Авторизация на сайте: способы входа по закону и вопросы подрядчику

Коротко: для авторизации на сайте часть 10 статьи 8 закона 149-ФЗ называет четыре способа. Она адресована владельцу сайта - российскому юридическому лицу или гражданину России, который ведёт деятельность в интернете на территории России, - если доступ к информации на сайте предоставляется пользователям, прошедшим авторизацию. Обязанность касается пользователей, находящихся на территории России. Штрафы за неисполнение этой обязанности указаны в статье 13.55 КоАП. Документации Яндекс ID и VK ID объясняют, как устроен вход через аккаунт, но о 149-ФЗ в них не сказано.

Это разбор текста закона и документации. Юридической консультации здесь нет: статья не оценивает конкретный сайт и не говорит, подходит ли выбранный способ входа под закон. Тексты актов взяты с consultant.ru на 06.10.2026: закон 149-ФЗ в редакции от 26.06.2026, КоАП РФ в редакции от 04.08.2026. На обеих страницах consultant.ru стоит пометка о подготовленных редакциях с изменениями, не вступившими в силу. Перед запуском сверьте часть 10 и статью 13.55 с актуальным текстом.

Пример в статье вымышленный: ателье example.ru. Каталог тканей на нём открыт всем, а клиент после входа видит свои заказы.

Что такое авторизация на сайте?

Коротко: авторизация - это вход на сайт, после которого сайт решает, что показать человеку. В статье 2 закона 149-ФЗ, где собраны основные понятия, определения авторизации нет, поэтому за смыслом идут к справочникам и документациям сервисов входа.

В статье 2 закона 149-ФЗ «Основные понятия» определения авторизации нет. Часть 10 статьи 8 пользуется этим словом без пояснений: она говорит о доступе к информации для пользователей, прошедших авторизацию.

Справочник MDN описывает процесс словом authentication (аутентификация):

«in web security, it is the process of verifying the claimed identity of some entity, such as a user. This then makes it possible to decide whether to grant the user the access that they are requesting, such as being signed into a particular account.» Перевод наш: в веб-безопасности это процесс проверки заявленной личности некоторого субъекта, например пользователя. Это позволяет решить, предоставлять ли пользователю доступ, который он запрашивает, например вход в определённый аккаунт.

• Authentication - Glossary | MDN, https://developer.mozilla.org/en-US/docs/Glossary/Authentication

В документации Яндекса вход через аккаунт назван авторизацией: «Посетители смогут авторизоваться с помощью аккаунта на Яндексе. Им не придется заводить новую учетную запись и заполнять дополнительные формы» (страница «О сервисе | OAuth для Яндекс ID»). Ниже авторизация значит вход на сайт: человек подтверждает, кто он, и сайт открывает ему доступ.

Кому адресована часть 10 статьи 8 закона 149-ФЗ?

Коротко: владельцу сайта - российскому юридическому лицу или гражданину России, который ведёт деятельность в интернете на территории России. Обязанность связана с доступом к информации после авторизации и касается пользователей, находящихся на территории России.

Страница «Статья 8. Право на доступ к информации \ КонсультантПлюс» приводит часть 10 целиком. Начало нормы:

«Владелец сайта и (или) страницы сайта в сети "Интернет", и (или) информационной системы, и (или) программы для электронных вычислительных машин, являющийся российским юридическим лицом или гражданином Российской Федерации и осуществляющий свою деятельность в сети "Интернет" на территории Российской Федерации, в случае, если доступ к информации, размещенной на его сайте (...) предоставляется пользователям, прошедшим авторизацию, обязан проводить ее в отношении пользователей, находящихся на территории Российской Федерации, одним из следующих способов»

• Федеральный закон от 27.07.2006 N 149-ФЗ, статья 8, часть 10

В норме три условия:

1. Кто владелец: «являющийся российским юридическим лицом или гражданином Российской Федерации» и «осуществляющий свою деятельность в сети "Интернет" на территории Российской Федерации».
2. Когда: доступ к информации «предоставляется пользователям, прошедшим авторизацию».
3. Для кого: «пользователей, находящихся на территории Российской Федерации».

