Авторизация через Госуслуги для сайта – не первая замена Google

Вместо входа через Google и Apple сайту хватит VK ID, Яндекс ID или Сбер ID с резервным входом по номеру. Авторизация через Госуслуги для сайта нужна, если продукту нужны подтвержденные государством данные о человеке.

Главное

• С 7 июля 2026 года действует ст. 13.55 КоАП. Российскому юрлицу грозит штраф от 500 до 700 тыс. рублей, если оно пускает пользователей из России в личный кабинет через Google или Apple.
• Для сайта и Android-приложения я советую VK ID, Яндекс ID или Сбер ID и резервный вход по номеру или e-mail. VK и Сбер заявляют бесплатное подключение и сами оплачивают SMS (VK ID для бизнеса, Сбер ID). Оферта Яндекс ID цену не называет. Это наша сверка условий на 26.10.2026.
• Коды по SMS оплачивают не поштучно, а за получателя в месяц: до пяти кодов одному человеку стоят от 8,40 до 16,63 рубля в зависимости от оператора (sms.ru). Сверху – имя отправителя и шаблон у каждого оператора: на всех четырех 15 620 рублей в месяц при любом числе пользователей. Это наша сверка тарифов на 26.10.2026.
• Для iOS чище всего собственный вход по номеру или e-mail: правило App Store 4.8 освобождает приложение, которое использует только свою систему учетных записей. VK ID или Яндекс ID в iOS создают конфликт правил Apple и закона, и подтвержденного решения у него нет.
• В нашем проекте кнопку «Войти через Госуслуги» собрали за 8-10 часов. Через 10 месяцев после первых тестов команда все еще выбирала крипторешение, сертифицированное по требованиям ФСБ. Это хронология по рабочим чатам и задачам команды, сверенная 26.10.2026.

Содержание

1. Какие способы входа разрешает закон и чем они отличаются
2. Как выбрать между VK ID, Яндекс ID и Сбер ID
3. Авторизация по номеру телефона стоит денег за каждого человека
4. Авторизация через Госуслуги для сайта – когда стоит ждать месяцы
5. iOS-приложение и правило App Store 4.8
6. Как сохранить старые аккаунты Google и Apple
7. Что сделать
8. Частые вопросы

Какие способы входа разрешает закон и чем они отличаются

Закон оставляет четыре способа: номер мобильного телефона, Госуслуги, биометрию и «иную информационную систему» российского владельца, которая отвечает требованиям к защите информации (ч. 10 ст. 8 149-ФЗ). Google и Apple ни под один из этих способов не подходят.

Обязанность действует с 1 декабря 2023 года, ее ввел 406-ФЗ от 31.07.2023. Норма касается российского юрлица или гражданина России, который владеет ресурсом, работает в интернете на территории страны и пускает к информации только после входа. Авторизовать по этим правилам нужно пользователей из России. В 2026 году появилась санкция: 199-ФЗ ввел ст. 13.55 КоАП, изменения вступили в силу 7 июля. Подробный юридический разбор – в статье про штраф за авторизацию через иностранные сервисы: кого касается и сколько.

Таблица – наша сверка документов провайдеров, Правил и Регламента ЕСИА и прайсов SMS на 26.10.2026.

