Зачем искать зарубежные сервисы
Почти каждый сайт подключает чужие скрипты: шрифты Google, счётчики, капчу, карты, видео, чат. Браузер посетителя обращается к их серверам сам и передаёт им как минимум IP-адрес, а часто cookie, действия на странице и введённые данные. Если серверы за рубежом, это может считаться трансграничной передачей персональных данных. С 1 марта 2023 года о ней нужно заранее уведомить Роскомнадзор (ст. 12 152-ФЗ), а с 1 июля 2025 года ч. 5 ст. 18 152-ФЗ прямо запрещает собирать персональные данные россиян в базы за рубежом. Вторая проблема — доступность: часть сервисов в России заблокирована или работает с перебоями, и тогда у посетителя не грузится видео, не отправляется форма с капчей или «ломается» вёрстка без библиотеки с CDN.
| Группа | Примеры | Что получает | Чем заменить |
|---|---|---|---|
| Шрифты | Google Fonts, Adobe Fonts, Font Awesome | IP-адрес, адрес страницы | Файлы шрифтов на своём сервере |
| Аналитика и пиксели | Google Analytics, Tag Manager, пиксель Meta, Hotjar, Clarity, TikTok | IP, cookie, просмотры и клики, запись сессий | Яндекс Метрика, Top@Mail.ru |
| Капча | Google reCAPTCHA, hCaptcha, Cloudflare Turnstile | IP, cookie, движения мыши и нажатия | Yandex SmartCaptcha, поле-ловушка и лимиты |
| Карты | Google Maps | IP, cookie | Яндекс Карты, 2ГИС |
| Видео | YouTube, Vimeo | IP, cookie — ещё до просмотра | RuTube, VK Видео или «фасад» с превью |
| Чаты | Intercom, Tawk.to, Crisp, Drift, LiveChat, Zendesk | Переписка, имя, телефон, почта | Jivo или свой чат |
| Формы и интеграции | Google Формы, Typeform, Mailchimp, HubSpot | Всё, что ввели в форму | Форма на сайте с базой в России |
| Соцсети и вход | Вход через Google и Facebook, виджеты Facebook, Instagram, X | IP, cookie, при входе — имя и почта | Яндекс ID, VK ID, ссылки вместо виджетов |
| CDN и хостинг | jsDelivr, unpkg, cdnjs, Google Hosted Libraries, Amazon, Cloudflare, Vercel, Netlify | IP; через прокси — весь трафик и данные форм | Свой сервер, российский хостинг и CDN |
Как мы определяем уровень
- Критично. Чат, внешняя форма или пиксель Meta — всегда: они сами собирают данные. Аналитика, пиксели и капча — если стоят на странице с формой, где есть имя, телефон или почта.
- Предупреждение. Шрифты, библиотеки с CDN, карты, видео, виджеты соцсетей, кнопки входа и зарубежная платформа хостинга: уходит IP-адрес, а сервис может не загрузиться.
- В порядке. Российские сервисы — Яндекс Метрика, Яндекс Карты, SmartCaptcha, RuTube, VK Видео, Jivo, 2ГИС — показываем отдельно: передачи за рубеж здесь нет.
Что ещё смотрим
- Страну сервера. Определяем по IP-адресу через открытую базу RIPE. Если сервер за рубежом, а на сайте есть формы, заявки могут записываться за границей.
- Платформу перед сайтом. По заголовкам ответа видно Cloudflare, Vercel, Netlify, Amazon CloudFront и GitHub Pages — через них проходит весь трафик, включая данные форм.
- Политику. Если зарубежные сервисы есть, ищем в политике обработки персональных данных упоминание трансграничной передачи.
Чего проверка не видит
- Сервисы, которые подключает скрипт. Теги внутри Google Tag Manager и виджеты, которые грузятся после открытия страницы, в коде не видны. Проверьте их вручную: F12 → «Сеть» → запросы к чужим доменам.
- Серверные интеграции. Куда сайт отправляет заявки со своего сервера (CRM, почта, рассылки), снаружи не видно.
- Уведомление в РКН. Подано ли уведомление о трансграничной передаче, можно проверить только в реестре операторов на pd.rkn.gov.ru.
Что исправить в первую очередь
- Чаты и внешние формы. Замените на российский чат и формы с записью в базу в России — здесь риск выше всего.
