Что должно быть на сайте по закону в 2026: чек-лист владельца

Владельцы сайтов чаще всего узнают о требованиях закона из письма Роскомнадзора или протокола ФАС. При этом большинство нарушений — не злой умысел, а незнание: нет политики персональных данных, галочка согласия проставлена заранее, на форме входа висит кнопка Google. Мы собрали требования к сайтам в один чек-лист — по шести областям, с основаниями и штрафами. Материал информационный и не заменяет консультацию юриста, но покажет, где у вашего сайта тонко.

Шесть областей риска — карта штрафов

Горячее: идентификация доменов через Госуслуги — с 1 сентября 2026

По свежим поправкам, с 1 сентября 2026 года для доменов в зонах .ru, .рф и .su идентификация владельца через Госуслуги (ЕСИА) становится обязательной — и для новых, и для действующих сайтов. Процедура проходит у аккредитованных регистраторов доменов. Если у вас домен в этих зонах — уточните у своего регистратора порядок подтверждения заранее, не дожидаясь дедлайна и очередей.

Персональные данные: триада, без которой нельзя

Любая форма на сайте — заявка, обратный звонок, комментарий — делает вас оператором персональных данных. Минимум по ФЗ-152:

1. Политика обработки ПДн — опубликованный документ: какие данные, зачем, как долго храните и кому передаёте (ст. 18.1).

2. Явное согласие — чек-бокс у каждой формы, и он не должен быть проставлен заранее (ст. 9). Предотмеченная галочка — классическое нарушение.

3. Уведомление Роскомнадзора об обработке ПДн (ст. 22) — про этот пункт малый бизнес забывает чаще всего.

Плюс требование локализации: базы с данными россиян должны храниться на серверах в РФ — уточните у хостинга, где физически стоят серверы.

Продаёте с сайта — проверьте четыре вещи

Публичная оферта и правила продажи с информацией о возврате — требование дистанционной торговли; без них нарушение прав потребителя на информацию (30–50 тыс. ₽ для юрлиц).

Маркировка товаров — если товар в перечнях «Честного ЗНАКа», ЕГАИС или «Меркурия», продавать через сайт без подключения к системе нельзя.

Маркировка рекламы — рекламные размещения в интернете маркируются и передаются в ЕРИР; за игнорирование — штрафы по закону о рекламе.

Рассылки только по согласию — email и мессенджер-рассылки без предварительного opt-in могут стоить юрлицу до 500 тыс. ₽, и в каждом письме обязана быть отписка.

Кнопка «Войти через Google» теперь вне закона

Авторизация российских пользователей через иностранные сервисы — Google, Apple, Facebook и подобные — запрещена (ст. 10.4 ФЗ № 149). Запрет абсолютный: неважно, основной это способ входа или запасной. Проверить нужно не только видимые кнопки, но и скрытые интеграции: мобильные приложения, API, сторонние виджеты комментариев. Замена — российские сервисы авторизации, вход по почте и телефону.

«Мелочи», на которых попадаются

Реквизиты владельца. Название, ОГРН/ОГРНИП, ИНН, адрес и контакты должны легко находиться на сайте — раздел «Контакты» или «Реквизиты».

Русский язык. Вся информация о товарах и условиях — на русском; ст. 14.8 КоАП (30–50 тыс. ₽ для юрлиц) — одно из самых частых и «дорогих» бытовых нарушений.

Cookies. Информирование и согласие на неслужебные cookies — позиция Роскомнадзора в рамках ФЗ-152; штрафуют пока редко, но тенденция к ужесточению.

Шрифты и фото. Это объекты авторского права: стоковые изображения — только с коммерческой лицензией, шрифты — с проверкой EULA. Иски правообладателей прилетают и малому бизнесу.

Версия для слабовидящих. Для государственных и муниципальных сайтов — обязательна; как сделать её по-настоящему, а не «кнопкой», мы разобрали в отдельной статье.

Экспресс-самопроверка: 8 вопросов

Насчитали три и больше «нет» — у сайта юридические дыры, и лучше закрыть их до того, как их найдёт проверка. Техническую часть — формы, согласия, SSL, замену авторизации, версию для слабовидящих — закрывает доработка сайта; по документам (политика, оферта) рекомендуем финальную вычитку юристом.

Вопросы и ответы

У меня простой сайт-визитка без продаж — меня это всё касается?

Касается, но в меньшем объёме: реквизиты владельца, политика ПДн и согласие у формы обратной связи, SSL — это база для любого сайта, где есть хоть одна форма. Блоки про торговлю и маркировку товаров — уже только для тех, кто продаёт дистанционно.

С чего начать, если ничего из списка не сделано?

С триады персональных данных: политика + чек-боксы согласия + уведомление Роскомнадзора, параллельно — SSL, если его ещё нет. Это самые проверяемые пункты. Затем реквизиты и, для магазинов, оферта. Остальное — по чек-листу сверху вниз.

Правда, что вход через Google на сайте запрещён?

Да, авторизация российских пользователей через иностранные сервисы запрещена ст. 10.4 ФЗ № 149 — независимо от того, основной это способ входа или дополнительный. Проверьте и скрытые места: виджеты комментариев, мобильные приложения, API. Заменяется российскими сервисами входа, почтой и телефоном.

Что за идентификация домена через Госуслуги и что мне делать?

С 1 сентября 2026 года владельцы доменов .ru, .рф и .su должны пройти идентификацию через Госуслуги (ЕСИА) у своего регистратора — требование распространяется и на уже действующие домены. Практический шаг: зайдите в личный кабинет регистратора и пройдите подтверждение заранее, не дожидаясь пиковых очередей к дедлайну.

Материал носит информационный характер и не является юридической консультацией. По теме: версия для слабовидящих · доработка сайта · сервисы проверки сайта