Вход через Google на российских сайтах: штрафы с 7 июля 2026 года

Коротко: кнопки «Войти через Google», Apple ID и другие иностранные сервисы авторизации для пользователей из России лучше отключить. Обычный адрес Gmail сам по себе не равен входу через Google. Удалить кнопку недостаточно: нужно проверить серверную интеграцию и перевести старые аккаунты на новый способ входа.

Материал обновлён 17 июля 2026 года. Он объясняет общую логику требований и технические риски. Применимость нормы к конкретному проекту зависит от владельца ресурса, аудитории и архитектуры авторизации.

Что изменилось с 7 июля 2026 года

Часть 10 статьи 8 Федерального закона № 149-ФЗ обязывает российских владельцев сайтов, информационных систем и программ использовать предусмотренные законом способы авторизации пользователей, находящихся в России.

Само требование вступило в силу 1 декабря 2023 года. С 7 июля 2026 года начала действовать статья 13.55 КоАП РФ, которая установила отдельные штрафы за его неисполнение. (Consultant Plus)

Иными словами, 7 июля не запретили Google как компанию. Ввели штрафы за нарушение уже действующих правил авторизации.

Кого касаются новые требования

Проверить способы входа нужно российским владельцам сайтов, программ и информационных систем, если пользователь авторизуется и после этого получает доступ к информации или функциям сервиса.

Это может касаться интернет-магазинов, SaaS, образовательных платформ, мобильных приложений, личных кабинетов и закрытых B2B-систем.

Быстрая проверка состоит из четырёх вопросов:

1. Пользователь создаёт аккаунт или входит в существующий?
2. После входа ему открываются данные, документы, функции или история операций?
3. Владельцем ресурса выступает российская компания или гражданин России?
4. Сервис доступен пользователям, находящимся в России?

Если ответы положительные, схему авторизации нужно проверить.

Обычный сайт-визитка или лендинг без аккаунтов под это конкретное требование не попадает. Форма заявки также не равна авторизации: пользователь передаёт данные, но не входит в учётную запись.

Теоретически иностранную авторизацию можно оставить только для пользователей за пределами России, поскольку закон отдельно говорит о пользователях, находящихся на территории РФ. На практике геолокация ошибается, пользователи включают VPN, а две схемы входа усложняют разработку и поддержку. Для проекта с преимущественно российской аудиторией полный отказ от иностранного OAuth обычно проще и надёжнее. (Consultant Plus)

Почему «Войти через Google» не подходит под требования

При входе через Google сайт не проверяет учётную запись самостоятельно. Google подтверждает пользователя и передаёт сайту подписанный ID-токен. После его проверки сайт создаёт аккаунт или открывает пользовательскую сессию. (Google for Developers)

По смыслу части 10 статьи 8 закона № 149-ФЗ такая схема не входит в перечень допустимых для пользователей из России. Google не принадлежит российскому гражданину или российскому юридическому лицу под предусмотренным законом контролем. (Consultant Plus)

Проверять нужно не только обычную кнопку. Google One Tap показывает всплывающее предложение войти и также возвращает сайту подписанный Google JWT. Иностранная авторизация может работать, даже если привычной кнопки на странице уже нет. (Google for Developers)

По той же логике стоит проверить:

• Apple ID;
• Microsoft Account;
• Facebook Login;
• GitHub OAuth;
• другие иностранные провайдеры авторизации.

Важно не название протокола и не логотип на кнопке, а то, какая система подтверждает пользователя.

Кого и на какую сумму могут оштрафовать

Статья 13.55 КоАП РФ устанавливает следующие штрафы:

Ответственность несёт владелец ресурса, который не выполнил обязанность по проведению авторизации предусмотренным способом. Пользователя, нажавшего кнопку «Войти через Google», новая статья не штрафует. (Consultant Plus)

Отдельного повышенного штрафа за повторное нарушение авторизации в статье 13.55 нет. Суммы до 1,4 млн рублей, которые иногда встречаются в публикациях, относятся к статье 13.56 КоАП РФ о рекомендательных технологиях. Два разных нарушения смешали в один юридический винегрет. (Consultant Plus)

Чем заменить Google OAuth

Закон предусматривает четыре группы способов авторизации:

1. Абонентский номер российского оператора связи.
2. ЕСИА — учётную запись Госуслуг.
3. Единую биометрическую систему.
4. Другую информационную систему, соответствующую требованиям защиты информации и принадлежащую предусмотренному законом российскому владельцу. (Consultant Plus)

Для обычного сайта это не означает, что остаются только телефон и Госуслуги.

Самописная форма с паролем не становится безопасной только потому, что размещена на российском сервере. Нужны нормальное хранение паролей, восстановление доступа и защита от перебора.

При выборе внешнего российского провайдера также недостаточно посмотреть на название. Нужно проверить юридического владельца сервиса, структуру контроля, документацию и условия обработки данных.

Как проверить авторизацию на сайте

Начинать нужно не с редизайна формы входа, а с карты всех способов, которыми пользователь может попасть в аккаунт.

Проверьте:

• кнопки Google, Apple, Microsoft, Facebook и GitHub;
• Google One Tap и автоматический вход;
• мобильную версию и отдельные приложения;
• плагины социальной авторизации в CMS;
• серверные OAuth-маршруты и callback URL;
• ключи и секреты внешних интеграций;
• обработку ID-токенов;
• возможность войти по старой прямой ссылке;
• административные, партнёрские и B2B-кабинеты;
• сценарии восстановления доступа.

Удалённая кнопка ещё не означает отключённую авторизацию. Если сервер продолжает принимать Google-токены и создавать сессию, схема по-прежнему работает.

После отключения интеграции нужно также отозвать ненужные ключи, удалить секреты и проверить, что старые токены больше не позволяют открыть новую сессию.

Как отключить Google OAuth без потери пользователей

Старые аккаунты удалять не нужно. Нужно заменить способ доступа к существующим профилям.

В нормальной архитектуре у пользователя есть внутренний ID. К нему привязаны заказы, подписки, документы, настройки и история операций. Google ID должен быть только одним из способов входа, а не самим пользовательским профилем.

Главный риск — дубли аккаунтов. Пользователь, который раньше входил через Google, может повторно зарегистрироваться с тем же email и получить новый пустой профиль.

Автоматически объединять аккаунты только по совпадению email тоже опасно. Нужно подтвердить, что оба способа входа принадлежат одному человеку: через действующую сессию, подтверждение контакта, дополнительные данные или поддержку.

Правильная схема выглядит так:

Google ID → внутренний профиль → подтверждение владельца → новый способ входа → отключение Google OAuth

При таком переходе пользователь меняет способ входа, но сохраняет прежние заказы, подписки и историю.