Требования к сайту

Почему это важно

В ЕС сайт может ставить без согласия только cookies, без которых он не работает (корзина, вход, выбор языка). Аналитика, реклама и «запомнить для маркетинга» — только после «Принять». Это самая частая причина претензий к сайтам в Германии. В Великобритании с 5 февраля 2026 года без согласия можно ещё и аналитику — если она только для статистики своего сайта, данные не уходят дальше, а отказаться можно в любой момент; реклама по-прежнему только с согласием.

Как проверить самому

Откройте сайт в приватном окне, ничего не нажимайте в баннере. В инструментах разработчика (F12) → «Application» (в Firefox — «Хранилище») → «Cookies» посмотрите, что уже записано. Всё, что не нужно для работы сайта, — находка.

Как исправить

Подключить блокировку до согласия в баннере (у Cookiebot, Usercentrics, Borlabs, Complianz это настройка) или убрать скрипты, которые ставят cookies. Аналитике без cookies (например, Umami мониторинга) согласие обычно не нужно.

Нормы и ссылки

• TDDDG § 25
• ePrivacy 2002/58/EC, art. 5(3)
• GDPR art. 6
• PECR (UK), ICO
• Data (Use and Access) Act 2025, s. 112 (UK)

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

Google Analytics, Meta Pixel, TikTok, Hotjar и похожие сервисы получают адрес посетителя и данные о нём, едва загрузившись. Без согласия это запрещено, даже если cookies они не ставят.

Как проверить самому

Приватное окно, F12 → «Network», обновите страницу, в баннере ничего не нажимайте. Найдите в списке запросы к google-analytics.com, googletagmanager.com, facebook.net, connect.facebook.net, analytics.tiktok.com, hotjar.com, clarity.ms.

Как исправить

Загружать трекеры только после согласия: через баннер с блокировкой или в Google Tag Manager — с режимом согласия и правилом запуска «после согласия».

Нормы и ссылки

• TDDDG § 25
• ePrivacy 2002/58/EC, art. 5(3)
• PECR (UK), ICO

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

Браузер посетителя обращается к Google и передаёт свой адрес без согласия. В 2022 году суд Мюнхена (дело 3 O 17493/20) присудил за это компенсацию, после чего по Германии прошла волна писем с требованиями.

Как проверить самому

F12 → «Network», обновите страницу, в поиске введите «fonts.g». Запросы к fonts.googleapis.com или fonts.gstatic.com — находка.

Как исправить

Скачать шрифты (например, через google-webfonts-helper) и раздавать со своего сайта. В WordPress для этого есть плагины, а многие темы умеют это в настройках.

Нормы и ссылки

• GDPR art. 6, 44

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

Встроенное видео YouTube или Vimeo и карта Google загружаются сразу и передают данные посетителя этим сервисам, хотя он ещё ничего не включал.

Как проверить самому

Откройте страницы с видео и картами в приватном окне. Если плеер или карта видны сразу, без заглушки «Загрузить видео», — находка. В Network видны запросы к youtube.com, ytimg.com, vimeo.com, maps.googleapis.com.

Как исправить

Заглушка-превью, которая загружает плеер только по клику (есть в баннерах согласия и в плагинах). Для YouTube — хотя бы youtube-nocookie.com, но и он без клика не грузится.

Нормы и ссылки

• TDDDG § 25
• ePrivacy 2002/58/EC, art. 5(3)
• PECR (UK), ICO

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

Если сайт использует необязательные cookies, трекеры или сторонние сервисы, ему нужен баннер, который спрашивает согласие до их загрузки. Сайту без всего этого баннер не нужен — и это лучший вариант.

Как проверить самому

Откройте сайт в приватном окне. Есть ли баннер? Если нет — проверьте пункты «Cookies ставятся до согласия посетителя» и «Трекеры загружаются до согласия»: если по ним ничего не найдено, баннер и не нужен.

Как исправить

Подключить баннер согласия с блокировкой до согласия или убрать всё, что требует согласия.

Нормы и ссылки

• TDDDG § 25
• ePrivacy 2002/58/EC, art. 5(3)
• PECR (UK), ICO

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

Немецкие и британские регуляторы требуют, чтобы отказаться было не сложнее, чем согласиться. Баннер, где «Отклонить» спрятано в настройках или выглядит как мелкая ссылка, не считается честным согласием.

Как проверить самому

Посмотрите на первый экран баннера: есть ли кнопка «Отклонить» или «Только необходимые» рядом с «Принять», такого же вида и размера.

Как исправить

В настройках баннера включить кнопку отказа на первом уровне и сделать её такой же заметной, как «Принять».

