За авторизацию через иностранные сервисы штрафуют владельца сайта

За авторизацию через иностранные сервисы с 7 июля 2026 года по ст. 13.55 КоАП штрафуют российского владельца сайта или приложения, а не пользователя. Gmail как логин не запрещен.

Главное

• Новый только штраф, а требование действует давно. Ч. 10 ст. 8 149-ФЗ действует с 1 декабря 2023 года. Ст. 13.55 КоАП, которую ввел 199-ФЗ, действует с 7 июля 2026 года, без переходного периода.
• Санкция ст. 13.55: граждане 10-20 тыс. рублей, должностные лица и ИП 30-50 тыс., юрлица 500-700 тыс. Для малых и микропредприятий из реестра МСП по нашему расчету по ч. 2 ст. 4.1.2 КоАП выходит 250-350 тыс. Отдельного штрафа за повторное нарушение в статье нет.
• Законны вход по номеру мобильного, через Госуслуги, биометрию и систему российского владельца (ч. 10 ст. 8). Кнопки Google, Apple, Microsoft и Telegram этим условиям не отвечают. Адрес @gmail.com в собственной форме входа закон не запрещает.
• Наш замер 26.10.2026: мы сверили с текстом 199-ФЗ и 149-ФЗ 46 утверждений из 18 материалов выдачи. Ошибка есть в 14 материалах. В 11 из них статье 13.55 приписаны «до 1,4 млн за повторное» из соседней ст. 13.56.
• Мой совет: составить список всех точек входа и убрать иностранные кнопки, не дожидаясь первых опубликованных штрафов. Старым аккаунтам заранее дать другой способ войти.

Содержание

1. Кого касается запрет на авторизацию через иностранные сервисы
2. Юрлицо рискует штрафом 500-700 тыс., ИП – 30-50 тыс.
3. Законны четыре способа входа, и Google в них не входит
4. Обязанность действует с 2023 года, штраф – с 7 июля 2026
5. Протокол составляет Роскомнадзор, публичных штрафов пока нет
6. 14 из 18 материалов выдачи ошибаются хотя бы в одном
7. Что сделать
8. Частые вопросы

Кого касается запрет на авторизацию через иностранные сервисы

Запрет касается российского юрлица или гражданина РФ, который владеет сайтом, кабинетом, информационной системой или приложением и открывает доступ к информации только после входа. Так сформулирована ч. 10 ст. 8 149-ФЗ. Условий четыре: владелец российский, работает в интернете на территории РФ, доступ дается после авторизации, пользователь находится в России.

Сайт без входа норма не затрагивает. Пользователя, который нажал «Войти через Google», тоже: субъект ст. 13.55 — владелец ресурса. Иностранные сайты в действующей редакции не названы. Критерий «больше 50% голосов у государства или граждан РФ» в законе относится к владельцу системы входа. Владельцу сайта достаточно быть российским юрлицом или гражданином.

Для старых аккаунтов исключения нет. Закон требует «проводить» авторизацию допустимым способом, то есть при каждом входе, а оговорки о пользователях, зарегистрированных раньше, в норме нет. Слова депутата Сергея Боярского о том, что «то, что уже работает и раньше работало, не будет отключаться», – позиция, а не норма.

Летом сервисы рассылали пользователям СМС: «Привяжите номер телефона, чтобы сохранить профиль» (РГ). Визовый центр Италии Almaviva пошел дальше и отключил регистрацию через Apple ID и Gmail, хотя Gmail в собственной форме входа закон не запрещает.

Про B2B-кабинеты, корпоративный вход сотрудников через иностранного провайдера вроде Microsoft Entra и несколько доменов одного владельца закон прямо не отвечает. Исключений для них в тексте ч. 10 ст. 8 мы не нашли, разъяснений и практики тоже нет.

Юрлицо рискует штрафом 500-700 тыс., ИП – 30-50 тыс.

