Вход через Госуслуги на сайте: как подключить ЕСИА бизнесу

После вступления в силу требований 406-ФЗ к авторизации пользователей и запрета на вход через иностранные сервисы многие компании задумались о кнопке «Войти через Госуслуги». Идея привлекательна: пользователь входит в один клик учётной записью, которая уже есть почти у каждого взрослого жителя страны, а компания получает подтверждённые данные — ФИО, телефон, при необходимости паспорт. Для проката, микрофинансирования, страхования, медицины и любых сервисов, где важна проверка личности, это экономит время и снижает мошенничество.

Но подключение ЕСИА — Единой системы идентификации и аутентификации — к коммерческому сайту не похоже на подключение входа через соцсеть. Это регламентированная процедура с заявками в Минцифры, криптографией по российским стандартам и тестовой средой. Разберём, кому это доступно, как проходит подключение, сколько стоит и какие есть более простые альтернативы. Об ограничениях на вход через иностранные сервисы — в статье вход через Google на сайте: штраф по ст. 13.55 КоАП.

Что требует закон и где здесь Госуслуги

406-ФЗ обязывает владельцев сайтов и сервисов авторизовать пользователей из России одним из разрешённых способов: по российскому номеру телефона, через ЕСИА, через Единую биометрическую систему или через иную информационную систему, отвечающую требованиям закона. Значит, Госуслуги — один из вариантов, а не обязательный. Большинству сайтов достаточно входа по номеру телефона с кодом из SMS или звонка. ЕСИА нужна там, где важна именно подтверждённая личность или где пользователю удобнее не вводить данные вручную.

Кому доступна ЕСИА

Порядок использования ЕСИА определён постановлениями Правительства и регламентами Минцифры. Изначально система предназначалась для государственных и муниципальных сервисов, затем доступ получили банки, страховые и ряд других организаций, а со временем — и коммерческие компании, использующие ЕСИА для идентификации клиентов. По сообщениям разработчиков, проходивших подключение, Минцифры проверяет основания: зачем компании подтверждённые данные пользователей и как она будет их защищать. Поэтому заявка должна объяснять цель: заключение договоров, проверка возраста, предотвращение мошенничества, заполнение анкеты подтверждёнными данными.

Этапы подключения

1. Регистрация организации в ЕСИА. Руководитель или представитель с правом действовать без доверенности регистрирует юрлицо на Госуслугах, используя подтверждённую учётную запись и электронную подпись.
2. Регистрация информационной системы. На технологическом портале ЕСИА организация регистрирует свою систему — сайт или приложение — и получает её мнемонику, идентификатор для обращений к ЕСИА.
3. Ключи и сертификат. Для подписи запросов к ЕСИА нужен сертификат ключа электронной подписи по ГОСТ и средство криптографической защиты. Сертификат регистрируется для информационной системы.
4. Заявка на доступ к тестовой среде. Сначала подключение идёт к тестовому контуру ЕСИА с тестовыми учётными записями.
5. Разработка и тестирование. Реализуется авторизация по протоколу OAuth 2.0 / OpenID Connect в реализации ЕСИА с подписью запросов по ГОСТ, получение и проверка маркеров, запрос нужных данных пользователя.
6. Заявка на продуктивную среду. После успешных тестов подаётся заявка на подключение к боевой ЕСИА с указанием запрашиваемых данных (областей доступа) и обоснования.
7. Запуск и сопровождение. Контроль сроков действия сертификатов, обновление при изменениях регламентов ЕСИА.

Техническая сторона: что важно разработчику

• Подпись запросов по ГОСТ. Это главная сложность для команд, которые раньше работали только с зарубежными OAuth-провайдерами. Нужна библиотека или сервис, умеющий подписывать по российским алгоритмам, и аккуратная работа с ключами.
• Ключ подписи — секрет высшего уровня. Хранится на сервере в защищённом виде, доступ ограничен, срок действия сертификата отслеживается — просроченный сертификат молча ломает вход.
• Минимальный набор данных. Запрашивайте только те области доступа, которые нужны для цели: ФИО и телефон для договора, но не всё подряд. Каждая область — это ещё и ответственность за её защиту.
• Обработка отказов. ЕСИА бывает недоступна; на этот случай нужен альтернативный вход по телефону.
• Связь с существующими аккаунтами. Пользователь мог зарегистрироваться по телефону раньше — нужна понятная логика привязки учётной записи Госуслуг к существующему профилю.
• Хранение полученных данных. Паспортные данные из ЕСИА — это ПДн, которые требуют защиты на уровне вашей системы. См. уровни защищённости ПДн.

Как сделать вход удобным для пользователя

Даже идеально подключённая ЕСИА не принесёт пользы, если пользователь не понимает, зачем ему нажимать на кнопку Госуслуг. Люди насторожены: «зачем прокату мои данные с Госуслуг?». Поэтому интерфейс должен объяснять выгоду и границы до перехода на страницу авторизации.