Способ	Основание в ч. 10 ст. 8 149-ФЗ	Цена	Договор	Наш опыт	Данные о пользователе	Ограничения
Номер и SMS-код	п. 1	8,40-16,63 рубля за получателя в месяц у sms.ru плюс 15 620 рублей в месяц за имена и шаблоны у четырех операторов	С агрегатором	Весной 2026 года клиент заменил SMS из оценки на провайдеров	Номер	Платите за каждого человека с кодом
VK ID (и вход через Mail)	п. 4, по позиции VK	Бесплатно, SMS для трафика из России оплачивает VK (VK)	Не нужен (VK)	Подключали в мобильном приложении в 2026 году	Профиль VK. Расширенные права – после подтверждения профиля бизнеса	Регулярные обновления SDK
Яндекс ID	п. 4, по толкованию	В оферте цены нет, слова «бесплатно» тоже	Оферта ООО «Айди Тех», ред. от 21.08.2026	Подключали в том же приложении	Профиль Яндекса	Без верификации пользователь видит предупреждение
Сбер ID	п. 4, по толкованию	0 рублей, SMS за счет Сбера (Сбер)	Страница продукта говорит «нет», справка просит подписать	–	Профиль Сбера	Нужны Client ID, Client Secret и сертификат
T-ID	п. 4, если владелец проходит по критериям	Партнерских условий не нашли	Не нашли	–	–	Открытой документации для бизнеса нет
Госуслуги (ЕСИА)	п. 2	Использование бесплатно (ПП № 584, п. 4 Правил)	Заявки, решение за Минцифры	10 месяцев от первых тестов до требования выбрать сертифицированное крипторешение	На тесте без заявки – только ФИО и ИНН	КС3, УЗ-3, нормативное основание в заявке (Регламент 2.55)
E-mail и пароль на своем сайте	п. 4, по толкованию	Внешней платы нет	Не нужен	–	E-mail	Владелец без второго гражданства, система по ст. 16 149-ФЗ

Строки с VK ID, Яндекс ID и Сбер ID опираются на толкование п. 4, а не на перечень. Официального перечня допустимых провайдеров и подзаконного акта к п. 4 мы не нашли: 26.10.2026 искали в КонсультантПлюс и на сайтах РКН и Минцифры. Соответствие 406-ФЗ VK заявляет сам, регулятор это не подтверждал. Структуру собственности провайдеров, от которой зависит п. 4, мы не проверяли.

С e-mail закон не помогает и не мешает: он его просто не упоминает. Если пароль проверяет сам сайт, это собственная «иная информационная система» владельца по п. 4, и к ней применяются условия из таблицы: владелец без второго гражданства и защита информации по ст. 16. Официального разъяснения нет, позиции разобраны в соседней статье.

С Telegram ответ другой. Вход через него юристы предлагают считать иностранной авторизацией, даже если аккаунт привязан к российскому номеру. Кнопку «Войти через Telegram» я бы в список замен не включал.

Как выбрать между VK ID, Яндекс ID и Сбер ID

Выбирайте по трем признакам: на каких условиях провайдер пускает бизнес, какие данные вам нужны и на каких платформах работает продукт. Если продукт есть на iOS, сначала прочитайте раздел про App Store: он может поменять выбор.

Самые простые условия у VK: договор не нужен. Сбер требует сертификат, а про договор его документация отвечает по-разному, поэтому оферту стоит прочитать юристу до начала работ. Яндекс работает по оферте, а оплату SMS упоминает в описании продукта, но не в оферте.

В 2026 году мы добавили VK ID и Яндекс ID в мобильное приложение клиента. Для VK понадобились кабинет VK ID для бизнеса и приложение в консоли, для Яндекса – приложение в OAuth Яндекса. Сервер принимает от провайдеров разные данные: от VK – код авторизации с PKCE и идентификатором устройства, от Яндекса – токен доступа. Для руководителя вывод такой: второй провайдер – это вторая ветка на сервере, второй набор тестов и вторая зависимость, которую надо обновлять. Кнопка на экране входа – меньшая часть работы.

Обновлять придется. В сентябре 2026 года VK сменил адрес репозитория VK ID SDK для Android, и старый адрес мог перестать работать после 30 сентября. Сборки приложения пришлось перенастроить. Провайдер входа похож на лифт в арендованном бизнес-центре: возит бесплатно, пока управляющая компания не поменяла ключи.

