Штраф в 700 тысяч за кнопку «Войти через Google»: что теперь делать дизайнерам и разработчикам
До недавнего времени «Войти через Google / Apple ID» было не фичей, а рефлексом: ставишь кнопки — пользователи довольны, маркетинг счастлив, все экономят время. Теперь за этот рефлекс можно получить до 700 000 ₽ штрафа за первое нарушение и до 1,4 млн ₽ за повторное — если вы юрлицо.
Госдума приняла поправки к КоАП: если ваш сайт или приложение, доступное в России, позволяет логиниться через иностранные сервисы — Google, Apple ID, Facebook, иностранную почту вроде Gmail/Outlook/Yahoo — вы потенциально вляпались. Карать будут не пользователей («зашёл через Gmail — наручники» так не работает), а владельцев ресурсов.
Теперь к сути: это не просто «уберите пару кнопок», это переделка всей авторизации — от UX до backend-а и интеграций.
Что именно запретили и за что будут штрафовать
Логика закона довольно прямолинейная: все способы входа/регистрации, которые завязаны на иностранные системы идентификации, — под запретом на российских ресурсах.
Под раздачу попадает:
— кнопка «Войти через Google»;
— «Sign in with Apple / Apple ID»;
— Facebook / Meta-авторизация;
— вход через иностранную почту (Gmail, Yahoo, Outlook и т.п.) как основной идентификатор;
— любые другие зарубежные ID.
Штрафы такие:
— граждане: от 10 000 до 20 000 ₽;
— должностные лица: от 30 000 до 50 000 ₽;
— юрлица: от 500 000 до 700 000 ₽ за первое нарушение;
— при повторном нарушении для компаний доходит до 1–1,4 млн ₽.
И важная деталь: штрафуют именно за то, что на ресурсе есть возможность авторизации через иностранные сервисы — то есть за саму механику и UI-опции, а не за то, что пользователь этим однажды воспользовался.
Что хотят взамен
Закон сам по себе не описывает «гайд по UX», он опирается на уже действующие требования: вход должен быть через номер телефона, ЕСИА / Госуслуги, ЕБС или российские ID-сервисы.
Типовой «правильный» набор сейчас выглядит так:
— вход по номеру телефона (часто с СМС-кодом или пушем через оператора);
— «Войти через Госуслуги» (ЕСИА / ЕБС);
— российские экосистемы: VK ID, Яндекс ID, иногда — собственный SSO крупного бизнеса;
— своя классика: почта на российском домене + пароль, но только если это не иностранная почта, прописанная как основной способ входа.
Если у вас был единственный способ входа через Google/Apple, это уже прямой конфликт: закон отдельно подчёркивает, что такие способы не могут быть единственными или предоставляемыми на ресурсе.
Что это ломает в UX
Теперь самое интересное для дизайнеров.
Первое: пропадает «одна кнопка» входа. Вход через Google/Apple был идеальным shortcut: человек уже залогинен в браузере — и в ваш сервис попадает в два клика, без паролей и форм. Это резко снижало фрустрацию на регистрации.
Теперь вместо этого:
— либо форма с телефоном;
— либо Госуслуги (что красиво звучит, но в реальности у части аудитории либо нет аккаунта, либо пароль забыли лет пять назад);
— либо российские ID, которые пользователь может видеть в первый раз.
UX-проблемы, которые возникнут почти у всех:
— Рост трения на регистрации. Форма вместо одной кнопки — классика потери конверсии. Особенно на мобильных, где пользователи привыкли к соц-логину.
— Путаница с аккаунтами. Если раньше пользователь входил через Google, а теперь вы ему даёте только телефон, его старый аккаунт нужно как-то привязать к новому способу — иначе вы создадите кучу дублей и потерянных подписок.
— Недоверие к телефону. Есть люди, которые не любят светить номер, особенно в нишах типа контента для взрослых, финансов, психологии. Там конверсия может просесть заметно.