• Объясните выгоду одной строкой рядом с кнопкой: «Заполним анкету за вас — без ввода паспорта вручную».
• Перечислите, какие данные получите: «ФИО, дата рождения, паспорт, телефон». Ничего сверх этого.
• Оставьте альтернативу: «или войдите по номеру телефона». Принуждение к Госуслугам отпугивает часть клиентов.
• После возврата с Госуслуг покажите полученные данные и дайте их проверить перед отправкой.
• Не держите пользователя без обратной связи: если ЕСИА вернула ошибку, объясните простыми словами, что делать дальше.

Отдельный вопрос — согласие на обработку персональных данных. Пользователь даёт согласие Госуслугам на передачу данных вашей организации, но вашу собственную обработку это не покрывает: для неё нужно ваше согласие по правилам 152-ФЗ, оформленное отдельно от других документов. О том, как его правильно сделать в интерфейсе, — в статье согласие на обработку ПДн отдельным документом.

И последнее — аналитика. Отслеживайте, какая доля пользователей выбирает Госуслуги, сколько из них успешно возвращается на сайт и сколько бросает процесс на экране согласия. Эти цифры показывают, окупается ли интеграция и где её нужно улучшить.

Типичные ошибки при подключении стоит знать заранее. Первая — делать ЕСИА единственным способом входа: часть пользователей не помнит пароль от Госуслуг, у части учётная запись не подтверждена. Вторая — запрашивать максимум данных «на будущее»: заявку с избыточными областями доступа дольше согласовывают, а лишние данные увеличивают риски при утечке. Третья — хранить ключ подписи в репозитории или конфигурации, доступной всем разработчикам. Четвёртая — не планировать продление сертификата: он истекает, и вход внезапно перестаёт работать. Пятая — не тестировать сценарий, когда пользователь отказался выдавать согласие на передачу данных на стороне Госуслуг.

Сроки и бюджет

Большую часть срока занимает не разработка, а согласования. Поэтому заявки подаются параллельно с проектированием, а вход по телефону запускается сразу — он нужен в любом случае как основной или резервный способ. Оценить разработку в составе проекта можно в калькуляторе стоимости разработки.

Пример: стоит ли автопрокату подключать Госуслуги

Условный прокат: 600 новых клиентов в месяц. Сейчас администратор вручную переписывает данные паспорта и прав, проверка и оформление занимают 15 минут на клиента, ещё около 2% заявок — попытки аренды по чужим документам.

1. Время на ручной ввод: 600 × 15 минут = 150 часов в месяц. Допустим, вход через Госуслуги с автозаполнением анкеты экономит 8 минут на клиента, если им воспользуется 50% клиентов: 300 × 8 минут = 40 часов, около 28 тыс. ₽ в месяц при стоимости часа 700 ₽.
2. Снижение мошенничества: если 2% заявок — 12 попыток в месяц, и подтверждённая личность отсекает половину, а средний ущерб от одного случая — 40 тыс. ₽, экономия около 240 тыс. ₽ в месяц.
3. Затраты: разработка 300 тыс. ₽, сертификаты и СКЗИ — допустим, 50 тыс. ₽ в год, поддержка — 10 тыс. ₽ в месяц.
4. Окупаемость — около 1,5–2 месяцев, если оценка мошенничества реалистична. Если мошенничества почти нет, эффект только в экономии времени, и окупаемость — около года.

Для большинства проката, впрочем, достаточно отраслевой CRM с быстрым оформлением договора и хранением сканов документов — так работает наш Auto555. Подключение ЕСИА имеет смысл, когда поток клиентов большой и мошенничество ощутимо.

Другие сервисы Госуслуг, полезные бизнесу

• Госключ — мобильное приложение для подписания документов электронной подписью; ряд организаций принимает подписанные им документы. Условия интеграции для коммерческих компаний уточняйте у оператора.
• Госуслуги для юрлиц и ИП — подача заявлений, уведомлений и отчётности, в том числе уведомлений в Роскомнадзор об обработке ПДн.
• Идентификация при операциях с доменами — по сообщениям регистраторов, с сентября 2026 года для действий с доменами .ru, .рф и .su требуется подтверждение личности через Госуслуги. Проверьте, кто в компании владеет доменом и есть ли у него подтверждённая учётная запись. См. приёмка проекта: доступы.

Выводы

• По 406-ФЗ Госуслуги — один из разрешённых способов входа, а не обязательный. Большинству сайтов достаточно входа по номеру телефона.
• ЕСИА оправдана там, где нужна подтверждённая личность: договоры, финансы, прокат, медицина, проверка возраста.
• Подключение занимает 2–5 месяцев, главным образом из-за согласований; разработка — 2–4 недели.
• Ключевые технические риски — ГОСТ-подпись, хранение ключей и сроки сертификатов.

Если вход через Госуслуги нужен как часть личного кабинета, оценить весь кабинет поможет калькулятор стоимости личного кабинета.

Если ваш сервис работает с юрлицами, учитывайте, что вход представителя организации и проверка его полномочий — отдельный сценарий, который стоит обсудить с подрядчиком на этапе проектирования.

Если планируете вход через Госуслуги или нужно привести авторизацию на сайте в соответствие с 406-ФЗ, — напишите нам. Мы реализуем авторизацию в рамках разработки сайтов и кабинетов и проверяем её безопасность по OWASP-чек-листу.