Часть 10 не упоминает формы заявки, подписки или оплаты. Условие о доступе после авторизации есть в самом тексте нормы. Есть ли оно у конкретного сайта, зависит от того, что на нём закрыто входом. У ателье из примера это раздел с заказами клиента. Применяется ли часть 10 к такому сайту целиком, зависит от остальных условий и от фактов, которые знает юрист.

На странице consultant.ru указано, что часть 10 введена Федеральным законом от 31.07.2023 N 406-ФЗ, а её пункт 1 изложен в редакции Федерального закона от 12.12.2023 N 588-ФЗ.

Какие четыре способа авторизации называет часть 10?

Коротко: абонентский номер оператора подвижной радиотелефонной связи, единая система идентификации и аутентификации (ЕСИА), государственная информационная система «Единая система идентификации и аутентификации физических лиц с использованием биометрических персональных данных» и иная информационная система, которая отвечает условиям пункта 4. Как технически реализовать каждый способ, в части 10 не описано.

Слова пунктов приведены дословно:

Справка ЕСКС описывает ЕСИА так. «ЕСИА - Единая система идентификации и аутентификации, используемая для идентификации, аутентификации и авторизации при взаимодействии граждан и организаций с органами власти и межведомственном взаимодействии.» О том, как сайту бизнеса подключить этот способ, на странице «ЕСИА | ЕСКС» не сказано. Порядок подключения в статье не разбирается: смотрите его в документах самой системы.

Пункт 4 продолжается определением российского юридического лица. «Если иное не предусмотрено международным договором Российской Федерации, российским юридическим лицом, указанным в настоящем пункте, является юридическое лицо, находящееся под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц.» Под контролем закон понимает «возможность определять решения, принимаемые указанным юридическим лицом, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данного юридического лица».

Какой штраф установлен статьёй 13.55 КоАП?

Коротко: статья 13.55 КоАП устанавливает штраф для граждан от 10 000 до 20 000 рублей, для должностных лиц от 30 000 до 50 000 рублей, для юридических лиц от 500 000 до 700 000 рублей. Она применяется, если обязанность предусмотрена законом 149-ФЗ.

Статья называется «Неисполнение обязанности по проведению авторизации пользователей сети "Интернет" при предоставлении доступа к информации». Она введена Федеральным законом от 26.06.2026 N 199-ФЗ. Закон опубликован на портале «Официальное опубликование правовых актов» 26.06.2026 под номером 0001202606260053. Дату, с которой статья 13.55 применяется, этот разбор не называет: её берут из текста закона 199-ФЗ и уточняют у юриста.

Состав описан так. Владелец сайта осуществляет деятельность в интернете на территории России. Наказывается неисполнение им «обязанности проводить ее в отношении пользователей сети "Интернет", находящихся на территории Российской Федерации, одним из способов, предусмотренных Федеральным законом от 27 июля 2006 года N 149-ФЗ (...)».

В тексте статьи на consultant.ru нумерованных частей нет, суммы указаны в одном абзаце:

Статья 13.55 сама не повторяет слова о российском юридическом лице и гражданине России. Она отсылает к 149-ФЗ и добавляет оговорку «в случае, если такая обязанность предусмотрена указанным Федеральным законом». Относится ли штраф к конкретной организации или предпринимателю, решает юрист по документам этой организации.

Есть ли в части 10 слова о входе по почте, паролю, Google или Apple?

Коротко: в тексте части 10 нет слов об электронной почте, логине и пароле, Google и Apple. Часть 10 перечисляет четыре способа, и ответа на этот вопрос в ней нет.

Утверждение, что вход по электронной почте, по логину и паролю, через Google или Apple запрещён или разрешён, не опирается на текст части 10. Как перечень из четырёх способов соотносится со входом по почте или паролю на конкретном сайте, этот разбор не оценивает.

О владельце иной информационной системы пункт 4 говорит так: «гражданин Российской Федерации, не имеющий гражданства другого государства, или российское юридическое лицо». Соответствует ли сервис этим словам, выясните у самого сервиса и у юриста.

Как устроен вход через аккаунт Яндекса по документации Яндекс ID?

