Почему я до сих пор не поставил Max и что буду делать, когда у телеги оторвут последнее колесо

08.03.2026 · 14 мин чтения

2026 год. У каждого уважающего себя россиянина в телефоне Госуслуги, Сбер и мессенджер Max, который «нужно поставить, потому что на работе сказали». С сентября 2025-го Max в обязательном порядке предустанавливают на все новые смартфоны. В Max зарегистрированы каналы 87 из 89 губернаторов и более 4 000 органов власти. Школы, поликлиники, ЖЭКи — всех отправили туда стройными рядами.

У меня Max до сих пор не стоит. Не потому что я упрямый бунтарь. Просто не вижу ни одного основания ему доверять.

Почему я не доверяю Max

Доверие к программному продукту строится на двух вещах: прозрачность и репутация. У Макса с этим проблемы.

Закрытый код

Max — полностью закрытый продукт. Исходный код закрыт и на клиенте, и на сервере. На GitHub у Max Messenger лежат только библиотеки для ботов — а сам мессенджер остаётся, как метко выразились на SecurityLab, «чёрным ящиком». Независимые исследователи не могут проверить, что происходит с вашими сообщениями, куда утекают метаданные и есть ли в коде бэкдоры.

Для сравнения: даже Telegram публикует исходный код клиентов, хотя серверная часть закрыта. У Max закрыто всё.

Нет сквозного шифрования

Max не реализует сквозное шифрование. Сообщения хранятся на серверах VK в расшифрованном виде. Нет даже двухфакторной аутентификации и секретных чатов.

Но отсутствие шифрования — это не недоработка. Это следствие архитектуры, в которой Max существует по закону.

Любой мессенджер, работающий в России, попадает в реестр ОРИ — организаторов распространения информации (ст. 10.1 Федерального закона № 149-ФЗ). Статус ОРИ обязывает:

хранить содержимое всех сообщений (текст, голос, видео, изображения) до 6 месяцев;
хранить метаданные (кто, кому, когда, откуда) 3 года — с 1 января 2026 года срок увеличен с одного года до трёх;
по требованию ФСБ предоставить ключи шифрования или информацию, необходимую для расшифровки сообщений (ч. 4.1, ст. 10.1);
установить оборудование СОРМ — системы оперативно-разыскных мероприятий, которая даёт спецслужбам удалённый круглосуточный доступ к хранимым данным;
идентифицировать каждого пользователя по номеру телефона (ч. 4.2, ст. 10.1).

С марта 2024 года в перечень обязательных данных добавлены геолокация и платёжные реквизиты.

За отказ выполнять требования ОРИ — штрафы до 6 млн рублей (ст. 13.31 КоАП), а затем блокировка. Именно по этой схеме заблокировали Signal, Viber, а до этого — Zello и BlackBerry Messenger.

Пресс-секретарь президента Дмитрий Песков подытожил это коротко и ясно: «Люди, которые пользуются мессенджерами, должны понимать, что все они абсолютно прозрачны. Для спецслужб».

Нет независимого аудита безопасности

Ни одна авторитетная компания не проводила публичного аудита безопасности Max. Эксперты резюмируют: «До проведения полномасштабного независимого аудита использовать Max для обсуждения конфиденциальной информации не рекомендуется». Вместо открытого кода VK предлагает баг-баунти-программу — и за первый месяц исследователи прислали 186 отчётов об уязвимостях, из которых 79 подтвердились. ФСБ тоже имела претензии к криптозащите.

Кто стоит за Max

VK контролируется государственным «Газпромом». Генеральный директор VK Владимир Кириенко — сын первого заместителя руководителя администрации президента Сергея Кириенко. IT-эксперт Михаил Климарёв утверждает: «95 процентов всех уголовных дел в России, возбуждённых в связи с высказываниями в интернете, связаны с VK. Они не просто делятся информацией, а активно участвуют в поиске критических высказываний».

Когда за мессенджером стоит структура с такой репутацией и таким уровнем прозрачности (нулевым), слово «доверие» звучит как издёвка.

Агрессивное навязывание, доходящее до абсурда

Отдельная проблема — это то, как Max продвигают. Не убеждением, не качеством продукта, не конкуренцией на рынке. Приказом. Выкручиванием рук с элементами шантажа.