— Сложность интерфейса. Три разных варианта входа (телефон, Госуслуги, VK ID) легко превратить в визуальный хаос, если просто расставить три кнопки подряд.
И это мы ещё не трогали CIP-уровни и формальные требования по идентификации — для многих проектов достаточно «мягкой» идентификации, но интерфейс от этого проще не становится.
Где больнее всего на backend-е
Если у вас был соц-логин — значит, вы где-то храните внешний идентификатор: google_id, apple_id, что-то facebook_user_id. Теперь всё это уже не спасёт от проверяющего.
Основные технические головные боли:
— Миграция аккаунтов. Нужно придумать стратегию: как связать старые записи, созданные через Google/Apple, с новыми логинами через телефон или российский ID. Придётся добавлять flow «привязать номер к существующему аккаунту», с подтверждением по СМС или почте.
— Удаление/отключение старых входов. Мало убрать кнопки из фронта — надо вычистить и backend: API-роуты OAuth, конфиги, редиректы, чтобы не осталось «скрытых» способов войти через старые URL. Иначе формально вы по-прежнему позволяете авторизацию.
— Интеграции с российскими провайдерами. Госуслуги, ЕБС, VK ID, Яндекс ID — это отдельные протоколы, документация, согласования, тестовые контуры. Нет, просто поставить «красивую кнопку» не получится.
И ещё один нюанс: закон говорит не только про аккаунты, но и про «использование иностранной почты как логина». Значит, если у вас в базе есть пользователи, где логин = Gmail, а другого способа входа им не дали — это потенциальная проблема.
Как можно мигрировать без боли (и хотя бы с минимальным нытьём пользователей)
Учитывая штрафы, история «подождём, пока пронесёт» — уже ближе к азартным играм, чем к стратегии. Более-менее вменяемый план выглядит так.
Сначала — фронт и UX:
— убираете из интерфейса все видимые кнопки входа через Google/Apple/прочие;
— добавляете нормальный, очевидный сценарий входа через телефон + код (с автофокусом, понятным текстом, минимумом шагов);
— аккуратно разводите «вход» и «регистрацию», чтобы не путать старых пользователей, пришедших за своим аккаунтом через Google, и новых.
Параллельно — сценарий привязки:
— для всех, кто раньше логинился через зарубежные ID, при первом входе показываете экран: «Мы поменяли способ входа. Введите номер телефона, мы привяжем его к вашему аккаунту»;
— проверяете по e-mail / другим данным, что это тот же пользователь, и цепляете его старый аккаунт к новому способу авторизации;
— обязательно объясняете, зачем это нужно, простым языком: «из-за новых требований закона мы больше не можем поддерживать вход через Google/Apple».
Потом — интеграции:
— подключаете один-два российских ID, которые реально подходят под вашу аудиторию: B2C массовый — VK ID/Яндекс ID + Госуслуги; B2G/B2B — точно ЕСИА/ЕБС;
— делаете это не как «ещё одна кнопка где-то снизу мелким шрифтом», а как равноправный способ входа.
И напоследок — автоматизация и комплаенс:
— ставите техмониторинг: если где-то в коде вдруг всплывает «login_with_google» — чтобы это не осталось в проде;
— проверяете не только веб, но и мобильные приложения: кнопка «Sign in with Apple» в старой версии iOS-приложения — ровно такая же проблема, как кнопка на сайте;
— документируете всё — от того, когда отключили соц-логин, до того, как мигрировали аккаунты. Это полезно, если придёт вопрос «а что вы вообще сделали, чтобы соответствовать требованиям».
Главная ирония во всей этой истории в том, что закон формально про безопасность и суверенитет, а на практике превращается в массовую кампанию по экстренному редизайну экранов входа и миграции аккаунтов. Те, кто заранее выстроил нормальный SSO на телефоне и российских сервисах, сейчас спокойно допивают кофе. Остальным придётся срочно отучать пользователей от привычной кнопки «Войти через Google» — и делать это так, чтобы люди не ушли вместе с ней.