В России ввели штрафы за авторизацию через зарубежные сервисы: что нужно знать владельцам сайтов

Одна кнопка «Войти через Google» на сайте сегодня может обойтись бизнесу в тысячи рублей. Чтобы избежать штрафов за использование запрещённых способов входа пользователей, недостаточно просто убрать логотип зарубежной компании с формы авторизации — нужно проверить всю систему, от регистрации новых пользователей до старых аккаунтов. Рассказываем, где чаще всего возникают проблемы,  какие допускают ошибки и как перейти на безопасные способы входа.

Летом 2026 года вступили в силу изменения, которые касаются правил авторизации на сайтах и в приложениях. Изменения в первую очередь затрагивают не пользователей, а владельцев цифровых платформ, которые самостоятельно определяют, как будет организован вход в личные кабинеты и закрытые разделы. 

Теперь при работе с российской аудиторией бизнесу необходимо использовать только те механизмы авторизации, которые соответствуют требованиям законодательства. Применение иностранных сервисов для входа в аккаунт теперь может стать основанием для применения штрафных санкций.

В этой статье разберем, какие изменения предусматривает закон, кому грозят штрафы, какие способы входа считаются допустимыми и что стоит сделать владельцам сайтов, чтобы снизить правовые риски.

Что произошло?

С 7 июля 2026 г. в России действуют новые меры ответственности за использование недопустимых способов авторизации пользователей. Они закреплены законом № 199-ФЗ, который дополнил КоАП РФ статьей 13.55.

Однако сами требования к способам авторизации появились значительно раньше. Еще в конце 2023 г. закон № 149-ФЗ закрепил перечень разрешенных вариантов входа для пользователей. Использование сторонних зарубежных решений, таких как вход через Google Sign-In или Apple ID, уже тогда не соответствовало этим требованиям. Но специальной ответственности за нарушение еще предусмотрено не было.

Теперь ситуация изменилась. Новые поправки не вводят дополнительный запрет, а устанавливают ответственность за несоблюдение уже действующих правил. Фактически законодатель завершил переходный период, который длился почти три года. За это время владельцы интернет-площадок могли адаптироваться и перейти на разрешенные способы входа. Если этого сделано не было, теперь можно получить штраф.

Александр Калачиков

Руководитель отдела онлайн-маркетинга Digital Clouds

Для маркетинга это не просто история про штрафы — это история про удобство и доверие пользователя. Если человек заходит на сайт и не понимает, как теперь войти в личный кабинет, бизнес рискует потерять его ещё до покупки или заявки. Поэтому такие изменения лучше использовать как повод спокойно пересобрать авторизацию: убрать спорные способы доступа к аккаунту, добавить понятные альтернативы и заранее объяснить пользователям, что изменилось. Чем мягче компания проведёт этот переход, тем меньше будет вопросов, отказов и потерь в конверсии.

Кого касаются новые штрафы

Статья 13.55 КоАП РФ касается не обычных пользователей интернета, а организаций и лиц, которые отвечают за работу сайтов и цифровых сервисов. Под действие новых норм подпадают владельцы интернет-ресурсов, которые предоставляют пользователям возможность регистрации или авторизации. Это касается компаний, ИП, должностных лиц и граждан, если они владеют сайтом или приложением.

Владельцы веб-ресурсов

Пересмотреть используемые способы входа нужно каждому владельцу сайта и приложения, на которых предусмотрена регистрация пользователей или доступ к персональным разделам. Новые требования затрагивают широкий круг цифровых продуктов, включая:

1. интернет-магазины и онлайн-сервисы продаж;
2. облачные решения и SaaS-сервисы;
3. онлайн-школы;
4. корпоративные порталы с личными кабинетами сотрудников, партнеров или клиентов;
5. маркетплейсы;
6. онлайн-СМИ, подписочные сервисы и контентные площадки;
7. приложения, где предусмотрен доступ к личному кабинету;
8. любые ресурсы, где пользователь должен пройти авторизацию для доступа к функциям сервиса.

