Авторизация через Телеграм - ВСЁ?!

Давайте обсудим горячую тему - запрет авторизации через зарубежные сервисы. Сейчас уже все серьезно - на уровне закона и обозначенного размера штрафов.

Коротко для тех, кто не любит лонгриды: авторизации через Telegram на сайтах российских компаний больше нет. И это не шутка, не баг и не временные трудности. С 1 сентября 2023 года вступил в силу Федеральный закон №406-ФЗ, который запретил использовать зарубежные сервисы для входа и регистрации пользователей. До недавнего времени не было штрафов за нарушение этого требования, но сейчас они появились и суммы внушительные.

Telegram в этот запрет попадает по полной программе — он не российский, в "белых списках" не числится, а значит, виджет "Войти через Telegram" на сайтах российских юрлиц = прямое нарушение.

Кому грозят санкции? Всем российским компаниям, которые продолжают держать у себя на сайте виджет Telegram-авторизации. Штрафы по КоАП — до 700 000 рублей для юрлиц, а при повторном нарушении — вплоть до приостановки деятельности. Плюс, как показала практика, дело уже не только в штрафах — виджеты начали "исчезать" сами собой при российском IP.
Работает ли блокировка на уровне провайдеров или сайты сами перестраховались — разбираемся в статье.

А пока — спойлер: если вы зашли с российским IP (без В.П.Н.), кнопки "Войти через Telegram" вы, скорее всего, уже не увидите. И нет, это не баг. Это новая реальность. 👇

Ребята, ребята. Гайки все туже. Во-первых страдают пользователи, у которых забирают возможность пользоваться удобными, понятными и любимыми сервисами и ресурсами. Во-вторых, бизнес, который уже немного устал постоянно перестраивать свой сайты, системы и бизнес-процессы. С одной стороны - все во благо, но блин... стабильности хочется, господа, стабильности.

Я вообще думала остаться в стороне и ничего не писать о принятом законе, но сидя за чашкой кофе с коллегой - маркетологом, решила все же тему осветить.

Если коротко, закон №406-ФЗ запрещает российским компаниям использовать зарубежные сервисы для авторизации пользователей на своих сайтах и в приложениях. Т.е. если вы — российское юридическое лицо и у вас на сайте стоит виджет "Войти через Google/Facebook/Apple" — поздравляю, вы в зоне риска.

А причем тут Telegram? А вот тут самое интересное. В законе Телеграм не поименован напрямую. Вообще нигде. Но давайте включать логику:

Важно! Хотя напрямую нигде не написано "Телеграм запрещен", вывод однозначный — запрет касается и его. Не ведитесь на иллюзии, что "раз не написали — значит можно".
Регулирующие органы так не считают, и "мы не знали, что Телеграм тоже" в качестве отговорки не пройдет. Штрафы для юридических лиц по соответствующим статьям КоАП — до 700 000 рублей. Оно вам надо?
В дополнение скажу, что это требование не касается случая, если Вы используете в качестве логина зарубежную почту, например, гугл. Потому что сама авторизация в этом случае происходит на стороне российского сервиса и не противоречит закону.

Помимо потенциальных штрафов (которые сами по себе неприятны), мы столкнулись с тем, что, видимо, идет уже не только юридическая, но и аппаратно-сетевая борьба с иностранной авторизацией.
Коллега Олег рассказал историю из серии "хотели как лучше, получилось как всегда". Он сейчас занимается развитием сервиса - рекламной системы AdFlame, изначально заточенной под Телеграм, но сейчас, в связи нестабильным статусом Телеграм на российской арене - перепрофилировавшейся под рекламу в Макс - каналах.
Понятно, что раз сервис под ТГ, то и связь с пользователями была добавлена через этот канал. Ведь заходить каждый раз в личный кабинет, чтобы проверить "а запланирована ли у меня реклама", "а прошло ли зачисление на баланс" - т.е. для отслеживания организационных вопросов, неудобно. Админы Телеграм и так все время сидят в сотне чатов. Есть конечно еще вариант - старый добрый E-mail, но честно - часто ли вы туда заглядываете?!
И вот, 9 июня (тут не знаю, просто совпадение с датой принятия закона о санкциях или есть связь), но именно в этот день поддержка сервиса стала массово получать от новых пользователей обращения о том, что не получается подключить уведомления через канал Телеграм - у них просто исчез виджет привязки Телеграм.
Стали разбираться. Со стороны сервиса проблем не выявили. Начали тестировать сценарии и выяснили, что при включенном В.П.Н. - кнопка на месте, при выключенном - кнопки как не бывало. Т.е. при использовании российского IP - запрос не доходит до серверов Телеграм.

