Вход через Google на сайте: штраф по ст. 13.55 КоАП с 2026

Кнопки «Войти через Google» и «Войти через Apple» годами считались признаком современного личного кабинета: меньше паролей, выше конверсия регистрации. В России с 1 декабря 2023 года такая авторизация для российских пользователей формально запрещена — это следует из закона № 406-ФЗ, внёсшего изменения в закон № 149-ФЗ «Об информации». Но до лета 2026 года за нарушение не было отдельного штрафа, и многие сайты кнопки так и не убрали. Федеральный закон от 26.06.2026 № 199-ФЗ добавил в КоАП статью 13.55, и с 7 июля 2026 года нарушение порядка авторизации наказывается штрафом до 700 тысяч рублей для организаций.

Разберём, какие способы входа разрешены, кого касается требование, что делать с регистрацией по e-mail и как переделать личный кабинет без потери пользователей.

Какие способы авторизации разрешены

Закон № 406-ФЗ ограничил способы авторизации российских пользователей на ресурсах, где для доступа к информации требуется вход. Разрешены четыре варианта:

Отсюда практический вывод: вход через Google, Apple, Microsoft, GitHub и другие зарубежные провайдеры для российских пользователей использовать нельзя. Вход через российские системы авторизации допустим, если они соответствуют требованиям закона — уточняйте это в документации провайдера.

Новые штрафы по статье 13.55 КоАП

В публикациях о законе есть расхождения насчёт повышенной ответственности за повторное нарушение: одни издания сообщают о более крупных штрафах при повторе, другие указывают, что таких норм в статье нет. Сверьте актуальный текст статьи 13.55 КоАП, прежде чем закладывать риск в расчёты.

Кого касается требование

• Сайтов и приложений, где для доступа к информации или функциям нужна авторизация: личные кабинеты, интернет-магазины с аккаунтами, SaaS-сервисы, форумы, обучающие платформы.
• Если весь контент доступен без входа, требование к авторизации не применяется: нет авторизации — нечего регулировать.
• Речь идёт об авторизации российских пользователей. Для сервисов с международной аудиторией допустимы разные сценарии для разных стран, но их реализацию нужно продумать вместе с юристом.
• Корпоративные внутренние системы для сотрудников — отдельный вопрос; распространённая позиция — требование касается публичных ресурсов, но лучше проверить по вашему случаю.

А как же вход по e-mail и паролю?

Это самый частый вопрос. Закон перечисляет допустимые способы авторизации, и классическая пара «e-mail + пароль» в этом перечне прямо не названа. На практике многие сервисы переходят на схему, где идентификатором пользователя служит номер телефона, а e-mail используется для уведомлений и восстановления доступа. Другие оставляют вход по e-mail, привязывая аккаунт к подтверждённому номеру телефона при регистрации. Какой вариант выбрать, зависит от вашей оценки рисков; надёжнее всего — подтверждённый телефон как основной способ.

Как переделать личный кабинет: пошаговый план

1. Инвентаризация. Найдите все точки входа: сайт, мобильное приложение, виджеты, поддомены, старые лендинги с регистрацией. Отметьте все OAuth-провайдеры.
2. Выбор основного способа. Для большинства коммерческих сайтов это номер телефона с одноразовым кодом. Выберите провайдера SMS или звонков, уточните у него вопрос идентификации абонента.
3. Миграция существующих пользователей. Пользователи, которые входили через Google, при следующем входе получают экран «Подтвердите номер телефона, чтобы продолжить». После подтверждения аккаунт привязывается к телефону.
4. Удаление зарубежных кнопок. Уберите кнопки Google, Apple и других зарубежных провайдеров для российских пользователей, отключите соответствующие OAuth-клиенты на сервере.
5. Защита от злоупотреблений. Ограничьте частоту запросов кодов с одного номера и IP, добавьте капчу на подозрительную активность: SMS-накрутка может стоить десятки тысяч рублей за ночь.
6. Восстановление доступа. Продумайте сценарий смены номера телефона: через поддержку с проверкой, через подтверждённый e-mail, через вход с доверенного устройства.
7. Тексты и согласия. Обновите политику обработки ПДн: телефон стал обязательным идентификатором, это меняет перечень данных.

Сколько стоит переделка

К разработке добавьте стоимость SMS или звонков-кодов: она зависит от провайдера и объёма. Для сервисов с большим числом входов выгоднее звонок-сброс или код в мессенджере российского сервиса, если провайдер это поддерживает. Оценить бюджет на доработку можно в нашем калькуляторе стоимости разработки.

Безопасность авторизации по телефону

Номер телефона — не самый надёжный фактор: SIM-карту можно перевыпустить мошенническим путём, а SMS перехватить. Поэтому вход по телефону стоит дополнять мерами безопасности, особенно если в кабинете есть деньги, документы или персональные данные:

• Короткий срок жизни кода (2–5 минут) и ограничение числа попыток ввода.
• Уведомление о входе с нового устройства на e-mail или в приложение.
• Второй фактор для чувствительных действий: TOTP-приложение, подтверждение на доверенном устройстве. Подробнее — в статье о двухфакторной аутентификации.
• Журнал входов, доступный пользователю, и кнопка «завершить все сеансы».
• Защита от перебора и SMS-флуда: rate limiting по номеру, IP и устройству.

Частые ошибки при переходе

• Убрали кнопку Google на сайте, но оставили в мобильном приложении или на старом поддомене.
• Удалили OAuth, не подумав о пользователях, у которых нет пароля: они потеряли доступ к аккаунтам и ушли в поддержку.
• Запустили SMS-коды без ограничений частоты — и получили счёт за накрутку.
• Сделали телефон обязательным, но не обновили политику обработки ПДн и тексты согласий.
• Не проверили, что российский провайдер авторизации, на который перешли, соответствует требованиям закона.

Что ещё проверить в личном кабинете

Переделка авторизации — хороший момент, чтобы пройтись по смежным требованиям: отдельное согласие на обработку ПДн, хранение данных в России, права доступа сотрудников к данным клиентов. Сгенерировать стойкие пароли для служебных и административных учётных записей поможет наш генератор паролей.

Пример миграционного экрана

Самый деликатный момент перехода — пользователи, которые годами входили только через Google и не помнят никакого пароля. Им нужен понятный экран, а не сообщение об ошибке. Рабочий сценарий выглядит так:

1. Пользователь нажимает «Войти» и видит поле номера телефона с подсказкой: «Вход через Google больше недоступен. Подтвердите номер телефона, чтобы сохранить доступ к аккаунту».
2. Если номер уже есть в аккаунте — приходит код, вход выполнен.
3. Если номера нет — пользователь вводит e-mail, на который был зарегистрирован аккаунт, получает письмо со ссылкой, переходит по ней и привязывает номер телефона.
4. После привязки система предлагает включить дополнительную защиту — приложение-аутентификатор.
5. Если доступа нет ни к почте, ни к телефону — форма обращения в поддержку с проверкой по данным заказов или договора.

Такой экран стоит запустить за несколько недель до отключения зарубежных кнопок: пользователи, которые заходят регулярно, успеют привязать телефон, а нагрузка на поддержку будет распределена во времени.

Если в вашем личном кабинете или SaaS остались зарубежные способы входа, обратитесь к нам: переведём авторизацию на телефон, перенесём пользователей без потери аккаунтов и проверим безопасность входа. Мы делаем это в рамках разработки веб-приложений и аудита безопасности.