Минцифры обяжет зарубежные сервисы внедрить авторизацию по номеру телефона

Поправки летят в статью 8 закона «Об информации», а вместе с ними — обязанность хранить три года логи регистраций, авторизаций и удалений аккаунтов и отдавать их по первому запросу правоохранителей. Для бэкенда это не юридическая абстракция, а конкретный костыль в архитектуре: либо встраиваешь, либо теряешь аудиторию.

Что хотят от иностранных сервисов

Суть простая: если ресурс работает в РФ — вход только через телефон. Никаких Google-, Apple-, VK ID, email+пароль. Номер привязывается к аккаунту, дальше — SMS-код или push. Эксперты уже прикинули: часть пользователей отвалится. Партнёр практики интеллектуальной собственности Comply Максим Али прямо говорит — крупные международные компании не горят желанием пилить отдельную систему входа только для России и физически отделять российских юзеров от остального мира. Технически это значит: региональный feature flag, отдельный auth-провайдер, отдельная таблица в БД, отдельный compliance-пайплайн. Всё ради страны, где Facebook* и Instagram* и так уже вне закона.

Что ещё в пакете

«Антифрод 3.0» — это не только авторизация. В комплекте запрет на персональные данные получателей в SMS-рассылках и расширение списка сведений, которые операторы хранят те же три года и передают спецслужбам по запросу. Вице-премьер Дмитрий Григоренко в начале июля говорил, что проект внесут в Госдуму осенью 2026-го. До осени — окно, чтобы подготовиться. Или решить, нужен ли этот рынок в принципе.

Что делать, если у вас иностранный клиент с RU-юзерами

# 1. Вынести auth-логику в отдельный модуль.
# Не лепить phone-only в монолит.
# 2. Завести региональный конфиг:
# ru.phone_required = true
# Остальные флаги — false.
# 3. Спроектировать аудит-лог с retention 3 года.
# Не через logrotate, через нормальное хранилище.
# 4. Канареечный деплой: 10% RU-трафика -> телефон.
# Смотреть на drop-off в Grafana.
# 5. Бэкапы. Бэкапы. Бэкапы.
# Когда придёт запрос от органов, а логов нет —
# это уже не баг, а уголовка.

Генеральный директор Telecom Daily Денис Кусков добавляет: непонятно, кого вообще ловить — Meta* и так в чёрном списке, значит, доедут до тех, кто ещё работает. До тех, на кого вы, возможно, и пилите интеграции прямо сейчас. Пока это проект на бумаге. До внесения в Госдуму — бумага, после — федеральный закон. Кто не прошил телефон в auth-flow заранее, будет переписывать на проде в пятницу вечером. Удачи, держите бэкапы.