Шанкара скан

База правил

Полный список проверок, которые сервис выполняет автоматически. Под каждым правилом — простое объяснение, какие варианты этого нарушения встречаются на сайтах, что грозит и как должно быть правильно.

Персональные данные

ВысокийPD_001

Нет политики конфиденциальности

Штраф для юрлица
30 000 ₽ — 60 000 ₽
Что это значит

Политика конфиденциальности — обязательный документ оператора персональных данных. Он рассказывает посетителю, какие его данные вы собираете, зачем, сколько храните и как он может их удалить. Без этого документа любой сбор email/телефона через формы — нарушение.

Какие варианты этого нарушения бывают
  • •Документа нет вообще
  • •Документ есть, но ссылки на него нет в футере и формах
  • •Ссылка есть, но открывается 404 / битый PDF / страница без содержимого
  • •Документ скопирован у конкурента и не отражает реальную обработку данных вашим сайтом
Как должно быть

В футере каждой страницы и рядом с каждой формой есть ссылка «Политика конфиденциальности», открывающая полноценную HTML-страницу.

Основание

152-ФЗ, ст. 13.11 ч.3 КоАП

ℹ️ Для юрлиц по ч.3 ст.13.11 КоАП. Для ИП — 10 000–20 000 ₽, для должностных лиц — 6 000–12 000 ₽.

Что делать

Разместите политику обработки персональных данных и добавьте ссылку в футер и формы.

КритичноPD_002

Форма сбора ПД без чекбокса согласия

Штраф для юрлица
300 000 ₽ — 700 000 ₽
Что это значит

Согласие на обработку персональных данных — отдельный осознанный шаг пользователя. Пользователь должен сам поставить галочку, и только тогда вы имеете право принять и обрабатывать его email/телефон/имя.

Какие варианты этого нарушения бывают
  • •Чекбокса согласия нет вообще — данные собираются «втихую»
  • •Чекбокс есть, но он один на всё (и согласие, и рассылка) — это незаконно
  • •Согласие зашито в текст «Нажимая кнопку, вы соглашаетесь…» без отдельного действия
  • •Чекбокс предустановлен (см. PD_003)
Как должно быть

Под формой обратной связи отдельный пустой чекбокс: ☐ «Я согласен на обработку персональных данных» со ссылкой на политику.

Основание

ст. 13.11 ч.2 КоАП

ℹ️ Для юрлиц при первом нарушении. Повторное — 1 000 000–1 500 000 ₽; при утечке (ч.10–11 в ред. с 30.05.2025) — до 6–18 млн ₽.

Что делать

Добавьте отдельный чекбокс согласия на обработку ПД, не предустановленный по умолчанию.

КритичноPD_003

Чекбокс предустановлен

Штраф для юрлица
300 000 ₽ — 700 000 ₽
Что это значит

Если чекбокс согласия уже отмечен по умолчанию — это не свободное волеизъявление пользователя, а навязанное согласие. По 152-ФЗ это считается нарушением требования об осознанности.

Какие варианты этого нарушения бывают
  • •<input type="checkbox" checked> — стандартная ошибка разработчиков
  • •Чекбокс визуально снят, но в HTML атрибут checked есть
  • •JavaScript ставит галочку при загрузке страницы
Как должно быть

Чекбокс по умолчанию ПУСТОЙ. Пользователь сам ставит отметку перед отправкой.

Основание

ст. 13.11 ч.2 КоАП

ℹ️ Для юрлиц при первом нарушении.

Что делать

Снимите предустановленную отметку с чекбокса согласия.

ВысокийPD_004

Нет ссылки на политику в форме

Штраф для юрлица
300 000 ₽ — 700 000 ₽
Что это значит

Рядом с формой, которая собирает ПДн, обязательно должна быть ссылка на политику конфиденциальности. Иначе пользователь не может ознакомиться с условиями обработки прежде, чем согласиться.

Какие варианты этого нарушения бывают
  • •Ссылки нет вообще
  • •Ссылка только в футере страницы, а форма в попапе — пользователь её не видит
  • •Ссылка есть, но текст «политика» без href
  • •Ссылка ведёт на страницу другого сайта (партнёра)
Как должно быть

Под чекбоксом текст: «Я ознакомлен с [Политикой конфиденциальности]» — слова в скобках кликабельны.

Основание

ст. 13.11 ч.2 КоАП

ℹ️ Для юрлиц при первом нарушении.

Что делать

Добавьте рядом с формой ссылку на политику обработки персональных данных.

КритичноPD_005

Зарубежный трекер Google Analytics

Штраф для юрлица
300 000 ₽ — 700 000 ₽
Что это значит

Google Analytics передаёт IP-адрес посетителя и его поведение в дата-центры Google в США. С 2022 это считается трансграничной передачей персональных данных. Нужно либо уведомить Роскомнадзор, либо отключить.

Какие варианты этого нарушения бывают
  • •gtag.js / google-analytics.com загружается на каждой странице
  • •Google Tag Manager (GTM) с подключённым GA
  • •Серверный gtag через прокси-домен (всё равно нарушение)
  • •GA4 в режиме «consent mode» без реального cookie-баннера — формально не помогает
Как должно быть

GA удалён, поставлена Яндекс.Метрика без webvisor или с самим webvisor, но с правильным cookie-согласием.

Основание

ст. 13.11 ч.8 (уведомление РКН) и ч.2 КоАП (согласие)

ℹ️ Для юрлиц по ч.2 ст.13.11 (300k–700k) при сборе данных через GA без согласия. Если не уведомили РКН о трансгран. передаче — добавляется ч.8 (юрлицо: до 6 млн ₽; повторное — до 18 млн).

Что делать

Отключите Google Analytics или оформите правовое основание трансграничной передачи + уведомите РКН. Для MVP рекомендуем заменить на Яндекс Метрику.