Коротко: сайт регистрирует приложение в Яндекс OAuth, пользователь выбирает вход через аккаунт на Яндексе и разрешает доступ к данным, а сайт получает данные из списка документации. Для настройки интеграции документация просит подтвердить личность через Госуслуги. Слов о 149-ФЗ на этих страницах нет.

Документация описывает вход так. Яндекс ID - «единый аккаунт на Яндексе», и API Яндекс ID «позволяет настроить авторизацию пользователя при помощи протокола OAuth 2.0 на вашем сайте или в мобильном приложении» (страница «О сервисе | OAuth для Яндекс ID»). Протокол - технические правила обмена данными между сайтом и сервисом. Пользователь выбирает вход при помощи аккаунта на Яндексе, приложение перенаправляет его в Яндекс OAuth и запрашивает доступ к данным аккаунта, пользователь подтверждает вход и разрешает доступ.

Данные, которые документация позволяет запросить у Яндекса:

• логин, имя и фамилия, пол;
• портрет пользователя;
• адрес электронной почты;
• номер телефона;
• дата рождения.

Что документация говорит о действиях владельца сайта:

• Регистрация. «Чтобы получать OAuth-токены для работы с данными пользователей Яндекса, разработчик должен зарегистрировать приложение в сервисе Яндекс OAuth» (страница «Регистрация приложения | OAuth для Яндекс ID»). Там же: «Указывайте полные данные о вашем приложении, чтобы пользователь знал, кому он дает разрешение на использование данных».
• Подтверждение личности. «Чтобы настроить интеграцию с Яндекс OAuth, подтвердите личность через Госуслуги» (страница «Верификация сервиса | OAuth для Яндекс ID»). Для организации страница называет шаг: «Войдите в профиль Госуслуг от имени генерального директора или другого единоличного исполнительного органа организации».
• Последствие без подтверждения. «Если аккаунт не подтвержден, пользователи увидят уведомление перед тем, как разрешить доступ сервису к их данным».

Выданные разрешения пользователь может посмотреть и отозвать (страница «Регистрация приложения | OAuth для Яндекс ID»).

Как устроен вход через VK ID по документации VK ID?

Коротко: VK ID позволяет входить на сайт через аккаунты ВКонтакте, Одноклассников и Mail. Владелец создаёт и настраивает приложение, добавляет свои юридические документы и запрашивает доступы к данным. Слов о 149-ФЗ на этих страницах нет.

Страница «Что такое VK ID | VK ID - сервис авторизации» пишет: «Интеграция VK ID позволяет пользователям входить в сервис через аккаунты ВКонтакте, Одноклассников (ОК) и Mail». Сценарий на ней такой: сайт подключает авторизацию через VK ID, пользователь выбирает вход через VK ID и авторизуется, сайт получает Access token (ключ, с которым запрашивают данные пользователя) и может запросить данные, которые пользователь разрешил передать. Сервисы, по словам страницы, «могут интегрировать VK ID как основной способ входа или как альтернативный».

Передаваемые данные по странице: фамилия и имя, фото профиля, пол, дата рождения, статус подтверждения аккаунта, почта. Номер телефона страница называет отдельно: «Дополнительно вы можете получить номер телефона».

Страница «План интеграции VK ID | VK ID - сервис авторизации» делит работу на подготовку приложения, разработку и тестирование. На подготовке владельцу нужно создать приложение в кабинете VK ID и настроить его: «отредактируйте вид формы авторизации, которую увидят ваши пользователи; добавьте свои юридические документы; запросите необходимые доступы для получения информации о пользователях». Перед началом интеграции страница просит войти в сервис авторизации: кабинет создаётся на основе профиля бизнеса в VK Бизнес ID, а для нового профиля страница просит: «Введите ИНН организации».

Подходят ли под пункт 4 Яндекс ID, VK ID, Сбер ID, MAX или Telegram?

Коротко: этот текст на вопрос не отвечает. Пункт 4 называет условия, и сверять с ними сервис нужно по документам сервиса и вместе с юристом. На прочитанных страницах Яндекс ID и VK ID о 149-ФЗ ничего нет.