Если такие площадки предлагают российским пользователям вход через зарубежные системы идентификации, например Apple ID, это может повлечь административные последствия для их владельцев.

Кого штрафовать не будут

Обычные интернет-пользователи не являются субъектами ответственности по новым правилам. Поэтому если вы нажимаете OAuth-кнопку Google при входе на сайт, штраф вам не грозит. Отвечать за ее наличие будет владелец ресурса.

Также важно понимать, что наличие у пользователя иностранного почтового адреса, например Gmail, само по себе не является нарушением. Если человек использует такую почту для получения писем или указывает ее при регистрации, это не означает автоматического нарушения закона.

Какие способы авторизации попадают под новые ограничения

Перед тем как обновлять систему авторизации, важно понять, какие способы входа теперь считаются безопасными с точки зрения законодательства. Ниже собрали варианты, которые разрешены, и способы, использование которых может привести к санкциям.

Чем отличается вход по email от входа через Google

На первый взгляд идентификация пользователя по адресу …@gmail.com и через OAuth-кнопку Google могут казаться одинаковыми: в обоих случаях используется один и тот же адрес электронной почты. Однако с технической и юридической точки зрения это два разных механизма. Ключевое различие заключается в том, какая система выполняет проверку личности во время входа.

1. При регистрации по email адрес почты выступает только в качестве логина. Пользователь самостоятельно создаёт пароль, а проверку данных выполняет сам сайт. При этом не имеет значения, какой у пользователя почтовый адрес: он может быть как российский, так и зарубежный. Передача данных на внешний сервис при таком способе не происходит.
2. Верификация через Google работает иначе. При нажатии кнопки «Войти через Google» сайт передаёт процесс аутентификации сторонней платформе: Google проверяет пользователя и возвращает сайту подтверждение доступа. То есть функцию проверки личности выполняет не сам ресурс, а иностранная система идентификации.

Именно эта разница является ключевой с точки зрения требований российского законодательства: использовать email как логин разрешено, а передавать авторизацию зарубежной платформе через OAuth-кнопки — нельзя.

Если на сайте уже есть пользователи, которые ранее регистрировались через Google, удалять их аккаунты не требуется. Важно убрать сам способ верификации через зарубежный сервис и добавить пользователям альтернативы.

Какие штрафы предусмотрены?

Размер взыскания определяет все та же статья КоАП РФ, и зависит он от того, кто является нарушителем: для граждан предусмотрены меньшие суммы, тогда как для организаций штрафы существенно выше.

Что нужно проверить на сайте, чтобы избежать штрафов

Замена способа авторизации — только первый этап. Чтобы снизить риски, нужно выполнить полный аудит сайта: проверить не только элементы интерфейса, но и технические подключения, скрытые запросы и процесс перехода для действующих владельцев аккаунтов.

Форма регистрации новых пользователей

Здесь главная задача — полностью убрать автоматический импорт данных из-за рубежа.

Что убрать? Удалите из формы кнопки «Зарегистрироваться через Google / Apple ID и др.».

Что проверить в текстовых полях? Если пользователь регистрируется классическим способом (вводит данные руками), поле «Логин (Email)» может принимать иностранные ящики (например, @gmail.com или @yahoo.com).

Что проверить в фоне? Убедитесь, что при отправке формы сайт не делает фоновых запросов к зарубежным API (например, к сервисам Google для проверки валидности почты или заполнения профиля). Замените зарубежные капчи (например, Google reCAPTCHA) на российские аналоги (Yandex SmartCaptcha), так как reCAPTCHA собирает данные о поведении пользователя для его идентификации.

Форма входа (авторизация существующих пользователей)

Форма входа проверяется аналогично, но с упором на то то, какие альтернативы остаются у пользователя.

Что убрать? Кнопки быстрого входа «Войти через Google, Microsoft, Apple, X и др.».