КритичноPD_006

Meta Pixel

Штраф для юрлица
300 000 ₽ — 700 000 ₽
Что это значит

Meta Pixel передаёт данные посетителей в США (Meta Platforms — материнская компания Facebook, признана экстремистской в РФ). Использование пикселя несёт двойной риск: штраф за обработку ПДн без согласия и трансгран. передачу + дополнительные правовые претензии из-за статуса Meta.

Какие варианты этого нарушения бывают
  • •connect.facebook.net в скриптах сайта
  • •fbq() в коде — типовой вызов Pixel
  • •Скрипт через Google Tag Manager (Pixel настроен как тег GTM)
  • •Старый код Facebook Customer Audience
Как должно быть

Meta Pixel удалён полностью. Для ретаргета используется Яндекс.Аудитории / VK Pixel.

Основание

ст. 13.11 ч.8 КоАП + статус Meta

ℹ️ Прямой штраф по ч.2 ст.13.11 (300k–700k). При установленной трансгран. передаче — до 6 млн (ч.8). Дополнительные риски, не покрытые штрафом КоАП, связаны со статусом Meta в РФ.

Что делать

Удалите Meta Pixel.

ВысокийPD_007

Иные иностранные трекеры

Штраф для юрлица
300 000 ₽ — 700 000 ₽
Что это значит

Любые сторонние трекеры, которые сетят cookies или собирают идентификаторы пользователя, должны быть с правовым основанием. Для иностранных сервисов дополнительно нужно уведомление РКН о трансграничной передаче.

Какие варианты этого нарушения бывают
  • •Hotjar / FullStory / Mouseflow — записывают сессии пользователя
  • •Mixpanel / Amplitude — продуктовая аналитика
  • •Sentry / Rollbar — отлов ошибок (тоже передают URL и user-agent в США)
  • •Виджеты соцсетей (кнопка «Поделиться в Facebook») с неотключённым tracking
Как должно быть

Все аналитические скрипты заменены на отечественные (Метрика, Roistat, Carrot Quest). Для оставшихся — подано уведомление РКН.

Основание

ст. 13.11 ч.8 + ч.2 КоАП

ℹ️ Для юрлиц по ч.2 ст.13.11 (300k–700k) при отсутствии согласия. По ч.8 (трансгран. передача без уведомления РКН) — до 6 млн, повторно — до 18 млн.

Что делать

Проверьте домены трекеров. Уведомите РКН о трансграничной передаче или замените на отечественные сервисы.

СреднийPD_008

Нет cookie-баннера

Штраф для юрлица
30 000 ₽ — 90 000 ₽
Что это значит

Cookie — это персональные данные, потому что через них можно идентифицировать пользователя. Если ваш сайт ставит хоть один cookie (а так делает почти любой сайт) — пользователя надо об этом уведомить.

Какие варианты этого нарушения бывают
  • •Никакого баннера нет — сайт молча сетит десятки cookie
  • •Баннер есть, но появляется только в Европе через GeoIP, а в России не показывается
  • •Уведомление в политике, но без видимого баннера на странице — нарушение требования об информировании
Как должно быть

При первом визите снизу страницы появляется плашка: «Сайт использует cookie. Подробнее — в политике. [Принять] [Отклонить] [Настройки]».

Основание

ст. 13.11 ч.1/ч.2 КоАП

ℹ️ Для юрлиц как нарушение требований к информированию о ПДн (ч.1 ст.13.11). При наличии аналитических трекеров без согласия применяется ч.2 — от 300 000 до 700 000 ₽.

Что делать

Добавьте cookie-баннер с понятным текстом и ссылкой на политику.

СреднийPD_009

Cookie-баннер без кнопки «Отклонить»

Штраф для юрлица
30 000 ₽ — 90 000 ₽
Что это значит

Согласие должно быть симметричным: отказаться от cookies должно быть так же легко, как согласиться. Если кнопка «Принять» большая зелёная, а «Отклонить» спрятана — это формальное, а не реальное согласие.

Какие варианты этого нарушения бывают
  • •Только кнопка «Принять», крестика нет
  • •Кнопка «Отклонить» в третьем уровне меню «Настройки»
  • •Кнопка «Принять» зелёная и большая, «Отклонить» серая и мелкая
  • •Закрытие баннера крестиком автоматически = согласие
Как должно быть

Две одинаковые по размеру и контрасту кнопки «Принять» и «Отклонить» в одной строке.

Основание

ст. 13.11 ч.2 КоАП (по аналогии с практикой РКН)

ℹ️ Прямой состав отсутствует. Применяется как нарушение порядка получения согласия по ч.1/ч.2 ст.13.11 КоАП.

Что делать

Добавьте кнопку «Отклонить» и настройки согласий.

ИнфоPD_010

Нет уведомления РКН — ручная проверка

Штраф для юрлица
100 000 ₽ — 300 000 ₽
Что это значит

Любая компания, обрабатывающая ПДн (а это почти любой сайт с формой обратной связи), обязана подать в Роскомнадзор уведомление об обработке. Проверить факт уведомления автоматически нельзя — нужно искать вашу компанию в реестре операторов pd.rkn.gov.ru.

Какие варианты этого нарушения бывают
  • •Уведомление никогда не подавалось
  • •Подавалось 5+ лет назад, реквизиты устарели
  • •Подавалось на старое юрлицо после реорганизации
  • •В уведомлении не указаны актуальные категории ПДн (например, забыли cookie-идентификаторы)
Как должно быть

Компания зарегистрирована в реестре операторов РКН с актуальными категориями данных, целями обработки и сроками хранения.

Основание

ст. 13.11 ч.10 КоАП

ℹ️ Для юрлиц по ч.10 ст.13.11. Проверьте оператора в реестре РКН вручную: pd.rkn.gov.ru.

Что делать

Проверьте наличие уведомления оператора ПДн в реестре РКН вручную.