Самый показательный пример — вход в Госуслуги. С декабря 2025 года в мобильном приложении Госуслуг отключили подтверждение по SMS и заменили его на код из Max. Сначала это коснулось Android — пользователи обнаружили, что кнопка «Пропустить» просто исчезла из интерфейса. В феврале 2026-го то же самое произошло на iPhone: приложение перенаправляет на страницу скачивания Max, без установки мессенджера войти нельзя.

Минцифры объяснило это борьбой с мошенничеством — мол, пользователи «непреднамеренно передают SMS-коды злоумышленникам». Ирония в том, что сама ФСБ за несколько месяцев до запуска не разрешала подключать Max к Госуслугам из-за претензий к безопасности требовала сертифицированную криптозащиту, аудит кода и моделирование угроз. Но потом, видимо, всё как-то порешали.

Формально альтернатива есть — TOTP-приложения вроде Google Authenticator или Яндекс.Ключ. Но чтобы их настроить, нужно зайти в веб-версию Госуслуг с компьютера, найти нужный пункт в настройках безопасности и знать, что такое TOTP. Для среднего пользователя путь один: ставь Max.

Обязательная предустановка на все устройства. Директивы для госслужащих. Школы в Татарстане, Марий Эл, Алтае, ХМАО, Владимирской и Тверской областях получили дедлайны на перевод учителей, учеников и родителей в Max — миграция должна завершиться к 1 ноября. Все московские школьные чаты переведены в Max. Юристы отмечают, что заставлять сотрудников ставить приложение на личный телефон незаконно — нарушение ст. 209 и ст. 188 ТК РФ — но когда это кого-то останавливало.

Когда продукт настолько хорош, что его нужно внедрять приказом, — это говорит о продукте больше, чем любой маркетинговый буклет.

Заблокированные альтернативы и логика ОРИ

Зная про обязанности ОРИ, легко понять, почему в России блокируют одни мессенджеры и продвигают другие. Блокируют тех, кто технически не может выполнить требования закона — потому что вся их архитектура построена ровно на том, чтобы ничего не хранить и никому не отдавать.

Session

Session — мессенджер с открытым кодом, использующий децентрализованную сеть из более чем 1 500 узлов и onion-маршрутизацию. Для регистрации не нужен ни номер телефона, ни электронная почта — при запуске генерируется анонимный 66-символьный идентификатор. У Session нет центрального сервера, на который можно поставить СОРМ, нет данных для идентификации пользователей по номеру телефона и нечего хранить 6 месяцев — сообщения передаются через децентрализованную сеть и не оседают в одном месте.

При этом Session — не подпольная поделка. В 2021 году независимая французская компания Quarkslab провела полноценный аудит безопасности: 42 человеко-дня работы, проверка всех трёх платформ. Заключение: «Общий уровень безопасности приложения хороший и позволяет использовать его людям, заботящимся о приватности».

Session заблокирован в России с августа 2024 года.

SimpleX

SimpleX идёт ещё дальше: у пользователей нет вообще никаких идентификаторов — ни номера, ни логина, ни даже случайного ID. Соединение устанавливается через одноразовые ссылки-приглашения. Идентифицировать пользователя по номеру телефона, как требует ч. 4.2 ст. 10.1, здесь невозможно в принципе — телефон при регистрации не запрашивается.

SimpleX прошёл два аудита от Trail of Bits — одной из самых авторитетных компаний в области кибербезопасности: аудит реализации в 2022 году и аудит криптографического дизайна в 2024 году.

SimpleX заблокирован в России с сентября 2024 года. В сентябре 2025-го Таганский суд Москвы оштрафовал SimpleX Chat Ltd. за «невыполнение обязанностей организатора сервиса обмена мгновенными сообщениями».

Итого

Логика простая: мессенджер, который архитектурно не может выполнить требования ОРИ, блокируется. Мессенджер, который эти требования выполняет и хранит всё на серверах в открытом виде, приветствуется и продвигается. Аудит безопасности, открытый код, защита от перехвата — всё это в глазах регулятора не плюс, а проблема, потому что мешает выполнять закон.

В результате проверенные независимыми экспертами, безопасные по всем международным стандартам мессенджеры — заблокированы. Закрытый продукт без аудита и без сквозного шифрования — обязателен к установке.