Что оставить? Поля «Логин (Email)» и «Пароль». Посетитель сайта должен иметь возможность ввести свой пароль вручную и войти, даже если его логин — это почта Gmail.

Что добавить для удобства? Чтобы пользователи не теряли скорость входа в один клик, интегрируйте вместо зарубежных кнопок российские аналоги: Яндекс ID, VK ID, Сбер ID и др.

Старые аккаунты

Это самый частый повод для беспокойства владельцев интернет-ресурсов. Вам не нужно удалять или блокировать старые аккаунты, которые когда-то регистрировались через Apple ID или кнопку Google.

Что проверить в базе данных? Проверьте, что пользователи, которые ранее входили через кнопки иностранных сервисов, смогут получить доступ к своим аккаунтам альтернативным способом.

Что необходимо сделать?

1. Реализуйте для таких посетителей функцию «Восстановление пароля» или «Задать пароль».
2. При попытке идентификации через email система должна предложить им установить постоянный пароль для вашего сайта. После этого они смогут заходить стандартным способом (логин + пароль).
3. Направьте по базе старых аккаунтов email-рассылку или уведомления с предупреждением: «Мы обновили способы входа в соответствии с законодательством РФ. Пожалуйста, зайдите в личный кабинет и задайте пароль для входа или привяжите VK ID / Яндекс ID».

Чем заменить зарубежную авторизацию

Допустимые способы авторизации закреплены в законе: это вход по телефонному номеру, через российские ID-сервисы, ЕСИА и ЕБС. При этом компании не обязаны выбирать только один вариант — чаще всего используют несколько способов одновременно. Например, оставляют регистрацию по логину и паролю и добавляют российский ID-сервис, чтобы быстро выходить по одному клику. Для проектов с повышенными требованиями к подтверждению личности дополнительно устанавливают вход через  ЕСИА или ЕБС.

Вход по номеру телефона

Это один из самых распространенных и привычных способов. Клиент указывает номер российского оператора связи и подтверждает его с помощью СМС-кода или звонка-сброса. Этот вариант хорошо подходит для интернет-магазинов, сервисов доставки, мобильных приложений и других проектов, где важна простая и быстрая регистрация.

Авторизация через российские ID-сервисы

Отечественные ID-сервисы — наиболее близкая замена кнопкам типа «Google Sign-In». Они работают по похожему принципу: система использует данные существующего аккаунта пользователя для подтверждения входа.

В качестве альтернативы можно использовать VK ID, Яндекс ID, Сбер ID, T-ID, МТС ID и другие отечественные решения.

Авторизация через Госуслуги

ЕСИА — это государственная платформа, которая позволяет посетителям авторизоваться на сайтах и в сервисах с помощью подтвержденной учетной записи от портала Госуслуг.

Такой способ подходит для площадок, где важно убедиться в личности пользователя: финансовых платформ, медицинских сервисов, образовательных проектов, страховых и других регулируемых сфер.

Идентификация через единую биометрическую систему

ЕБС позволяет подтвердить личность владельца аккаунта с помощью биометрических данных — например, изображения лица или голоса. Такой способ используется для удаленной идентификации гражданина через государственную систему.

Метод подходит в первую очередь для крупных компаний и сервисов, где требуется максимально надежное подтверждение личности.

Авторизация по email и паролю

Классический способ входа остаётся одним из самых универсальных вариантов. Пользователь самостоятельно создаёт аккаунт: указывает email (в том числе Gmail или другие иностранные почтовые сервисы), задаёт пароль, а сайт самостоятельно проверяет эти данные при каждом входе.

Что делать, если сайт все еще использует Google Sign-In или Apple ID

Если на сайте по-прежнему доступны кнопки для быстрого подтверждения учетной записи через иностранные сервисы, откладывать изменения уже нельзя. Чаще всего полностью переделывать систему регистрации не нужно — достаточно отключить иностранную авторизацию, внедрить разрешённые альтернативы и обеспечить пользователям возможность сохранить доступ к своим аккаунтам.

