Вход через Госуслуги на сайте: кто может подключить ЕСИА и как

Вход через Госуслуги на сайте означает, что посетитель нажимает кнопку «Войти через Госуслуги», вводит логин и пароль на стороне государственного портала, разрешает передать сайту нужные сведения, и сайт получает подтверждённые данные о нём. Работает это через ЕСИА, единую систему идентификации и аутентификации. Подключить её может не каждая организация. Госорганы и учреждения прямо названы в Правилах участниками. Бизнесу нужно основание в правовом акте и защита информации по требованиям оператора.

Я не юрист. Решение о подключении принимает оператор ЕСИА, и моя оценка его не заменяет.

Что такое ЕСИА и чем вход через Госуслуги отличается от обычной регистрации

Основа системы описана в постановлении Правительства РФ от 28.11.2011 № 977: там утверждены требования к ЕСИА. Пункт 5 обязывает федеральные органы исполнительной власти и органы госвнебюджетных фондов использовать ЕСИА при предоставлении госуслуг, пункт 6 рекомендует это органам власти регионов и местного самоуправления.

При обычной регистрации человек сам пишет имя и телефон, и сайт верит ему на слово. При входе через Госуслуги сайт получает сведения из учётной записи на портале. Для записи на приём хватает обычной формы. ЕСИА нужна, когда важно знать, что перед вами конкретный человек: юридически значимое обращение, доступ к личным документам, услуга по СНИЛС.

Пароль от Госуслуг сайт не видит: ввод идёт на стороне портала. Обратная сторона: если учётную запись человека взломали, войти от его имени смогут и на ваш сайт. Что делать в такой ситуации, я разбирал в статье «Взломали Госуслуги: что делать в первый час».

Кто может подключить вход через Госуслуги

Порядок использования системы задают Правила, утверждённые постановлением Правительства РФ от 10.07.2013 № 584. Пункт 8 перечисляет участников. Среди них федеральные и региональные органы, органы местного самоуправления, государственные и муниципальные учреждения, МФЦ и иные организации. Отдельно названы информационные системы: государственные, муниципальные и иные, но только в случаях, предусмотренных федеральными законами, актами Президента, актами Правительства или решениями президиума Правительственной комиссии по цифровому развитию.

Из этого следует практический вывод. Подключается ваша информационная система, сайт или личный кабинет, и для неё нужен повод в правовом акте. Регламент взаимодействия участников с оператором ЕСИА требует указать в заявке нормативные основания подключения со ссылкой на пункт правового акта. Для некоторых видов деятельности регламент просит подтверждение: например, кредитная организация прикладывает лицензию Банка России. В формах заявок есть категории вроде страховой компании, банка, удостоверяющего центра.

Как это выглядит для разных читателей:

• Орган власти, администрация, государственное или муниципальное учреждение. Самый прямой путь. Если вы уже принимаете обращения на сайте, вход через Госуслуги снимает вопрос, кто именно написал. Про саму приёмную у меня есть отдельный разбор: электронная приёмная по 59-ФЗ.
• Банк, МФО, страховая. Такие категории есть в формах заявок регламента, а подтверждающим документом для банка служит лицензия Банка России. Основание всё равно указывают конкретным пунктом акта, и требования по защите информации никто не отменяет.
• Частная клиника, управляющая компания, сервис. Основание надо искать под конкретную задачу. Если в законах и актах его нет, оператор откажет, и спорить тут не с чем. Тогда лучше сразу смотреть альтернативы, о них ниже.

Ещё одна деталь из регламента: юрлица, которые не являются государственными учреждениями, регистрируются в ЕСИА самостоятельно. Госучреждения проходят регистрацию в другом порядке.

Какие данные сайт получает и при каком условии

Набор данных задаётся областями доступа, по-английски scope. Их перечень приведён в Методических рекомендациях по использованию ЕСИА: от базовой аутентификации (openid) до ФИО, даты рождения, сведений о документе, удостоверяющем личность, СНИЛС, ИНН, адресов, телефона и почты. В открытом доступе на legalacts.ru лежит версия 2.84, актуальную версию берите у оператора.