Telegram тоже не эталон безопасности

Может показаться, что на фоне Max и заблокированных альтернатив Telegram выглядит золотой серединой: и ОРИ выполнять отказывается, и работает (пока). Впрочем, именно поэтому у него и откручивают колёса — Telegram внесён в реестр ОРИ ещё в 2017 году, но отказался передавать ФСБ ключи шифрования, за что в 2018-м был формально заблокирован. Блокировку сняли в 2020-м, но требования закона Telegram так и не выполнил. И сейчас это снова становится проблемой.

Однако строить из Telegram невинную жертву было бы нечестно. У него хватает собственных проблем с безопасностью, и серьёзных.

MTProto: самодельная криптография

Telegram использует собственный криптографический протокол MTProto, созданный Николаем Дуровым. Это нарушает одно из базовых правил криптографии: «Не изобретай свою криптографию» (Don’t roll your own crypto). Вместо того чтобы взять проверенный Signal Protocol (который используют Signal, WhatsApp, Facebook Messenger), команда Telegram разработала протокол с нуля.

В 2021 году исследователи из ETH Zurich и Royal Holloway (Лондонский университет) опубликовали работу «Four Attacks and a Proof for Telegram», в которой продемонстрировали четыре атаки на MTProto 2.0:

Перестановка сообщений — сетевой атакующий может изменить порядок сообщений между клиентом и сервером, меняя их смысл.
Детектирование содержимого — можно определить, какое из двух специальных сообщений было зашифровано.
Тайминг-атака — уязвимости во всех трёх официальных клиентах (Android, iOS, Desktop) теоретически позволяли восстановить открытый текст.
Атака «человек посередине» — возможность перехвата при начальном обмене ключами.

Профессор Кенни Патерсон из ETH Zurich подытожил: «Это можно было бы сделать лучше, безопаснее и надёжнее, если бы использовался стандартный подход к криптографии».

Ещё раньше, в 2015 году, исследователи из Орхусского университета показали, что MTProto не соответствует стандартным определениям безопасности шифрования (IND-CCA). Их вывод: «Проверенные схемы шифрования с доказанной безопасностью следует предпочитать самодельным».

А криптограф Мэттью Грин из Университета Джонса Хопкинса в своём разборе выразился ещё лаконичнее: «Интерфейс симпатичный. А криптография — как вилкой в глаз».

1 530 конструкторов: архитектурный Франкенштейн

Отдельная история — протокол сериализации TL (Type Language), который лежит в основе MTProto. На текущий момент TL-схема Telegram содержит 1 530 конструкторов, 742 метода и 585 типов — в сумме 2 857 компонентов, каждый из которых любая реализация клиента обязана корректно обработать.

Каждый конструктор — это отдельный путь десериализации. Каждый путь — потенциальная ошибка: переполнение буфера, некорректная проверка типа, пропущенная валидация. Исследователи из ETH Zurich проверили три крупные сторонние библиотеки (Pyrogram, Telethon, GramJS) — ни одна не реализовала все необходимые проверки безопасности корректно.

Зачем столько сложности? Потому что Telegram создал собственный формат сериализации вместо готового Protobuf. Потом создал собственный криптографический протокол вместо TLS. Потом выбрал нестандартный режим шифрования (IGE вместо стандартного AEAD). Каждый самодельный слой умножает количество мест, где что-то может пойти не так.

Разработчик Go-библиотеки для MTProto написал в README: «Протокол — это д***мо, приправленное ложкой костылей. Серьёзно, посмотрите на реализацию — это агония в каждой строчке».

А подробный разбор на Хабре показывает, что TL — это академически переусложнённый формат из комбинаторной логики и теории зависимых типов, где документация застряла на уровне 2014 года, а реальные клиенты Telegram парсят схему регулярными выражениями вместо формальных грамматик.

Главная проблема: шифрование не по умолчанию

Самое принципиальное: Telegram не шифрует переписку сквозным образом по умолчанию. Сквозное шифрование доступно только в «секретных чатах», которые нужно создавать отдельно, и которыми пользоваться крайне неудобно. Обычные чаты и все без исключения групповые чаты хранятся на серверах Telegram в открытом виде.

Signal Protocol шифрует всё по умолчанию — и личные сообщения, и групповые. Серверу недоступно содержимое. У Telegram сервер видит почти всё.

Мой план: три сценария

Пока телега едет — еду на телеге

Сегодня у Telegram нет реальной альтернативы как информационной платформе. Каналы, чаты, боты — вся экосистема живёт там. Текстовые сообщения пока доходят, каналы работают. Да, звонки режут, медиа замедляют, Роскомнадзор обещает «последовательные ограничения» — но по колесу в неделю можно откручивать долго. Пока едет — еду.

