Юридическая суть: от запрета к штрафам
Проблема авторизации через иностранные сервисы (Google, Apple, GitHub, Microsoft) перешла из плоскости рекомендаций в плоскость жестких санкций. Базовая норма закреплена в ч. 10 ст. 8 закона № 149-ФЗ «Об информации» (введена законом № 406-ФЗ от 31.07.2023). Суть требования: российские юрлица и граждане РФ, обслуживающие пользователей в России, обязаны использовать только разрешенные способы входа.
Ключевое изменение — введение административной ответственности по ст. 13.55 КоАП РФ. Штрафы применяются не к обычным пользователям, а к владельцам сервисов (субъектам обязанности). Нарушение влечет финансовые потери:
| Субъект нарушения | Сумма штрафа (руб.) |
|---|---|
| Граждане (физлица) | 10 000 – 20 000 |
| Должностные лица | 30 000 – 50 000 |
| Юридические лица | 500 000 – 700 000 |
Легальные альтернативы: что разрешено законом
Закон № 149-ФЗ выделяет четыре легитимных пути авторизации. Важно понимать, что пункт «иная информационная система» не обязывает всех переходить на VK ID, но требует, чтобы система соответствовала ст. 16 149-ФЗ по защите информации и принадлежала лицу без двойного гражданства или российскому юрлицу.
- Абонентский номер российского оператора (SMS-вход).
- ЕСИА (Госуслуги) — требует сложной бюрократической интеграции.
- ЕБС (Единая биометрическая система).
- Российские ID-провайдеры: VK ID, Яндекс ID, Сбер ID, Т-ИД, МТС ID, региональные системы (например, mos.ru) или собственная разработка.
Почему «просто заменить кнопку» не работает
Главная техническая и бизнес-проблема — не создание новой регистрации, а миграция существующих пользователей. У многих сервисов есть база с заказами, балансами и историей, где вход осуществлялся через OAuth 2.0/OpenID Connect от иностранных провайдеров.
Простое удаление кнопки «Войти через Google» приведет к блокировке доступа для части пользователей. Задача разработчиков — реализовать сценарий привязки нового российского способа входа (пароль, телефон, passkey) к существующему user_id в базе данных, не создавая дубликатов аккаунтов. Игнорирование этого процесса грозит массовыми обращениями в поддержку и потерей доверия.
Ловушка с Госуслугами (ЕСИА)
Несмотря на статус разрешенного метода, интеграция с ЕСИА часто нецелесообразна для малого и среднего бизнеса. Это не стандартный OAuth-провайдер, а государственная система с жестким регламентом информационного взаимодействия.
Для подключения требуются:
- Заявки и согласования через технологический портал.
- Соблюдение строгих требований к защите информации.
- Значительные бюджетные затраты на внедрение и поддержку (часто через сторонних подрядчиков).
Для форумов, небольших SaaS-сервисов или интернет-магазинов использование Госуслуг избыточно. В таких случаях оптимальнее использовать VK ID, Яндекс ID или собственную систему аутентификации, которая полностью контролируется владельцем сервиса.
Источник: Habr ↗