Бизнесу стоит проверить способы авторизации пользователей из-за новых штрафов

В России принят закон, который вводит административную ответственность за нарушение правил авторизации пользователей на российских интернет-ресурсах. В зоне риска находятся сайты, мобильные приложения, интернет-магазины и иные сервисы, которые предоставляют пользователям доступ к личному кабинету, аккаунту или иной закрытой части сервиса. За нарушение предусмотрены существенные штрафы - до 700 тыс. рублей, поэтому компаниям уже сейчас стоит проверить, какие способы входа используются на их ресурсах.

Основной риск связан не с самим фактом регистрации пользователя, а с использованием зарубежных сервисов авторизации. Например, если пользователь входит через Google Account, Apple ID или иной иностранный агент, такая модель может быть признана нарушающей требования закона. В этом случае иностранная платформа фактически участвует в подтверждении личности пользователя, принимает данные и выдает токены доступа. При этом, вопреки распространённому мнению, использование модели регистрации «e-mail + пароль» не является разновидностью авторизации через иностранный сервис. В тех случаях, когда пользователь самостоятельно вводит адрес своей электронной почты (в том числе на домене Gmail), а проверка введённых данных производится силами самой компании, такая модель не должна рассматриваться как нарушение.

«Предложение о запрете использования для авторизации адресов электронной почты, зарегистрированных вне доменной национальной зоны, в случаях, установленных Правительством, действительно рассматривалось в первом чтении в 2023 году. Однако по итогам рассмотрения эта поправка принята не была. Поэтому сам по себе адрес Gmail или иной иностранной почты в качестве логина не означает, что компания использует запрещенный способ авторизации», — комментирует Арина Стёпина.

Новые составы начнут применяться с 7 июля 2026 года. Для минимизации рисков бизнесу рекомендуется провести аудит всех пользовательских сценариев: проверить формы регистрации и входа, мобильные приложения, способы восстановления пароля и подтверждения e-mail. При отсутствии кнопок входа через иностранные сервисы и при использовании для подтверждений исключительно российских сервисов в действиях администратора отсутствует состав правонарушения.

Ссылка на закон