Два условия здесь жёсткие. Первое: каждую запрашиваемую область нужно обосновать в заявке, регламент отдельно проверяет обоснование атрибутов. Второе: согласие человека. По Методическим рекомендациям ЕСИА сообщает пользователю, какие данные о нём запрашивает система, и выдаёт код доступа только после его разрешения. В требованиях к ЕСИА (подпункт «л» пункта 5 постановления № 977) передача сведений подключённым организациям идёт с согласия физического или юридического лица, если иное не предусмотрено федеральными законами.

Как подключить ЕСИА: шаги по регламенту

По регламенту оператора путь выглядит так:

1. Регистрация организации в ЕСИА. Заявление подаётся в электронном виде, на рассмотрение регламент отводит до 3 рабочих дней.
2. Регистрация информационной системы через технологический портал ЕСИА.
3. Подключение к тестовой среде. Заявка по форме из приложения к регламенту, с сертификатом ключа проверки электронной подписи системы и списком scope. Срок обработки по регламенту до 6 рабочих дней и 2,5 часа. Работать с реальными пользователями в тестовой среде запрещено.
4. Подключение к промышленной среде. Новая заявка, проверка методической поддержкой, решение Минцифры, исполнение оператором эксплуатации. Суммарно регламент отводит до 6 рабочих дней и 4,5 часа.

Что потребуется по технике и безопасности, если читать регламент и методические рекомендации:

• квалифицированный сертификат информационной системы, где владельцем указано только юридическое лицо (норма действует с 1 июля 2025 года);
• средства защиты канала связи класса не ниже КС3. Для подключения через API Gateway, которое регламент упоминает с 1 июля 2026 года, при аутентификации без передачи персональных данных допускается КС1;
• подпись по ГОСТ Р 34.10-2012 и хэширование по ГОСТ Р 34.11-2012: обычные библиотеки OAuth с RSA здесь не подойдут, нужен криптопровайдер с российскими алгоритмами;
• типовое или собственное техническое решение OpenID Connect. Для собственного нужна оценка влияния на средства криптозащиты по техническому заданию, согласованному с ФСБ России;
• оценка эффективности мер защиты информации, проведённая с привлечением организации с лицензией ФСТЭК России, и указание уровня защищённости персональных данных.

Сроки в регламенте касаются только обработки заявок оператором. Основание, сертификат, СКЗИ и оценку защищённости вы готовите до подачи. По пункту 4 Правил № 584 использование системы безвозмездное, расходы организации лежат на её стороне.

152-ФЗ: согласие, минимум данных и хранение в РФ

Получив данные из ЕСИА, вы становитесь оператором персональных данных со всеми обязанностями. Три вещи я проверяю всегда.

Минимум данных. Часть 5 статьи 5 152-ФЗ требует, чтобы объём обрабатываемых данных соответствовал заявленным целям и не был избыточным. Для входа в личный кабинет обычно хватает идентификатора и ФИО, паспорт ради этого просить незачем.

Хранение. По части 5 статьи 18 152-ФЗ запись, накопление и хранение персональных данных граждан РФ с использованием баз за пределами России не допускаются, кроме случаев, указанных в законе. Сервер с базой пользователей должен стоять в России, подробнее в статье про локализацию баз данных.

Документы. Согласие на экране Госуслуг касается передачи данных из ЕСИА. Политика обработки и собственные согласия на сайте нужны всё равно, как их оформить, разбирал в материале о согласии на обработку персональных данных.

