犹他州 VPN 法律今天并未生效：SB 73 对 VPN 用户究竟意味着什么

如果你本周读过科技媒体，就会看到同一条标题的不同版本：美国首部针对 VPN 使用的法律将于 9 月 3 日生效。这是 Gizmodo 在 8 月 31 日标题中给出的日期，也是周末期间在论坛和社交媒体上传播开来的日期。它是错的，而且错在两个方向上。

犹他州参议院第 73 号法案自 2026 年 5 月 6 日起已经生效。其 VPN 条款成为法律已有四个月。原定于 9 月 3 日结束的不是这部法律的沉睡期，而是一场法庭休战：犹他州承诺，在联邦法官审议 Pornhub 运营商 Aylo 这一家公司提出的质疑期间，不对该公司执行 VPN 条款。而这一休战已于 8 月 27 日延长，比那些标题早了一周。对于犹他州任何一位手机上装着 VPN 应用的人来说，今天什么都没有改变。

下面是这项法案的内容、约束对象、案件进展，以及这一切对使用 VPN 的人意味着什么。

犹他州的 VPN 法律在 9 月 3 日生效了吗？

没有。混淆源于把两份文件混为一谈。

第一份是法律本身。SB 73，即《在线年龄验证修正案》，由参议员 Calvin Musselman 和众议员 Steve Eliason 提案，于 2026 年 3 月 19 日由州长 Spencer Cox 签署。已颁布法案的第 22 条规定了生效日期：2026 年 5 月 6 日，少数税务条款则于 10 月 1 日随后生效。VPN 相关文字位于第 14 条，该条修订了犹他州法典 78B-3-1002，与其余条款一样适用 5 月 6 日这一日期。

第二份文件是 2026 年 4 月 27 日提交联邦法院的联合约定书，即 Aylo 起诉五天之后。在这份文件中，犹他州消费者保护司和犹他州商务部同意暂不对 Aylo 及其关联公司执行“视为所在地条款”，“直至 2026 年 9 月 3 日，即该条款原定生效之日后 120 天”。Aylo 方面则同意不改变其目前在犹他州的地理围栏，也就是说 Pornhub 及其姊妹网站将继续对犹他州 IP 地址保持屏蔽，正如自 2023 年以来的状态。

这就是 9 月 3 日这个日期的由来。它从来不是生效日期，而是对某一位诉讼当事人作出的不执行承诺的到期日。根据法院案卷，双方于 8 月 27 日又提交了一份“延长不执行期的联合约定书”，法院于次日予以确认。正如 XBIZ 在 8 月 28 日报道的，延长期持续到 2026 年 10 月 22 日，或法院就 Aylo 的初步禁令动议作出裁决之时，以先到者为准。约定书把这段额外时间与犹他州的一项规则制定联系起来：“这一持续暂缓执行期使原告能够参与该规则制定程序，而在此期间不受追责的威胁。”

因此，准确的表述比一条标题所能容纳的要长。VPN 条款是法律，而且自 5 月起就是。犹他州已承诺在 10 月下旬之前不对 Aylo 使用它。对于其他所有受约束的网站，该条款在技术上自 5 月 6 日起就已适用，不过我们没有找到任何公开记录显示该司曾因 VPN 流量对任何网站启动执法行动。

SB 73 究竟要求什么，又是对谁提出要求？

犹他州自 2023 年起就要求成人网站进行年龄验证。SB 73 重建了这一制度：在现有的私人起诉权之外增加了由消费者保护司进行的公共执法，增加罚款，对受约束网站设立消费税，并加入了两段关于 VPN 的规定。这两段在已颁布文本中的内容如下。

视为所在地规则，即 78B-3-1002 新增第 (3) 款：“如果个人实际位于本州境内，则视为其从本州访问该网站，无论该个人是否使用虚拟专用网络、代理服务器或其他手段掩饰或谎报其地理位置，以使其看起来像是从本州以外的地点访问网站。”

协助禁令，即新增第 (4) 款：受约束网站“不得协助或鼓励使用虚拟专用网络、代理服务器或其他手段规避年龄验证要求”，包括提供“如何使用虚拟专用网络或代理服务器访问该网站的说明”或“供本州个人规避地理围栏或屏蔽的手段”。

这两项规则的对象都是“运营包含相当大比例对未成年人有害内容的网站的商业实体”。相当大比例有一个具体数字：超过网站全部内容的 33 1/3%。将自身定位为以成人内容为主、或使用成人主题域名的网站，被推定越过了这条线。

