С 7 июля 2026 года владельца сайта или приложения, который пускает пользователей в личный кабинет через Google, Apple ID или другой зарубежный сервис, могут оштрафовать по ст. 13.55 КоАП: юрлицо на 500–700 тыс. ₽, ИП и должностное лицо на 30–50 тыс. ₽, гражданина на 10–20 тыс. ₽. Разрешены вход по номеру мобильного, через Госуслуги, Единую биометрическую систему и российские сервисы вроде VK ID, Яндекс ID и Сбер ID.
Ниже разбор по тексту закона, сверенному на consultant.ru 29 октября 2026 года: каких сайтов это касается, где серая зона с почтой и паролем, как переделать вход на WordPress, Tilda, 1С-Битрикс и самописном сайте. Отдельный раздел посвящён блокам «Вам может понравиться»: за них с того же дня штрафует соседняя ст. 13.56.
Что изменилось 7 июля 2026 года
Сама обязанность авторизовать пользователей только российскими способами не новая. Её записали в ч. 10 ст. 8 закона № 149-ФЗ «Об информации…» законом № 406-ФЗ, и действует она с 1 декабря 2023 года. Больше двух с половиной лет административной ответственности за её нарушение не было.
Федеральный закон от 26.06.2026 № 199-ФЗ добавил в КоАП две статьи: 13.55 за неправильную авторизацию и 13.56 за нарушения при работе рекомендательных технологий. Закон опубликован 26 июня 2026 года, собственной даты вступления в силу в нём нет. Поэтому действует общее правило ст. 6 закона № 5-ФЗ: через десять дней после опубликования, то есть с 7 июля.
Дела по обеим статьям рассматривает Роскомнадзор, их добавили в ч. 1 ст. 23.44 КоАП. Пользователей закон не наказывает: ст. 13.55 описывает неисполнение обязанности владельцем ресурса. Человек, который входит куда-то через Gmail, ничем не рискует.
Каких сайтов касается закон об авторизации
Только тех, где часть информации открывается после входа. В законе обязанность возникает, если доступ к информации «предоставляется пользователям, прошедшим авторизацию». Типичные примеры:
- личный кабинет покупателя с историей заказов, бонусами и адресами доставки;
- закрытые курсы, вебинары, материалы для клиентов или дилеров;
- форум, комментарии и отзывы, которые можно оставить только после входа;
- кабинет записи к врачу, мастеру, в автосервис;
- мобильное приложение с аккаунтом: закон прямо называет «программы для электронных вычислительных машин».
Если на сайте только каталог, цены и форма заявки, обязанности нет: после входа ничего не открывается. А если вход бизнесу не нужен, его можно не делать вовсе. В интернет-магазине КЕНАЗ, который мы запустили в октябре 2026 года, корзина и заказ работают без регистрации, так было записано в техзадании.
Второе условие из ч. 10 ст. 8: обязанность лежит на российских юрлицах и гражданах РФ, которые работают в интернете на территории России. ИП здесь считается гражданином, так что норма касается и компаний, и предпринимателей.
Отдельный вопрос — вход в админку для сотрудников. Норма говорит о пользователях, которым открывается информация, и по нашему прочтению служебная панель под неё не подпадает. Разъяснений на этот счёт нет, поэтому кнопку «Войти через Google» на странице входа в админку мы бы тоже убрали.
Какие способы входа разрешены, а какие нет
Закон перечисляет четыре способа, и перечень закрытый. По нашему прочтению, зарубежная кнопка недопустима и как дополнительная рядом с разрешённой: человек, который нажал её, прошёл авторизацию не тем способом.
| Способ входа | Можно ли | Основание и комментарий |
|---|---|---|
| Код по SMS или звонок на номер мобильного | Да | п. 1 ч. 10 ст. 8 149-ФЗ: «с использованием абонентского номера оператора подвижной радиотелефонной связи» |
| Госуслуги (ЕСИА) | Да | п. 2 ч. 10 ст. 8 |
| Единая биометрическая система | Да | п. 3 ч. 10 ст. 8 |
| VK ID (ВКонтакте, Одноклассники, Mail), Яндекс ID, Сбер ID | Да, как «иная информационная система» | п. 4 ч. 10 ст. 8: владелец системы — гражданин РФ без другого гражданства или российское юрлицо под таким контролем, защита по ст. 16 149-ФЗ. Официального списка сервисов нет |
| Google, Apple ID, Microsoft, GitHub, Telegram | Нет | Зарубежные владельцы, под п. 4 не подходят |
| Почта и пароль на самом сайте | Серая зона | В перечне прямо не названы, разбор ниже |
| Вход через Max | Готового способа нет | В документации dev.max.ru на 29.10.2026 нет кнопки входа для сторонних сайтов |
Официального перечня сервисов, которые подходят под п. 4, нет, и справку «разрешено» никто не выдаёт. VK ID, Яндекс ID и Сбер ID принадлежат российским компаниям, и в разборах их относят к допустимым (например, на nalog-nalog.ru). Это вывод из структуры владения, решения Роскомнадзора по конкретным сервисам нет.
