Как устроена проверка
Сканер открывает указанный адрес так же, как браузер, только без выполнения JavaScript, и анализирует HTML-код страницы и заголовки ответа сервера. Проверяется одна страница — та, которую вы ввели. Страницы с формами, корзину и политику стоит проверять отдельными запусками.
| Проверка | Что ищет сканер | Почему это важно |
|---|---|---|
| Защищённое соединение | Страница открывается по HTTPS | Без шифрования данные форм передаются открытым текстом |
| Политика обработки персональных данных (ПДн) | Ссылку или упоминание политики обработки ПДн или политики конфиденциальности | Ч. 2 ст. 18.1 152‑ФЗ требует доступа к политике на страницах сбора |
| Согласие рядом с формами | Текст согласия или чекбокс в HTML формы | Форма без согласия — частая причина претензий |
| Уведомление о cookie | Упоминание cookie в видимом тексте или скрипт cookie-баннера | Счётчики собирают идентификаторы устройства и IP-адрес |
| Контакты и реквизиты | ИНН или ОГРН, email для обращений | Посетитель должен понимать, кто оператор и куда писать |
| Российские счётчики | Яндекс Метрику, VK Пиксель, Top@Mail.ru, LiveInternet | Их нужно описать в политике и cookie-уведомлении |
| Зарубежные сервисы | Google Analytics и Tag Manager, Google Ads, reCAPTCHA, Google Fonts, Meta Pixel, Hotjar, Microsoft Clarity, Intercom, YouTube | Данные уходят за рубеж: нужна замена сервиса или уведомление о трансграничной передаче |
| Принудительный HTTPS (HSTS) | Заголовок Strict-Transport-Security | Браузер не откроет сайт по незащищённому HTTP |
Как читать результат
У каждой проверки есть статус, наблюдение (что именно найдено или не найдено) и уровень уверенности. Читайте наблюдение: оно объясняет, на чём основан вывод.
| Статус | Что означает | Что делать |
|---|---|---|
| Риск | Признак нарушения наблюдается напрямую: нет HTTPS, не найдена политика, нет ни реквизитов, ни email | Исправить в первую очередь |
| Нужна проверка | Признак найден, но вывод зависит от деталей: форма без явного согласия, подключён счётчик или зарубежный сервис | Проверить вручную по рекомендации в отчёте |
| В порядке | Явного внешнего риска по этому пункту не найдено | Убедиться, что содержание документа соответствует сайту |
| Не определено | Данных для вывода нет, например форм в исходном HTML | Проверить вручную: формы могут появляться через JavaScript |
Общая оценка от 0 до 100 — взвешенная сумма проверок. Больше всего весят политика, согласие у форм и HTTPS. Пункты со статусом «Не определено» в расчёт не входят, поэтому оценка страницы без форм считается по остальным проверкам.
«В порядке» у политики означает, что ссылка найдена. Открывается ли документ, указан ли в нём ваш оператор и описаны ли ваши сервисы, сканер не оценивает.
Чего проверка не видит на самом сайте
- формы, баннеры и виджеты, которые подгружаются через JavaScript или открываются по кнопке;
- другие страницы: корзину, личный кабинет, отдельные лендинги и поддомены;
- поведение после клика: ждут ли счётчики выбора в баннере, работает ли отказ;
- скрипты, которые подключает Google Tag Manager или другой менеджер тегов после загрузки;
- серверную передачу данных: отправку заявок в CRM, мессенджер или зарубежный сервис;
- отмечен ли чекбокс заранее и отправляется ли форма без него;
- текст политики и согласия по существу.
Если сайт закрыт от ботов или отвечает ошибкой, отчёт не построится. В таком случае проверьте сайт вручную по шагам ниже.
Что остаётся внутри компании
Большая часть обязанностей оператора выполняется в документах и процессах, полный список — в чек-листе 152‑ФЗ для сайта. Их проверяет внутренний контроль или аудит, который 152‑ФЗ относит к обязательным мерам оператора (п. 4 ч. 1 ст. 18.1):
- подано ли уведомление в Роскомнадзор (РКН) и совпадают ли сведения в реестре с реальной обработкой — это можно проверить самостоятельно по ИНН на pd.rkn.gov.ru;
- где находятся базы: хостинг, CRM, почта, резервные копии;
- подано ли уведомление о трансграничной передаче, если она есть;
- заключены ли договоры поручения с подрядчиками;
- назначен ли ответственный, утверждены ли локальные акты, ознакомлены ли сотрудники;
- кто имеет доступ к данным, ведутся ли журналы, как защищены системы;
- хранятся ли подтверждения согласий;
- как компания отвечает на запросы и реагирует на утечки;
- как обрабатываются данные сотрудников и соискателей.
