Вход в личный кабинет без Google и Apple: что разрешает 199-ФЗ и как мы это делаем

Короткий ответ: с 7 июля 2026 года владельца сайта или приложения штрафуют, если вход в закрытую часть сайта или приложения устроен не одним из способов ч. 10 ст. 8 закона 149-ФЗ — например, через Google или Apple: по статье 13.55 КоАП, которую ввёл 199-ФЗ, юрлицу — 500–700 тыс. ₽, должностному лицу — 30–50 тыс. ₽, гражданину — 10–20 тыс. ₽ (текст статьи на октябрь 2026 года). Пользователя закон не штрафует. Часть 10 статьи 8 закона 149-ФЗ называет четыре способа входа: по номеру мобильного телефона, через Госуслуги, через Единую биометрическую систему и через российские системы авторизации; вход по почте с паролем в перечне не назван — такую схему стоит согласовать с юристом.

Если в личном кабинете есть кнопка «Войти через Google» или «Войти через Apple», с 7 июля 2026 года это не мелочь оформления, а статья расходов: с этой даты в России действует 199-ФЗ от 26.06.2026, который вводит в КоАП статью 13.55 и штрафует владельцев сайтов и приложений за доступ, открытый после входа способом не из перечня закона 149-ФЗ, — прежде всего через иностранные сервисы.

Что именно запрещено и кого штрафуют

Штрафуют владельца ресурса — гражданина России или российскую компанию, — если доступ к закрытой части сайта или приложения открывается после входа способом не из перечня ч. 10 ст. 8 149-ФЗ. Главный случай — вход через сервис, который не принадлежит российским компаниям: Google, Apple, GitHub, Telegram сюда попадают.

Штрафы установлены статьёй 13.55 КоАП, которую ввёл 199-ФЗ: гражданам — 10–20 тыс. ₽, должностным лицам — 30–50 тыс. ₽, юридическим лицам — 500–700 тыс. ₽ (текст статьи на октябрь 2026 года). Пользователей, которые входили через такой сервис, закон не трогает — ответственность только на стороне владельца.

Что разрешено

Закон называет четыре способа входа: по номеру мобильного телефона, через Госуслуги, через Единую биометрическую систему и через иную российскую систему авторизации — так написано в части 10 статьи 8 закона 149-ФЗ.

Для четвёртого способа закон ставит условия: владелец системы — гражданин России или российское юрлицо (с уточнениями о втором гражданстве и о том, кто контролирует компанию), а сама система отвечает требованиям к защите информации. Сервисы российских компаний — Яндекс ID, VK ID, Сбер ID — подпадают под четвёртый способ, если отвечают этим условиям.

Электронной почты с паролем в перечне нет. Подходит ли такой вход в вашем случае, стоит подтвердить у юриста: юридических заключений мы не даём. Технически в тарифе на веб-приложение «Регистрация, вход, восстановление пароля, email-уведомления» входят в цену от 160 000 ₽, от 10 дней, а способ входа выбираем на брифе — без привязки к иностранному провайдеру.

Как это влияет на выбор способа входа для нового кабинета

На брифе мы обычно закрываем этот вопрос одним из трёх вариантов, и решаем его до первой строчки кода, а не после запуска:

• Номер телефона и код по SMS. Первый способ из перечня закона; удобен для розницы и мобильной аудитории, не требует пароля вообще.
• Госуслуги, Яндекс ID или VK ID. Если аудитория уже привыкла входить одной кнопкой через эти сервисы — это замена привычному «Войти через Google»: Госуслуги закон называет прямо, сервисы российских компаний — при соблюдении требований к системе авторизации.
• Почта и пароль. Самый привычный вариант для пользователя, восстановление пароля по почте входит в тариф веб-приложения. Почты нет в перечне способов закона, поэтому такую схему согласуйте с юристом до старта.

Всё это — часть той же работы «Регистрация, вход, восстановление пароля» из тарифа, а не доплата сверху: доплатой становится только нестандартная схема входа, которую отдельно обсуждаем на брифе.

