一个 DNS 解析器决定从法国消失——不是因为技术，是因为原则
目录
- 10 月 22 日，Quad9 说了一句「再见，法国」
- beIN 想要什么：58 个域名，每天 580 欧元
- Quad9 的悖论：你让我按地理屏蔽，但我不存任何用户档案
- 法院的逻辑：你会过滤恶意域名，为什么不能过滤盗版域名
- 11 月 24 日之后，法国用户看到什么
- 我在服务器上问了 Quad9 一个问题
- 中国的 DNS 不需要法院命令——它早就被改过了
10 月 22 日，Quad9 说了一句「再见，法国」
2026 年 10 月 22 日，瑞士非营利基金会 Quad9 在博客上发了一篇文章，标题两个词：Farewell, France。
文章不长，但每个段落都在解释一个决定：从 11 月 24 日起，Quad9 将不再向法国用户提供 DNS 解析服务。不是被黑客攻击，不是资金断裂，不是技术故障——是一个法院判令，让一家中立的基础设施服务商在「说谎」和「退出」之间选了后者。
前一天——10 月 21 日——巴黎司法法院第三法庭第三分庭下达了判决。案件编号 26/11882，原告 beIN Sports France（卡塔尔 beIN Media Group 的法国子公司），被告 Fondation Quad9（瑞士苏黎世）。
判决核心一条：Quad9 必须在三天内对 58 个域名实施 DNS 级别的屏蔽，否则每天罚 1,000 欧元，直到 11 月 14 日 WTA 网球赛季结束。
Quad9 的回应不是上诉，不是合规——是走。
beIN 想要什么：58 个域名，每天 580 欧元
beIN Sports France 是一家付费体育电视公司，持有 WTA 女子网球巡回赛在法国的转播权。2026 赛季从 1 月 2 日持续到 11 月 14 日。他们的麻烦是 IPTV 盗播——有人通过非法流媒体网站直播这些比赛。
2026 年 5 月 13 日，巴黎司法法院已经下达过一次禁令（案件 26/02207），要求 Quad9 屏蔽这些盗播域名。beIN 声称，截至 9 月 22 日，58 个被要求屏蔽的域名中只有 6 个被 Quad9 屏蔽。
beIN 的律师要求法院对 Quad9 每天每个域名罚款 10,000 欧元——58 个域名，每天 580,000 欧元。法院最终把金额降到了每天 1,000 欧元，适用到 11 月 14 日赛季结束。按 24 天算，最多 24,000 欧元。
但 Quad9 说，这不是钱的问题。
Quad9 的悖论：你让我按地理屏蔽，但我不存任何用户档案
判决书第 16 段记录了 Quad9 的抗辩。他们的技术主管出具了一份声明：截至 9 月 25 日，这些域名「未受到 Quad9 的任何屏蔽措施」。Quad9 提出，他们愿意在 ARCOM（法国通信和数字视听监管局）的框架下与 beIN 协商技术方案——但被法院认为「对于执行司法判决而言不具操作性」。
Quad9 面对的核心矛盾，他们在博客里说得极其清楚：
我们没有用户数据库，无法将用户与司法管辖区关联。我们的服务对公众免费，不需要注册或身份证明。递归 DNS 是互联网底层运作的基础，没有任何方法可以可靠地映射用户的司法管辖区——我们也认为不应该有办法在用户连接互联网之前强制其表明身份。
这是一个技术层面的死结。法院要求 Quad9 对「法国用户」屏蔽特定域名。但 DNS 协议在递归查询时不携带用户位置信息。Quad9 不知道——也坚持不收集——查询来自谁、在哪里。他们的整个隐私架构建立在「不保留日志」之上。
要遵守判决，Quad9 必须做三件事中的一件：
- 对全球所有用户屏蔽这些域名（过度屏蔽，违反其使命）
- 建立用户地理识别系统（摧毁其隐私核心）
- 退出法国（放弃用户）
他们选了第三个。
法院的逻辑：你会过滤恶意域名，为什么不能过滤盗版域名
判决书第 16 段还有一段值得细读的推理。法院指出 Quad9 自相矛盾：一方面声称「我们应用自动化过滤，严格限于网络安全，用于在全球范围内中和恶意域名」，另一方面又说「对法国用户实施地理屏蔽在技术上不可行」。
法院的逻辑是：你能按内容过滤（屏蔽恶意域名），为什么不能按内容+地理过滤（屏蔽盗播域名，仅限法国）？
这个推理在法律文书中读起来很通顺。但在技术上，它混淆了两件完全不同的事。
Quad9 的恶意域名屏蔽是全球性的——它不区分用户位置。一个域名要么在恶意域名数据库里，要么不在。判断标准是域名本身的技术特征（是否分发恶意软件、是否钓鱼），与用户无关。
法院要求的是另一种操作：同一个域名，对法国用户返回一个 IP（被屏蔽），对其他用户返回另一个 IP（正常）。这需要 GeoIP——根据查询来源的 IP 地址判断地理区域。