- Счётчики и капча на страницах с формами. Метрика вместо Google Analytics, SmartCaptcha вместо reCAPTCHA; счётчики — только после согласия в баннере cookie.
- Шрифты и библиотеки. Скачайте и раздавайте со своего сервера: это обычно час-два работы, а сайт ещё и станет быстрее.
- Видео и карты. RuTube или VK Видео, Яндекс Карты или 2ГИС; для YouTube — фасад, который грузит плеер только по нажатию.
- Документы. Если какие-то сервисы остаются, опишите их в политике и подайте уведомление о трансграничной передаче.
Вопросы и ответы
Проверка бесплатная?
Да. Регистрация не нужна, отчёт показывается сразу, ссылку на него можно сохранить — он хранится 90 дней. Бесплатно — до 10 проверок в сутки.
Google Fonts и 152-ФЗ: шрифты Google нарушают закон?
При загрузке шрифта с fonts.googleapis.com браузер передаёт Google IP-адрес посетителя и адрес страницы. IP-адрес вместе с другими данными может считаться персональными данными, а их отправка в Google — трансграничной передачей, о которой нужно уведомлять Роскомнадзор. Прямого запрета на Google Fonts нет, но риск проще убрать, чем обосновывать: скачайте шрифты и раздавайте их со своего сервера.
Чем заменить Google Fonts?
Теми же шрифтами, только со своего сервера: лицензия шрифтов Google Fonts (SIL Open Font License) разрешает их скачивать и размещать у себя. Нужно скачать файлы woff2 с кириллицей, подключить их через @font-face и убрать ссылки на fonts.googleapis.com и fonts.gstatic.com, включая preconnect.
Google Analytics запрещён в России?
Отдельного запрета нет. Но Google Analytics получает IP-адреса, cookie и действия посетителей и хранит их в США. Это может считаться трансграничной передачей персональных данных, а если счётчик стоит на страницах с формами — ещё и сбором данных в зарубежную базу. Если без него можно обойтись, проще перейти на Яндекс Метрику и запускать её после согласия в баннере cookie.
Что такое трансграничная передача персональных данных на сайте?
Это передача данных посетителей на серверы за пределами России: в счётчик, чат, капчу, форму, CDN. По ст. 12 152-ФЗ (в редакции с 1 марта 2023 года) оператор должен заранее уведомить Роскомнадзор о такой передаче, указать страны и цели и описать её в политике. Отдельно действует требование о локализации: собирать данные россиян нужно в базы в России.
Чем заменить reCAPTCHA?
Российский аналог — Yandex SmartCaptcha: подключается похожим скриптом и проверяется на сервере. Для небольших форм часто хватает защиты без внешних сервисов: скрытое поле-ловушка, ограничение частоты отправки с одного адреса и проверка времени заполнения.
Какой штраф за зарубежные сервисы на сайте?
Отдельного штрафа «за зарубежный сервис» нет. Если данные россиян при сборе записываются в базу за рубежом, это нарушение локализации — ч. 8 ст. 13.11 КоАП, для компаний от 1 до 6 млн ₽, повторно до 18 млн ₽. Штраф за отсутствие уведомления в Роскомнадзор — по ч. 10 ст. 13.11 КоАП. Точные суммы по вашему случаю посчитает наш калькулятор штрафов 152-ФЗ.
Яндекс Метрику тоже нужно убирать?
Нет. Метрика, Яндекс Карты, SmartCaptcha, RuTube, VK Видео и Jivo хранят данные в России — передачи за рубеж здесь нет. Но cookie и идентификаторы счётчиков — тоже персональные данные: нужны баннер cookie, упоминание в политике и запуск после согласия.
Сайт за Cloudflare — это проблема?
Через прокси Cloudflare проходит весь трафик сайта, включая данные форм, — это может считаться трансграничной передачей. Кроме того, у части российских провайдеров сайты за зарубежными CDN периодически открываются с перебоями. Если защита от атак нужна, её можно перенести на российский сервис.
Можно ли оставить YouTube на сайте?
Можно, но встроенный плеер передаёт Google данные посетителя сразу при открытии страницы, а из-за замедления YouTube в России у многих посетителей он не загрузится. Лучше перенести видео на RuTube или VK Видео или сделать «фасад»: превью со своего сервера, а плеер — только по нажатию.