Коротко: проект Антифрод 3.0 обсуждает дополнительные правила авторизации на интернет-ресурсах и трёхлетнее хранение сведений о регистрации и входах. Это предложение, а не действующая универсальная обязанность для каждого сайта; состав событий и границы применения ещё требуют уточнения.
Материал носит информационный характер и не заменяет правовое заключение для конкретной ситуации. Статус проекта и редакции норм проверены 19 октября 2026 года.
Что действует сейчас
Статья 8 Закона об информации уже содержит конструкцию способов авторизации на российских информационных ресурсах. Проект предлагает изменить её, отдельно затрагивая иностранные ресурсы и пользователей в России. Поэтому нельзя сводить вопрос к лозунгу «всем сайтам оставят только SMS».
| Уровень | Что проверять | Открытый вопрос |
|---|---|---|
| Действующая норма | Кому и когда она применяется | Квалификация конкретного ресурса |
| Проект | Предлагаемые способы и круг владельцев | Итоговая редакция |
| Технический процесс | Запрос, отправка, проверка, восстановление | Состав и срок хранения логов |
Номер телефона не равен личности
Успешный ввод одноразового кода обычно доказывает доступ к каналу в конкретный момент. Он не исключает передачу SIM, переоформление номера, компрометацию устройства или использование корпоративного номера. Если процесс требует идентификации личности, нужны дополнительные основания и механизмы.
Как готовить журнал событий
До утверждения состава сведений не следует объявлять обязательным вымышленный набор полей. Но архитектуру можно проверить: синхронизацию времени, разграничение доступа, защиту от изменения, минимизацию, правила выгрузки и удаления по сроку. Отдельно документируют регистрацию, успешный и неуспешный вход, восстановление и смену фактора.
Владельцу продукта полезно инвентаризировать все точки входа и внешние SDK, определить резервные сценарии и получить правовую оценку применимости нормы. Техническая реализация разобрана в статье об авторизации без Google и Apple, назначение государственной системы — в сравнении ГИС Антифрод и пакета мер, статус — в общем обзоре.
Инвентаризация точек входа
Составьте список веб-сайтов, мобильных приложений, административных панелей и API. Для каждого укажите владельца ресурса, географию пользователей, варианты регистрации, внешние поставщики идентификации, факторы восстановления и место хранения событий. Такой реестр нужен независимо от судьбы проекта.
Защита журнала авторизации
- не записывать одноразовые коды, пароли и лишние данные;
- разделить технические логи и аудит безопасности;
- ограничить доступ по ролям и фиксировать обращения;
- обеспечить синхронизацию времени и контроль целостности;
- задать сроки удаления по категориям после правовой оценки;
- проверить трансграничные и подрядные контуры хранения.
Трёхлетний срок упоминается применительно к проекту; до финальной редакции нельзя автоматически распространять его на любые логи любого сайта. Также следует отличать сведения о событии входа от содержимого пользовательской активности.
Частые вопросы
SMS станет единственным способом?
Нет. Анализируется набор допустимых способов и применимость нормы к конкретному владельцу ресурса.
Можно удалить иностранные кнопки входа уже сейчас?
Такое решение может ухудшить доступ пользователей и не заменяет собственный безопасный процесс восстановления. Сначала нужен аудит действующих требований и рисков миграции.
