Тема «иностранные сервисы на сайте» в 2026 году превратилась в кашу из трёх разных вопросов, которые постоянно смешивают. Из-за этого владельцы сайтов либо паникуют на пустом месте, либо, наоборот, пропускают реальный риск. Поэтому начнём с главного: это не одна проблема, а три, и у них разная природа и разные последствия.
Первый вопрос — настоящий запрет закона: авторизация пользователей через иностранные сервисы. Второй — технические риски: иностранные скрипты вроде Google Fonts и reCAPTCHA нестабильно работают в России. Третий — требования 152-ФЗ про хранение персональных данных в РФ и передачу их за рубеж. Юридический запрет со штрафами — только первый из них. Разложим всё по полочкам, чтобы вы точно понимали, что срочно, что желательно, а что просто миф.
Сразу оговоримся: это справочный разбор для владельца бизнеса, а не юридическая консультация. Границы применения норм к конкретному сайту и точные суммы ответственности определяет юрист. Наша задача — показать, что проверить и в каком порядке. Общие требования к сайту по закону мы собирали в статье о том, что обязательно на сайте по закону.
Три разные истории, которые постоянно путают
Чтобы не делать лишней работы и не пропустить важное, держите в голове эту простую таблицу. Она показывает, что из перечисленного — прямой запрет закона, что — вопрос работоспособности сайта, а что — отдельная тема персональных данных.
| Что | Природа вопроса | Что грозит |
|---|---|---|
| Вход через иностранные сервисы | Прямой запрет закона (406-ФЗ) | Штраф по ст. 13.55 КоАП с 7 июля 2026 |
| Google Fonts, reCAPTCHA | Технический риск | Сайт тормозит или ломается |
| Google Analytics | Техника + персональные данные | Нестабильность + вопросы 152-ФЗ |
| Хранение данных граждан РФ | Требование 152-ФЗ | Отдельная ответственность по 152-ФЗ |
Дальше разберём каждую строку отдельно. Самое важное юридически — первая, с неё и начнём.
Запрет авторизации через иностранные сервисы: что это на самом деле
Вот тут в народных пересказах больше всего путаницы с датами, поэтому разложим точно. Федеральный закон от 31.07.2023 № 406-ФЗ установил, что авторизация пользователей на российских сайтах и в приложениях должна идти только через разрешённые способы. Сама эта обязанность действует с 1 декабря 2023 года — то есть запрет существует уже не первый год, а не «появился в 2026».
Что действительно появилось в 2026 году — это ответственность за нарушение. Отдельная статья 13.55 КоАП РФ со штрафами за авторизацию через иностранные сервисы заработала с 7 июля 2026 года. Для юридических лиц штрафы измеряются сотнями тысяч рублей. Точные суммы здесь намеренно не приводим как незыблемые: по данным на октябрь 2026 года диапазоны обсуждаются и зависят от состава нарушения, поэтому конкретную цифру для вашего случая уточните у юриста по действующей редакции КоАП.
Запомните одну фразу: запрет авторизации через иностранные сервисы действует с 1 декабря 2023 года, а штрафы за него — с 7 июля 2026 года. Это не одно и то же событие.
Теперь по сути: что именно запрещено. Нельзя входить на сайт через иностранные системы — классический пример это вход по иностранной электронной почте. Речь именно про механизм авторизации, через который пользователь попадает в личный кабинет, а не про любые иностранные элементы на странице.
Какие способы входа разрешены
Закон не просто запрещает, но и прямо перечисляет разрешённые способы авторизации. Их несколько, и для большинства сайтов выбор очевиден. Вот что допустимо.
- Номер телефона российского оператора связи — вход по SMS или звонку. Самый частый и простой вариант.
- Госуслуги (Единая система идентификации и аутентификации, ЕСИА) — удобно для сервисов, где уже есть доверие к государственной учётной записи.
- Единая биометрическая система (ЕБС) — применяется в основном в банках и крупных сервисах.
- Российские информационные системы, отвечающие требованиям закона.
Практический вывод: если на вашем сайте есть личный кабинет или регистрация и используется вход через иностранный сервис, его нужно заменить на один из разрешённых — чаще всего это авторизация по российскому номеру телефона. Если личного кабинета нет вовсе и пользователи просто оставляют заявки через форму, то запрет авторизации вас напрямую не касается — но это стоит зафиксировать осознанно, а не на глаз. Как устроена безопасная работа форм и защита от спама, мы разбирали в статье о безопасности сайта.