Размер штрафа зависит от того, кого привлекают: гражданина, должностное лицо, ИП или юрлицо. Для малых предприятий действует особый порядок. Ст. 13.55 состоит из одной части, отдельного состава за повторное нарушение в ней нет.

Кого привлекают	Диапазон штрафа	Основание
Гражданин – владелец ресурса	10-20 тыс. рублей	Ст. 13.55
Должностное лицо	30-50 тыс. рублей	Ст. 13.55
ИП	30-50 тыс. рублей	Примечание к ст. 2.4 КоАП: ИП отвечает как должностное лицо
Юрлицо	500-700 тыс. рублей	Ст. 13.55
Малое или микропредприятие из реестра МСП	250-350 тыс. рублей, наш расчет	Ч. 2 ст. 4.1.2 КоАП

Расчет для малых предприятий мы сделали сами. Ч. 2 ст. 4.1.2 КоАП применяется, если санкция не определяет штраф для ИП. Тогда юрлицо из реестра МСП, отнесенное к малым или микропредприятиям, платит от половины минимального до половины максимального штрафа для юрлиц. Нижнее ограничение – минимум для должностного лица (прокуратура) – здесь не срабатывает. Опубликованных решений с таким расчетом по ст. 13.55 мы не нашли.

За первое нарушение, выявленное при госконтроле, субъекту МСП штраф могут заменить предупреждением по ст. 4.1.1 КоАП. Нужны условия ч. 2 ст. 3.4, среди них отсутствие вреда. В списке исключений ст. 4.1.1 статьи 13.55 нет, это показала наша сверка. Предупреждение – право органа, а не автоматическая скидка.

Калькулятор ниже покажет, подпадает ли ваш ресурс под норму, какой способ входа проходит и какой диапазон штрафа возможен.

Калькулятор построен по ст. 13.55, 2.4, 4.1.1 и 4.1.2 КоАП и ч. 10 ст. 8 149-ФЗ в редакции на 26.10.2026. По ст. 13.55 юрлицу грозит 500-700 тыс. рублей, ИП 30-50 тыс., малому предприятию 250-350 тыс. по нашему расчету. Повышенной санкции за повторность нет. Для российских провайдеров результат условный: официального перечня допустимых систем мы не нашли.

Откуда тогда в выдаче «1,4 млн»? 199-ФЗ ввел две статьи сразу: 13.55 про авторизацию и 13.56 про рекомендательные технологии. За неисполнение требования РКН по рекомендательным технологиям юрлицо по ч. 5 ст. 13.56 платит 1-1,4 млн рублей, за повторное по ч. 6 – 1,4-2,8 млн. Это счет соседнего столика: тот же ресторан, другой заказ.

Законны четыре способа входа, и Google в них не входит

Ч. 10 ст. 8 149-ФЗ дает закрытый перечень из четырех способов:

• абонентский номер оператора подвижной радиотелефонной связи;
• Госуслуги (ЕСИА);
• Единая биометрическая система;
• иная система, которая отвечает требованиям ст. 16 149-ФЗ и принадлежит гражданину РФ без другого гражданства или российскому юрлицу, где больше 50% голосов прямо или косвенно у государства, региона, муниципалитета или таких граждан (п. 4 ч. 10 ст. 8).

Слов «Google» и «Apple» в законе нет. Запрет вытекает из критерия владельца: владелец системы входа должен быть российским, а у Google, Apple и Microsoft он иностранный. Прокуратура прямо называет запрещенными Google, Apple ID, Microsoft и Facebook. Telegram там не назван, но по тому же критерию не проходит, а РКН, по пересказу юристов Runetlex, называл недопустимым и Telegram ID.

С почтой нужно различать три вещи.