Какой провайдер популярнее у вашей аудитории, покажет только аналитика: подключите два и через месяц посмотрите, какую кнопку нажимают. Маркетинговые обещания провайдеров о росте конверсии я бы на свой продукт не переносил. Для оценки работ попросите команду разложить подключение на части:

• серверная проверка входа для каждого провайдера;
• кнопки и SDK на вебе, Android и iOS;
• склейка с существующими аккаунтами: один человек, несколько способов входа;
• восстановление доступа через номер или e-mail;
• тесты и план обновления SDK.

Авторизация по номеру телефона стоит денег за каждого человека

Вход по номеру с SMS-кодом прямо назван в законе, но за каждого человека, который получил код, владелец сайта платит. Коды отправляют по шаблону, согласованному с оператором, и считают не поштучно, а за получателя в месяц: счетчик по каждому человеку обнуляется 1-го числа. Мы сверили тарифы sms.ru по четырем операторам 26.10.2026, цены с НДС.

Оператор	До 5 кодов одному человеку за месяц	6-20 кодов	Имя отправителя и шаблон в месяц
МТС	8,40 рубля	40,60 рубля	3 000 + 2 000 рублей (тариф)
МегаФон	8,40 рубля	22,40 рубля	2 550 + 1 220 рублей (тариф)
Билайн	16,63 рубля (один код – 11,09)	30,49-67,92 рубля	2 080 + 1 220 рублей (тариф)
Т2	12,35 рубля	46,66 рубля	2 450 + 1 100 рублей (тариф)

Постоянная часть на четырех операторов – 15 620 рублей в месяц, почти 190 тыс. рублей в год, даже если входов мало. У Т2 имя бесплатно только для рекламы: шаблоны с кодами принимают на платное имя. Пока SMS остаются хотя бы резервным входом, эта плата остается. Другие агрегаторы считают иначе: smsc.ru публикует цены за сообщение, 9,00-11,10 рубля, а с 01.11.2026 по региональным и виртуальным операторам 10,50-11,30. Модель тарификации стоит сверить у своего агрегатора.

Цену входа по звонку из первоисточника подтвердить не удалось: прайсы показывают ее только в кабинете. Поэтому звонок в расчет не входит.

Калькулятор считает расходы на коды в месяц и в год по тарифам sms.ru и экономию, если часть людей выберет VK ID, Яндекс ID или Сбер ID. Вводите число уникальных людей, которые получают код за месяц. Госуслуг в калькуляторе нет: сама ЕСИА бесплатна, ее цена – в требованиях к защите информации, о них ниже.

Экономию на Яндекс ID калькулятор считает по описанию продукта: «расходы на уведомление пользователей Яндекс берет на себя». В оферте об этом не сказано.

Весной 2026 года один из наших клиентов сам попросил убрать SMS-коды из первоначальной оценки и поставить VK ID и Яндекс ID. Причина была в цене: за вход через провайдера клиент не платит за каждое сообщение. Номер при этом стоит оставить запасным входом. Через него восстанавливают доступ, и он выручает в iOS.

Авторизация через Госуслуги для сайта – когда стоит ждать месяцы

Подключать Госуслуги стоит, когда продукту нужны данные о человеке, которые подтверждает государство: например, чтобы подписывать документы. Если нужен только логин, вы берете на себя требования к криптографии и защите персональных данных ради возможности, которая продукту не нужна.

Один наш проект – мобильное приложение для подписания документов – как раз из этой категории. Хронология собрана по рабочим чатам и задачам команды и сверена 26.10.2026. Работу на тестовой среде ЕСИА мы начали в сентябре 2025 года, первый вход на тесте прошел 7 октября. 10-11 ноября кнопку с данными профиля собрали за 8-10 часов работы, 11 ноября подали заявление на промышленную среду. В первой итерации доступ не дали, и к работе подключились юристы клиента.

Дальше в работе было больше документов, чем кода. Запросы к ЕСИА подписываются закрытым ключом организации. Тестовые ключи прочитал только КриптоПро, открытые библиотеки с ними не справились. Без заявки на области данных тест отдавал только ФИО и ИНН. Данные организаций пользователя потребовали отдельного заявления в Минцифры. 14 апреля 2026 года тестовые ключи истекли.

