Вокруг Федерального закона № 406-ФЗ и поправок к закону «Об информации» (№ 149-ФЗ) возникло много мифов. Главное заблуждение — якобы российские сайты обязаны блокировать регистрацию пользователей с ящиками Gmail, Yahoo или Outlook. Разбираем реальные юридические и технические требования к авторизации.
Главный миф: запрещена ли иностранная почта
Закон не запрещает использовать иностранный адрес электронной почты в качестве логина или контактных данных. Ограничения касаются исключительно механизма аутентификации — то есть того, какая именно информационная система подтверждает личность пользователя при входе.
Если пользователь вводит адрес user@gmail.com и задает пароль, который проверяется вашей собственной базой данных на российском сервере, закон не нарушается. В этом сценарии система авторизации принадлежит владельцу сайта, являющемуся гражданином или юридическим лицом РФ.
Что именно запрещено на российских сайтах
Владельцы интернет-ресурсов в РФ не имеют права использовать зарубежные платформы в качестве внешнего источника идентификации:
- Кнопки быстрого входа «Войти через Google» (Google Identity / OAuth 2.0).
- Авторизацию «Sign in with Apple» (Apple ID).
- Вход через иностранные соцсети и сервисы (GitHub, Discord, Microsoft, Telegram Login).
- Зарубежные облачные виджеты аутентификации (Firebase Auth, Auth0, Clerk), если они управляются иностранными юрлицами.
Легальные способы авторизации
Часть 10 статьи 8 Федерального закона № 149-ФЗ устанавливает закрытый перечень разрешенных способов доступа для пользователей, находящихся в России:
| Метод авторизации | Техническая реализация | Статус |
|---|---|---|
| Собственная ИС сайта | Логин (любой e-mail) + собственный пароль в БД | Разрешено |
| Российский номер телефона | SMS-код или Flash Call через оператора связи РФ | Разрешено |
| ЕСИА («Госуслуги») / ЕБС | Интеграция по протоколам ЕСИА или биометрии | Разрешено |
| Российские IdP / SSO | VK ID, Яндекс ID, Сбер ID, Т-Банк ID | Разрешено |
| Иностранные OAuth / SSO | Google, Apple, Facebook, GitHub, Telegram | Запрещено |
Чек-лист для веб-мастеров и разработчиков
- Проверьте плагины социального входа: отключите интеграции с Google, Apple и иностранными сервисами в модулях вроде Nextend Social Login, Super Socializer или кастомных темах.
- Сохраните стандартную форму регистрации: не вводите искусственных валидаторов, запрещающих почтовые домены
@gmail.comили@icloud.com. - Подключите отечественные альтернативы: добавьте VK ID или Яндекс ID для удобного входа в один клик.
- Локализуйте инфраструктуру: проверьте, чтобы база данных с учетными записями граждан РФ находилась на серверах в дата-центрах на территории России (согласно 152-ФЗ).
- Оцените схему Magic Link: вход без пароля исключительно по ссылке из иностранной почты несет регуляторные риски; дополняйте его паролем или SMS-кодом.