Нормы и ссылки

• DSK, Orientierungshilfe digitale Dienste
• PECR (UK), ICO

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

Бывает, что кнопка отказа есть, но скрипты всё равно загружаются — баннер ничего не блокирует. Это хуже, чем отсутствие баннера: посетителю обещали одно, а делают другое.

Как проверить самому

Приватное окно, F12 → «Network», нажмите «Отклонить» и походите по сайту. Запросов к трекерам и новых необязательных cookies быть не должно.

Как исправить

Проверить настройку блокировки в баннере: скрипты трекеров должны быть подключены через него, а не напрямую в коде темы.

Нормы и ссылки

• TDDDG § 25
• ePrivacy 2002/58/EC, art. 5(3)

В приложении: Автоматической проверки пока нет. Проверьте сами.

Почему это важно

Посетитель вправе знать, кому передаются его данные и в какие страны. Каждый сторонний сервис, к которому обращается сайт, должен быть назван в политике конфиденциальности.

Как проверить самому

F12 → «Network» на нескольких страницах: выпишите все домены, кроме своего. Сверьте их с политикой конфиденциальности.

Как исправить

Дописать в политику недостающие сервисы (кто, зачем, какие данные, страна) или убрать лишние сервисы с сайта.

Нормы и ссылки

• GDPR art. 13, 44

В приложении: Только вручную.

Почему это важно

Отозвать согласие должно быть так же просто, как дать. Если баннер, однажды закрытый, больше не найти, посетитель не может передумать. Обычно это ссылка «Настройки cookies» в подвале или маленький значок в углу.

Как проверить самому

Примите cookies в баннере, затем найдите на странице способ снова открыть настройки: ссылку «Cookie-Einstellungen» («Настройки cookies», «Cookie settings») в подвале или плавающую кнопку.

Как исправить

Включить в платформе согласия плавающую кнопку или добавить в подвал ссылку, которая открывает настройки снова (у Cookiebot, Usercentrics, Complianz для этого есть готовый код).

Нормы и ссылки

• GDPR art. 7(3)
• EDPB Guidelines 05/2020 on consent
• PECR (UK), ICO

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

Браузеры и расширения умеют сообщать сайту «не продавайте и не передавайте мои данные» — сигнал Global Privacy Control. В Калифорнии и ещё примерно в десятке штатов бизнес, которого касаются их законы о данных, обязан его выполнять: не запускать рекламные трекеры и не передавать данные. С 2026 года в Калифорнии сайт ещё и должен показать, что сигнал учтён.

Как проверить самому

Откройте сайт в браузере с включённым GPC (Firefox: настройки → «Приватность» → «Сообщать сайтам не продавать мои данные»; или Brave, или расширение Privacy Badger). F12 → «Network»: грузятся ли рекламные трекеры (facebook.net, doubleclick.net, tiktok)? Есть ли на сайте надпись, что сигнал учтён?

Как исправить

Включить в платформе согласия поддержку GPC (она есть у OneTrust, Usercentrics, Cookiebot, Osano) и показ «Opt-Out Preference Signal Honored».

Нормы и ссылки

• CCPA Regulations, 11 CCR § 7025–7026
• CCPA, Cal. Civ. Code § 1798.135

В приложении: Доступна автоматическая проверка на платном тарифе.

касается сайтов с чат-ботом на ИИ

Почему это важно

С 2 августа 2026 года в ЕС человек должен понимать, что разговаривает с ИИ, а не с сотрудником, — если это не очевидно само. Чат-бот на сайте должен сказать об этом сразу, а не в конце длинного разговора.

Как проверить самому

Откройте чат на сайте. Видно ли до первого вопроса или в первом ответе, что отвечает ИИ (подпись «ИИ-помощник», «AI assistant», значок с пояснением)?

Как исправить

Добавить в заголовок окна чата и в первое сообщение «Я ИИ-помощник» — у Intercom, Tidio, Crisp и подобных это настройка приветствия.

Нормы и ссылки

• AI Act 2024/1689, art. 50(1)

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

В Германии и Австрии коммерческий сайт обязан показывать выходные данные владельца, и ссылка на них должна быть видна с любой страницы — обычно в подвале. За её отсутствие в Германии конкуренты присылают платные предупреждения (Abmahnung).

Как проверить самому

Пройдите по нескольким страницам, в том числе по корзине и формам: есть ли в подвале ссылка «Impressum» (или «Imprint», «Выходные данные»)?

Как исправить

Добавить ссылку в подвал общей для всех страниц темы.