Бесплатно найдём внешние признаки рисков по 152‑ФЗ и подскажем, что исправить.
Как перепроверить результат вручную
- Откройте сайт в окне инкогнито без расширений: блокировщики рекламы скрывают часть скриптов.
- Включите инструменты разработчика (F12), вкладку Network и опцию Preserve log. Перезагрузите страницу, не трогая баннер. Запросы к mc.yandex.ru, googletagmanager.com, top-fwz1.mail.ru до выбора означают, что счётчики не ждут согласия. Подробности — в документации Chrome DevTools.
- Во вкладке Application → Cookies посмотрите, какие cookie уже записаны.
- Нажмите «Отказаться», перезагрузите страницу и проверьте, что аналитические запросы не появились. Затем повторите в новом окне с согласием.
- Пройдите каждую форму: всплывающие окна, квизы, корзину, личный кабинет. Чекбокс должен быть пустым, без него форма не отправляется.
- Откройте политику и сверьте её с сайтом: оператор, цели, перечень данных, счётчики, сроки.
Внешняя проверка, самопроверка и аудит оператора
Три способа отвечают на разные вопросы и дополняют друг друга.
| Способ | Что охватывает | Сколько занимает | Результат |
|---|---|---|---|
| Автоматическая внешняя проверка | Одна страница, публичные признаки в коде | Около минуты | Список сигналов с наблюдениями и рекомендациями |
| Самопроверка по чек-листу | Все страницы и формы, поведение баннера, реестр операторов | Несколько часов | Список исправлений на сайте и в документах |
| Аудит оператора (юрист, специалист по защите информации) | Процессы, системы, договоры, локальные акты, меры защиты | Дни или недели, зависит от числа систем | Отчёт о несоответствиях и план работ |
Для небольшого сайта с формой заявки и Метрикой обычно хватает первых двух способов. Аудит оператора нужен, когда данных много, есть специальные категории (здоровье, биометрия), CRM с интеграциями или сотрудники работают с базами клиентов.
Когда запускать проверку повторно
- после редизайна или переезда на другую CMS;
- после подключения нового счётчика, чата, капчи или виджета;
- после добавления формы, квиза или личного кабинета;
- после смены подрядчика, который правит сайт;
- раз в квартал — для контроля изменений, которые могли пройти незаметно.
Запустить проверку можно на странице проверки сайта. Если отчёт показал cookie-риски, начните со статьи cookie-баннер без иллюзий.
Частые вопросы
Почему сканер пишет, что форм нет, хотя они на сайте есть?
Форма, скорее всего, подгружается через JavaScript или открывается во всплывающем окне. Сканер читает исходный HTML без выполнения скриптов, поэтому ставит статус «Не определено». Проверьте такую форму вручную.
Высокая оценка гарантирует, что штрафа не будет?
Нет. Оценка отражает только внешние признаки на одной странице. Отсутствие уведомления в РКН, зарубежная CRM или пустые договоры поручения снаружи не видны, а штрафуют и за них.
Сканер нашёл Google Fonts. Это нарушение?
При загрузке шрифта с серверов Google браузер посетителя передаёт туда IP-адрес. Проще всего загрузить файлы шрифтов на свой сервер: внешний вид сайта не изменится, а передача исчезнет.
Можно ли приложить отчёт к ответу Роскомнадзору?
Отчёт не является юридическим заключением о соблюдении 152‑ФЗ. Его удобно использовать как внутренний список работ и подтверждение того, что вы контролируете сайт, а ответ регулятору готовьте по документам оператора.
Проверка выдала ошибку HTTP. Что делать?
Сайт может блокировать ботов, требовать авторизацию или быть недоступен. Проверьте адрес, попробуйте конкретную страницу с формой или пройдите ручные шаги из статьи.