У Max есть «Цифровой ID» для бизнеса, но он решает другие задачи: проверку возраста и льготного статуса по QR-коду, электронные карты и пропуска, получение данных Госуслуг с согласия человека. Входа на сторонний сайт в нём нет. Как ещё можно использовать Max, мы разобрали в статье про Max на сайте.
Можно ли оставить регистрацию по почте и паролю
Это самый частый вопрос, и прямого ответа в законе нет. Почта и пароль в перечне ч. 10 ст. 8 не названы, поэтому возможны два прочтения.
Мягкое: логин и пароль проверяет сам сайт, значит, авторизацию проводит информационная система его владельца. Если владелец — российская компания и система защищена по ст. 16 149-ФЗ, это укладывается в п. 4. Почта здесь только логин, Gmail в проверке не участвует.
Строгое: способы в законе перечислены исчерпывающе, а пароль, который пользователь придумал сам, ни к одному из них не привязан. Без телефона, Госуслуг или российского ID-сервиса требование не выполнено.
27 августа 2026 года Союз защиты прав субъектов туристской деятельности опубликовал пересказ ответа Роскомнадзора на свой запрос: «ввод адреса электронной почты, в том числе с целью регистрации, не является авторизацией», а связка логина и пароля с иностранной почтой в качестве логина допустима. Текст ответа целиком, его номер и дату союз не привёл. Это ориентир, а не официальное разъяснение: опубликованных разъяснений Роскомнадзора или Минцифры по этому вопросу на 29.10.2026 мы не нашли.
Наша рекомендация: оставьте почту и пароль для повседневного входа, но при регистрации один раз подтверждайте номер телефона кодом. Тогда при любом прочтении у вас есть разрешённый способ, а пользователю добавляется одно SMS. Телефон — персональные данные, поэтому понадобятся согласие и строка в политике обработки ПДн.
Как переделать вход на WordPress, Tilda, Битрикс и своём сайте
Сначала найдите все точки входа
Кнопки «Войти через Google» бывают не только в шапке. Проверьте оформление заказа, форму комментариев, восстановление пароля, мобильное приложение и сторонние виджеты: онлайн-школы, бронирование, чаты. Быстрый способ — открыть страницу входа, в инструментах разработчика посмотреть сетевые запросы и поискать в них accounts.google.com и appleid. Бесплатный аудитор 152-ФЗ показывает, какие зарубежные сервисы подключены на проверенных страницах сайта, в том числе сервисы Google.
WordPress и WooCommerce
Вход через соцсети обычно добавляет плагин. В его настройках отключите провайдеров Google и Apple, очистите кеш и проверьте страницы «Мой аккаунт» и «Оформление заказа». У популярного Nextend Social Login Google есть в бесплатной версии, а провайдер VKontakte — только в платной Pro. Для Яндекса есть отдельный плагин Login via Yandex, а у Сбер ID есть официальные модули для WordPress, Drupal, Joomla, OpenCart и 1С-Битрикс.
Вход по телефону в WordPress делается плагином SMS-подтверждения, подключённым к российскому SMS-шлюзу. В WooCommerce заодно проверьте, разрешено ли оформление заказа без регистрации: если кабинет покупателю не нужен, лишний шаг в корзине ему ни к чему.
Tilda
В Личном кабинете Tilda по умолчанию регистрируются по постоянному паролю. Чтобы перейти на телефон, откройте настройки Личного кабинета, вкладку «Дополнительные», список «Способы регистрации и авторизации» и нажмите «Редактировать». Там можно выбрать вход по одноразовому коду по SMS или по электронной почте, и под закон надёжнее SMS. Отдельно проверьте сторонние блоки: виджеты курсов, комментариев и записи иногда приносят свои кнопки входа через Google.