Шаг 1. Проверьте все способы входа

Первый этап — провести полный аудит системы и определить, где применяются зарубежные сервисы входа. Проверять нужно не только стандартную форму авторизации, но и все дополнительные точки доступа.

Убедитесь, что иностранные сервисы отсутствуют:

1. на страницах создания аккаунта и входа в систему;
2. в личном кабинете посетителя;
3. в версиях приложения;
4. на старых версиях сайта, отдельных посадочных страницах и тестовых разделах;
5. в установленных модулях, плагинах и сторонних библиотеках;
6. в серверных интеграциях и API, через которые настроена авторизация.

Шаг 2. Полностью отключите зарубежную авторизацию

Недостаточно просто скрыть кнопку «Google Sign-In» из интерфейса. Необходимо удалить саму интеграцию.

Проверьте, чтобы:

1. кнопки входа были удалены со всех страниц сайта;
2. OAuth-интеграции были отключены;
3. сайт больше не отправлял запросы к зарубежным серверам при авторизации;
4. в коде не осталось API-ключей и скриптов иностранных сервисов.

Если используются дополнительные зарубежные сервисы, например Google reCAPTCHA, стоит заранее оценить возможность их замены на российские аналоги.

Шаг 3. Настройте разрешенные механизмы входа

После отключения зарубежной авторизации пользователи должны сохранить возможность удобно заходить в свои аккаунты. Для этого нужно внедрить один или несколько способов получения доступа к личному кабинету, предусмотренных законодательством:

1. классическую процедуру аутентификации с логином и паролем;
2. вход по номеру телефона;
3. вход через отечественные ID-сервисы (VK, Яндекс, Сбер, МТС и т.д.);
4. идентификацию через учетную запись на Госуслугах.

Для большинства сайтов оптимальным решением станет сочетание авторизации по логину и паролю с одним или несколькими российскими ID-сервисами.

Шаг 4. Сохраните доступ для старых пользователей

Удалять аккаунты, зарегистрированные через Google или Apple ID, не требуется. Однако после отключения этих сервисов пользователи должны получить новый способ подтверждения учетной записи.

Для этого рекомендуется:

1. настроить восстановление пароля по email;
2. предложить пользователю создать пароль для существующего аккаунта;
3. дать возможность привязать российский ID-сервис или номер телефона;
4. проверить, что все данные и история действий пользователя сохраняются после перехода.

Шаг 5. Оповестите пользователей об изменениях

Если значительная часть клиентов привыкла входить через Google Sign-In или Apple ID, стоит заранее подготовить их к изменениям и объяснить новый порядок доступа к аккаунтам.

В рассылке или уведомлениях стоит объяснить:

1. почему изменился способ входа;
2. что аккаунт и данные держателя учетной записи сохранены;
3. как восстановить доступ;
4. какие новые способы доступа к аккаунту доступны.

Это поможет избежать роста обращений в службу поддержки и снизить количество потерянных пользователей.

Шаг 6. Проверьте юридические документы

После обновления способов авторизации необходимо привести в соответствие все документы, которые регулируют работу сайта с данными посетителей. Проверьте и при необходимости актуализируйте:

1. пользовательское соглашение;
2. политику обработки персональных данных;
3. описание доступных способов регистрации и входа;
4. внутренние регламенты и документацию, связанные с обработкой и хранением пользовательской информации.

Шаг 7. Зафиксируйте внесенные изменения

Если изменения вносились сторонними подрядчиками, важно сохранить документы и материалы, подтверждающие проведенные работы. Рекомендуется сохранить:

1. техническое задание на доработку;
2. акты выполненных работ;
3. переписку с разработчиками или подрядчиком;
4. скриншоты обновленных страниц;
5. информацию об отключении прежних интеграций и удалении зарубежных сервисов авторизации.

Такие документы могут подтвердить, что компания своевременно устранила нарушение и приняла необходимые меры для соблюдения требований законодательства.