ВысокийPD_011

Нет отдельного согласия на рекламную рассылку

Штраф для юрлица
100 000 ₽ — 500 000 ₽
Что это значит

Согласие на обработку ПДн и согласие на получение рекламной рассылки — это два разных согласия. Нельзя получать одной галочкой. Если пользователь согласился на обработку email — это не значит, что он согласился получать рассылки.

Какие варианты этого нарушения бывают
  • •Один чекбокс «Согласен на обработку ПДн и получение рассылки»
  • •Чекбокс на согласие есть, но для рассылки автоматически добавляется при отправке
  • •Подписка только при оформлении заказа, без отдельного шага
  • •Рассылка идёт всем, кто хоть раз оставил email
Как должно быть

Под формой два чекбокса. Первый обязательный — «Согласен на обработку ПДн». Второй необязательный — «Хочу получать новости и акции». Только при отметке второго пользователь добавляется в рассылку.

Основание

38-ФЗ ст. 18; 152-ФЗ; КоАП РФ ст. 14.3 ч.1

ℹ️ Для юрлиц по ч.1 ст.14.3 КоАП за рассылку рекламы без согласия адресата.

Что делать

Добавьте отдельный необязательный чекбокс согласия на рекламную рассылку. Не смешивайте его с согласием на обработку ПД.

ВысокийPD_012

Политика ПДн не раскрывает оператора или цели

Штраф для юрлица
30 000 ₽ — 60 000 ₽
Что это значит

Политика — это не «текст для галочки». В неё обязательно должны входить конкретные сведения по 152-ФЗ ст.18.1: кто оператор, для каких целей собираются ПДн, сколько хранятся, как пользователь может их удалить или отозвать согласие.

Какие варианты этого нарушения бывают
  • •Документ скопирован у конкурента — указан чужой оператор
  • •Перечислены данные, но не цели обработки
  • •Срок хранения — «бессрочно» или «до прекращения деятельности»
  • •Нет порядка отзыва согласия и контактов оператора
Как должно быть

Политика на 1-2 экранах с разделами: Оператор · Цели обработки · Категории данных · Сроки · Порядок отзыва · Контакты для запросов.

Основание

152-ФЗ ст.18.1; КоАП РФ ст.13.11 ч.3

ℹ️ Для юрлиц по ч.3 ст.13.11 КоАП — публикация политики, не соответствующей требованиям 152-ФЗ.

Что делать

Доработайте политику: оператор, цели, категории ПДн, сроки хранения, порядок отзыва, контакты, трансграничная передача.

ВысокийCK_001

Аналитические/маркетинговые cookie активны до согласия

Штраф для юрлица
300 000 ₽ — 700 000 ₽
Что это значит

Самое частое нарушение: трекеры (Метрика, GA, Pixel) загружаются и начинают собирать данные ДО того, как пользователь согласился. Это значит, что согласие не имеет никакого смысла — данные уже ушли. Юридически это «обработка ПДн без правового основания».

Какие варианты этого нарушения бывают
  • •Скрипты Метрики/GA в <head> — срабатывают до того, как пользователь увидит баннер
  • •Cookie от трекера сетятся при первом запросе, а баннер появляется через 2 секунды
  • •Кнопка «Отклонить» работает декоративно — трекер всё равно работает
  • •Cookie третьих сторон (рекламные пиксели Яндекса, ВК) сетятся всегда
Как должно быть

Все аналитические/маркетинговые скрипты загружаются ТОЛЬКО после нажатия «Принять» — через GTM Consent Mode или через свой обработчик баннера.

Основание

152-ФЗ ст.6; КоАП РФ ст.13.11 ч.2

ℹ️ Для юрлиц по ч.2 ст.13.11. Если в трекерах участвует трансгран. передача — добавляется ч.8 (до 6 млн ₽).

Что делать

Блокируйте аналитику и маркетинговые пиксели до выбора пользователя. Разделите необходимые, аналитические и рекламные cookie.

Реквизиты компании

СреднийRQ_001

Нет юридического наименования

Штраф для юрлица
5 000 ₽ — 10 000 ₽
Что это значит

Сайт, продающий товары/услуги, обязан указать, кто именно продавец. Без юридического наименования (ООО / ИП / самозанятый) пользователь не может ни выбрать оплату, ни вернуть товар, ни пожаловаться.

Какие варианты этого нарушения бывают
  • •В футере только торговое название бренда («Свежий Хлеб»), без ООО/ИП
  • •ООО есть, но без названия — просто «Общество с ограниченной ответственностью»
  • •Только мелким шрифтом в самом конце политики
  • •Указан лишь домен сайта, без оператора
Как должно быть

В футере каждой страницы: «© 2026 ИП Шиллер Александр Александрович, ИНН 1234567890».

Основание

ст. 14.8 ч.1 КоАП

ℹ️ Для юрлиц по ч.1 ст.14.8 КоАП. Для ИП и должностных лиц — 500–1 000 ₽.

Что делать

Добавьте полное наименование продавца/исполнителя в футер или раздел контактов.

СреднийRQ_002

Нет ИНН

Штраф для юрлица
5 000 ₽ — 10 000 ₽
Что это значит

ИНН — главный идентификатор юрлица или ИП. Без ИНН покупатель не может проверить продавца в открытых реестрах (ЕГРЮЛ/ЕГРИП), не может корректно оформить возврат или налоговый вычет.

Какие варианты этого нарушения бывают
  • •ИНН не указан вообще
  • •Указан, но без префикса «ИНН» (просто число) — пользователь не понимает, что это
  • •Указан только в публичной оферте (PDF)
  • •Указан старый ИНН после смены юрлица
Как должно быть

В футере: «ИП Шиллер А.А., ИНН 1234567890, ОГРНИП 304500116400063».

Основание

ст. 14.8 ч.1 КоАП

ℹ️ Для юрлиц по ч.1 ст.14.8 КоАП.

Что делать

Разместите ИНН в карточке реквизитов.