Нормы и ссылки

• DDG § 5
• ECG § 5 (AT)

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

Закон требует имя или название фирмы, адрес (не абонентский ящик), e-mail и ещё один быстрый способ связи, а у компаний — кто их представляет (директор, правление), регистрационный номер и налоговый номер (USt-IdNr), если он есть.

Как проверить самому

Откройте Impressum и сверьте: имя или фирма с формой (GmbH, UG…), у фирмы — представитель (Geschäftsführer, Vorstand), полный адрес, e-mail, телефон или форма связи, Handelsregister с номером, USt-IdNr.

Как исправить

Дополнить страницу недостающими сведениями. Готовые шаблоны есть у генераторов Impressum, а в сложных случаях — у юриста.

Нормы и ссылки

• DDG § 5

В приложении: Только вручную.

Почему это важно

В Австрии владелец коммерческого сайта обязан показать: имя или фирму, адрес, контакт с почтой, номер и суд фирменного реестра (Firmenbuch), номер НДС (UID), надзорный орган, палату и профессиональные правила, если они есть. Компания из реестра должна писать номер реестра и суд и на сайте.

Как проверить самому

Откройте Impressum и сверьте с перечнем: имя или фирма, адрес, почта, Firmenbuchnummer и Firmenbuchgericht, UID-Nummer, Aufsichtsbehörde, Kammer или Berufsverband и ссылка на профессиональные правила (если применимо).

Как исправить

Дополнить Impressum недостающими полями. Готовые шаблоны есть у Палаты экономики Австрии (WKO).

Нормы и ссылки

• ECG § 5 (AT)
• UGB § 14 (AT)

В приложении: Только вручную.

Почему это важно

В Австрии почти любой сайт — «периодическое средство информации», и его владелец обязан раскрыть себя (Offenlegung). Сайту, который только представляет человека или компанию и не формирует общественное мнение, достаточно имени или фирмы, рода деятельности и адреса; блогу или изданию — ещё структуры владения и основного направления (Blattlinie).

Как проверить самому

Есть ли на сайте раздел «Offenlegung gemäß § 25 MedienG» (часто внутри Impressum)? Для блога или новостного сайта — указаны ли владельцы долей и Blattlinie?

Как исправить

Добавить в Impressum раздел «Offenlegung gemäß § 25 MedienG»: имя или фирма, род деятельности, адрес; для блога или издания — ещё владельцы и Blattlinie.

Нормы и ссылки

• MedienG § 25 (AT)

В приложении: Только вручную.

касается сайтов, которые продают товары или услуги посетителям онлайн

Почему это важно

В Швейцарии тот, кто продаёт онлайн, обязан ясно и полностью назвать себя и дать контактный адрес с почтой; неполные сведения — недобросовестная конкуренция. Там же — показать шаги заказа, дать исправить ошибки ввода до заказа и сразу подтвердить заказ письмом. Одной анонимной формы связи мало.

Как проверить самому

Есть ли на сайте страница «Impressum», «Kontakt» или «Anbieter» с именем или фирмой, почтовым адресом и почтой? Подтверждается ли заказ письмом сразу?

Как исправить

Опубликовать страницу с именем или фирмой, адресом и почтой и поставить на неё ссылку в подвале; включить письмо-подтверждение заказа.

Нормы и ссылки

• UWG Art. 3 Abs. 1 lit. s (CH)

В приложении: Только вручную.

Почему это важно

Если сайт собирает хоть какие-то данные (а адрес посетителя видит любой сервер), он обязан объяснить, что делает с ними. Ссылка нужна в подвале каждой страницы и рядом с формами. В Калифорнии это требует CalOPPA.

Как проверить самому

Есть ли в подвале ссылка «Политика конфиденциальности» («Datenschutz», «Privacy Policy») и рядом с каждой формой?

Как исправить

Добавить ссылку в подвал и под кнопку каждой формы.

Нормы и ссылки

• GDPR art. 13
• DSG Art. 19 (CH)
• CalOPPA, Cal. Bus. & Prof. Code § 22575

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

Политика, где нет Google Maps, хотя карта на сайте есть, не выполняет своей задачи. Посетитель должен узнать из неё обо всех, кто получает его данные.

Как проверить самому

Возьмите список сторонних доменов (пункт «Список сторонних сервисов») и поищите каждый сервис в тексте политики.

Как исправить

Дописать недостающие разделы. ИИ может набросать черновик, но окончательный текст стоит показать юристу.

Нормы и ссылки

• GDPR art. 13

В приложении: Только вручную.

Почему это важно

Швейцарский закон о данных (с 1 сентября 2023 года) требует при сборе данных сообщить, кто их собирает, зачем и кому передаёт, а если данные уходят за границу — в какие страны и на каком основании (например, стандартные договорные условия). Аналитика, рассылка или хостинг в США — это уже передача за границу.