Если ЕСИА недоступна: другие способы входа

Если основания нет, есть сервисы входа от крупных компаний: Сбер ID, Т-ID, VK ID. Условия и уровень проверки личности у каждого свои, их смотрю в документации под конкретную задачу. Иногда хватает подтверждения телефона кодом. Для органов власти и учреждений вопрос с основанием обычно не стоит: если на сайте есть личный кабинет или приёмная, закладываю ЕСИА в план сразу. Про обязательный состав сайта органа местного самоуправления писал в статье о сайте администрации поселения по 8-ФЗ.

Как я это делаю

Сначала проверяю, нужно ли это вообще. Если цель в том, чтобы человек не вводил имя руками, ЕСИА избыточна. Если нужна достоверная личность для юридически значимого действия, тогда да.

Ищу основание. Читаю пункт 8 Правил № 584 и профильные акты под вашу деятельность, формулирую, какой пункт какого акта пойдёт в заявку. Если основания не нахожу, говорю об этом прямо и предлагаю альтернативу. Окончательно решает оператор ЕСИА.

Готовлю список документов и подрядчиков. Сертификат информационной системы на юрлицо, СКЗИ нужного класса, оценка защищённости силами лицензиата ФСТЭК, уровень защищённости персональных данных. Свожу это в план с ответственными. Если пишете техническое задание, пригодится моя статья о ТЗ на сайт и бота.

Делаю интеграцию. OAuth 2.0 и OpenID Connect, подпись запросов российским криптопровайдером, связка с учётной записью на вашем сайте. Храню только данные из обоснования и только в российском контуре.

Тестирую. В тестовой среде ЕСИА проверяю вход, отказ дать согласие, истёкший токен, выход. Потом заявка на промышленную среду. Если нужно проверить готовность сайта до подачи, начинаю с технического аудита.

Сколько стоит подключение и что входит

Отдельной строки «подключение ЕСИА» в моём прайсе нет, объём слишком разный: от одного кабинета для учреждения до сложной системы с несколькими видами услуг. Считаю по объёму, по часам от 3 000 ₽/час. Остальное по прайсу:

• технический аудит от 50 000 ₽, от 1 недели: сайт, хостинг, готовность к интеграции;
• аудит сайта по 152-ФЗ от 15 000 ₽, от 2 дней;
• автоматизация процессов и документов от 60 000 ₽, от 2 недель: личный кабинет и приём заявлений;
• корпоративный сайт от 100 000 ₽, от 3 недель, если сайт делается с нуля.

В эти суммы не входят сертификат, средства криптозащиты и оценка эффективности мер защиты от лицензиата ФСТЭК: это отдельные поставщики и отдельные договоры.

Частые вопросы

Может ли ИП или ООО подключить вход через Госуслуги?

Юрлица и ИП входят в число участников по Правилам № 584, но информационная система подключается в случаях, предусмотренных законами, актами Президента и Правительства или решениями президиума Правкомиссии. В заявке нужна ссылка на конкретный пункт акта. Без основания оператор не подключит.

Сколько стоит ЕСИА у оператора?

По пункту 4 Правил № 584 использование системы безвозмездное. Платите вы за свою сторону: сертификат, СКЗИ, оценку защищённости и разработку.

Можно ли подключить ЕСИА на сайт на зарубежном хостинге?

Данные граждан РФ, полученные при сборе, по части 5 статьи 18 152-ФЗ записываются и хранятся в базах на территории России. Сервер с базой пользователей нужно держать в России.

Коротко о главном

• ЕСИА подключают госорганы, учреждения и организации, у которых есть основание в правовом акте. Решение принимает оператор, Минцифры России.
• Технически это OpenID Connect с ГОСТ-подписью, сертификатом на юрлицо, СКЗИ не ниже КС3 и оценкой защищённости силами лицензиата ФСТЭК.
• Данные приходят только с согласия человека, хранить их нужно в России и брать не больше нужного.

Если хотите понять, можно ли вашей организации подключить вход через Госуслуги и что для этого нужно, напишите мне в Telegram слово «ЕСИА». Посмотрю основание, сайт и хранение данных и скажу, с чего начать.