СреднийRQ_003

Нет ОГРН / ОГРНИП

Штраф для юрлица
5 000 ₽ — 10 000 ₽
Что это значит

ОГРН (для юрлица) или ОГРНИП (для ИП) — государственный регистрационный номер. Подтверждает, что компания действительно зарегистрирована и не однодневка.

Какие варианты этого нарушения бывают
  • •ОГРН не указан, есть только ИНН
  • •У ИП указан ОГРН вместо ОГРНИП (разный формат: 13 vs 15 знаков)
  • •Указан с ошибкой — не сходится контрольная сумма
  • •Старый ОГРН после реорганизации
Как должно быть

«ОГРН 1027700132195» (для ООО) или «ОГРНИП 304500116400063» (для ИП), рядом с ИНН и адресом.

Основание

ст. 14.8 ч.1 КоАП

ℹ️ Для юрлиц по ч.1 ст.14.8 КоАП.

Что делать

Разместите ОГРН/ОГРНИП в реквизитах.

СреднийRQ_004

Нет юридического адреса

Штраф для юрлица
5 000 ₽ — 10 000 ₽
Что это значит

Покупатель должен знать, куда отправлять претензии и где находится продавец физически. Это требование ЗоЗПП — без адреса вы фактически анонимный продавец.

Какие варианты этого нарушения бывают
  • •Адреса нет вообще, только email и телефон
  • •Указан только город, без улицы и дома
  • •Адрес магазина, а не юридический адрес компании
  • •Адрес в формате «работаем удалённо по всей России» — не подходит
Как должно быть

В футере и в политике: «Юридический адрес: 125009, г. Москва, ул. Тверская, д. 1, оф. 100».

Основание

ст. 14.8 ч.1 КоАП

ℹ️ Для юрлиц по ч.1 ст.14.8 КоАП.

Что делать

Добавьте адрес местонахождения организации или ИП.

СреднийRQ_005

Нет контактов

Штраф для юрлица
5 000 ₽ — 10 000 ₽
Что это значит

Продавец обязан предоставить минимум один способ связи — email или телефон. По ЗоЗПП покупатель должен иметь возможность задать вопрос ДО покупки и оформить претензию ПОСЛЕ.

Какие варианты этого нарушения бывают
  • •Только форма обратной связи без явного email/телефона
  • •Только мессенджер (WhatsApp/Telegram) — формально не считается
  • •Email указан, но не работает (отскоки)
  • •Телефон только для звонков, без приёма SMS/мессенджеров
Как должно быть

В шапке и футере: телефон 8 800 ХХХ-ХХ-ХХ + email info@company.ru. Желательно ещё мессенджер для удобства.

Основание

ст. 14.8 ч.1 КоАП

ℹ️ Для юрлиц по ч.1 ст.14.8 КоАП.

Что делать

Добавьте email и телефон для связи.

ВысокийRQ_006

Нет лицензии

Штраф для юрлица
40 000 ₽ — 50 000 ₽
Что это значит

Медицинская и образовательная деятельность лицензируются государством. Если вы оказываете услуги без лицензии или забыли её опубликовать — это либо административка (40-50k штраф для юрлица), либо уголовка по ст.235 УК.

Какие варианты этого нарушения бывают
  • •Лицензия есть, но не опубликована на сайте
  • •Лицензия истекла, на сайте старый скан
  • •Деятельность реально нелицензируемая (например, репетиторство), но сайт оформлен как клиника/школа
  • •Лицензия есть на одно юрлицо, а на сайте указано другое
Как должно быть

В футере и на отдельной странице: «Лицензия № Л041-01177-77/00379024 от 01.02.2024, ссылка на реестр Росздравнадзора».

Основание

ст. 14.1 ч.2 КоАП; ст. 235 УК

ℹ️ Для юрлиц по ч.2 ст.14.1 КоАП (40 000–50 000 ₽ + конфискация). Если деятельность причинила вред здоровью — уголовная ответственность по ст. 235 УК.

Что делать

Разместите сведения о лицензии и ссылку на реестр (например, roszdravnadzor.gov.ru для медицины).

Документы и e-commerce

СреднийDOC_001

Нет публичной оферты

Штраф для юрлица
5 000 ₽ — 10 000 ₽
Что это значит

Публичная оферта — это договор-образец, который вы предлагаете каждому покупателю. По ГК РФ это обязательная форма для интернет-магазинов и сервисов с подпиской.

Какие варианты этого нарушения бывают
  • •Оферты нет вообще
  • •Оферта есть, но без реквизитов исполнителя
  • •Оферта только PDF — пользователь не видит, что в ней
  • •Скопирована у конкурента, остались чужие реквизиты
Как должно быть

Ссылка «Публичная оферта» в футере → отдельная HTML-страница с разделами: предмет, права, обязанности, оплата, сроки, реквизиты исполнителя.

Основание

ст. 14.8 ч.1 КоАП; ЗоЗПП ст.10

ℹ️ Для юрлиц по ч.1 ст.14.8 КоАП за непредоставление информации о товаре/продавце.

Что делать

Добавьте публичную оферту с условиями покупки.

СреднийDOC_002

Нет условий возврата

Штраф для юрлица
5 000 ₽ — 10 000 ₽
Что это значит

По ЗоЗПП ст.26.1 покупатель в интернет-магазине имеет расширенное право возврата: 7 дней без объяснения причин для подходящего товара. Если правил возврата нет на сайте — срок автоматически растягивается до 3 месяцев.

Какие варианты этого нарушения бывают
  • •Раздела «Возврат» нет вообще
  • •Указано «возврат не предусмотрен» — это незаконно
  • •Условия только в чате с менеджером
  • •Возврат только за свой счёт без объяснения когда, как, по каким реквизитам
Как должно быть

Страница «Возврат и обмен»: 7 дней с момента получения, какие товары не подлежат возврату по закону, как оформить (форма + email), за чей счёт доставка возврата, сроки возврата денег.