Вопрос относится к любому сервису входа: Яндекс ID, VK ID, Сбер ID, MAX, Telegram или другому. В документации Яндекс ID и VK ID (страницы из списка источников) о законе 149-ФЗ и о части 10 не сказано. Документацию Сбер ID, MAX и Telegram о входе на сайт статья не разбирает. Ни об одном из пяти сервисов она не утверждает, что он подходит под пункт 4 или не подходит.

Пункт 4 называет условия такими словами:

• «иной информационной системы, обеспечивающей авторизацию пользователей сайтов»;
• «соответствующей требованиям о защите информации, установленным статьей 16 настоящего Федерального закона»;
• «владельцем которой является гражданин Российской Федерации, не имеющий гражданства другого государства, или российское юридическое лицо».

Статья 16 называется «Защита информации». Для юридического лица к этому добавляются условия о контроле, процитированные в определении российского юридического лица.

Вопросы сервису:

• Кто владелец системы входа по документам и подпадает ли он под слова пункта 4?
• Есть ли у сервиса документ или заявление о соответствии требованиям статьи 16 закона 149-ФЗ?

Вопросы юристу:

• Относится ли ваш сайт к адресатам части 10 по трём условиям части 10: владелец, доступ после авторизации, пользователи на территории России?
• Какой из четырёх способов подходит вашему сайту и на каком документе он основан?

Что web.dev пишет о коде из СМС?

Коротко: web.dev называет четыре случая, когда сайт просит код из СМС, и предупреждает, что такой код сам по себе не самый защищённый способ аутентификации. Для поля ввода и текста СМС у страницы есть контрольный список для разработчика. Какой схемой подтверждения номера выполнить пункт 1 части 10, часть 10 не описывает.

Страница «SMS OTP form best practices | web.dev» обновлена 09.12.2020. Русская версия переведена машинно, поэтому цитаты даны по английскому оригиналу. Страница называет случаи, когда сайт просит одноразовый код в СМС: двухфакторная аутентификация, подтверждение номера телефона, восстановление доступа и подтверждение платежа. Затем она предупреждает:

«SMS OTP is not the most secure method of authentication by itself, because phone numbers can be recycled and sometimes hijacked.» Перевод наш: код из СМС сам по себе не самый безопасный способ аутентификации, потому что номера телефонов могут перевыдаваться другим людям, а иногда и перехватываться.

• SMS OTP form best practices | web.dev, https://web.dev/articles/sms-otp-form

Контрольный список страницы для разработчика состоит из трёх пунктов: поле ввода кода с заданными атрибутами, последняя строка СМС в заданном формате и программный интерфейс WebOTP API. Достаточно знать, что такой список есть, и спросить у подрядчика, учтён ли он.

Пункт 1 части 10 говорит об абонентском номере оператора подвижной радиотелефонной связи. Слов о СМС и о коде в части 10 нет. Подходит ли вход по коду из СМС под пункт 1, часть 10 не говорит; это вопрос юристу.

Что web.dev советует для формы входа?

Коротко: web.dev перечисляет советы для формы входа: понятная подпись на кнопке, показ пароля, без повторного ввода одного и того же, заметная ссылка на сброс пароля, ссылки на условия и политику. Страница адресована разработчикам, о российском законе в ней не сказано.

Страница «Sign-in form best practices | web.dev» обновлена 29.06.2020 (по оригиналу). Автор оговаривает границы: «This guide is about frontend best practices. It does not explain how to build backend services to authenticate users, store their credentials, or manage their accounts.» Перевод наш: это руководство о лучших практиках фронтенда. Оно не объясняет, как строить серверные сервисы, которые проверяют пользователей, хранят их учётные данные и управляют аккаунтами.

Фронтенд - видимая пользователю часть сайта.

Советы, которые понятны без кода:

Последний совет перекликается с темой статьи Политика конфиденциальности для сайта: что требует 152-ФЗ: там разобрано, как закон называет документ об обработке персональных данных и кто обязан его опубликовать.

Что решить до разработки личного кабинета и что спросить у подрядчика?

Коротко: вход проще обсуждать, пока сценарии и страницы сайта ещё не собраны. Шесть вопросов ниже - для разговора с подрядчиком, у каждого указана опора в источниках статьи. Они касаются закрытой информации, владельца сайта, способа входа, данных о человеке, документов сервиса и ситуации, когда вход не получается.

