Вход через Google и Apple: почему в России эта кнопка стала нарушением

Google и Apple позволяют добавить на сайт кнопку «Войти через Google» — человек заходит в личный кабинет без пароля, в один клик. Технически это просто: разработчик тратит пару дней, и посетителю удобно. Так делали все, потому что так делали все.

С 2025 года для российского сайта это перестало быть легальным способом входа. Разберем без технических подробностей, что изменилось, чем это грозит и что делать.

Сразу важное разграничение, чтобы не путаться. Речь не про весь Google на сайте. Аналитика, карты, поиск — это другая история. Запрет касается именно входа в аккаунт через иностранный сервис: когда человек не регистрируется у вас, а приходит со своим Google или Apple ID.

Что запрещено и кого это касается

Закон (588-ФЗ, работает с 1 января 2025 года) говорит: российский сайт или приложение может узнавать пользователя только четырьмя способами — через Госуслуги, Единую биометрическую систему, СМС на российский номер или по электронной почте. Причем почта может быть любая, хоть Gmail: ограничение на провайдера не распространяется.

Кого касается: российских компаний, ИП и граждан, у которых доступ к содержимому открывается только после входа. Если у вас лендинг, каталог без личного кабинета или сайт, где все видно без регистрации, — запрет не про вас.

Что считается нарушением: активная кнопка «Войти через Google» или «Sign in with Apple», через которую создают аккаунт или входят в него.

Цена вопроса: штраф по статье 13.11 КоАП — до 700 000 рублей, если не будет оформлено согласие на обработку персональных данных. Но штраф обычно не главное. Роскомнадзор выносит предписание, а при его невыполнении ресурс могут заблокировать. Для компании, у которой сайт приносит заявки, неделя простоя обходится дороже штрафа.

Почему нельзя просто спрятать кнопку

Тут многие ошибаются и теряют время. Кнопка на сайте — это только видимая часть. Под ней работает связка: когда человек нажимает «Войти через Google», сервис подтверждает его личность и передает вашему сайту разрешение на вход. Сайт это разрешение проверяет и пускает человека в кабинет.

Если кнопку скрыть, а проверку разрешения оставить, вход технически продолжит работать. Любой, кто знает адрес этой проверки, зайдёт без кнопки. Для проверяющего это выглядит так, будто запрещенный способ входа никуда не делся — просто его перестали показывать.

Поэтому задача ставится подрядчику не «убрать кнопку», а «отключить вход через иностранные сервисы полностью, включая ту часть, что работает на сервере». Формулировка в задании здесь решает все.

Что делать: план действий

1. Отключить кнопки входа через Google, Apple, Facebook и серверную часть, которая их обслуживает.

2. Сделать вход по СМС на российский номер или по почте.

3. Если у вас услуги для физических лиц и нужна подтвержденная личность — подключить Госуслуги.

4. Обновить пользовательское соглашение и политику конфиденциальности: способы входа в них перечислены, и они должны совпадать с тем, что реально работает на сайте.

Отдельно про тех, кто уже зарегистрировался через Google или Apple. Такую базу терять нельзя, иначе вы лишаетесь клиентов и получаете волну обращений в поддержку. Правильное решение — при следующем входе попросить человека подтвердить почту или телефон и привязать к ним его прежний аккаунт: история заказов, настройки, накопленные бонусы сохраняются.

И про согласие на обработку данных: даже когда вход по СМС или почте, галочка согласия остается обязательной, а факт и время согласия должны сохраняться. Это то же требование, из-за которого штрафуют за cookie-баннеры, — мы разбирали его отдельно.

Если бизнес работает не только в России

Когда сайт не ориентирован на российского пользователя и владелец — не российское лицо, запрет может не применяться. Но решать это нужно не выводом «наверное, нас не касается», а с юристом: при проверке ваша оценка не принимается, принимается правовая.

Есть вариант для компаний с аудиторией и в России, и за рубежом: сделать разные способы входа для разных стран. Работает, но дороже в поддержке — две версии входа нужно и тестировать, и чинить по отдельности, а ошибка в определении страны превращается в нарушение.

Итог

Документация Google и Apple никуда не делась, технически все так же удобно. Но в российском правовом поле эта кнопка из удобства превратилась в риск, за который отвечаете вы, а не сервис, который ее предоставил.

Если на вашем сайте есть вход через Google или Apple и вы работаете как российская компания — это задача на ближайший месяц, а не «когда-нибудь при редизайне». Отключить вход дешевле, чем объяснять Роскомнадзору, почему он работал.