Основание

ст. 14.8 ч.1 КоАП; ЗоЗПП ст.26.1

ℹ️ Для юрлиц. При продаже дистанционно отсутствие правил возврата даёт покупателю расширенные права (возврат в течение 3 мес).

Что делать

Добавьте раздел возврата/обмена товара.

НизкийDOC_003

Нет пользовательского соглашения

Штраф для юрлица
5 000 ₽ — 10 000 ₽
Что это значит

Если на сайте есть личный кабинет/регистрация, нужно пользовательское соглашение. Это договор между вами и пользователем: что он может делать в кабинете, что нельзя, в каких случаях вы можете заблокировать аккаунт, как удалить данные.

Какие варианты этого нарушения бывают
  • •Соглашения нет, регистрация просто работает
  • •Соглашение в политике конфиденциальности — это разные документы
  • •Пользователь не подтверждает соглашение при регистрации
  • •Текст скопирован у западных сервисов и не адаптирован под РФ
Как должно быть

При регистрации чекбокс «Я принимаю Пользовательское соглашение» со ссылкой на отдельную страницу с разделами: предмет, права, обязанности, блокировка, удаление аккаунта.

Основание

ст. 14.8 ч.1 КоАП

ℹ️ Для юрлиц по ч.1 ст.14.8.

Что делать

Добавьте пользовательское соглашение.

СреднийDOC_004

Нет политики cookie

Штраф для юрлица
30 000 ₽ — 60 000 ₽
Что это значит

Cookie-policy — отдельный документ или раздел политики, где описано: какие cookie сайт ставит, для каких целей, на какой срок, как пользователь может ими управлять.

Какие варианты этого нарушения бывают
  • •Cookie-policy нет ни как отдельной страницы, ни в политике конфиденциальности
  • •В политике одна фраза «мы используем cookie» без деталей
  • •Документ есть, но без перечисления конкретных cookie (только общие слова)
  • •Документ скопирован с GDPR-сайта, упоминает европейские нормы вместо 152-ФЗ
Как должно быть

Отдельная страница «Политика cookie»: список используемых cookie с описанием (необходимые / аналитические / маркетинговые), сроком хранения, способом отказа.

Основание

ст. 13.11 ч.1 КоАП

ℹ️ Для юрлиц как часть требований к информированию по ст.13.11 ч.1 (30k–60k). При сборе ПДн через cookie без согласия — применяется ч.2 (300k–700k).

Что делать

Разместите cookie policy или включите отдельный раздел в политику ПДн.

СреднийECOM_001

Нет условий доставки

Штраф для юрлица
5 000 ₽ — 10 000 ₽
Что это значит

Если вы продаёте товары через сайт, по ЗоЗПП ст.10 покупатель должен ДО оформления заказа знать: куда вы доставляете, в какие сроки, сколько это стоит. Без этой информации сделка некорректна.

Какие варианты этого нарушения бывают
  • •Раздела «Доставка» вообще нет
  • •Условия только в чате с менеджером
  • •Указано «доставка по всей России», но без сроков и стоимости
  • •Информация только в публичной оферте, мелким шрифтом
Как должно быть

Отдельная страница «Доставка» с таблицей: регионы, сроки, способ (СДЭК/Почта/курьер), стоимость, минимальный заказ.

Основание

ЗоЗПП ст. 10; КоАП РФ ст. 14.8

Что делать

Добавьте отдельный раздел с регионами, сроками, стоимостью и порядком доставки.

СреднийECOM_002

Нет информации о способах оплаты

Штраф для юрлица
5 000 ₽ — 10 000 ₽
Что это значит

Покупатель должен видеть ДО оплаты: какие способы оплаты доступны, кто принимает деньги, выдаётся ли чек. Без этого нельзя осознанно оформить покупку.

Какие варианты этого нарушения бывают
  • •Только «оплата при получении» без вариантов карты
  • •Названия систем (СБП, Yookassa) указаны, но без юрлица-получателя
  • •Чеки не упоминаются — пользователь не знает, получит ли
  • •Оплата только криптой / переводом «на номер карты»
Как должно быть

Страница «Оплата»: способы (карта, СБП, наложенный платёж), момент списания, кто получатель, выдаётся ли электронный чек на email.

Основание

ЗоЗПП ст. 10; КоАП РФ ст. 14.8

Что делать

Добавьте способы оплаты, момент списания, порядок выдачи чека и условия отмены.

СреднийECOM_003

Нет полной информации о цене/валюте

Штраф для юрлица
5 000 ₽ — 10 000 ₽
Что это значит

Цена должна быть явно указана в рублях и включать все обязательные платежи. Если цена в долларах или «уточняйте у менеджера» — это нарушение прав потребителя на информацию.

Какие варианты этого нарушения бывают
  • •Цена не указана, кнопка «Узнать стоимость»
  • •Цена в условных единицах ($ / у.е. / евро) без явной конвертации
  • •Цена «от» без верхней границы
  • •Скрытые комиссии — «+5% за эквайринг при оплате картой»
Как должно быть

У каждого товара: цена в ₽, под ней: «В стоимость включены НДС, комиссия за эквайринг. Доставка считается отдельно».

Основание

ЗоЗПП ст. 10; КоАП РФ ст. 14.8

Что делать

Показывайте полную цену в рублях, условия оплаты и дополнительные платежи до оформления заказа.

Реклама

ВысокийADS_001

Рекламный баннер без метки «Реклама»

Штраф для юрлица
100 000 ₽ — 500 000 ₽
Что это значит

Любая реклама на сайте (даже своя) должна быть видимо помечена словом «Реклама». Это требование закона о рекламе ст.3 — пользователь должен сразу понимать, что перед ним продвижение, а не редакционный материал.