Google Fonts, reCAPTCHA и прочие скрипты: это НЕ про запрет
А вот здесь начинается вторая, совсем другая история, которую часто ошибочно приклеивают к закону об авторизации. Иностранные скрипты на сайте — Google Fonts (шрифты Google), reCAPTCHA (капча Google), Gravatar, Google Analytics — в России работают нестабильно: то медленно грузятся, то не грузятся вовсе из-за проблем с доступностью иностранных серверов. Это вопрос работоспособности сайта, а не прямой юридический запрет на сами скрипты.
Почему это важно различать: если считать, что «иностранные скрипты запрещены законом», можно напугать себя несуществующим штрафом. Реальная проблема иная — такие элементы замедляют сайт и иногда ломают его для части посетителей. А медленный сайт — это уже удар по конверсии и по позициям в поиске, то есть вполне ощутимая потеря, просто не в виде штрафа.
| Элемент | В чём проблема | Решение |
|---|---|---|
| Google Fonts | Нестабильная загрузка шрифтов | Хранить шрифты локально на своём сервере |
| reCAPTCHA | Капча то грузится, то нет | Российская или собственная защита форм |
| Google Analytics | Нестабилен в РФ | Яндекс.Метрика |
| Gravatar и подобные | Зависят от иностранных серверов | Убрать или заменить аналогом |
Мы в своих проектах подключаем шрифты локально и не ставим капчу Google по умолчанию — именно поэтому наши сайты держат высокую скорость и не зависят от доступности чужих серверов. Обход через прокси, который иногда советуют, — решение ненадёжное: сегодня работает, завтра нет. Надёжнее убрать зависимость от иностранного сервиса там, где это возможно. Где физически хранить сам сайт, чтобы он стабильно работал в России, — в статье о хостинге для Next.js в России.
Персональные данные: третья отдельная тема (152-ФЗ)
И третья история, которую тоже не надо смешивать с первыми двумя, — это персональные данные по 152-ФЗ. Здесь ключевых требований два, и оба не имеют отношения ни к авторизации, ни к скорости загрузки скриптов.
Первое — локализация: первичный сбор и хранение персональных данных граждан России должны вестись в базе данных на серверах в России. Второе — трансграничная передача: если копия данных уходит за рубеж (например, в иностранный сервис), это отдельно регулируется и требует соблюдения процедуры. То есть вопрос не в том, иностранный ли это скрипт, а в том, какие персональные данные и куда он отправляет.
Именно поэтому Google Analytics стоит на стыке двух тем: он и технически нестабилен в РФ, и как инструмент собирает данные о посетителях, что затрагивает 152-ФЗ. Корректный путь — вести аналитику на российских сервисах вроде Яндекс.Метрики и хранить базу на сервере в РФ. Подробно про обязанности оператора персональных данных — в статье о 152-ФЗ для сайта и о согласии на обработку персональных данных.
Иностранный скрипт сам по себе ничего не нарушает. Нарушение возникает, когда через него персональные данные граждан РФ собираются или уходят за рубеж с нарушением 152-ФЗ. Это вопрос данных, а не самого скрипта.
Что проверить на сайте: план по трём блокам
Соберём всё в практический план. Порядок важен: сначала то, за что реально штрафуют, потом работоспособность, потом персональные данные. Так вы не распыляетесь и закрываете сначала самое дорогое.
- Авторизация (юридический приоритет). Проверьте, есть ли на сайте вход через иностранные сервисы. Если да — замените на разрешённые способы (российский номер телефона, Госуслуги, ЕБС). Если входа и личного кабинета нет — зафиксируйте это.
- Технические скрипты. Найдите Google Fonts, reCAPTCHA, Gravatar и подобное. Шрифты переведите в локальные, капчу замените, проверьте скорость сайта.
- Аналитика. Если стоит Google Analytics — оцените переход на Яндекс.Метрику и с точки зрения стабильности, и с точки зрения персональных данных.
- Персональные данные. Убедитесь, что база с данными граждан РФ хранится на сервере в России, а передача за рубеж (если есть) оформлена по 152-ФЗ.
- Спорное — юристу. Точные суммы штрафов и оценку рисков по вашей сфере согласуйте со специалистом, не опирайтесь на пересказы.
Если сайт делали давно или на конструкторе, велика вероятность, что внутри осталось несколько иностранных зависимостей, о которых вы не знаете. В этом случае разумно заказать технический и юридический аудит. Мы помогаем привести сайт в порядок сразу по всем трём блокам — посмотрите, что входит в продающий сайт под рекламу и поиск. А если на сайте появились новые языковые требования, параллельно полезна статья о законе о русском языке на сайте, а при сборе базы для писем — статья о согласии на рекламную рассылку. Финальную юридическую оценку всегда оставляйте за юристом — эта статья справочная и не является юридической консультацией.