В Госдуму внесён законопроект о штрафах за авторизацию пользователей через зарубежные сервисы

kirilljsx

️ В Госдуму внесён законопроект о штрафах за авторизацию пользователей через зарубежные сервисы (Google, Apple, Github и т.п.), в том числе с использованием иностранных почтовых сервисов как системы авторизации.

Базовый закон

Базовый закон, который устанавливает требования к способам авторизации, уже действует - это ч. 10 ст. 8 ФЗ № 149‑ФЗ (в редакции 406‑ФЗ). Почитать можно, например, здесь: КонсультантПлюс.

В чём суть требований, если объяснять по‑простому

Если у вас есть сайт/сервис, куда пользователь попадает только после входа, то для пользователей из России авторизация должна идти:

по российскому номеру телефона;
через «Госуслуги»;
через Единую биометрическую систему;
или через российскую систему авторизации (включая собственный логин/e‑mail+пароль, VK ID, Yandex ID и т.п.), владельцем которой является российское лицо.

Авторизация через иностранные SSO (Google/Apple ID, Github, Microsoft и т.д.) под эти требования не подходит.

🧩 SSO на пальцах

SSO (Single Sign‑On, «единый вход») выглядит удобно: пользователь один раз логинится у Google или Apple, а ваш сайт просто принимает их токен и пускает внутрь.

Юридически в этот момент авторизацию пользователя выполняет иностранный сервис, а ваш сайт лишь доверяет его ответу. Именно такой сценарий теперь считается нарушением для российских проектов.

Что с почтой: можно ли gmail?

Паниковать не нужно: закон и разъяснения прямо говорят, что использование иностранной почты как логина/контакта допустимо, если авторизацию выполняет российский сайт.

То есть сценарий «пользователь вводит user@gmail.com + пароль, который хранится у вас в базе, а проверку делает ваш сервер» - это авторизация через вашу российскую систему, и к нему претензий закон не предъявляет. Проблема начинается только там, где вы отдаёте логин/аутентификацию на сторону Google/Apple/Github и получаете от них токен.

Что пришлось изменить у нас

На скриншоте выше у нас раньше был SSO через GitHub. Это классический пример иностранного SSO, поэтому от него пришлось отказаться, чтобы не лезть под новые требования.

Вместо этого оставляем:

собственный логин/e‑mail+пароль (на российских серверах);
вход через российские ID (VK, Яндекс и другие, если они нужны аудитории).

Какие штрафы обсуждаются

Внесённый законопроект о поправках в КоАП предлагает такие санкции за нарушение правил авторизации (то есть за авторизацию через зарубежные сервисы, включая иностранные почтовые сервисы как систему авторизации):

для граждан - штраф от 10 000 до 20 000 ₽;
для должностных лиц - от 30 000 до 50 000 ₽;
для юридических лиц - от 500 000 до 700 000 ₽;

при повторных нарушениях для юрлиц обсуждаются штрафы до 1,4 млн ₽.

️ На момент публикации это именно законопроект, но, учитывая общую тенденцию и уже действующую ч.10 ст.8 ФЗ‑149, ориентироваться на эти требования имеет смысл уже сейчас.