Какие варианты этого нарушения бывают
  • •Баннер партнёра без подписи
  • •Промо-блок собственного товара без слова «Реклама»
  • •Слово «Реклама» есть, но мелким серым шрифтом и плохо различимо
  • •Подпись «Партнёрский материал» — недостаточно, нужно именно «Реклама»
Как должно быть

Над каждым рекламным блоком: подпись «Реклама. Рекламодатель: ИП Иванов И.И. ИНН 1234567890. erid: ABCDe…».

Основание

ст. 14.3 ч.1 КоАП

ℹ️ Для юрлиц по ч.1 ст.14.3 КоАП. Для ИП и должностных лиц — 4 000–20 000 ₽, для граждан — 2 000–2 500 ₽.

Что делать

Добавьте маркировку «Реклама» рядом с рекламным блоком.

ВысокийADS_002

Нет токена erid

Штраф для юрлица
200 000 ₽ — 500 000 ₽
Что это значит

erid — уникальный идентификатор рекламного креатива из системы ЕРИР Роскомнадзора. С 1 сентября 2022 каждый рекламный материал в интернете обязан иметь свой erid, иначе размещение нелегально.

Какие варианты этого нарушения бывают
  • •Реклама размещена напрямую с рекламодателем без оператора рекламных данных (ОРД)
  • •erid получен, но не вставлен в HTML/URL
  • •erid вставлен только в подпись, но не в кликабельную ссылку
  • •Старый erid — не обновился после смены креатива
Как должно быть

Каждая рекламная ссылка: <a href="?erid=ABCDe…12345">…</a>, и erid дополнительно в подписи блока.

Основание

ст. 14.3 ч.16 КоАП

ℹ️ Для юрлиц по ч.16 ст.14.3. Штрафы суммируются по каждой публикации без erid.

Что делать

Передавайте erid в ссылках/атрибутах рекламных блоков.

ВысокийADS_003

Нет данных рекламодателя

Штраф для юрлица
100 000 ₽ — 500 000 ₽
Что это значит

Рядом с любым рекламным блоком должны быть видимы данные рекламодателя — название и ИНН. Это нужно, чтобы пользователь мог проверить, кто именно ему что-то продаёт.

Какие варианты этого нарушения бывают
  • •Только название бренда, без ИНН
  • •Данные есть в кликабельном слое «info», но не на самом блоке
  • •Указан рекламораспространитель вместо рекламодателя
  • •Данные подгружаются JS и могут не успеть появиться до взаимодействия
Как должно быть

Под рекламной картинкой: «Реклама. ООО «Ромашка», ИНН 7707083893. erid: ABCDe…».

Основание

ст. 14.3 ч.1 КоАП (или ч.17 для оператора рекламных данных)

ℹ️ Для юрлиц-рекламодателей по ч.1 ст.14.3. Для оператора рекламных данных по ч.17 — 300 000–700 000 ₽.

Что делать

Добавьте сведения о рекламодателе, включая ИНН.

ВысокийADS_004

Латинские слова в рекламе без перевода

Штраф для юрлица
100 000 ₽ — 500 000 ₽
Что это значит

В рекламе (баннерах, промо-блоках) запрещены иностранные слова, у которых есть русские аналоги — кроме зарегистрированных торговых марок. «Sale 50%», «Best price», «New Collection» — нарушение, хотя многие считают это «дизайном».

Какие варианты этого нарушения бывают
  • •Большие баннеры с «SALE -50%»
  • •Промо-блоки «New Collection», «Limited Edition»
  • •CTA «Get started», «Buy now», «Try for free»
  • •Слова латиницей, написанные кириллицей выглядели бы странно — но это не оправдание
Как должно быть

«Распродажа -50%» вместо «SALE -50%», «Новая коллекция» вместо «New Collection», «Купить» вместо «Buy». Бренд (Nike, Apple) — оставляем.

Основание

38-ФЗ ст. 5 ч.5 п.1; КоАП РФ ст. 14.3 ч.1

ℹ️ Диапазон для юридических лиц по общему составу нарушения законодательства о рекламе.

Что делать

Проверьте рекламные блоки и замените иностранные слова русскими аналогами либо добавьте понятный русский перевод без ухудшения заметности.

Язык и техническое

ВысокийTECH_001

Нет HTTPS

Штраф для юрлица
50 000 ₽ — 100 000 ₽
Что это значит

Без HTTPS все данные между браузером и сервером передаются в открытом виде. Любой человек в той же сети (кафе, отель, провайдер) может прочитать пароли, банковские карты, личные сообщения с вашего сайта.

Какие варианты этого нарушения бывают
  • •Сайт открывается только по HTTP
  • •HTTP и HTTPS работают параллельно (нет редиректа)
  • •HTTPS есть, но сертификат истёк или самоподписанный
  • •Главная по HTTPS, но формы submit-ятся на HTTP endpoint (см. SEC_008)
Как должно быть

Сайт работает только по HTTPS, все HTTP-запросы редиректятся на HTTPS. Сертификат от Let’s Encrypt автоматически продлевается. Включён HSTS-заголовок.

Основание

152-ФЗ ст. 19 (меры защиты ПДн); ст. 13.11 ч.6 КоАП

ℹ️ Прямого штрафа за отсутствие HTTPS нет. Если на сайте есть формы сбора ПДн — это нарушение требований к мерам защиты по 152-ФЗ ст.19, штраф для юрлица по ч.6 ст.13.11 КоАП — 50 000–100 000 ₽.

Что делать

Настройте TLS-сертификат и редирект на HTTPS.

НизкийTECH_002

Кнопки/UI на иностранном языке

Штраф для юрлица
5 000 ₽ — 10 000 ₽
Что это значит

Кнопки «Submit», «OK», «Close», «Send» на интерфейсе сайта — нарушение 53-ФЗ для российской аудитории. Пользователь может не понимать, что они означают, особенно люди старшего возраста.

Какие варианты этого нарушения бывают
  • •Шаблон сайта на английском, переведена только часть
  • •Готовый CMS (WordPress, Tilda) с английскими дефолтами
  • •Кнопки в формах не переведены, потому что разработчик забыл
  • •Английские иконки-подсказки (tooltip) при наведении
Как должно быть

Все кнопки и системные сообщения на русском: «Отправить» / «Закрыть» / «Сохранить» / «Подробнее».

