Журнал · Технологии

Проверка сайта по 152-ФЗ и аудит безопасности в 2026 году: чек-лист для владельца бизнеса

За что штрафуют сайты при работе с персональными данными, какие уязвимости чаще всего остаются после подрядчиков и что проверить в формах, куках и на сервере.

Любая форма обратной связи, квиз, корзина интернет-магазина или виджет чата, куда посетитель вводит имя и телефон, делает компанию оператором персональных данных. В 2026 году проверки сайтов со стороны Роскомнадзора идут в автоматическом режиме, а параллельно с юридическими рисками остаются классические технические дыры в коде и админ-панелях.

Технический и юридический чек-лист по 152-ФЗ

• Локализация баз данных на территории РФ: сервер, где хранятся заявки, база пользователей и резервные копии, физически должен находиться в российском дата-центре.
• Отсутствие запрещённой трансграничной передачи: проверьте код сайта на скрытые вызовы зарубежных аналитик, форм и reCAPTCHA, если они не задекларированы в уведомлении РКН.
• Раздельные чекбоксы согласий: под каждой формой должна стоять ссылка на актуальную Политику обработки ПДн и отдельная необязательная галочка на рекламную рассылку (по ст. 18 ФЗ «О рекламе»).
• Фиксация версии согласия в базе: при отправке заявки сервер должен записывать timestamp и номер редакции документа, с которым согласился клиент.
• Баннер уведомления о файлах cookie с описанием используемых счётчиков (например, Яндекс Метрики).

Какие технические дыры мы находим на каждом втором сайте

В ходе аудита информационной безопасности сайта (как в кейсах FP Auto и ломбарда Хронограф) чаще всего всплывают открытые эндпоинты API без проверки прав (IDOR), забытые тестовые аккаунты администраторов, отсутствие защиты от перебора паролей и устаревшие пакеты с известными CVE-уязвимостями.

Эту задачу мы решаем

Нужен сайт, продвижение или аудит безопасности? Услуги Кибернетики · Рассчитать стоимость · Рентген домена · Обсудить проект · Все статьи журнала