Если заставят поставить Max — отдельный телефон

Я не собираюсь ставить Max на свой основной смартфон. Причина проста: я не доверяю разработчикам этого продукта. Закрытый код, отсутствие аудита, интеграция с СОРМ, структура собственности — каждый пункт по отдельности вызывает вопросы, а вместе они складываются в картину, при которой устанавливать этот мессенджер на устройство с личными данными я не готов.

Если обстоятельства вынудят — для этого будет отдельный смартфон. На нём — только Max и только те коммуникации, которые невозможно вести иначе. Никаких личных фотографий, банковских приложений и записных книжек рядом.

Когда оторвут последнее колесо — RSS

Если Telegram доведут до состояния «для мазохистов с тремя VPN», а Max останется единственной легальной альтернативой, я, видимо, вернусь к истокам. RSS — технология, которая не требует регистрации, не собирает данные и работает без разрешения регулятора.

Это не шутка. RSS переживает ренессанс: рост аудитории RSS-ридеров составил 34 % за последний год. Инструменты вроде Inoreader умеют подтягивать не только сайты, но и Reddit, Telegram-каналы, рассылки — всё в одном месте. Есть RSSHub, который конвертирует публичные Telegram-каналы в RSS-фиды. Для тех, кому важна приватность, существуют self-hosted решения: FreshRSS, Miniflux, Tiny Tiny RSS. Я же после «выключения» Google Reader пользуюсь Bazqux Reader. Он платный, но оплатить можно и рублями.

RSS — это хронологическая лента без алгоритмов, без рекламы, без трекинга. Вы сами выбираете источники. Вы сами решаете, что читать. Никто не может заблокировать вам формат.

Заключение

Стоит зафиксировать в уме простой факт: любой мессенджер, который работает в России без ограничений, выполняет обязанности ОРИ. Это значит, что он по закону:

хранит содержимое ваших сообщений в течение 6 месяцев;
хранит метаданные (кто, кому, когда, откуда) 3 года;
собирает геолокацию и платёжные реквизиты;
идентифицирует вас по номеру телефона;
предоставляет ФСБ ключи шифрования по запросу;
обеспечивает круглосуточный удалённый доступ через СОРМ.

Max, VK Мессенджер, Яндекс.Мессенджер — неважно, какой из них выбрать. Все они выполняют одни и те же обязанности ОРИ, хранят одни и те же данные, предоставляют один и тот же доступ. Разница в иконке на экране, не в уровне приватности. Кто отказался выполнять эти требования — заблокирован. Кто согласился — работает.

Telegram пока остаётся единственной массовой площадкой, которая отказалась передавать ключи шифрования, и за это ей постепенно откручивают колёса. При всех его криптографических проблемах — это всё ещё другой уровень, чем госмессенджер, интегрированный с СОРМ.

Я не планирую бежать в Max по зелёному свистку. Да и по фиолетовому тоже. Не потому что упрямый — потому что умею читать и думать. Читать исходный код, когда он открыт. Читать аудиты безопасности, когда они проведены. И читать между строк, когда и того, и другого нет.

А когда у телеги оторвут последнее колесо, я открою RSS-ридер. Технология из 1999 года, которая пережила ICQ, MySpace, Google Reader и три блокировки. Переживёт и это.