Основание

53-ФЗ ст.3; ст. 14.8 ч.1 КоАП

ℹ️ Для юрлиц по ч.1 ст.14.8 КоАП за непредставление информации потребителю на русском.

Что делать

Переведите пользовательский интерфейс на русский язык.

ИнфоTECH_003

Нет тега lang в HTML

Штраф для юрлица
Прямого штрафа нет
Что это значит

Атрибут <html lang="ru"> говорит браузерам, поисковикам и скринридерам, что страница на русском. Без него браузер может предлагать перевод сайта, поиск может ошибиться с языком, а голосовые читалки для незрячих неправильно произнесут текст.

Какие варианты этого нарушения бывают
  • •<html> без lang вообще
  • •<html lang="en"> — осталось из шаблона
  • •lang="ru-RU" — формально работает, но обычно ставят lang="ru"
  • •lang выставляется JavaScript-ом, а не в HTML
Как должно быть

<html lang="ru"> в самом верху каждой HTML-страницы.

Основание

Best practice

Что делать

Добавьте `<html lang="ru">`.

СреднийTECH_004

Латинские слова без русского аналога

Штраф для юрлица
5 000 ₽ — 10 000 ₽
Что это значит

По 53-ФЗ ст.3 информация для потребителя должна быть на русском. Бренды и торговые знаки можно — но обычные слова «Buy now», «Sale», «Best price» обязаны иметь русский эквивалент рядом или вместо них.

Какие варианты этого нарушения бывают
  • •Кнопки на английском без перевода (Submit, Send, Close)
  • •Названия разделов меню (Shop, About, Contact)
  • •Маркетинговые слова в баннерах (Sale 50%, New Collection)
  • •Английский на CTA — «Get started», «Try for free»
Как должно быть

Все элементы интерфейса и маркетинговые тексты на русском. Бренд может остаться (Apple), но кнопка должна быть «Купить», а не «Buy».

Основание

53-ФЗ ст. 3; ЗоЗПП ст. 10.1; КоАП РФ ст. 14.8 ч.1

ℹ️ Для юрлиц по общему составу нарушения права потребителя на информацию. Для ИП/должностных лиц обычно 500–1 000 ₽.

Что делать

Замените англицизмы на русские слова или добавьте равнозначный русский перевод рядом: например, не Shop, а Магазин; не Sale, а Скидка/Распродажа.

Безопасность

СреднийSEC_002

Нет Content-Security-Policy

Штраф для юрлица
Прямого штрафа нет
Что это значит

Content-Security-Policy (CSP) — заголовок ответа сервера, который говорит браузеру, какие скрипты и ресурсы можно подгружать. Без CSP сайт уязвим к XSS-атакам — кто-то может вставить вредоносный код через комментарии/формы.

Какие варианты этого нарушения бывают
  • •CSP не настроен вообще
  • •CSP есть, но настроен слишком разрешительно (default-src *)
  • •CSP в meta-теге, а не в заголовке (хуже, но лучше чем ничего)
Как должно быть

В заголовке ответа: Content-Security-Policy: default-src 'self'; script-src 'self' mc.yandex.ru; …

Основание

Best practice / риск ИБ

Что делать

Настройте Content-Security-Policy с ограничением script-src, frame-src, img-src и connect-src.

СреднийSEC_003

Нет HSTS

Штраф для юрлица
Прямого штрафа нет
Что это значит

HSTS (Strict-Transport-Security) — заголовок, который заставляет браузер всегда подключаться к сайту по HTTPS, даже если пользователь набрал http://. Защищает от downgrade-атак, когда злоумышленник пытается «понизить» соединение до незашифрованного.

Какие варианты этого нарушения бывают
  • •Заголовок не выставлен
  • •max-age слишком мал (меньше 6 месяцев — нет смысла)
  • •Нет includeSubDomains — поддомены остаются уязвимы
  • •preload не запрошен — пользователи без посещения сайта не защищены
Как должно быть

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload — после того как все поддомены работают по HTTPS.

Основание

Best practice / риск ИБ

Что делать

Добавьте Strict-Transport-Security после проверки корректности HTTPS на всех поддоменах.

СреднийSEC_004

Нет защиты от clickjacking

Штраф для юрлица
Прямого штрафа нет
Что это значит

Clickjacking — атака, когда злоумышленник встраивает ваш сайт в iframe на своём вредоносном сайте, накладывает поверх прозрачный слой и заставляет пользователя кликать по «невидимым» кнопкам вашего сайта (например, чтобы оплатить или подтвердить действие).

Какие варианты этого нарушения бывают
  • •Заголовка X-Frame-Options нет, CSP frame-ancestors тоже нет
  • •X-Frame-Options: ALLOWALL — формально есть, но защиты нет
  • •CSP frame-ancestors *
  • •Защита настроена только на главной, на других страницах нет
Как должно быть

X-Frame-Options: SAMEORIGIN или CSP frame-ancestors 'self'. Если виджеты сайта встраиваются на доверенные домены — добавьте их в whitelist.

Основание

Best practice / риск ИБ

Что делать

Добавьте X-Frame-Options: SAMEORIGIN или CSP frame-ancestors.

НизкийSEC_005

Нет X-Content-Type-Options nosniff

Штраф для юрлица
Прямого штрафа нет
Что это значит

X-Content-Type-Options: nosniff запрещает браузеру угадывать MIME-тип файлов. Без этого заголовка браузер может выполнить как JavaScript то, что вы отдали как картинку или текст — это путь для XSS-атак.