处罚针对的是同一实体。根据新增第 78B-3-1004 条，该司司长可对每次违规处以最高 2,500 美元的行政罚款，法院还可追加每次违规最高 2,500 美元的民事罚款、没收违法所得、禁令和实际损害赔偿，无视命令的每次违规另加最高 5,000 美元。第 78B-3-1002(6) 条豁免仅传输流量的互联网服务提供商、搜索引擎和云服务商，第 (5) 款则豁免真正的新闻和公共利益内容。

请注意缺少了什么。没有“VPN 用户”的定义，没有加在 VPN 服务商身上的义务，也没有针对通过 VPN 连接的个人的罚款、罪名或民事责任。可以直接引用的版本是：犹他州的 SB 73 并不监管 VPN 用户；它监管的是网站，方式是宣布人在犹他州境内的访问者无论网站看到什么 IP 地址都算作犹他州访问者。

现在在犹他州使用 VPN 违法吗？

不违法，5 月 6 日时也同样不违法。SB 73 的每一条实施性条款都把商业实体列为承担义务的一方。盐湖城的一位居民打开 VPN 使用酒店 Wi-Fi、连接工作网络、防止互联网服务提供商分析其浏览记录，或在旅行时观看家里订阅的内容，这些都不在该法规的调整范围之内。

这部法律改变的是网站的风险敞口。在 SB 73 之前，一个受约束的网站可以辩称，一位从荷兰或加拿大 IP 地址来访的用户，就其目的而言身在荷兰或加拿大。现在犹他州说，如果该访问者实际身在犹他州，网站就要承担责任。网站能否知道这一点，是下一个问题，也是整个案件的关键。

如果你使用 VPN，网站该如何知道你身在犹他州？

它基本上做不到，这正是对 SB 73 的批评来自截然不同阵营的原因。

电子前哨基金会称屏蔽 VPN 地址是“一场恐怕没有任何公司能赢的技术打地鼠游戏”，并指出 VPN 服务商不断增加地址，完整的屏蔽列表并不存在。据 KUER 在 5 月的引述，Fight for the Future 的 Lia Holland 说得更直白：判断一位正规 VPN 用户从哪里浏览“从设计上就根本不可能”。NordVPN 在回答 Gizmodo 提问时把这部法规形容为一个“责任陷阱”，其中“平台因为无法完成一项目前没人知道如何可靠完成的技术任务而面临真实的财务风险”。

技术原因并无争议。IP 地理定位是根据路由数据和注册记录得出的商业推断，而不是对设备位置的测量，即便是普通连接，它在州一级也经常出错。VPN 和代理检测依赖已知出口地址列表，而这些列表总是落后于现实。而且，标记出消费者 VPN 的那些信号，同样会标记出企业网络、大学网络、把流量经由州外网关转发的移动运营商，以及主流浏览器内置的隐私功能。一个屏蔽所有看起来像 VPN 的连接的网站，会把大量合法访问者挡在门外，在犹他州如此，在其他任何地方也如此。

用一句话概括 Aylo 的论点就是：在犹他州确保合规的唯一办法，要么是对所有地方的所有人进行年龄验证（该公司告诉法院这最多可能赶走其 80% 的客户），要么是屏蔽任何可能身在犹他州的人。参议员 Musselman 的回应，据 KUER 引述，是“SB 73 关乎问责”，网站可以验证年龄或确认位置，“同时仍为用户保留加密选项”。

犹他州自己的答案正通过规则制定到来。SB 73 授权该司通过规则设定年龄验证标准，并为达标网站提供安全港。该司的拟议规则 R152-78B 公开征求意见至 10 月 1 日，预计于 10 月 8 日生效，据 XBIZ 报道，其中包含关于“地理位置混淆”的标准。这些标准对网站提出何种要求，将决定视为所在地条款是一个可行的合规目标，还是一个不可能完成的目标。

Aylo 的诉讼是关于什么的，法官何时裁决？

Aylo Freesites 和 Aylo Group 于 2026 年 4 月 22 日向美国犹他州联邦地区法院提起诉讼，案号 2:26-cv-00340，被告为消费者保护司及其司长 Katie Hass、商务部及其执行主任 Margaret Busse。案件由 David Barlow 法官审理。诉状专门针对视为所在地条款，并据 Deseret News 报道主张，该条款“把名义上的犹他州法规变成了事实上的全球性强制规定”，违反了宪法对各州监管州际和对外商业的限制。