• Адрес @gmail.com сам по себе. Закон почту не упоминает. Организация-получатель опубликовала 27 августа 2026 года ответ РКН: ввод адреса почты, даже при регистрации, ведомство авторизацией не считает. Оригинала ответа мы не нашли, это пересказ. Требование заводить почту в российской зоне в итоговый текст не вошло.
• Кнопка «Войти через Google». Пользователя проверяет иностранный сервис, поэтому способ не проходит по п. 4.
• Собственная форма с паролем. Проверку проводит система сайта. По нашему прочтению п. 4, она подходит, если ее владелец – российское юрлицо или гражданин РФ без другого гражданства, а система отвечает ст. 16. Официального разъяснения нет.

Способ входа	Законен ли	Основание	Комментарий
Номер мобильного с кодом	Да	П. 1 ч. 10 ст. 8	Доставка кода через Telegram Gateway – серая зона, Sostav не рекомендует
Госуслуги (ЕСИА)	Да	П. 2	Бесплатно, но подключение – месяцы заявок и сертифицированная криптография
Биометрия (ЕБС)	Да	П. 3	Порядок по 572-ФЗ
VK ID, Яндекс ID, Сбер ID	Да, если владелец проходит по п. 4	П. 4	Официального перечня мы не нашли, владельца провайдера проверяете вы
Собственная форма: e-mail и пароль, включая @gmail.com	По толкованию да	П. 4, РКН в пересказе	Система сайта должна отвечать условиям п. 4 и ст. 16
«Войти через Google»	Нет	Прокуратура	Владелец иностранный
«Войти через Apple»	Нет	Прокуратура	Для iOS действует правило App Store 4.8
«Войти через Microsoft»	Нет	Прокуратура	Корпоративный SSO тоже по тексту п. 4 не проходит
«Войти через Telegram»	Нет, по критерию владельца	П. 4, РКН в пересказе	Мини-аппы – серая зона

С российскими провайдерами осторожнее, чем кажется. Подзаконного акта к п. 4 и реестра допустимых систем мы не нашли. СМИ пишут, что VK ID и Яндекс ID отвечают условиям, но признания Минцифры или РКН для них, Сбер ID и T-ID нет. Ошибку в выборе провайдера оплатит владелец ресурса.

Что показала наша практика

Замена входа – не только юридическая задача. В одном из наших проектов, мобильном приложении для подписания документов, кнопку «Войти через Госуслуги» собрали за 8-10 часов. Все остальное время ушло на заявления в Минцифры, сертифицированную криптографию и юристов. VK ID и Яндекс ID подключаются быстрее, но требуют ухода: в сентябре 2026 года VK сменил адрес репозитория SDK для Android, и сборки пришлось обновить. Подробная хронология и сравнение замен – во второй статье: чем заменить вход через Google.

Мобильные приложения и правило App Store 4.8

Правило 4.8 App Store требует: если приложение использует сторонний вход для основной учетной записи, оно должно предложить еще один равноценный сервис, который собирает только имя и e-mail и дает скрыть адрес. С 25.01.2024 Apple не требует именно Sign in with Apple, но под критерии чаще всего подходит он. Отсюда конфликт: VK ID для Apple сторонний вход, а Sign in with Apple для пользователя из РФ не проходит по ч. 10 ст. 8.

В правиле есть исключения: только собственная система входа компании, государственная система идентификации граждан (по нашему прочтению, сюда подходит ЕСИА) и корпоративные приложения. Позиции Apple или РКН по конфликту мы не нашли. Варианты разобраны во второй статье по ссылке выше.

Обязанность действует с 2023 года, штраф – с 7 июля 2026

Требование авторизовать пользователей только способами из закона действует с 1 декабря 2023 года. В ч. 10 ст. 8 149-ФЗ его записал закон № 406-ФЗ. Два с половиной года специального штрафа не было. Знак ограничения скорости висел с 2023 года, камеру поставили только 7 июля 2026-го.

Дата именно 7 июля. 199-ФЗ от 26.06.2026 дополнил КоАП статьей 13.55. Своей даты вступления в законе нет, поэтому он начал действовать через 10 дней после официального опубликования 26 июня. Многие сервисы ориентировались на 6 июля: 2ГИС отключил вход через Apple ID и Google с этого числа. Переходного периода в 199-ФЗ нет. Обратной силы тоже нет: за нарушения до 7 июля 2026 года ответственность не наступает по общему правилу ст. 1.7 КоАП.

