительно российский, а не «виртуальный» с выходом в соседней стране. Проверка: любой сервис определения IP должен показывать Россию, а не Швецию или Эстонию.
- Откройте сначала обычную страницу сайта, а не форму входа: так вы отделите проблему сертификата от проблемы кабинета. Проверка:
www.bspb.ruоткрылся без ошибки. - Не делайте первую операцию крупной: зайдите, посмотрите баланс, выйдите. Проверка: повторный вход через полчаса проходит без дополнительных подтверждений.
Если после шага 2 i.bspb.ru всё ещё показывает предупреждение без кнопки «перейти» — это ровно то, о чём мы писали выше: HSTS не даёт пропустить ошибку. Значит, сертификат не установился, и обходить нечего — надо вернуться к установке.
Proton VPN
Proton VPN мы ставим первым по одной причине: он честно пишет, как устроена его российская локация. Физических серверов внутри страны у него нет — работает Smart Routing: адрес российский, а трафик выходит через Швецию (Стокгольм) и Эстонию (Таллин). В локации 53 сервера. Цена — $3.49 в месяц, до 10 устройств, возврат в течение 30 дней.
Эта откровенность полезнее, чем кажется. Вы заранее знаете, что маршрут длиннее прямого, и не удивляетесь задержкам. И понимаете границу: российский адрес вы получаете, а вот от проверки корневого сертификата внутри вашего же браузера ни Proton, ни любой другой сервис не избавит. Общий разбор того, зачем вообще нужен российский IP, у нас вынесен отдельно.
Четыре альтернативы
CyberGhost держит локацию «Москва» с 60 серверами и в своём списке помечает её как virtual — тоже без железа в стране. Тариф $2.19 в месяц за 26 месяцев ($56.94 разом), помесячно $12.99, до 7 устройств, возврат 45 дней на длинном плане и 14 на месячном.
VeePN заявляет российскую локацию без подробностей. Basic — $1.99 в месяц за 28 месяцев ($55.72), 5 устройств; Pro — $2.49 ($69.72), 10 устройств; помесячно $11.99. Возврат 30 дней на длинном плане, 14 на месячном.
Total VPN российскую локацию тоже заявляет без деталей. Цена $99 в год, число устройств не публикуется, возврат 30 дней на годовом и полугодовом планах, 14 на коротких.
Planet VPN даёт российскую локацию только в Premium: в бесплатной версии доступны США, Великобритания, Нидерланды, Германия и Франция. Цены в евро: €1,99 в месяц за 48 месяцев (€95,52), €3,99 за год (€47,88) или €9,99 помесячно. До 10 устройств, возврат 14 дней.
Surfshark, NordVPN и ExpressVPN в список не попали: российской локации у них нет. NordVPN убрал серверы в 2019 году, Surfshark — в 2022-м, ExpressVPN такую локацию не заявляет.
| Proton VPN | CyberGhost | VeePN | Total VPN | Planet VPN | |
|---|---|---|---|---|---|
| Российская локация | 1 локация, 53 сервера, Smart Routing, выход Швеция и Эстония | Москва, 60 серверов, помечена virtual | есть, без деталей | есть, без деталей | только в Premium |
| Цена | $3.49/мес | $2.19/мес за 26 мес; $12.99 помесячно | Basic $1.99/мес за 28 мес; Pro $2.49 | $99/год | €1,99/мес за 48 мес; €9,99 помесячно |
| Устройств | 10 | 7 | Basic 5, Pro 10 | не публикует | 10 |
| Возврат | 30 дней | 45 дней на длинном плане | 30 дней на длинном плане | 30 дней на годовом | 14 дней |
| Proton VPN → | CyberGhost → | VeePN → | Total VPN → | Planet VPN → |
Типичные проблемы
| Симптом | Причина | Что делать |
|---|---|---|
| Сайт открывается после нажатия «Всё равно перейти», а i.bspb.ru — нет | На интернет-банке включён HSTS, на сайте выключен | Установить российский корневой сертификат; обойти предупреждение на этом адресе нельзя |
| Предупреждение осталось после установки сертификата | Сертификат поставлен в хранилище браузера, а не системы, или наоборот | Проверить оба хранилища; перезапустить браузер полностью |
| Приложение не находится в магазине | Витрина привязана к стране аккаунта | Обновлять там, откуда ставили; APK со сторонних сайтов не брать |
| Код подтверждения не приходит | Российский номер недоступен или SMS не доходят в роуминге | Решать до отъезда; из-за границы звонить на +7 (812) 329-50-50 |
| Российский IP есть, страница всё равно не грузится | Проблема не в маршруте, а в проверке сертификата на устройстве | Вернуться к шагу с корневым сертификатом |
Чего смена адреса не решает
- Доверие к корневому сертификату. Это свойство вашего устройства, а не сети.
- Витрину магазина приложений. Google и Apple смотрят на страну аккаунта.
- Доставку SMS на российский номер, если сама SIM-карта недоступна.
- Операции, которые требуют личного визита в офис. У регионального банка сеть отделений узкая и привязана к одному городу.
