Госдума приняла законопроект о штрафах для владельцев сайтов и онлайн-сервисов, у которых нет варианта входа через российские способы авторизации. Суммы уже выглядят вполне осязаемо: от 10–20 тысяч рублей для физлиц до 500–700 тысяч для юрлиц. Для русскоязычной IT-аудитории это не абстрактная регуляторика, а прямой сигнал: кнопка входа через Google или Apple больше не может быть единственным удобным сценарием для пользователя из России.
Документ депутаты провели сразу во втором и третьем, окончательном чтении, сообщает vc.ru. Теперь ему остаются две формальности, без которых в России, впрочем, тоже ничего не бывает: одобрение Совета Федерации и подпись президента. Сам законопроект внесли в Госдуму в ноябре 2025 года. Он вводит штрафы не только за нарушения в части авторизации, но и за несоблюдение правил использования рекомендательных технологий. Однако именно тема входа на сайты для бизнеса и продуктовых команд выглядит самой прикладной: это изменение видно в коде, интерфейсе и воронке регистрации.
Суть нормы довольно простая. Если сайт или сервис работает с российскими пользователями, у него должна быть возможность авторизации одним из способов, перечисленных в законе. Среди них российский номер телефона, Госуслуги, Единая система идентификации и аутентификации, Единая биометрическая система и «иная система», которая принадлежит гражданину России или российскому юрлицу. В этом последнем пункте закон оставляет пространство для привычных рыночных решений вроде VK ID. При этом важно, что речь не идет о полном запрете электронной почты как логина: в материале отдельно указано, что требований к почте, если она используется для входа, нет.
Именно поэтому новость не сводится к лозунгу «запретили Google и Apple». Формально проблема возникает не из-за самой кнопки входа через иностранный сервис, а из-за отсутствия альтернативы, соответствующей российским требованиям. Если у продукта исторически настроена регистрация только через Google Sign-In или Apple ID, этого уже недостаточно. Если рядом есть российские способы авторизации, риски заметно ниже. Для разработчиков это означает не столько экстренный перепис всей auth-логики, сколько аудит текущих сценариев: какие методы входа доступны новым пользователям, какие завязаны на иностранные SDK, что происходит в мобильных приложениях, как устроено восстановление доступа и не ломается ли онбординг, если пользователь принципиально не хочет связывать аккаунт с зарубежным идентификатором.
Контекст у этой истории длиннее, чем кажется по одному заголовку. Законопроект прямо называют «спутником» к законам, которые приняли еще в 2023 году: о запрете регистрации на российских сайтах через иностранные сервисы и о регулировании рекомендательных алгоритмов. То есть сейчас законодатель не придумывает новую логику с нуля, а достраивает уже заданную конструкцию санкциями. Сначала появился запрет и набор правил, теперь добавляется штрафной механизм. Это типичный российский регуляторный маршрут: рынок получает время сделать вид, что еще можно отложить, а потом выясняется, что отложить уже дорого.
Размеры штрафов как раз и показывают, что история адресована не только крупным экосистемам, но и обычным компаниям с собственными кабинетами, маркетплейсами, сервисами подписки, образовательными платформами и корпоративными порталами. Для физлиц штраф составит от 10 тысяч до 20 тысяч рублей, для должностных лиц — от 30 тысяч до 50 тысяч, для юрлиц — от 500 тысяч до 700 тысяч рублей. Последняя вилка особенно важна: для среднего онлайн-бизнеса это уже не тот случай, когда проще заплатить и жить по-старому. На практике сумма внедрения дополнительного способа входа нередко окажется ниже потенциальных претензий, особенно если интеграцию можно закрыть без полной переделки аккаунт-системы.
В отраслевом смысле закон усиливает несколько тенденций сразу. Во-первых, российские способы авторизации окончательно переходят из категории «опция для комплаенса» в категорию «обязательный слой инфраструктуры». Во-вторых, выигрывают отечественные провайдеры идентификации, поскольку сама норма подталкивает бизнес к интеграциям с локальными системами. В-третьих, продуктовым командам придется внимательнее смотреть на UX: если российская кнопка входа формально есть, но спрятана так, что ее невозможно найти без археологической экспедиции по экрану, это может стать уже не дизайнерской шалостью, а управленческой проблемой. РОЦИТ, как упоминается в материале, уже публиковал разбор этих требований, и сам факт такого разбора показывает: тема давно ушла из зоны слухов и перешла в стадию прикладной подготовки.
Для бизнеса ближайший практический вывод звучит скучно, но полезно: нужно проверить матрицу авторизации по всем поверхностям, где есть российский пользователь, — веб, мобильные приложения, лендинги с регистрацией, личные кабинеты, B2B-панели, внутренние white-label-решения. Особое внимание стоит уделить старым продуктам, где кнопки входа ставили «как было быстрее» несколько лет назад, а потом к ним никто не возвращался. Именно такие куски инфраструктуры обычно и всплывают первыми, когда закон из политической новости превращается в предмет для юристов, безопасников и команды разработки.
Теперь главный вопрос не в том, пройдет ли норма дальше по процедуре, а в том, как быстро компании перестанут считать авторизацию второстепенной технической деталью. Пока одни сервисы воспринимают вход как пару кнопок на экране, государство все настойчивее описывает его как регулируемый элемент цифровой среды. А это значит, что спор о том, чем именно пользователь нажимает «Войти», для российского интернета уже окончательно вышел из зоны интерфейсов и оказался в зоне ответственности бизнеса.