Новые требования к сайту интернет-магазина в 2026 году: домен, вход, рекомендации, данные и язык

Коротко. В 2026 году к сайту интернет-магазина действуют пять требований: домен .ru, .рф или .su — только после идентификации через Госуслуги, вход на сайт — без Google и Apple, о рекомендациях товаров нужно предупреждать, об утечке данных — сообщать в Роскомнадзор за 24 часа, информация для покупателей — на русском языке. Три из пяти правил действуют уже не первый год. Новое в 2026 году — штрафы за вход и рекомендации (с 7 июля, юрлицам — от 500 тыс. ₽), русский язык в информации для покупателей (с 1 марта) и идентификация доменов (с 1 сентября). Проверить свой сайт по пяти пунктам можно за вечер — чек-лист ниже и в PDF.

Какие требования к сайту интернет-магазина действуют в 2026 году?

Пять требований касаются почти любого интернет-магазина: домен, вход на сайт, рекомендации товаров, персональные данные покупателей и язык. Три из них — вход, рекомендации и защита персональных данных — действуют уже не первый год, причём за вход и рекомендации штрафы ввели только в 2026 году. Требования к языку и доменам появились в 2026 году впервые. Ниже — что требуется, с какой даты и кто в компании за это отвечает.

Как подтвердить домен через Госуслуги?

Подтвердить домен — значит пройти идентификацию администратора домена через Госуслуги (ЕСИА) в личном кабинете своего регистратора. С 1 сентября 2026 года регистрация доменов в российских зонах проходит только после такой идентификации (ч. 7 ст. 14.2 закона 149-ФЗ, норма введена законом 569-ФЗ). По разъяснению Координационного центра доменов .RU/.РФ, она нужна и для продления, передачи домена другому владельцу и смены регистратора.

Что будет без идентификации: домен никто не удалит и не отберёт, но продлить его будет нельзя. Пока не закончился оплаченный срок, сайт работает. После окончания срока домен перестанет открываться, а после периода преимущественного продления регистрацию аннулируют — и домен сможет занять кто-то другой.

Когда именно требование включится у вашего регистратора, зависит от него. По данным справки Тильды, пока регистратор не включён в новый перечень, работа идёт по прежним правилам — до включения в перечень или до 18 января 2027 года. Некоторые регистраторы открывают идентификацию для компаний и ИП позже, чем для физлиц. Поэтому ориентируйтесь на уведомления в кабинете регистратора, а готовиться лучше сейчас.

1. Проверьте, на кого оформлен домен. Откройте кабинет регистратора и посмотрите данные администратора домена. Убедитесь, что у компании есть логин и пароль от этого кабинета.
2. Подготовьте учётную запись на Госуслугах. Нужна подтверждённая, а не упрощённая учётная запись. Если домен оформлен на организацию, нужна учётная запись организации на Госуслугах, привязанная к руководителю или уполномоченному сотруднику.
3. Пройдите идентификацию в кабинете регистратора. Система сверит данные с Госуслуг с данными администратора домена. Если они расходятся (старый паспорт, другое название компании), обновите данные администратора заранее.

Пошаговые инструкции публикуют сами регистраторы и конструкторы — например, у Тильды и Timeweb — в справочных центрах. Если домен у Рег.ру или другого регистратора, ищите раздел об идентификации в его личном кабинете или справке. В Timeweb, например, идентификация действует один год, потом её проходят заново.

Если домен оформлен на бывшего подрядчика или сотрудника. Пройти идентификацию за другого человека нельзя. Переоформите домен на компанию — для этого понадобится участие нынешнего администратора. После 1 сентября передача домена тоже требует идентификации обеих сторон. Если связи с администратором нет, обратитесь в поддержку регистратора: порядок у каждого свой. Если вы только запускаете магазин, заложите идентификацию в план — сроки запуска разобраны в статье «Сколько реально занимает запуск интернет-магазина».

Можно ли оставить вход через Google и Apple?

Нет. С 1 декабря 2023 года владелец российского сайта, который пускает пользователей только после авторизации, должен проводить её для пользователей в России одним из способов, перечисленных в законе (ч. 10 ст. 8 закона 149-ФЗ). Вход через Google и Apple в этот перечень не входит. С 7 июля 2026 года за нарушение штрафуют по ст. 13.55 КоАП: граждан — на 10–20 тыс. ₽, должностных лиц — на 30–50 тыс. ₽, юрлиц — на 500–700 тыс. ₽. Отдельной части о повторном нарушении в этой статье нет. Штраф платит владелец сайта, а не покупатель.

Разрешённые способы входа:

• по номеру мобильного телефона;
• через Госуслуги (ЕСИА);
• через Единую биометрическую систему;
• через другую систему авторизации, которая отвечает требованиям закона к защите информации и принадлежит гражданину России без другого гражданства или российскому юрлицу, которое более чем на 50% контролируют российские лица.