28 июля вернули новую заявку на тестовую среду. Подавали ее уже от учетной записи своей организации: на общедоступной тестовой учетной записи не хватало прав на области данных. В заявке попросили указать одно из типовых решений, которые прошли проверку по требованиям ФСБ, и предложили четыре:

• SDK «Адаптер-Инфраструктура» с КриптоПро CSP 5.0 класса КС3;
• шлюз TrustGate с ViPNet PKI Service и HSM;
• TrustGate с ViPNet CSP;
• ViPNet EDI Soap Gate 3.

Интеграция живет на сервере, приложение хранит только собственный токен сервиса. Наши данные заканчиваются на июльской заявке. Схема показывает, на что ушли месяцы.

Вход через Госуслуги в нашем проекте, сентябрь 2025 – июль 2026: код кнопки занял 8-10 часов. Остальное время ушло на заявления, области данных, ключи и выбор крипторешения класса КС3.

Требования задает Регламент ЕСИА версии 2.55 от 18.09.2026. Мы читали его на зеркале legalacts.ru: digital.gov.ru из нашей среды проверки не открылся. По Регламенту, система, которая подписывает запросы, использует средство электронной подписи класса не ниже КС3. Если система получает из ЕСИА персональные данные, ее уровень защищенности – не ниже УЗ-3. Канал к промышленной среде защищают сертифицированными средствами класса не ниже КС3. В заявке указывают нормативное основание – пункт правового акта.

Собственное решение по Регламенту строится по техническому заданию, согласованному с Минцифры, и проходит оценку влияния на сертифицированную криптографию. Типовое решение, по описаниям интеграторов, от этих процедур избавляет. Переходный срок до 31 декабря 2026 года Регламент дает только системам, которые подключились раньше. Для новых подключений такого срока в тексте нет.

Интегратор MCart обещает подключить ЕСИА за 1-2 недели с готовыми модулями. С кодом это сходится: у нас кнопка заняла 8-10 часов. Поэтому у любого подрядчика я бы уточнил, входят ли в срок заявления в Минцифры, области данных и покупка крипторешения. В нашем проекте месяцы ушли именно на них.

Один вопрос мы так и не закрыли официально: принимает ли Минцифры п. 2 ч. 10 ст. 8 149-ФЗ как нормативное основание для обычной коммерческой компании. Если продукту не нужны подтвержденные данные, проще не проверять это на своем проекте.

iOS-приложение и правило App Store 4.8

Если в iOS-приложении есть сторонний вход, например VK ID или Яндекс ID, правило 4.8 требует рядом еще один равноценный вход. Этот вход собирает только имя и e-mail, позволяет скрыть e-mail и без согласия не собирает действия пользователя для рекламы. Sign in with Apple по названию правило не требует. Но для пользователей из России Apple – иностранный владелец сервиса входа.

Правило не действует в двух случаях, которые подтверждены текстом Apple. Первый: приложение использует только собственную систему учетных записей компании, например вход по номеру с кодом. Второй: оно опирается на государственную или отраслевую систему электронной идентификации, и под это по смыслу подходит ЕСИА.

По тексту обоих документов без вопросов проходит одна схема: только собственный вход по номеру или e-mail, возможно вместе с Госуслугами. Добавите VK ID или Яндекс ID – и попадете под требование равноценного входа. Засчитает ли Apple таким входом ваш вход по номеру, правило не говорит. Позиций Apple и РКН по этому конфликту мы не нашли. Показывать Sign in with Apple только пользователям вне России я не советую: это слишком близко к обходу закона.

Как сохранить старые аккаунты Google и Apple

Аккаунт сохраняют, способ входа меняют. Закон не делает исключения для старых аккаунтов: норма требует проводить допустимым способом каждый вход. Кнопка Google, оставленная «для своих», по тексту нормы остается нарушением. Это наше прочтение, позиции регулятора по старым аккаунтам нет.

