Штрафы за авторизацию через Google и Apple ID: Госдума приняла закон
9 июня 2026 года Госдума приняла во втором и третьем чтениях законопроект, запрещающий владельцам российских сайтов использовать иностранные сервисы для авторизации пользователей. Штрафы для юрлиц — до 700 тыс. рублей, за повторные нарушения — до 1,4 млн. Разбираем, кого касается, что запрещено и что нужно изменить на сайте.
Содержание
- Что за закон и откуда он взялся
- Что запрещено и что разрешено
- Рекомендательные технологии: отдельная ответственность
- Кого касается закон
- Полная таблица штрафов
- Что нужно изменить на сайте технически
- Как проверить свой сайт прямо сейчас
- Типичные сценарии риска
- Сроки и когда закон вступает в силу
- Чек-лист соответствия
1. Что за закон и откуда он взялся
Законопроект внесён в Госдуму в ноябре 2025 года группой депутатов во главе с Антоном Горелкиным — первым заместителем председателя комитета по информационной политике. Сегодня, 9 июня 2026 года, он принят сразу во втором и третьем чтениях.
Закон вносит изменения в Кодекс об административных правонарушениях (КоАП) и устанавливает ответственность за два вида нарушений: использование иностранных сервисов для авторизации пользователей на российских сайтах и нарушение требований к рекомендательным технологиям.
Правовая основа для авторизации
Требование использовать только российские методы авторизации уже существовало в законодательстве — теперь за его нарушение появляется конкретная административная ответственность с фиксированными штрафами.
Рекомендательные технологии
Федеральный закон о рекомендательных алгоритмах действует с 2023 года. Площадки с суточной аудиторией от 500 тыс. пользователей обязаны регистрировать алгоритмы в РКН и соблюдать требования. Штрафы за нарушения вводятся впервые.
Цель: суверенизация авторизации
Государство последовательно переводит идентификацию пользователей в российский контур: Госуслуги, ЕБС, VK ID, Яндекс ID. Зависимость от Google OAuth или Apple ID — не только риск блокировки, теперь ещё и штраф.
Связь с регистрацией доменов
Параллельно с 1 сентября 2026 года вводится обязательная регистрация доменов .RU и .РФ через Госуслуги. Цифровой суверенитет в сфере идентификации выстраивается комплексно — как на уровне сайтов, так и доменов.
2. Что запрещено и что разрешено
Закон разграничивает иностранные и российские способы авторизации. Запрет не абсолютный — сайт должен предоставить хотя бы один российский способ идентификации. Но если единственная опция — «Войти через Google» или регистрация через Gmail, это нарушение.
❌ Запрещено (иностранные сервисы)
- Google OAuth / Google Account
- Apple ID / Sign in with Apple
- GitHub Authorization
- Discord OAuth
- Microsoft Account / Azure AD
- Facebook / Meta Login
- Регистрация только через gmail.com, yahoo.com, outlook.com и другие иностранные почтовые домены
✅ Разрешено (российские способы)
- Госуслуги (ЕСИА / ЕСИА-OAuth)
- Единая биометрическая система (ЕБС)
- VK ID (ВКонтакте)
- Яндекс ID
- Сбер ID
- Российский номер телефона (SMS-код)
- Регистрация через российские почтовые домены (yandex.ru, mail.ru и т.д.)
Важный нюанс: не запрет, а обязанность предложить российский способ
Закон не обязывает полностью удалить кнопку «Войти через Google» — он требует, чтобы пользователь мог войти через российский сервис. На практике безопаснее всего убрать иностранные кнопки авторизации полностью или как минимум обеспечить российскую альтернативу как основной метод. Пока правоприменительная практика не сложилась, мы рекомендуем перестраховаться.
3. Рекомендательные технологии: отдельная ответственность
Второй блок закона касается рекомендательных алгоритмов — технологий, которые персонализируют контент для пользователя на основе анализа его поведения и предпочтений. Это товарные рекомендации в интернет-магазинах, лента новостей, подборки видео, таргетированный контент.