1С-Битрикс
Вход через внешние сервисы в Битриксе настраивается в модуле «Социальные сервисы»: Настройки → Настройки продукта → Настройки модулей → Социальные сервисы, блок «Внешние сервисы». Уберите там Google и Apple из списка сервисов, причём и на общей вкладке, и на вкладке сайта, если для него включены свои настройки. Затем проверьте шаблоны компонентов авторизации: кнопки могли вывести вручную.
Регистрация по SMS есть в самом продукте с версии 18.5.0. Нужен модуль «Служба сообщений»: в настройках главного модуля на вкладке «Почта и СМС» выберите службу отправки, на вкладке «Авторизация» разрешите регистрацию по номеру телефона.
Для Сбер ID есть модуль в Маркетплейсе Битрикса: после установки заполняются Client ID и Client Secret, а кнопка ставится компонентом sberbank:sberbank.id.
Самописный сайт или приложение
Здесь меняется код. Схема у российских сервисов похожая: регистрируете приложение у провайдера, получаете идентификатор и секрет, указываете адрес возврата, на сервере обмениваете код на токен и привязываете аккаунт к своему пользователю.
- VK ID: вход аккаунтами ВКонтакте, Одноклассников и Mail, SDK для веба, Android, iOS и Flutter, номер телефона можно запросить дополнительно.
- Яндекс ID: кнопка входа или виджет мгновенной авторизации. Виджет не подключится, если в браузере заблокированы сторонние cookie, тогда остаётся обычная кнопка.
- Сбер ID: бесплатно. Организация регистрируется на портале, загружает оферту, проходит модерацию (обычно около суток) и получает Client ID, Client Secret и сертификат.
- Госуслуги (ЕСИА): самый долгий путь. Нужны КЭП руководителя, регистрация организации в ЕСИА, регистрация системы в СМЭВ и на технологическом портале, заявки на тестовую и рабочую среду. Для обычного магазина это избыточно, для медицины и финансов может быть оправдано.
У приложений в App Store есть нюанс. Правило Apple 4.8 Login Services требует: если основной аккаунт создаётся через сторонний сервис входа, рядом нужен равноценный способ, который собирает только имя и почту, позволяет скрыть почту и не отслеживает действия для рекламы без согласия. Правило не действует, когда приложение пускает только через собственные аккаунты компании или через государственную систему идентификации. Добавляете VK ID или Яндекс ID в мобильное приложение — заранее проверьте набор способов входа по этому правилу, иначе можно получить отказ на ревью.
Что делать с теми, кто регистрировался через Google
Удалять аккаунты не нужно. Уберите кнопку, а для этих людей сделайте вход через восстановление доступа: письмо со ссылкой на почту, после которого сайт просит подтвердить телефон. Аккаунты связывайте по внутреннему номеру пользователя, а не по адресу почты, который человек может сменить.
Что такое рекомендательные технологии на сайте и что нужно опубликовать
Рекомендательные технологии в законе — это «информационные технологии предоставления информации на основе сбора, систематизации и анализа сведений, относящихся к предпочтениям пользователей» (ст. 10.2-2 149-ФЗ, действует с 1 октября 2023 года). Главное в определении — предпочтения конкретных людей. Мы читаем его так:
- «Вы недавно смотрели», «Вам может понравиться», персональная лента, подборка по истории покупок — рекомендательные технологии;
- «Похожие товары» по категории и характеристикам, блок «С этим товаром покупают», который собрал менеджер, — нет: предпочтения посетителя не анализируются;
- «Популярное» по статистике всех покупателей — серая зона, разъяснений нет.
Если на сайте есть персональные рекомендации, владелец обязан сделать три вещи:
- Разместить уведомление. По приказу Роскомнадзора от 06.10.2023 № 149, который применяется с 12 декабря 2023 года, это текст «На информационном ресурсе применяются рекомендательные технологии» со ссылкой на отдельную страницу.
- Опубликовать правила применения на русском языке: какими процессами и методами собираются и анализируются сведения о предпочтениях, какие это сведения и откуда они берутся.
- Указать адрес электронной почты для юридически значимых сообщений и наименование компании, а для физлица — фамилию и инициалы.