Что делать, если вход через иностранный сервис уже есть

Мы не консультируем по праву и не оцениваем конкретный юридический риск — для этого нужен юрист. Но техническую часть переноса мы проходили сами, и порядок действий такой:

1. Сначала — проверка, кто не потеряет доступ. Смотрим, у скольких пользователей есть второй способ входа или актуальный контакт, на который можно выдать новый доступ. Без этого шага отключение старого входа оставит часть пользователей снаружи.
2. Кнопка входа убирается со страницы. Это видимая часть, но не защита сама по себе.
3. Обработчик на сервере отключается отдельно. Если запрос на вход через старый сервис всё ещё принимается напрямую или по старой ссылке, скрытая кнопка ничего не решает.
4. Пользователям выдаётся новый способ входа — письмом, SMS или в самом кабинете при следующем визите, пока старый вход ещё работает переходный период.

На нашем собственном продукте Roboweb.dev раньше был вход через GitHub. После вступления закона в силу мы прошли эти четыре шага сами: убрали кнопку, закрыли приём запросов на сервере и оставили вход по почте и через Яндекс ID. Экспорт готового кода в GitHub или GitFlic остался — это уже действие вошедшего пользователя, к авторизации отношения не имеет.

Практический вывод

Если планируете личный кабинет — заложите способ входа в бриф сразу: телефон с SMS-кодом, Госуслуги, Яндекс ID или VK ID, почта с паролем. Какая схема подходит под перечень ч. 10 ст. 8 закона 149-ФЗ именно у вас, подтвердите у юриста до старта разработки.

Если кабинет уже работает с входом через Google, Apple, GitHub или Telegram, сначала проверьте у юриста реальный риск для вашей ситуации, а техническую замену стройте по тому же порядку: сначала доступ для всех пользователей, потом кнопка, потом сервер.

Короткие ответы на частые вопросы

Кого именно штрафуют — владельца сайта или пользователя?

Владельца. По 199-ФЗ отвечает тот, кто открывает доступ к закрытой части сайта или приложения после входа не по перечню ч. 10 ст. 8 149-ФЗ (например, через Google или Apple), — гражданин РФ или российская компания. Пользователей, которые входили через Google или Apple, закон не касается.

Какие способы входа разрешает закон?

Часть 10 статьи 8 закона 149-ФЗ называет четыре способа: по номеру мобильного телефона, через Госуслуги, через Единую биометрическую систему и через иную систему авторизации, которой владеет гражданин России или российское юрлицо (к системе и её владельцу есть дополнительные требования). Электронной почты в этом перечне нет, поэтому подходит ли вход по почте и паролю в вашем случае, стоит подтвердить у юриста.

А если у нас уже есть кабинет с входом через Google — что грозит и что делать?

Мы не даём юридических консультаций и не оцениваем конкретный риск — это вопрос к юристу. Технически задача решается в два шага: сначала убедиться, что ни один пользователь не потеряет доступ (проверить, есть ли у него другой способ входа или контакт для его выдачи), и только потом убирать кнопку и закрывать сам обработчик входа на сервере — скрытая кнопка не защищает, если запрос на вход всё ещё принимается.

Это касается только личных кабинетов на сайте или ботов и приложений тоже?

Формулировка закона — «сайты и приложения», поэтому проверяем и мобильные приложения. Telegram-ботов закон касается иначе: сам Telegram Login Widget — тот же иностранный сервис, если через него открывается доступ к платному или закрытому разделу.

Правда ли, что вы сами наступили на эти грабли?

Да, и не скрываем. На нашем продукте Roboweb.dev раньше можно было войти через GitHub. После того как 07.07.2026 закон вступил в силу, мы убрали этот способ входа и оставили вход по почте и через Яндекс ID; экспорт готового кода в GitHub или GitFlic остался — это действие уже вошедшего пользователя, а не способ попасть в кабинет.

Услуги и кейсы по теме: разработка личного кабинета · веб-приложения и SaaS · кейс Roboweb.dev · цены и сроки