Что требует закон о рекомендательных технологиях
- Регистрация алгоритмов в РКН — площадки с аудиторией от 500 тыс. пользователей в сутки обязаны зарегистрировать свои рекомендательные алгоритмы в Роскомнадзоре.
- Раскрытие принципов работы — пользователь должен понимать, что контент персонализируется, и иметь возможность отказаться от персонализации.
- Запрет на алгоритмы, нарушающие права — если рекомендательная технология ущемляет права граждан или организаций, это нарушение вне зависимости от аудитории.
- Исполнение предписаний РКН — при получении предписания прекратить использование конкретных алгоритмов компания обязана его исполнить. За неисполнение — отдельный штраф.
Максимальный штраф для юрлиц за повторное неисполнение требования РКН о прекращении использования рекомендательных технологий — 2,8 млн рублей. Это самая высокая санкция в рамках нового закона.
4. Кого касается закон
Закон распространяется на «владельцев интернет-ресурсов», которые предоставляют пользователям возможность авторизации — то есть фактически на любой сайт с личным кабинетом, регистрацией или входом.
Интернет-магазины
Любой магазин с личным кабинетом покупателя и возможностью входа через соцсети или email
Образовательные платформы
LMS, онлайн-курсы, школы — там, где студент авторизуется для доступа к материалам
Форумы и сообщества
Q&A-сайты, тематические форумы, где регистрация нужна для комментариев и публикаций
СМИ с регистрацией
Медиа, требующие входа для комментирования, доступа к платным материалам или рассылкам
SaaS-сервисы
Любые облачные приложения для бизнеса с авторизацией — CRM, ERP, проектные инструменты
Фриланс-биржи и маркетплейсы
Платформы для заказов и исполнителей, агрегаторы услуг, сервисы объявлений
5. Полная таблица штрафов
Ниже — все санкции, введённые законопроектом, в одной таблице.
| Нарушение | Граждане | Должностные лица | Юридические лица |
|---|---|---|---|
| Нарушение требований к авторизации (использование иностранных сервисов вместо российских) | 10 000–20 000 ₽ | 30 000–50 000 ₽ | 500 000–700 000 ₽ |
| Нарушение требований к рекомендательным технологиям | 10 000–20 000 ₽ | 30 000–50 000 ₽ | 500 000–700 000 ₽ |
| Повторное нарушение авторизации или рекомендательных технологий | 20 000–40 000 ₽ | 60 000–100 000 ₽ | 1 000 000–1 400 000 ₽ |
| Неисполнение требования РКН о прекращении использования рекомендательных технологий (повторное) | 20 000–40 000 ₽ | 60 000–100 000 ₽ | до 2 800 000 ₽ |
Штрафы суммируются: если сайт нарушает одновременно требования к авторизации и к рекомендательным технологиям — это два самостоятельных состава правонарушения.
6. Что нужно изменить на сайте технически
Переход на российские методы авторизации — это прежде всего техническая задача. Вот что нужно сделать.
7. Как проверить свой сайт прямо сейчас
Не ждите, пока РКН обнаружит нарушение первым. Вот что можно проверить самостоятельно за несколько минут.
🔎 Проверить вручную
- Откройте страницу регистрации и входа — есть ли кнопки Google, Apple, GitHub, Discord?
- Попробуйте зарегистрироваться через gmail.com — принимает ли сайт такой адрес как единственный способ входа?
- Посмотрите исходный код страницы (Ctrl+U) — ищите
accounts.google.com,appleid.apple.com,github.com/login/oauth - Проверьте мобильное приложение (если есть) — требования распространяются и на него
📋 Что означает «соответствует»
- На сайте есть хотя бы один российский метод входа (телефон, ЕСИА, VK ID, Яндекс ID)
- Иностранные OAuth-кнопки удалены или отключены
- Нет ограничения «только иностранный email» для регистрации
- Аудит проведён не только на главной форме входа, но и на всех вспомогательных страницах
🛠 Автоматическая диагностика через scanbase.ru
Ручная проверка работает для очевидных случаев, но не всегда видит кнопки авторизации, загруженные через сторонние скрипты или встроенные виджеты. Автоматический сканер scanbase.ru анализирует страницы сайта, обнаруживает внешние OAuth-скрипты и кнопки входа через иностранные сервисы — это именно то, что будет проверять РКН при мониторинге.