Дата 1 января 2025 года в выдаче тоже путает людей. 588-ФЗ до этой даты временно разрешал дополнительные системы входа, например собственные и внутригрупповые. Все требование он не откладывал, амнистии для старых аккаунтов в нем нет. Все нормы в этой статье мы сверили по официальным публикациям 26.10.2026.

Протокол составляет Роскомнадзор, публичных штрафов пока нет

Дела по ст. 13.55 рассматривает Роскомнадзор, он же составляет протокол, суд в первой инстанции не участвует. П. 5 ст. 1 199-ФЗ дополнил ч. 1 ст. 23.44 КоАП словами «статьями 13.55, 13.56», а ст. 23.44 касается органов надзора в сфере связи, ИТ и массовых коммуникаций. Протоколы по ст. 28.3 составляют должностные лица РКН и его территориальных органов.

Срок давности по ст. 4.5 КоАП — 60 дней, для длящегося нарушения его отсчитывают со дня обнаружения. По моей оценке, кнопка, которая постоянно висит на сайте, похожа на длящееся нарушение, но практики пока нет. Рассчитывать на истечение срока давности я бы не стал.

На 26.10.2026 опубликованных протоколов и постановлений по ст. 13.55 мы не нашли. Искали по новостям, по запросу «13.55 КоАП постановление» и на сайтах юрфирм. Базу судебных актов не проверяли: первую инстанцию ведет РКН. Официальной статистики ведомства тоже нет. Поэтому мы говорим «публичных сведений о штрафах пока нет», а не «никого не штрафовали».

Новых обязанностей пока не появилось. Минцифры в пакете «Антифрод 3.0» предлагало обязать иностранные сайты авторизовывать россиян по номеру телефона. По данным ppt.ru и Forbes, в августе этот пункт из проекта исключили. По найденным нами материалам, на 26.10.2026 законопроект в Думу не внесен.

14 из 18 материалов выдачи ошибаются хотя бы в одном

Ошибку или норму, которой нет в законе, мы нашли в 14 материалах из 18. Это наш замер от 26.10.2026. Мы взяли материалы по пяти запросам, среди них «штраф за вход через google», «вход через apple id запрет» и «13.55 КоАП». Большинство опубликовано в июне-сентябре 2026 года, одна заметка Интерфакса – 14.11.2025. Из каждого материала выписали утверждения о датах, суммах, субъектах и запрещенных способах, всего 46, и сверили с 199-ФЗ, ч. 10 ст. 8 149-ФЗ, 588-ФЗ и КоАП. Итог: 20 утверждений неверны, 4 описывают нормы, которых в законе нет, 13 верны. Еще 9 упрощены, поданы как факт без подтверждения или остаются толкованием. Выдачу собирали не локальным Яндексом, отбирали утверждения, важные для бизнеса.

График показывает, какие цифры из выдачи не стоит переносить в свой бюджет рисков.

Наш замер 26.10.2026, сверка с 199-ФЗ, 149-ФЗ, 588-ФЗ и КоАП: из 18 материалов выдачи ошибку хотя бы одного типа содержат 14. «Повторное нарушение – до 1,4 млн» повторяют 11 материалов, «вступил 6 июля» – 2, «перенос на 2025 год» – 2, иностранную почту как запрещенный способ – 2. Один материал может попасть в несколько строк.

Чаще всего ст. 13.55 приписывают повторность из ст. 13.56. Остальные ошибки реже, но тоже меняют решение. РБК пишет о вступлении в силу 6 июля, «через десять дней с момента подписания», хотя срок отсчитывают от опубликования. Право.ru относит ИП к гражданам с 10-20 тыс. Sostav сообщает, что требование «перенесли на 1 января 2025 года». Гарант верно приводит суммы, но прикладывает критерий «больше 50%» к владельцу сайта.