Aylo 并未质疑年龄验证本身。最高法院已于 2025 年 6 月在 Free Speech Coalition 诉 Paxton 案中解决了这一问题，维持了德克萨斯州的年龄验证法。Aylo 的主张范围更窄：一个州可以要求对其居民进行年龄核查，但不能让一家外国公司为其无法可靠定位到该州境内的访问者承担责任。

根据案卷和双方提交的文件，迄今为止的时间线如下：

禁令裁决没有公布日期。7 月 30 日的听证记录于 8 月 27 日提交，双方对延期的表述是让规则先落地，案件再推进。下一条真正的新闻预计出现在 10 月，而不是 9 月。

还有哪些州在效仿犹他州的做法？

成人网站的年龄验证如今已是美国的常态。年龄验证服务商协会统计，截至 2026 年 2 月，至少已有 25 个州通过了此类法律，而夏季更新的追踪数据显示这一数字还在继续上升。犹他州是第二个加入的州，其法律于 2023 年 5 月 3 日生效，并促使 Pornhub 在两天前屏蔽了整个州。Google Trends 显示，犹他州的 VPN 搜索量在 2023 年 5 月 2 日凌晨飙升至热度峰值，Newsweek 当时对此作了报道。这一插曲比任何其他因素都更能解释为什么 2026 年的法案会提到 VPN。

效仿 VPN 条款则是另一回事。密歇根州的立法者在 2025 年提出了一项走得更远的法案，要求互联网服务提供商直接屏蔽 VPN 流量；该法案在委员会阶段搁浅。威斯康星州的年龄验证法案原本包含 VPN 相关内容，2026 年 2 月被删除，随后州长于 4 月否决了该法案。Aylo 的诉状称此前没有任何州颁布过视为所在地条款，而我们也没有找到其他任何提及 VPN 的美国已颁布法规。据报道正在关注此案的各州议会都在等着看视为所在地条款能否在禁令动议中存活下来，然后再起草自己的版本。正是在这个意义上，犹他州是一个试验案例：Barlow 法官法庭上的结果，将被另外二十几个州首府解读。

身在犹他州的人该拿自己的 VPN 怎么办？

什么都不用做，因为没有任何义务落到你身上，也没有任何拟议中的义务。不过有几点实用提示，因为此类法律的次级效应往往由普通用户承受，而不是由它们针对的网站承受。

1. 让 VPN 继续做它该做的事。公共 Wi-Fi 上的加密、用于网上银行和工作登录的稳定 IP，以及在你的浏览与互联网服务提供商之间设置的屏障，这些都不受影响。如果你想要一个就近的出口，Le VPN 在盐湖城设有服务器，与其其他美国节点并列，因此以犹他州为起点的连接可以留在犹他州。
2. 预计会有更多网站在各地对 VPN 流量提出质疑。面对一条没有可靠检测手段的责任规则，理性的应对就是过度屏蔽。如果一个与犹他州毫无关系的网站开始拒绝你的 VPN 连接，那是合规反射在蔓延，而不是你的 VPN 出了什么问题。切换服务器通常就够了。
3. 不要把这部法律当作一道待解的谜题。SB 73 禁止受约束网站教访问者如何绕过年龄核查，本文也不会替它们去做。成人内容的年龄验证符合宪法，而且会长期存在；犹他州悬而未决的问题只是，当工具无法判断一个人身在何处时，由谁来承担这一负担。
4. 关注 10 月，而不是 9 月。规则的意见征集截止日是 10 月 1 日，规则可能于 10 月 8 日生效，与 Aylo 的执法休战将于 10 月 22 日结束，除非法院先作出裁决。其中任何一项都可能改变实际情况，而它们没有一项发生在本周。

如果你想了解更广泛的图景，即哪些地方限制 VPN、哪些地方只是加以监管，我们的2026 年各国 VPN 合法性指南有全面介绍，我们的美国页面列出了美国服务器节点。作为欧洲的对照，法国监管机构去年在成人网站年龄核查问题上经历了一场非常相似的争斗；我们报道过那场争斗的经过，包括犹他州如今正在引入的同样的过度屏蔽现象。

给任何把这条标题发给你的人的简短版本：犹他州的 VPN 法律是真实的，它自 5 月起已经生效，它监管的是网站而不是个人，而接下来重要的日期是 10 月 22 日。