После входа сайт показывает человеку не всё подряд: часть содержимого открыта только вошедшим. В статье Статический сайт: что это и чем он отличается от динамического разобрано, как MDN относит к серверной части сайта и ограничение доступа авторизованным пользователям, и содержимое под конкретного пользователя. Список ниже - для разговора с подрядчиком, настройки входа он не содержит.

1. Какая информация закрыта входом? Опора: часть 10 привязана к условию о доступе после авторизации. У ателье example.ru это раздел с заказами; каталог входа не требует.
2. Кто владелец сайта по документам и где находятся пользователи? Опора: условия владельца и территории в части 10. Отвечает юрист.
3. Какой из четырёх способов части 10 выбран и на какой документ он опирается? Опора: перечень из четырёх пунктов; для пункта 4 - вопросы сервису и юристу из раздела о том, подходят ли под пункт 4 Яндекс ID, VK ID, Сбер ID, MAX или Telegram.
4. Какие данные человека получает сайт и зачем каждое? Опора: списки данных в документациях Яндекс ID и VK ID. Закон 152-ФЗ в статье 3 определяет персональные данные как «любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)». Относятся ли данные вашего сайта к ним, решает юрист. Как закон описывает согласие, разобрано в статье Согласие на обработку персональных данных на сайте: ст.9 152-ФЗ.
5. Кто подтверждает сервис и какие документы нужны? Опора: Яндекс ID просит подтвердить личность через Госуслуги, для организации - от имени генерального директора или другого единоличного исполнительного органа; VK ID просит добавить юридические документы.
6. Что видит человек, у которого вход не получается? Опора: web.dev советует облегчить сброс пароля, а для кода из СМС называет проблему перевыдачи и перехвата номеров.

На главной странице BITSPARK описаны услуги студии, цены и шаги работы от задачи до запуска: bitspark.ru.

Источники

Дата обращения к страницам: 06.10.2026.

• Статья 8. Право на доступ к информации \ КонсультантПлюс - часть 10 статьи 8 закона 149-ФЗ (редакция от 26.06.2026).
• Статья 2. Основные понятия, используемые в настоящем Федеральном законе \ КонсультантПлюс - перечень понятий закона 149-ФЗ.
• Статья 16. Защита информации \ КонсультантПлюс - название статьи, на которую ссылается пункт 4.
• КоАП РФ Статья 13.55. Неисполнение обязанности по проведению авторизации пользователей сети "Интернет" при предоставлении доступа к информации \ КонсультантПлюс - состав и суммы штрафов (редакция от 04.08.2026).
• Федеральный закон от 26.06.2026 № 199-ФЗ ∙ Официальное опубликование правовых актов - дата и номер опубликования закона, которым введена статья 13.55.
• Статья 3. Основные понятия, используемые в настоящем Федеральном законе \ КонсультантПлюс - определение персональных данных в 152-ФЗ (редакция от 26.07.2026).
• ЕСИА | ЕСКС - определение ЕСИА в справке.
• О сервисе | OAuth для Яндекс ID - как работает вход, список данных.
• Регистрация приложения | OAuth для Яндекс ID - регистрация приложения и разрешения пользователя.
• Верификация сервиса | OAuth для Яндекс ID - подтверждение через Госуслуги.
• Что такое VK ID | VK ID - сервис авторизации - сценарий входа и передаваемые данные.
• План интеграции VK ID | VK ID - сервис авторизации - шаги подготовки приложения.
• Sign-in form best practices | web.dev - советы для формы входа (на английском, обновлено 29.06.2020).
• SMS OTP form best practices | web.dev - код из СМС (на английском, обновлено 09.12.2020).
• Authentication - Glossary | MDN - определение аутентификации (на английском).
• Статический сайт: что это и чем он отличается от динамического - статья раздела.
• Согласие на обработку персональных данных на сайте: ст.9 152-ФЗ - статья раздела о согласии.
• Политика конфиденциальности для сайта: что требует 152-ФЗ - статья раздела о политике.
• BITSPARK - Digital studio - услуги студии, цены и шаги работы.

Обсудить проект в Telegram: t.me/billioniks