Под последний пункт могут подойти российские сервисы входа, но официального перечня таких сервисов закон не даёт. Если сомневаетесь в конкретном сервисе, запросите у его владельца подтверждение, что он отвечает требованиям ч. 10 ст. 8 закона 149-ФЗ.

Что проверить: кнопки входа на сайте, в корзине и при оформлении заказа, в мобильном приложении и в старых версиях страниц, которые ещё открываются. Попросите разработчика проверить подключённые библиотеки: модуль входа через Google или Apple может остаться в коде, даже если кнопку убрали из дизайна. И если меняете способы входа, проверьте, не стало ли оформление заказа длиннее: обязательная регистрация — одна из частых причин брошенных корзин, подробнее — в статье «Покупатель дошёл до корзины и ушёл».

Блоки «Вы смотрели» и «С этим покупают»: что разместить на сайте?

Если блоки подбирают товары на основе сбора и анализа сведений о предпочтениях посетителя, это рекомендательные технологии — так их определяет ст. 10.2-2 закона 149-ФЗ. Требования действуют с 1 октября 2023 года: предупредить пользователей, опубликовать правила применения таких технологий и контакты. С 7 июля 2026 года за нарушение штрафуют по ст. 13.56 КоАП.

Решающий вопрос — строится ли подборка на данных о конкретном посетителе: что он смотрел, искал, покупал. Как квалифицировать подборки, одинаковые для всех, закон отдельно не описывает, поэтому в спорных случаях сверьтесь с юристом.

Что разместить на сайте:

• Уведомление. По приказу Роскомнадзора № 149 от 06.10.2023 — текст «На информационном ресурсе применяются рекомендательные технологии» со ссылкой на отдельную страницу.
• Отдельную страницу с текстом: «На информационном ресурсе при применении информационных технологий предоставления информации осуществляется сбор, систематизация и анализ сведений, относящихся к предпочтениям пользователей сети "Интернет", находящихся на территории Российской Федерации».
• Правила применения рекомендательных технологий на русском языке: как собираются и анализируются сведения о предпочтениях, какие сведения используются и откуда берутся.
• Контакты: адрес электронной почты для юридически значимых сообщений и наименование компании (для физлица — фамилию и инициалы).

Доступ к правилам по закону — беспрепятственный и бесплатный: страница должна открываться без регистрации и входа в личный кабинет.

Штрафы по ст. 13.56 КоАП для юрлиц: нет уведомления или правил и контактов — 500–700 тыс. ₽; повторно — 1–1,4 млн ₽; не выполнено требование Роскомнадзора прекратить показ рекомендаций — 1–1,4 млн ₽, повторно — 1,4–2,8 млн ₽. Для граждан и должностных лиц суммы ниже — их можно посмотреть в тексте статьи по ссылке в «Источниках».

Какие штрафы за утечку персональных данных и что делать при утечке?

Для юрлиц штраф за утечку зависит от её масштаба: от 3 до 15 млн ₽, а при повторной утечке — от 1 до 3% годовой выручки, но не меньше 20 млн и не больше 500 млн ₽ (ч. 12–15 ст. 13.11 КоАП, действуют с 30 мая 2025 года). Индивидуальные предприниматели по этим частям отвечают как юрлица. Отдельно штрафуют за то, что не сообщили об утечке в Роскомнадзор: юрлицо — на 1–3 млн ₽ (ч. 11).

Если утечка случилась, по ч. 3.1 ст. 21 закона 152-ФЗ компания уведомляет Роскомнадзор дважды: в течение 24 часов — о самом инциденте, его предполагаемых причинах, вреде и принятых мерах; в течение 72 часов — о результатах внутреннего расследования. Сроки считаются с момента, когда инцидент выявлен.

Что сделать заранее:

• обновлять платформу сайта, модули и плагины;
• выдать каждому сотруднику и подрядчику личный доступ к админке, хостингу и CRM — без общих паролей — и закрывать доступы ушедшим;
• включить двухфакторный вход везде, где он есть;
• хранить резервные копии отдельно от сервера сайта;
• расписать план на первые 24 часа: кто узнаёт об инциденте, кто готовит уведомление, кто его отправляет.

И проверьте документы на сайте: если сайт собирает персональные данные, на его страницах должна быть опубликована политика обработки персональных данных (ч. 2 ст. 18.1 закона 152-ФЗ), а согласие на обработку — оформлено отдельно от других документов (ч. 1 ст. 9).

Можно ли писать Sale и другие иностранные слова на сайте?

Только вместе с русским вариантом. С 1 марта 2026 года информация для публичного ознакомления потребителей, которая не является рекламой, должна быть на русском языке (ст. 10.1 Закона о защите прав потребителей, введена законом 168-ФЗ). Роспотребнадзор в разъяснении от 2 марта 2026 года прямо отнёс сайты к общедоступным местам, где действует это требование.