Что сделать

1. Составить список всех точек входа. Владелец задачи – технический директор. Результат – таблица с адресами и скриншотами: сайт, личный кабинет, приложения для iOS и Android, поддомены, B2B-кабинеты, кабинеты дилеров, виджеты чатов, партнерские страницы.
2. Определить, какие ресурсы подпадают под норму. Владелец – юрист. Результат – отметка по каждой точке: российский ли владелец, есть ли вход, есть ли пользователи в РФ. B2B-кабинеты и корпоративный SSO отметить отдельно как зону без разъяснений.
3. Отключить Google, Apple, Microsoft и Telegram. Владелец – продакт-менеджер и разработка. Проще всего отключить их для всех: закон не говорит, как определять, где находится пользователь, поэтому показ кнопок по геолокации остается риском. Критерий приемки: старый сценарий входа не срабатывает ни на сайте, ни в приложениях, ни на поддоменах, а существующие пользователи входят новым способом.
4. Перевести старые аккаунты. Владелец – продакт-менеджер и поддержка. Готовность: у каждого аккаунта, созданного через Google или Apple, есть допустимый способ входа. До отключения пользователи получают уведомление по образцу СМС «Привяжите номер телефона, чтобы сохранить профиль». У поддержки есть сценарий для тех, у кого нет другого контакта: как подтвердить владельца профиля, объединить дубли и восстановить доступ.
5. Выбрать замену по критериям, а не по моде. Владелец – продакт-менеджер вместе с юристом. Критерии: какие контакты пользователей у вас уже есть, сколько стоят коды подтверждения при вашем объеме входов, проходит ли владелец провайдера по п. 4, кто будет поддерживать SDK, какие ограничения ставит App Store. Госуслуги имеют смысл, если они нужны самому процессу. Варианты сравнены в статье чем заменить вход через Google.
6. Для iOS подготовить схему входа к ревью. Владелец – мобильная команда. Результат – схема входа, обоснование применимого исключения правила 4.8 и материалы для ревьюера.
7. Зафиксировать дату изменений. Владелец – юрист. Результат – релиз-ноты, коммиты и скриншоты до и после с датами. Если нарушение признают длящимся, они покажут, когда оно прекратилось.

Мы встраивали VK ID и Яндекс ID в приложения клиентов и занимались подключением входа через Госуслуги, поэтому знаем, где эта работа растягивается: разработка мобильных приложений и веб-сервисов AppCraft.

Закону безразличен адрес почты пользователя. Ему важно, кто проверяет этого пользователя на входе.

Частые вопросы

Источники

1. publication.pravo.gov.ru — с 1 декабря 2023 года
2. publication.pravo.gov.ru — 199-ФЗ
3. pravo.gov.ru — Санкция ст. 13.55
4. pravo.gov.ru — по нашему расчету по ч. 2 ст. 4.1.2 КоАП
5. consultant.ru — ч. 10 ст. 8
6. expert.ru — о том
7. rg.ru — РГ
8. interfax.ru — отключил регистрацию
9. consultant.ru — состоит из одной части
10. epp.genproc.gov.ru — прокуратура
11. buh.ru — могут заменить предупреждением
12. ppt.ru — две статьи сразу
13. ria.ru — владелец системы входа должен быть российским
14. epp.genproc.gov.ru — прямо называет
15. ppc.world — называл недопустимым
16. pravtourunion.ru — опубликовала
17. garant.ru — в итоговый текст не вошло
18. sostav.ru — Sostav не рекомендует
19. 360.ru — отвечают условиям
20. developer.apple.com — 4.8 App Store
21. appsubmitter.io — 25.01.2024
22. digitalimpuls.ru — 2ГИС отключил
23. publication.pravo.gov.ru — 588-ФЗ
24. vc.ru — предлагало
25. ppt.ru — ppt.ru
26. forbes.ru — Forbes
27. amp.rbc.ru — РБК
28. pravo.ru — Право.ru
29. garant.ru — Гарант