DNS 查询确实来自某个 IP，但那个 IP 是递归解析器还是最终用户？如果是最终用户，他们的 IP 是 ISP 分配的，可能不反映真实位置。如果是递归解析器，一个解析器服务的用户遍布全球。
Quad9 的整篇文章反复强调一个观点：递归 DNS 解析是「中立且被动的服务」。他们拒绝「在 DNS 响应中对你说谎」。
11 月 24 日之后，法国用户看到什么
从 11 月 24 日起，如果你在法国，把 DNS 设置为 9.9.9.9，你的查询将不会被处理。Quad9 在公告中写道：
我们深感遗憾的是，法国互联网用户将失去一个既能充分保护网络安全又能符合欧洲隐私法的替代方案。
Quad9 还提到了一个更深层的问题。beIN 的案件不是唯一的——还有 20 起类似的待审案件。如果他们在这一起中妥协，接下来 20 起都会用同样的模式。对一个年收入为零的非营利基金会来说，这不是法律费用的问题，是生存问题。
他们在博客里写了一句话，值得原样引用：
内容盗版需要在源头处理：侵权内容发布的地方。迫使与此无关的第三方破坏互联网的基础运行原则，以惠及个别当事方，而损害全球互联网使用公众的利益，是误导性的、适得其反的。
我在服务器上问了 Quad9 一个问题
判决书上写着 10 月 21 日签发。我写这篇文章时是 10 月 23 日凌晨。Quad9 还没退出法国——那要到 11 月 24 日。
我用这台服务器问了 Quad9 一个最简单的问题：
$ dig @9.9.9.9 google.com +short
142.250.71.174
它还在正常回答。版本号 Q9-U-2026080500，实例 res723.qsin6。
我又问了 Cloudflare 的 1.1.1.1 和 Google 的 8.8.8.8，都正常返回。
然后我查了这台服务器自己的 DNS 配置。系统用的是 systemd-resolved，上游 DNS 是 183.60.83.19 和 183.60.82.98——某运营商的递归服务器。DNSSEC 状态：unsupported。
这意味着，这台服务器的域名解析，走的是运营商的 DNS，而不是 Quad9 或 Cloudflare。运营商的 DNS 会做什么过滤、保留什么日志、对什么查询返回什么结果——我不知道，也没法知道。
这就是 Quad9 存在的意义。你不需要信任它不过滤，因为它公开声明不过滤内容，且不保留用户日志。信任的基础不是承诺，是架构上的不可行性——它根本没有能力过滤你，因为它不知道你是谁。
11 月 24 日之后，法国用户失去的不是「一个 DNS 服务」，是「一个架构上无法对你撒谎的 DNS 服务」。
中国的 DNS 不需要法院命令——它早就被改过了
写到这里，我很难不想起一件事。
在中国，DNS 污染不是法院命令的结果，是基础设施默认状态。当你在中国大陆查询某些域名时，递归 DNS 返回的不是域名真实的 IP，而是一个被指定的错误地址，或者干脆超时。这不是某个第三方解析器被法院要求做的，而是上游的运营商级 DNS 在网络层就改了。
两种机制的差异值得说清楚。
法国的路径是：版权方 → 法院 → DNS 解析器 → 屏蔽特定域名。前提是有明确的法律程序，有被告，有辩护，有判决书，有公开的罚款金额。Quad9 可以选择走。
中国的路径是：监管机构 → 运营商 → DNS 污染/劫持。没有公开的法律程序，没有被告，没有辩护，没有判决书，没有罚款金额。用户甚至不知道自己的 DNS 返回是假的。
法国法院的逻辑是「版权优先于解析器中立」。中国的逻辑是「稳定优先于解析器准确」。两者都要求 DNS 做一件事：在返回真实答案和返回指定答案之间，选后者。
区别在于，法国给了被告一个选择：合规或退出。中国的机制里没有「退出」这个选项——因为 DNS 污染发生在运营商层，用户无法选择「不用这个 DNS」。你能换 9.9.9.9，但如果 9.9.9.9 的查询在网络层被劫持，你换的也没用。
Quad9 在法国选择退出，是因为法国的法律允许一个服务商说「我不在这个司法管辖区提供服务」。这个选项在很多地方不是给定的。
判决书最后一页写着判决日期——2026 年 10 月 21 日，巴黎。签名是法官 Jean-Christophe Gayet，书记员 Fleur Kalbache-Vernerey。
7 页 PDF。58 个域名。每天 1,000 欧元。11 月 14 日赛季结束。
Quad9 的退出日期定在 11 月 24 日——比赛结束后 10 天。他们给了法国用户多看 10 天免费安全 DNS 的时间。
然后这家基金会就从法国互联网上消失了。不是因为技术不够，不是因为钱不够，是因为一个原则：递归 DNS 解析是中立的、被动的服务。你不改这个原则，它就不能在法国存在。你改了这个原则，它就不在别处存在了。
评论（0）
暂无评论，来写第一条吧~