Сюда попадают иностранные почтовые адреса (Gmail, Hotmail и т.д.) либо другие зарубежные сервисы (Apple ID, Google ID и т.д.)

Здравствуйте.

Собственно, введенная административная ответственность лишь устанавливает ее, а обязанность владельцев сайтов была предусмотрена ранее — в п.10 ст. 8 Закона №149-ФЗ, в котором были определены 4 способа авторизации, которые являются приемлемыми с точки зрения данного закона:

10. Владелец сайта и (или) страницы сайта в сети «Интернет», и (или) информационной системы, и (или) программы для электронных вычислительных машин, являющийся российским юридическим лицом или гражданином Российской Федерации и осуществляющий свою деятельность в сети «Интернет» на территории Российской Федерации, в случае, если доступ к информации, размещенной на его сайте и (или) странице сайта в сети «Интернет», и (или) в его информационной системе, и (или) программе для электронных вычислительных машин, предоставляется пользователям, прошедшим авторизацию, обязан проводить ее в отношении пользователей, находящихся на территории Российской Федерации, одним из следующих способов:

Каких-то иных вариантов законом не предусмотрено, поэтому 

а именно: отказываться от связки email+пароль в сторону исключительно логин+пароль или вводить проверку, к российскому или зарубежному сервису относится email клиента?

 вероятно можно пользоваться способом №1:

1) с использованием абонентского номера оператора подвижной радиотелефонной связи;

Ну или вводить проверку.

2) должны ли мы проводить проверку мобильных телефонов на принадлежность исключительно российским номерам (и как быть, если доставка в ближнее зарубежье) и предупреждать на сайте об использовании только российских номеров?

 Полагаю, что проверять тут можно только по номеру телефона.

3) восстановление пароля у нас идет в том числе через email.

 Предположу, что придется использовать СМС-восстановление.

Вообще несмотря на введение этой нормы еще в 2023 году, пока все еще очень сыро и неопределенно. Но поскольку уже введена административная ответственность (а до ее введения владельцам сервисов и сайтов было предоставлено 3 года, чтобы к этому подготовиться), сейчас наконец могут появиться и какие-то конкретизированные разъяснения по данному вопросу.

Здравствуйте, Ольга! Я изучил Ваш вопрос и технические нюансы сайта piteroils.ru. Вносить радикальные изменения в систему и отключать привычные способы входа не требуется.

За тридцать лет практики я убедился: важно опираться на буквальный текст закона, а не на панику в СМИ. Закон номер 199-ФЗ от 26.06.2026 (статья 13.55 КоАП РФ) отсылает к части 10 статьи 8 закона 149-ФЗ. Штраф за нарушение по ст. 13.55 КоАП РФ достигает 300 000 рублей, поэтому важно уже сейчас зафиксировать соответствие Вашего сайта закону. Сами нормы не запрещают использовать иностранную почту.

Отвечаю на Ваши вопросы:

1. Отказываться от связки email и пароль или проверять домен почты не нужно. Почта (даже gmail.com) — это лишь логин. Согласно п. 3.20 ГОСТ Р 58833-2020, email — это лишь идентификатор, что дополнительно усиливает Вашу позицию при любой проверке. Поскольку Ваша база данных находится в РФ и сама сверяет пароли, авторизацию проводит Ваша собственная отечественная система, что полностью соответствует пункту 4 части 10 статьи 8 закона номер 149-ФЗ. Закон запрещает именно внешние зарубежные сервисы (Google OAuth или Apple ID), когда проверка сессии идет на иностранных серверах. Без таких кнопок требования соблюдены.
2. Проверять номера на принадлежность только к РФ не требуется. Вы вправе авторизовать клиентов из СНГ по их номерам. Закон регулирует сам механизм, а не географию покупателей.
3. Восстановление пароля через иностранную почту абсолютно законно. Это сервисная транзакция, а не авторизация. Вы можете спокойно отправлять ссылки на любые адреса.

Я советую сделать следующее:

1. Оставить форму входа по email и паролю без изменений.
2. Сохранить авторизацию по иностранным номерам для клиентов из СНГ.
3. Удалить кнопки входа через Google или Apple ID, если они установлены.

Ольга, чтобы исключить риск штрафа до 300 000 рублей и получить документальное подтверждение законности Вашей системы, пришлите в чат алгоритм авторизации. В течение 1–2 рабочих дней я подготовлю официальное заключение, на которое Вы сможете ссылаться при любой проверке.