Какие варианты этого нарушения бывают
  • •Заголовок не выставлен
  • •Выставлен только на статике, нет на API ответах
  • •Сервер отдаёт неправильный Content-Type, но nosniff блокирует — и контент не работает (нужно чинить тип, а не убирать nosniff)
Как должно быть

X-Content-Type-Options: nosniff на всех ответах сервера, плюс корректные Content-Type для каждого ресурса.

Основание

Best practice / риск ИБ

Что делать

Добавьте заголовок X-Content-Type-Options: nosniff.

НизкийSEC_006

Нет Referrer-Policy

Штраф для юрлица
Прямого штрафа нет
Что это значит

Referrer-Policy управляет тем, какую информацию ваш сайт передаёт по полю Referer при переходах на другие сайты. Без настройки полный URL (с параметрами, идентификаторами сессии) передаётся всем внешним ресурсам — это утечка приватности.

Какие варианты этого нарушения бывают
  • •Заголовок не выставлен — браузер шлёт полный URL
  • •no-referrer-when-downgrade — старая дефолт, безопаснее настроить strict
  • •unsafe-url — анти-паттерн, специально слать всё
  • •Referrer-Policy в meta, но не в заголовке
Как должно быть

Referrer-Policy: strict-origin-when-cross-origin или no-referrer для особо чувствительных страниц (личный кабинет, оплата).

Основание

Best practice / риск приватности

Что делать

Добавьте Referrer-Policy: strict-origin-when-cross-origin или более строгую политику.

ВысокийSEC_007

Mixed content

Штраф для юрлица
Прямого штрафа нет
Что это значит

Mixed content — когда HTTPS-страница подгружает скрипты, картинки или iframe по HTTP. Браузер может заблокировать такие ресурсы, плюс это «дыра» — злоумышленник в сети может подменить эти ресурсы своим кодом.

Какие варианты этого нарушения бывают
  • •Скрипты партнёров/виджетов по http://
  • •Картинки в контенте, залитые когда-то по http
  • •Шрифты с CDN по http
  • •iframe видео-плеера по http
Как должно быть

Все ресурсы загружаются по https://. Включён CSP upgrade-insecure-requests, который автоматически апгрейдит http-запросы до https.

Основание

Best practice / риск ИБ

Что делать

Замените HTTP-ресурсы на HTTPS и настройте upgrade-insecure-requests.

КритичноSEC_008

Форма отправляется на HTTP

Штраф для юрлица
50 000 ₽ — 100 000 ₽
Что это значит

Если форма с персональными данными отправляется на http://endpoint, данные летят в открытом виде. Это худший случай: пользователь думает что страница защищена (замочек в браузере), а его данные перехватываются.

Какие варианты этого нарушения бывают
  • •<form action="http://..."> вместо https
  • •Форма submit-ится на легаси-обработчик без HTTPS
  • •AJAX-запрос на http API, хотя сайт по https
  • •Форма на CDN-домене с HTTPS, но сам обработчик без
Как должно быть

Все формы submit-ятся только на https endpoint того же или доверенного домена. AJAX-запросы тоже только https.

Основание

152-ФЗ; риск утечки ПДн

Что делать

Отправляйте формы только на HTTPS endpoint.

КритичноSEC_009

В HTML/JS найден возможный секрет или API key

Штраф для юрлица
Прямого штрафа нет
Что это значит

API-ключи, токены, пароли БД случайно попавшие в публичный JS или HTML — это утечка. Даже если ключ «только на чтение», его могут использовать для парсинга, спама, перебора.

Какие варианты этого нарушения бывают
  • •API-ключ хардкодом в JavaScript
  • •Sentry DSN в публичном коде — формально не критично, но видно злоумышленнику
  • •Закомментированные тестовые токены остались в проде
  • •Ключи в HTML-комментариях («TODO: убрать перед продом»)
Как должно быть

Все секреты на сервере, на клиент уходят только публичные ключи (например, Stripe publishable key). Перед деплоем поиск по grep на ключевые префиксы.

Основание

Риск ИБ / возможная утечка

Что делать

Немедленно проверьте найденные ключи, отзовите их и перенесите секреты на сервер.

СреднийSEC_010

Открыты source map или служебные ссылки

Штраф для юрлица
Прямого штрафа нет
Что это значит

Source maps (.map) и служебные ссылки (admin/, test/, dev/, staging/, backup/) — это «карты» вашего проекта. Они помогают злоумышленнику понять структуру кода, найти бэкдоры, вычислить уязвимости.

Какие варианты этого нарушения бывают
  • •.map файлы рядом с .js в проде (типичная ошибка webpack)
  • •Доступная страница /admin без авторизации
  • •Бэкап БД скачивается с /backup.sql
  • •Тестовая среда staging.site.ru проиндексирована Google
Как должно быть

Source maps не попадают в прод (или доступны только из внутренней сети). Все служебные разделы за HTTP-аутентификацией. Staging закрыт robots.txt и basic auth.

Основание

Best practice / риск ИБ

Что делать

Уберите source maps из публичного production или ограничьте доступ. Закройте служебные разделы.

СреднийSEC_011

Cookie без Secure/HttpOnly

Штраф для юрлица
Прямого штрафа нет
Что это значит

Cookie без флагов Secure и HttpOnly — это уязвимость. Без Secure cookie могут утечь по http. Без HttpOnly их можно прочитать через JavaScript (XSS-атака) — а это сессия пользователя.

Какие варианты этого нарушения бывают
  • •Set-Cookie без Secure — cookie уйдёт даже если открыли http://
  • •Set-Cookie без HttpOnly — JS может прочитать
  • •Set-Cookie без SameSite — уязвимы к CSRF-атакам
  • •Сессионная cookie с длинным max-age — увеличивает риск компрометации
Как должно быть

Set-Cookie: session=abc; Secure; HttpOnly; SameSite=Lax; Max-Age=86400 для сессионных cookie. Для аналитических — те же флаги, кроме HttpOnly (если они нужны JS).

Основание

Best practice / риск ИБ

Что делать

Для сессионных cookie включите Secure, HttpOnly и SameSite.