Авторизация на российских сайтах: новые ограничения для бизнеса и что необходимо проверить владельцам интернет-ресурсов

Тема регулирования цифровой инфраструктуры продолжает активно развиваться. Если ранее внимание бизнеса было сосредоточено на новых требованиях к идентификации владельцев доменных имен, то следующим этапом стали изменения, касающиеся способов авторизации пользователей на российских интернет-ресурсах.

Теперь ответственность распространяется уже не только на владельцев доменов, но и на операторов сайтов, интернет-магазинов, онлайн-сервисов и мобильных приложений, которые используют системы регистрации и входа пользователей.

Почему государство меняет правила авторизации

Основная идея изменений заключается в том, чтобы сделать цифровую идентификацию пользователей более контролируемой и исключить зависимость российских сервисов от зарубежной цифровой инфраструктуры.

Если раньше многие сайты предлагали вход через иностранные аккаунты, то теперь использование таких способов авторизации существенно ограничивается.

При этом речь не идет о запрете работы самих сайтов или мобильных приложений. Изменения касаются именно способов подтверждения личности пользователя при регистрации и входе в сервис.

Фактически законодатель продолжает курс на формирование национальной цифровой инфраструктуры, где ключевые сервисы идентификации находятся под российской юрисдикцией.

Какие способы авторизации остаются допустимыми

Сегодня владельцам российских сайтов рекомендуется использовать исключительно предусмотренные законодательством способы авторизации.

К ним относятся:

• вход по российскому номеру телефона;
• использование государственной системы идентификации;
• единая биометрическая система (если она применяется);
• российские коммерческие сервисы авторизации.

Использование иностранных систем входа в качестве самостоятельного способа регистрации пользователей теперь создает существенные правовые риски для владельцев интернет-ресурсов.

При этом важно понимать один нюанс.

Если пользователь ранее зарегистрировался, используя адрес иностранной электронной почты, сам по себе такой логин не становится нарушением. Ограничения касаются именно сервисов авторизации, которые подтверждают личность пользователя через зарубежные платформы.

Кого затрагивают новые требования

Изменения распространяются практически на всех владельцев цифровых сервисов, которые предусматривают регистрацию пользователей:

• интернет-магазины;
• корпоративные порталы;
• маркетплейсы;
• образовательные платформы;
• SaaS-сервисы;
• мобильные приложения;
• личные кабинеты клиентов;
• любые сайты с системой регистрации и входа.

Если ресурс позволяет пользователю создать учетную запись или авторизоваться, используемые механизмы входа необходимо проверить на соответствие новым требованиям.

Почему вопрос касается не только IT-подразделения

На первый взгляд изменения выглядят исключительно техническими.

На практике это вопрос корпоративного комплаенса.

Во многих компаниях системы авторизации внедрялись несколько лет назад. При разработке сайтов использовались готовые библиотеки и модули, которые автоматически подключали популярные способы входа через зарубежные платформы.

Со временем такие решения становились частью инфраструктуры, и далеко не всегда юридические службы участвовали в оценке возникающих рисков.

Сегодня подобная практика требует пересмотра.

Наличие запрещенного способа авторизации может стать самостоятельным основанием для привлечения владельца ресурса к ответственности независимо от того, насколько активно пользователи им пользуются.

Какие риски возникают для бизнеса

Новые требования сопровождаются существенными штрафами.

При этом ответственность возлагается именно на владельцев сайтов и приложений, а не на пользователей.

Кроме финансовых санкций, компания может столкнуться и с другими последствиями:

• необходимостью срочной переработки механизма регистрации пользователей;
• дополнительными расходами на доработку сайта;
• проведением внеплановых внутренних проверок;
• повышенным вниманием со стороны контролирующих органов;
• репутационными потерями при публичном обсуждении нарушений.

Особенно чувствительными изменения становятся для крупных онлайн-площадок с большим количеством зарегистрированных пользователей.

Что рекомендуется проверить уже сейчас

Новые требования — хороший повод провести комплексный аудит цифровой инфраструктуры компании.

На практике стоит проверить сразу несколько направлений.

Во-первых, определить, какие способы регистрации и входа реализованы на сайте или в мобильном приложении.

Во-вторых, убедиться, что среди них отсутствуют запрещенные иностранные сервисы авторизации.

В-третьих, проверить работу сторонних модулей, CMS и готовых плагинов. Многие из них автоматически устанавливают кнопки входа через зарубежные платформы, о существовании которых владелец сайта может даже не помнить.

В-четвертых, оценить пользовательский путь регистрации после отключения иностранных способов входа. Замена механизма авторизации не должна ухудшить клиентский опыт или привести к потере существующих пользователей.

Наконец, рекомендуется проверить договоры с разработчиками и подрядчиками, отвечающими за сопровождение сайта. Важно понимать, кто несет ответственность за соответствие программного обеспечения обязательным требованиям законодательства.

Общий тренд цифрового регулирования

Если посмотреть на последние изменения комплексно, становится очевидной общая тенденция.

Сначала появились новые требования к идентификации владельцев доменных имен. Теперь аналогичный подход применяется уже к идентификации пользователей цифровых сервисов.

Фактически государство последовательно выстраивает единую модель управления цифровой инфраструктурой, в которой все ключевые элементы — доменные имена, способы идентификации владельцев ресурсов и механизмы авторизации пользователей — должны находиться в рамках российской правовой и технологической системы.

Для бизнеса это означает, что вопросы управления интернет-ресурсами постепенно выходят далеко за пределы компетенции исключительно IT-специалистов. Они становятся частью системы юридической безопасности компании наряду с защитой персональных данных, информационной безопасностью и корпоративным управлением цифровыми активами.

Именно поэтому проверку механизмов авторизации целесообразно проводить одновременно с аудитом доменных имен, политик обработки персональных данных и всей цифровой инфраструктуры организации. Такой комплексный подход позволяет своевременно выявить потенциальные риски, избежать значительных расходов на экстренную модернизацию сервисов и обеспечить соответствие интернет-ресурсов новым требованиям регулирования.