Условие | Виджет | Авторизация

Не российский IP | Есть | Работает

Российский IP | Нет | Не работает

Ну, тогда все понятно, дело об исчезновении кнопки Телеграм - раскрыто.
Вердикт: это РКН борется с Телеграм трафиком путем нарушения работы метода Телеграм-авторизации на уровне российских интернет-провайдеров.

Тут, по оценке спецов, есть два сценария, и они вполне могут работать одновременно:
1. Блокировка на уровне провайдеров через DPI (Deep Packet Inspection)
Виджет авторизации Telegram подгружается с серверов oauth.telegram.org. Когда вы заходите на сайт с российским IP, провайдер через системы глубокой инспекции пакетов (DPI) блокирует исходящие запросы к этим серверам.
Фронтенд-скрипт не получает ответа от API Телеграма, обрабатывает ошибку и... скрывает неработающий виджет.
Т.е. технически все "честно" — кнопка не отображается, потому что она не работает.
2. Проактивное гео-ограничение (Geo-fencing) со стороны сайтов. Российские компании, осознав риски штрафов по №406-ФЗ, начинают на бэкенде проверять IP-адрес посетителя. Если запрос из РФ — сервер просто не отдает HTML-код виджета Telegram.
Зачем показывать пользователю то, что все равно может привести к штрафу?
В обоих случаях итог для пользователя один: функция недоступна на территории России без обходных путей.

Понимаем, что Телеграм — это удобно. Быстро, привычно, пуши приходят моментально. Для тех, кто продолжает пользоваться Телеграм, ранее настроенные уведомления скорее всего, будут и дальше приходить без сбоев. Авторизация (но я, конечно, не могу вам такого рекомендовать) будет работать с В.П.Н.
Вообще, для конечного пользователя штрафа за авторизацию с помощью зарубежного сервиса не предусмотрено, вся ответственность ложится на владельцев сервисов.
Но раз уж реальность такая, держите рабочие альтернативы по сохранению связи с любимыми сервисами:

Сделаю выдержки прямо из закона:

1) "с использованием абонентского номера ... на основании договора об идентификации" (ну вы поняли, анонимы мимо)

2) "с использованием ФГИС "Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме" - через Госуслуги, если короче.
3) с использованием государственной информационной системы "Единая система идентификации и аутентификации физических лиц с использованием биометрических персональных данных" - из той же серии Госуслуг, только еще круче (ebs.ru.). Прикладываем отпечаток к экрану и вуаля - вы на сайте. Шучу, конечно)))
4) с использованием иной информационной системы, обеспечивающей авторизацию пользователей сайтов и (или) страниц сайтов в сети "Интернет" - старый добрый логин - пароль, либо - авторизация через рос. сервисы типа Яндекс ID, VK ID. Сбер ID и иже с ними.

Все. Других вариантов нет.

Федеральный закон №406-ФЗ — это не просто "бумажка с штрафами". Это реальный механизм, который уже сейчас меняет техническую инфраструктуру рунета. Исчезновение виджета Telegram в сервисах — наглядный пример того, как законодательные инициативы реализуются на практике: через сетевые ограничения, проактивную адаптацию интерфейсов и, будем честны, через неудобства для конечных пользователей.
Главный вывод: если вы видите, что на каком-то российском сайте пропала авторизация через Telegram, Apple, Google или Facebook — это не баг.
Это сегодняшняя реальность. Если где-то вы были зарегистрированы с помощью зарубежных платформ - попробуйте войти с В.П.Н, чтобы подключить дополнительный способ авторизации, иначе Вы рискуете потерять свой аккаунт.
Как только появится что-то новое — напишем.

Поделитесь, сталкивались ли вы с исчезновением виджетов авторизации на других сайтах? У кого еще "пропал" Телеграм? И как вы теперь получаете уведомления от сервисов, которыми пользуетесь?P.S. если статья была полезной — делитесь ссылкой в своих каналах и чатах. Пусть больше людей понимают, что происходит, и не паникуют, увидев исчезнувшую кнопку))) А мы, со своей стороны, постараемся и дальше держать вас в курсе всех изменений.
#406-ФЗ #Telegram-авторизация #блокировки
P.S. Поделитесь в комментариях: сталкивались ли вы с исчезновением виджетов авторизации на сайтах? У кого еще "пропал" Телеграм?