Источники

Four Attacks and a Proof for Telegram — исследование криптографов из ETH Zurich и Royal Holloway (2021). Четыре атаки на MTProto 2.0, включая перестановку сообщений и тайминг-атаку на официальные клиенты.
On the CCA (in)Security of MTProto — работа исследователей Орхусского университета (2015). Показывает, что MTProto не соответствует стандартным определениям безопасности шифрования (IND-CCA).
Telegram Is Not Really an Encrypted Messaging App — разбор криптографа Мэттью Грина (Университет Джонса Хопкинса). Подробный анализ нестандартных криптографических решений в MTProto и отсутствия сквозного шифрования по умолчанию.
On the Cryptographic Fragility of the Telegram Ecosystem — исследование ETH Zurich (2022). Анализ сторонних клиентов Telegram: ни один из трёх (Pyrogram, Telethon, GramJS) не реализовал все проверки безопасности корректно.
Критика протокола и организационных подходов Telegram — подробный технический разбор TL-схемы и MTProto на Хабре (2019). Об академической переусложнённости формата сериализации и устаревшей документации.
Telethon TL API Reference — актуальная статистика TL-схемы Telegram: 1 530 конструкторов, 742 метода, 585 типов.
Audit of Session Secure Messaging Application — независимый аудит Session от французской компании Quarkslab (2021). 42 человеко-дня работы, проверка всех платформ. Заключение: «Общий уровень безопасности хороший».
SimpleX Chat v4.2: Security Audit by Trail of Bits — первый аудит SimpleX от Trail of Bits (2022). Проверка криптографии и сетевого стека библиотеки simplexmq.
SimpleX Network v6.1: Cryptographic Design Review by Trail of Bits — второй аудит SimpleX от Trail of Bits (2024). Ревью криптографического дизайна протоколов.
Session: What to Do If You Can’t Connect in Your Region — официальное заявление Session о блокировке в России и рекомендации по обходу.
SimpleX Chat Blocked in Russia — обсуждение блокировки SimpleX на форуме Privacy Guides с хронологией событий.
Мессенджер Max: безопасность, контроль и риски — аналитический разбор Max на vc.ru. Отсутствие сквозного шифрования, двухфакторной аутентификации и независимого аудита.
«Безопасный» мессенджер Max оказался под огнём критики — анализ на SecurityLab. Max как «чёрный ящик» с закрытым исходным кодом.
Более четырёх тысяч органов власти зарегистрировали каналы в Max — РИА Новости. 87 из 89 губернаторов и более 4 000 органов исполнительной власти и местного самоуправления в Max.
Max вошёл в список для обязательной предустановки на устройства в России — ТАСС об обязательной предустановке Max на все новые смартфоны с сентября 2025 года. Распоряжение кабмина.
Перевод школьных чатов на мессенджер Max протестируют в шести регионах России — «Коммерсантъ» о пилотных регионах: Татарстан, Марий Эл, Алтай, ХМАО, Владимирская и Тверская области.
Обязаны ли ставить Max по требованию работодателя: что говорит закон — iXBT о незаконности принудительной установки приложений на личные телефоны (ст. 209 и ст. 188 ТК РФ).
За первый месяц Bug Bounty в мессенджере Max выплачено 7,8 млн рублей — Хабр. 186 отчётов об уязвимостях, 79 подтверждены.
У ФСБ серьёзные претензии к Max по защите персданных — Anti-Malware.ru. ФСБ отметила отсутствие криптозащиты необходимого класса.
Роскомнадзор заявил, что продолжит последовательно ограничивать работу Telegram — «Интерфакс». РКН: «Продолжит введение последовательных ограничений с целью добиться исполнения российского законодательства».
Роскомнадзор продолжит ограничивать работу Telegram — ТАСС о продолжении ограничительных мер в отношении Telegram.
Статья 10.1 Федерального закона № 149-ФЗ — КонсультантПлюс. Полный текст статьи об обязанностях организаторов распространения информации (ОРИ): хранение данных, предоставление ключей шифрования ФСБ, установка СОРМ.
Увеличение срока хранения метаданных ОРИ до 3 лет — КонсультантПлюс. Федеральный закон № 41-ФЗ от 01.04.2025, вступает в силу с 01.01.2026.
Статья 13.31 КоАП РФ: штрафы за нарушение требований ОРИ — КонсультантПлюс. Штрафы до 6 млн рублей за невыполнение обязанностей ОРИ.
Россияне не смогут со смартфона входить на Госуслуги по SMS: нужно ставить Max — CNews. Минцифры заменило SMS-подтверждение на код из Max в мобильном приложении Госуслуг.
Пользователи «Госуслуг» на Android не могут зайти в госсервис без кода из Max — Хабр. Кнопка «Пропустить» исчезла из интерфейса после обновления приложения.
Некоторые пользователи в России не могут зайти в Госуслуги без Max — РИА Новости. Владельцы iPhone не могут войти в Госуслуги без установки Max с февраля 2026 года.
ФСБ не разрешила подключить мессенджер Max к «Госуслугам» из-за угроз безопасности — Хабр. ФСБ требовала сертифицированную криптозащиту, аудит кода и моделирование угроз до подключения Max к ЕСИА.
RSS Revival in 2026: Users Flee Algorithms for Privacy and Control — WebProNews о росте аудитории RSS-ридеров на 34 % и возвращении к RSS как ответу на алгоритмическую цензуру.