Данных о миграции и потерях пользователей у нас нет, поэтому ниже – схема для проверки на вашем продукте:

1. Выгрузите аккаунты, у которых единственный способ входа – Google или Apple. Проверьте, есть ли в профиле номер или рабочий e-mail.
2. Тем, у кого открыта сессия на сайте или в приложении, предложите привязать номер или e-mail прямо в ней, без повторного входа.
3. Тем, у кого сессии нет, дайте восстановление по коду на e-mail из профиля или на номер. Вход по одноразовому коду на почту держится на том же толковании п. 4, что и пароль.
4. Для людей без доступного контакта заранее напишите правила поддержки: чем человек подтверждает, что аккаунт его, и что делать, если он уже завел второй.
5. Сообщите пользователям письмом и пуш-уведомлением, какой вход появился и куда обращаться.

Эти решения команда принимает сама: какие данные считать подтверждением владения, как склеивать дубли, сколько ждать человека без контакта. Срок отключения иностранных кнопок стоит поставить в план конкретной датой.

Что сделать

Шаг	Владелец	Результат
Найти все точки входа: сайт, личный кабинет, iOS, Android, B2B-кабинет	Технический директор	Список экранов с кнопками Google и Apple
Решить, нужны ли продукту подтвержденные государством данные о человеке	Владелец продукта	Да – план на ЕСИА с юристами и ИБ на месяцы. Нет – Госуслуги вычеркнуты
Посчитать SMS в калькуляторе на своих объемах	Финансовый директор и владелец продукта	Годовой бюджет на SMS при разной доле провайдеров
Прочитать оферты VK ID, Яндекс ID и Сбер ID и выбрать один или два	Юрист и руководитель разработки	Провайдеры с понятными условиями на дату подключения
Подключить провайдеров и резервный вход по номеру или e-mail	Руководитель разработки	Вход и восстановление доступа проходят тесты на каждой платформе
Собрать схему входа iOS-приложения под правило 4.8	Руководитель мобильной разработки	Схема без Sign in with Apple и список рисков ревью
Привязать номер или e-mail к старым аккаунтам и написать правила поддержки	Владелец продукта и поддержка	Доля аккаунтов с допустимым входом и порядок для остальных
Отключить Google и Apple на всех экранах входа	Технический директор	Иностранных кнопок нет ни на сайте, ни в приложениях, ни на поддоменах: показ по геолокации – риск, закон не говорит, как определять, где пользователь
Назначить ответственного за обновления SDK провайдеров	Руководитель разработки	Смены репозиториев и версий отслеживают до релиза, а не после сбоя

Схемы входа для мобильных приложений и веб-сервисов собирает наша команда разработки AppCraft.

Кнопка – работа на часы. Вход – обязательство на весь срок жизни продукта, и выбирать стоит по второму.

Частые вопросы

Источники

1. consultant.ru — ст. 13.55 КоАП
2. id.vk.com — VK ID для бизнеса
3. developers.sber.ru — Сбер ID
4. yandex.ru — Оферта Яндекс ID
5. sms.ru — sms.ru
6. developer.apple.com — правило App Store 4.8
7. consultant.ru — ч. 10 ст. 8 149-ФЗ
8. publication.pravo.gov.ru — 406-ФЗ от 31.07.2023
9. publication.pravo.gov.ru — 199-ФЗ
10. dev.vk.com — подтверждения профиля бизнеса
11. yandex.ru — предупреждение
12. developers.sber.ru — справка
13. developers.sber.ru — Client ID, Client Secret и сертификат
14. legalacts.ru — ПП № 584
15. legalacts.ru — Регламент 2.55
16. civius.ru — предлагают считать иностранной авторизацией
17. pay.yandex.ru — описании продукта
18. sms.ru — тариф
19. sms.ru — тариф
20. sms.ru — тариф
21. sms.ru — тариф
22. smsc.ru — smsc.ru
23. mcart.ru — обещает