- Периоды ограничений мобильного интернета внутри России: там фильтрация происходит до выхода трафика из сети оператора, и туннель не помогает. В банковском разделе «белого списка» из этой пятёрки есть только ПСБ; Банка «Санкт-Петербург» в нём нет.
Пара слов о правовой стороне, без домыслов. Закон № 281-ФЗ, вступивший в силу 1 сентября 2025 года, ввёл административную ответственность за распространение рекламы средств доступа к заблокированным ресурсам. Наказуемо продвижение, а не сами сервисы: пользоваться VPN не запрещено. Обсуждавшаяся весной 2026 года плата за международный трафик свыше 15 ГБ была снята с рассмотрения 7 июля 2026 года — писать, что она «вот-вот появится», оснований нет.
Если сравниваете несколько банков: у Россельхозбанка конфигурация TLS при игнорировании доверия вытягивает на A, у Уралсиба — только на B, там к вопросу корня добавляются свои огрехи настройки. Общая карта стран — в материале про VPN для СНГ.
Частые вопросы
Открывается ли сайт Банка «Санкт-Петербург» из-за границы без дополнительных действий?
Нет. 13 сентября 2026 года www.bspb.ru отдавал сертификат, выписанный Russian Trusted Sub CA с корнем Russian Trusted Root CA, и ни одно из пяти хранилищ доверия — Mozilla, Apple, Android, Java, Windows — эту цепочку не признаёт. Браузер покажет предупреждение. Поскольку HSTS на этом адресе выключен, кнопка «Всё равно перейти» остаётся доступна, и содержимое сайта прочитать можно.
Поможет ли VPN с российским IP открыть интернет-банк i.bspb.ru?
С проблемой сертификата — нет. Проверка подписи происходит внутри вашего устройства, до того как трафик попадает в сеть, поэтому маршрут на неё не влияет. Российский адрес помогает с другим барьером: региональной фильтрацией по стране IP. Для БСПБ подтвердить наличие такой фильтрации мы не смогли — наш клиент не дошёл до содержимого страницы.
Почему на сайт банка можно «пройти дальше», а в интернет-банк нельзя?
Из-за разной настройки HSTS. На www.bspb.ru заголовок выключен явно, max-age=0, и браузер разрешает пропустить ошибку сертификата. На i.bspb.ru он выставлен на год, max-age=31536000, и в этом случае Chrome и Firefox считают ошибку фатальной и не показывают кнопку обхода. Выход один: установить российский корневой сертификат или открывать страницу браузером, который уже несёт его в комплекте.
Где взять приложение БСПБ, если его нет в Google Play и App Store?
Мы проверили 13 сентября 2026 года: Google Play по идентификаторам ru.bspb и ru.bspb.b2b отдаёт 404, поиск в российской витрине App Store по тем же идентификаторам возвращает ноль результатов. В RuStore обе программы на месте: «БСПБ» версии 6.49.8 от 7 сентября 2026 и «БСПБ Бизнес» версии 9.43.9441036 от 31 августа 2026. Смена IP витрину магазина не переключает. APK со сторонних сайтов брать не стоит.
Ограничивает ли Банк «Санкт-Петербург» вход при включённом VPN?
Записей об этом мы не нашли. В технических разборах практики ограничения доступа пользователям с включённым туннелем из банков упоминается Сбер, в апрельском перечне изданий — Сбербанк, Альфа-Банк, ВТБ и Т-Банк. Банка «Санкт-Петербург» ни в одном из этих источников нет. Тенденция в отрасли существует, но приписывать её этому банку без подтверждения мы не будем.
Итог: что реально сделать перед отъездом?
Три вещи, и ни одна из них не про VPN. Установить российские корневые сертификаты на все устройства, с которых планируете заходить. Сохранить доступ к номеру телефона, на который приходят коды. Записать городской номер +7 (812) 329-50-50 — бесплатная линия 8-800 из-за границы не работает. VPN добавляется четвёртым пунктом и решает отдельную задачу — российский адрес, а не доверие к сертификату.
Подведём итоги
Банк «Санкт-Петербург» снаружи России упирается прежде всего в доверие к сертификату, а не в географию адреса. Обе рабочие площадки отдают цепочку с корнем Russian Trusted Root CA, которую не признаёт ни одно из пяти хранилищ. Оценка T при A− «если доверие проигнорировать» говорит: шифрование в порядке, вопрос в подписи.
Практическая разница, которую мы нашли и которой нет в других разборах: HSTS выключен на сайте и включён на год в интернет-банке. Читать сайт вы сможете, пропустив предупреждение, а войти в кабинет тем же способом — нет. Это одна настройка, но она определяет, пустит вас браузер дальше или нет.
Что делать: установить российские корневые сертификаты, сохранить доступ к телефонному номеру, записать городской номер банка. VPN нужен отдельно — если вам требуется адрес своей страны, начните с Proton VPN. И перепроверьте всё до отъезда: из Петербурга это вечер, из чужой страны — недели.