Частые ошибки бизнеса

После вступления в силу новых требований многие компании спешат убрать кнопки входа через Google, Microsoft или Apple. Однако на практике этого недостаточно: ошибки при переходе на разрешённые сценарии авторизации могут привести не только к техническим сбоям, но и к риску потери клиентов. Вот самые распространённые из них.

Скрывают кнопки вместо полного отключения

Иногда разработчики просто убирают кнопку из интерфейса, но оставляют в коде сайта скрипты и интеграции Google, Apple или других зарубежных сервисов.

Как правильно? Удалить не только кнопку, но и все связанные SDK, API-ключи и OAuth-интеграции, чтобы сайт больше не обращался к зарубежным серверам при авторизации.

Запрещают регистрацию с адресами @gmail.com и других иностранных почтовых сервисов

Распространенное заблуждение — считать, что вместе с зарубежными способами авторизации запрещены и иностранные email-адреса. На самом деле закон не запрещает использовать почту Gmail, Yahoo или других сервисов в качестве логина. Ограничение касается только передачи процесса аутентификации иностранным платформам.

Как правильно? Оставить возможность регистрации с любым адресом электронной почты, если проверку логина и пароля выполняет сам сайт.

Забывают о скрытых зарубежных сервисах

После удаления кнопок Google Sign-In на сайте могут остаться другие зарубежные компоненты: плагины авторизации, библиотеки OAuth или сервисы защиты форм. Например, если используется Google reCAPTCHA, она продолжает взаимодействовать с инфраструктурой Google.

Как правильно? Провести аудит сторонних сервисов и заменить их на российские аналоги.

Не продумывают переход для существующих владельцев аккаунтов

После отключения входа через Google или Apple ID пользователи могут потерять доступ к своим аккаунтам, если раньше никогда не устанавливали пароль.

Как правильно? Заранее реализовать сценарий миграции — предоставить возможность установить пароль, восстановить доступ по email или привязать российский ID-сервис.

Создают посетителям новые аккаунты вместо переноса старых

При подключении VK ID, Яндекс ID или другого российского сервиса некоторые площадки автоматически создают новую учётную запись вместо того, чтобы связать её с существующим профилем. В результате клиент теряет историю заказов, бонусы, настройки и другие данные.

Как правильно? Предусмотреть механизм объединения аккаунтов по совпадающему email, номеру телефона или другому уникальному идентификатору.

Переходят на вход по телефону без защиты от фрода

Авторизация по номеру телефона требует защиты от автоматических запросов. Если её нет, злоумышленники могут массово отправлять запросы на получение кодов подтверждения, что приведёт к лишним расходам и перегрузке системы.

Как правильно? Ограничить количество запросов с одного устройства или IP-адреса, использовать CAPTCHA и настроить защиту от автоматизированных атак.

Не проверяют все точки входа

После обновления основной версии сайта зарубежная авторизация может остаться доступной в мобильном приложении, старой версии личного кабинета или отдельных виджетах.

Как правильно? Проверить все версии сайта и приложения, включая резервные страницы, API и сторонние интеграции, чтобы убедиться, что запрещенные способы входа полностью отключены.

Вывод

Если на сайте по-прежнему доступны Google Sign-In, Apple ID или иные зарубежные сервисы для входа в аккаунт, откладывать переход на отечественные решения нельзя. Требования уже действуют, и использование запрещенных способов авторизации может стать основанием для привлечения владельца ресурса к административной ответственности и назначения штрафа.

Не стоит ограничиваться простой заменой кнопок входа: важно провести комплексный аудит всей системы авторизации, отключить запрещённые интеграции, внедрить разрешённые способы входа и проверить все точки доступа к аккаунтам пользователей. Такой подход поможет не только снизить риск претензий со стороны регулятора, но и сохранить привычный и удобный процесс входа для клиентов.

* принадлежит Meta — организации, деятельность которой признана экстремистской и запрещена в Российской Федерации.