Занимает 2–3 минуты. Результат — список проблемных элементов с указанием страниц. Техническая диагностика не заменяет юридический анализ, но даёт точку отсчёта: что именно нужно исправить разработчикам в первую очередь.
8. Типичные сценарии риска
Мы регулярно видим у клиентов ситуации, которые с момента вступления закона в силу станут прямыми нарушениями. Вот наиболее распространённые.
«Войти через Google» — единственная кнопка в виджете
Разработчик подключил готовый компонент авторизации, который поддерживает только Google OAuth. Собственной авторизации по телефону нет. Переделка требует времени и бюджета.
⚠ Риск: штраф 500 000–700 000 ₽ с момента вступления закона в силуSaaS на зарубежной платформе с SSO через Microsoft / Okta
B2B-сервис использует корпоративный SSO через Microsoft Azure AD или Okta для авторизации клиентов. Это иностранные системы. Российский способ входа — только если сохранены логин/пароль напрямую.
⚠ Риск: нарушение для юрлиц, использующих сервис в РоссииМаркетплейс с рекомендательной лентой и иностранной авторизацией
Средний по размеру маркетплейс: аудитория 600 тыс./сутки, рекомендательная лента товаров на главной, вход через Google и VK. Google нужно отключить. Плюс — проверить регистрацию алгоритмов в РКН. Это два независимых нарушения с суммирующимися штрафами.
⚠ Риск: до 1,4 млн ₽ по двум статьям одновременноОбразовательная платформа с Login with GitHub для разработчиков
IT-школа предлагала авторизацию через GitHub как удобный способ для целевой аудитории — разработчиков. GitHub — иностранный сервис. Аргумент «целевая аудитория» юридически не работает.
⚠ Риск: штраф + репутационный ущерб от вынужденного отключения популярного метода входа9. Сроки: что и когда вступает в силу
Закон принят сегодня, 9 июня 2026 года. Точные сроки вступления в силу определяются после подписания Президентом и официального опубликования — обычно это занимает несколько дней после принятия Госдумой. Следите за обновлениями.
Принятие Госдумой
09 июня 2026 (сегодня)Закон принят во втором и третьем чтениях. Передаётся в Совет Федерации для одобрения.
Одобрение Советом Федерации и подписание Президентом
Ближайшие 2–4 неделиСтандартная процедура. После подписания — официальное опубликование на pravo.gov.ru. С даты публикации начинается отсчёт срока вступления в силу.
Вступление в силу и начало правоприменения
Уточняется после публикацииТехнические изменения в системах авторизации требуют времени. Рекомендуем начать аудит уже сейчас, не дожидаясь точной даты вступления в силу.
Регистрация доменов .RU/.РФ через Госуслуги
1 сентября 2026Параллельное требование — отдельный закон. С 1 сентября 2026 года домены .RU и .РФ регистрируются и продлеваются только через верифицированный аккаунт Госуслуг.
⚡ Почему начинать нужно сейчас
Интеграция с Госуслугами (ЕСИА) — небыстрый процесс: требует заявки, согласования, иногда — договора с оператором. Переработка системы авторизации требует ресурсов разработки. Если начать после публикации закона, времени может не хватить до даты вступления в силу.
10. Чек-лист соответствия новому закону
Используйте этот список для быстрой самопроверки. Каждый пункт — конкретное действие, а не абстрактная рекомендация.
Часто задаваемые вопросы
Проверьте сайт сейчас — пока штрафов ещё нет
Закон принят сегодня. Время до вступления в силу — лучший момент для спокойной подготовки: технического аудита и приведения документов в порядок. WCR Consulting проводит экспресс-анализ соответствия новым требованиям.
Работаем быстро: первичная оценка — в течение рабочего дня.