Порядок реагирования тоже прописан в ст. 10.2-2. Найдя нарушение, Роскомнадзор присылает уведомление, и на исправление есть десять дней, если в уведомлении не указан другой срок. Если ничего не изменилось, приходит требование прекратить показ рекомендаций, его нужно исполнить в течение суток. Следующий шаг — ограничение доступа к ресурсу.
Какие штрафы грозят по статьям 13.55 и 13.56 КоАП
Суммы взяты из текста ст. 13.55 и ст. 13.56 КоАП.
| Нарушение | Граждане | Должностные лица и ИП | Юрлица |
|---|---|---|---|
| Ст. 13.55: авторизация не теми способами | 10–20 тыс. ₽ | 30–50 тыс. ₽ | 500–700 тыс. ₽ |
| Ст. 13.56 ч. 1: рекомендации нарушают права или закон | 10–20 тыс. ₽ | 30–50 тыс. ₽ | 500–700 тыс. ₽ |
| Ст. 13.56 ч. 2: нет уведомления о рекомендациях | 10–20 тыс. ₽ | 30–50 тыс. ₽ | 500–700 тыс. ₽ |
| Ст. 13.56 ч. 3: нет правил, почты или наименования | 10–20 тыс. ₽ | 30–50 тыс. ₽ | 500–700 тыс. ₽ |
| Ст. 13.56 ч. 4: повтор по ч. 1–3 | 20–40 тыс. ₽ | 60–100 тыс. ₽ | 1–1,4 млн ₽ |
| Ст. 13.56 ч. 5: не исполнено требование РКН прекратить рекомендации | 20–40 тыс. ₽ | 60–100 тыс. ₽ | 1–1,4 млн ₽ |
| Ст. 13.56 ч. 6: повтор по ч. 5 | 40–80 тыс. ₽ | 120–200 тыс. ₽ | 1,4–2,8 млн ₽ |
Две поправки к тому, что пишут в новостях. У ст. 13.55 одна часть, отдельного штрафа за повторное нарушение в ней нет: цифра «до 1,4 млн ₽ за повтор», которая встречается в новостях про вход через Google, относится к ст. 13.56. И ИП отвечают как должностные лица (примечание к ст. 2.4 КоАП), то есть по ст. 13.55 им грозит 30–50 тыс. ₽, а не 500–700 тыс. ₽.
Новых статей нет в списке исключений ч. 2 ст. 4.1.1 КоАП. Значит, за первое нарушение, выявленное при государственном контроле, штраф могут заменить предупреждением, если нет вреда, угрозы вреда и имущественного ущерба. Как это применят на деле, пока неясно: публичных сообщений о делах по ст. 13.55 и 13.56 на 29.10.2026 мы не нашли.
Чек-лист: проверьте свой сайт за полчаса
- Есть ли на сайте или в приложении что-то, что открывается только после входа? Если нет, ст. 13.55 вас не касается, переходите к пункту 7.
- Пройдите все формы входа и регистрации: шапка, корзина, комментарии, восстановление пароля, приложение, сторонние виджеты.
- Уберите кнопки Google, Apple, Microsoft, GitHub, Telegram и других зарубежных сервисов на сайте и в приложении.
- Проверьте, что остался хотя бы один разрешённый способ: телефон, Госуслуги, VK ID, Яндекс ID или Сбер ID.
- Если вход по почте и паролю, решите, добавляете ли подтверждение телефона при регистрации.
- Продумайте, как войдут пользователи, которые регистрировались через Google.
- Найдите блоки рекомендаций. Если они персональные, опубликуйте уведомление, правила, почту для юридически значимых сообщений и наименование.
- Если начали собирать телефоны, обновите политику обработки ПДн и текст согласия.
- Сохраните скриншоты страниц входа с датой: пригодятся, если придёт запрос.
Коротко
Если на сайте есть вход, проверьте его сейчас. Юрлицу за кнопку «Войти через Google» грозит 500–700 тыс. ₽, а замена её на телефон или российский ID-сервис — разовая доработка. Персональные рекомендации требуют трёх публикаций на сайте, и штраф за их отсутствие такой же.
Остальные обязательные для сайта вещи собраны в статье «Что должно быть на сайте по закону в 2026 году», а согласия и политику ПДн можно бесплатно проверить аудитором 152-ФЗ. Переделать авторизацию на работающем сайте мы можем в рамках поддержки, она стоит от 5 000 ₽ в месяц.
