Вход на сайт
и переписка пользователей

§1Обязательные способы авторизации

Требование введено законом от 31.07.2023 № 406-ФЗ и действует с 1 декабря 2023 года. Оно касается российских владельцев сайтов, информационных систем и программ, если доступ к информации в них предоставляется после входа.

149-ФЗ «Об информации, информационных технологиях и о защите информации»ст. 8, ч. 10ред. от 26.06.2026

10. Владелец сайта […], и (или) информационной системы, и (или) программы для электронных вычислительных машин, являющийся российским юридическим лицом или гражданином Российской Федерации и осуществляющий свою деятельность в сети "Интернет" на территории Российской Федерации, в случае, если доступ к информации […] предоставляется пользователям, прошедшим авторизацию, обязан проводить ее в отношении пользователей, находящихся на территории Российской Федерации, одним из следующих способов:
1) с использованием абонентского номера оператора подвижной радиотелефонной связи;
2) с использованием федеральной государственной информационной системы "Единая система идентификации и аутентификации […]";
3) с использованием государственной информационной системы "Единая система идентификации и аутентификации физических лиц с использованием биометрических персональных данных" […];
4) с использованием иной информационной системы, обеспечивающей авторизацию пользователей […] и соответствующей требованиям о защите информации, установленным статьей 16 настоящего Федерального закона, владелец которой является гражданином Российской Федерации, не имеющим гражданства другого государства, или российское юридическое лицо […] находящееся под контролем […] гражданина Российской Федерации […].

Закон не запрещает кнопку «Войти через Google». Он требует, чтобы пользователь из России был авторизован одним из четырёх способов. На практике это значит: у аккаунта должен быть подтверждён российский номер телефона или вход через ЕСИА либо российскую систему, а иностранная кнопка может оставаться дополнительным способом для уже подтверждённого аккаунта.

§2Штраф с 7 июля 2026 года

Почти три года требование действовало без отдельной санкции. Законом от 26.06.2026 № 199-ФЗ в КоАП добавлена статья 13.55; она применяется с 7 июля 2026 года.

КоАП РФст. 13.55ред. от 26.07.2026

Неисполнение владельцем сайта […], и (или) информационной системы, и (или) программы для электронных вычислительных машин […] обязанности проводить ее в отношении пользователей сети "Интернет", находящихся на территории Российской Федерации, одним из способов, предусмотренных Федеральным законом от 27 июля 2006 года N 149-ФЗ "Об информации, информационных технологиях и о защите информации" […], -
влечет наложение административного штрафа на граждан в размере от десяти тысяч до двадцати тысяч рублей; на должностных лиц - от тридцати тысяч до пятидесяти тысяч рублей; на юридических лиц - от пятисот тысяч до семисот тысяч рублей.

§3Как привести вход в порядок

ALLOWED = {"phone_ru", "esia", "ebs", "vk_id", "yandex_id", "sber_id"}

def may_enter(user, geo_country: str) -> bool:
    """Пользователь из России получает доступ, только если у аккаунта
    есть хотя бы один подтверждённый разрешённый способ авторизации."""
    if geo_country != "RU":
        return True
    return bool(ALLOWED & set(user.verified_methods))

Код показывает логику проверки. Определение местонахождения по IP-адресу неточно, поэтому многие сервисы требуют подтверждения российского номера у всех новых аккаунтов. Если у старых аккаунтов номера нет, при следующем входе сервис просит его привязать.

§4Передача логина другому лицу

С 1 сентября 2025 года действует ст. 13.29.2 КоАП. Она наказывает пользователя, который передаёт другому данные для регистрации или входа — например, продаёт аккаунт с привязанным номером или код из SMS.

Для SaaS это значит: общий аккаунт, которым с согласия владельца пользуются коллеги, нарушением не является. Покупка «прогретых» аккаунтов для рассылок или обхода ограничений — является, а при мошенничестве квалифицируется уже по УК.

§5Организатор распространения информации

Если в сервисе пользователи обмениваются сообщениями — чат с поддержкой, переписка между клиентами, комментарии, — владелец может оказаться организатором распространения информации (ОРИ).

149-ФЗ «Об информации, информационных технологиях и о защите информации»ст. 10.1, ч. 1–3ред. от 26.06.2026

1. Организатором распространения информации в сети "Интернет" является лицо, осуществляющее деятельность по обеспечению функционирования информационных систем и (или) программ для электронных вычислительных машин, которые предназначены и (или) используются для приема, передачи, доставки и (или) обработки электронных сообщений пользователей сети "Интернет".
2. Организатор распространения информации в сети "Интернет" обязан […] уведомить федеральный орган исполнительной власти, осуществляющий функции по контролю и надзору в сфере средств массовой информации, массовых коммуникаций, информационных технологий и связи, о начале осуществления деятельности […].
3. Организатор распространения информации в сети "Интернет" обязан хранить на территории Российской Федерации:
1) информацию о фактах приема, передачи, доставки и (или) обработки […] электронных сообщений пользователей […] и информацию об этих пользователях в течение трех лет […];
2) текстовые сообщения пользователей […] до шести месяцев […].

Статус ОРИ закрепляется включением в реестр: Роскомнадзор включает сервис по уведомлению владельца или по собственному решению, направив требование. После включения владелец хранит метаданные три года, сообщения — до шести месяцев в России и предоставляет их по запросу уполномоченных органов. За неуведомление — ч. 1 ст. 13.31 КоАП, для организации от 100 до 300 тыс. ₽, повторно — до 1 млн ₽; за неисполнение обязанностей по хранению и передаче — более высокие штрафы по другим частям статьи.