Что можно оставить:

• товарные знаки, знаки обслуживания и фирменное наименование — в том написании, в котором они зарегистрированы;
• иностранное слово как дубль рядом с русским текстом: закон разрешает продавцу по своему усмотрению выполнить информацию также на иностранном языке. «Sale» рядом с «Распродажа» — можно, «Sale» вместо «Распродажа» — нет.

Реклама в ст. 10.1 не входит — для неё действует закон «О рекламе». Граница между рекламой и информацией на сайте не всегда очевидна, поэтому надёжнее везде, где стоит иностранное слово, дать и русский вариант. Суммы штрафов за нарушение ст. 10.1, которые встречаются в обзорах, мы не приводим: подтвердить их по тексту КоАП не удалось.

Что проверить: баннеры на главной и в каталоге, кнопки, меню и фильтры, корзину и оформление заказа, карточки товаров, формы, личный кабинет, письма и пуш-уведомления о заказе.

Чек-лист: что проверить на сайте

Домен

• Знаем, на кого оформлен домен, и есть доступ к кабинету регистратора
• У администратора домена подтверждённая учётная запись на Госуслугах (у компании — учётная запись организации)
• Данные администратора у регистратора совпадают с данными на Госуслугах
• Идентификация пройдена или известен срок, когда её откроет регистратор
• Домен оформлен на компанию, а не на бывшего подрядчика или сотрудника

Вход на сайт

• Нет кнопок входа через Google и Apple — на сайте, в корзине, в приложении и на старых страницах
• Модули входа через иностранные сервисы удалены из кода
• Вход — по номеру телефона, через Госуслуги, ЕБС или российскую систему авторизации
• По каждому российскому сервису входа понятно, что он отвечает требованиям ч. 10 ст. 8 закона 149-ФЗ

Рекомендации товаров

• Составлен список блоков, которые подбирают товары по действиям посетителя
• На сайте есть надпись «На информационном ресурсе применяются рекомендательные технологии» со ссылкой на отдельную страницу
• Опубликованы правила применения рекомендательных технологий на русском языке
• Указаны e-mail для юридически значимых сообщений и наименование компании
• Правила открываются без регистрации и входа

Персональные данные

• Роскомнадзор уведомлён о намерении обрабатывать персональные данные
• На сайте опубликована политика обработки персональных данных
• Согласие на обработку оформлено отдельно от других документов
• У каждого сотрудника и подрядчика личный доступ, общих паролей нет, доступы ушедших закрыты
• Включён двухфакторный вход в админку, хостинг и CRM
• Платформа и плагины обновлены, резервные копии хранятся отдельно от сервера
• Есть план: кто и как уведомляет Роскомнадзор за 24 и 72 часа

Русский язык

• Баннеры, кнопки, меню и фильтры — на русском или с русским вариантом рядом
• Корзина, оформление заказа и формы — на русском
• Карточки товаров и личный кабинет — на русском
• Иностранными остались только товарные знаки и фирменное наименование

Что сделать на этой неделе

1. Владелец: проверить, на кого оформлен домен и есть ли доступ к кабинету регистратора; подготовить учётную запись компании на Госуслугах.
2. Разработчик: убрать вход через Google и Apple и модули в коде, составить список блоков с персональными рекомендациями, проверить доступы, двухфакторный вход и резервные копии.
3. Юрист: подготовить правила применения рекомендательных технологий, проверить политику, согласие и уведомление Роскомнадзора, расписать план на случай утечки.
4. Маркетолог: пройти сайт от главной до оформления заказа и выписать все иностранные слова, которые не являются товарными знаками.

Общий план запуска и развития магазина — в чек-листе запуска интернет-магазина.

Частые вопросы

Источники

• КонсультантПлюс — ст. 14.2 закона 149-ФЗ (регистрация доменов после идентификации через ЕСИА)
• Российская газета, 12.01.2026 — официальная публикация закона 569-ФЗ (вступление в силу 1 сентября 2026 года)
• Координационный центр доменов .RU/.РФ — ответы на вопросы об идентификации администраторов
• Тильда — новые требования для администраторов доменов; Timeweb — идентификация через ЕСИА
• КонсультантПлюс — ст. 8 закона 149-ФЗ (ч. 10 — способы авторизации)
• КонсультантПлюс — ст. 13.55 КоАП и ст. 13.56 КоАП; закон 199-ФЗ — официальная публикация 26.06.2026
• КонсультантПлюс — ст. 10.2-2 закона 149-ФЗ и новость о приказе Роскомнадзора № 149 от 06.10.2023
• КонсультантПлюс — ст. 13.11 КоАП; ст. 21, 18.1 и 9 закона 152-ФЗ
• КонсультантПлюс — ст. 10.1 Закона о защите прав потребителей
• Роспотребнадзор, 02.03.2026 — о вступлении в силу изменений в Закон о защите прав потребителей

Данные проверены в октябре 2026 года. Статья — обзор требований, а не юридическая консультация: для своего сайта сверяйтесь с юристом.

Обсудить проверку вашего сайта →