Как проверить самому

Есть ли в политике конфиденциальности раздел о передаче данных за границу со списком стран и основанием передачи? Сверьте с сервисами, которые подключает сайт.

Как исправить

Дописать в политику раздел о передаче за границу: страны (например, США, ЕС) и основание — решение об адекватности или стандартные договорные условия.

Нормы и ссылки

• DSG Art. 19 (CH)

В приложении: Только вручную.

касается сайтов с формами

Почему это важно

Форма, которая отправляет данные по http, передаёт имя, e-mail и пароль открытым текстом — их видит любой посредник по пути.

Как проверить самому

Откройте страницы с формами по https. В коде формы (F12 → «Elements») посмотрите атрибут action: он не должен начинаться с http://. Во вкладке Network при отправке не должно быть запросов на http://.

Как исправить

Исправить адрес отправки на https и включить переадресацию всего сайта на https.

Нормы и ссылки

• GDPR art. 32

В приложении: Доступна автоматическая проверка на платном тарифе.

касается сайтов с подпиской на рассылку

Почему это важно

Письма можно слать только тем, кто явно согласился. В Германии на практике нужно двойное подтверждение (double opt-in): письмо со ссылкой «подтвердить подписку». Заранее отмеченная галочка согласием не считается.

Как проверить самому

Подпишитесь на рассылку тестовым адресом. Галочка согласия не должна быть отмечена заранее, а после подписки должно прийти письмо с подтверждением.

Как исправить

Включить double opt-in в сервисе рассылок (он есть у всех крупных) и снять предустановленную галочку.

Нормы и ссылки

• GDPR art. 7
• UWG § 7

В приложении: Только вручную.

касается сайтов, которые продают товары или услуги посетителям онлайн

Почему это важно

С 19 июня 2026 года в ЕС магазин, который заключает договоры через сайт, обязан дать покупателю кнопку отказа от договора — такую же простую, как кнопка заказа. В Германии надпись на ней задана законом: «Vertrag widerrufen», а следующий шаг — «Widerruf bestätigen». Кнопка доступна весь срок отказа, а после нажатия покупателю сразу приходит подтверждение на почту.

Как проверить самому

Найдите на сайте, обычно в подвале или в личном кабинете, кнопку или ссылку «Vertrag widerrufen» («Отказаться от договора», «Withdraw from contract»). Нажмите её тестовым заказом: открывается ли форма, есть ли второй шаг «Widerruf bestätigen», приходит ли письмо-подтверждение.

Как исправить

Добавить кнопку в подвал всех страниц и в личный кабинет: форма с именем, номером заказа и почтой, затем шаг подтверждения, затем письмо. У Shopware, Shopify, WooCommerce есть готовые модули.

Нормы и ссылки

• Directive (EU) 2023/2673 (art. 11a of 2011/83/EU)
• BGB § 356a

В приложении: Доступна автоматическая проверка на платном тарифе.

касается сайтов, которые продают товары или услуги посетителям онлайн

Почему это важно

Покупатель в ЕС вправе отказаться от покупки через интернет в течение 14 дней, и магазин обязан рассказать ему об этом до заказа: срок, как отказаться, кто платит за возврат, — и дать образец формы отказа. Без этих сведений срок отказа продлевается до года и 14 дней.

Как проверить самому

Есть ли на сайте страница «Widerrufsbelehrung» («Правила отказа», «Right of withdrawal», «Cancellation policy») и ссылка на неё в подвале и на шаге оформления заказа? Есть ли на ней образец формы отказа?

Как исправить

Опубликовать правила отказа по образцу закона (в Германии — приложение 1 к статье 246a EGBGB) и образец формы (приложение 2), поставить ссылку в подвал и в оформление заказа.

Нормы и ссылки

• Consumer Rights Directive 2011/83/EU, art. 6, 9–16
• BGB § 355
• EGBGB Art. 246a § 1

В приложении: Доступна автоматическая проверка на платном тарифе.

касается сайтов, которые продают товары или услуги посетителям онлайн

Почему это важно

В Германии кнопка, которой покупатель оформляет заказ, должна однозначно говорить, что он обязуется заплатить, — «zahlungspflichtig bestellen» или так же ясно. Если на ней «Weiter» или «Bestellen», договор не заключён, а за это шлют предупреждения (Abmahnung).

Как проверить самому

Дойдите тестовым заказом до последнего шага. Что написано на кнопке, которая отправляет заказ? Прямо над ней видны ли товар, итоговая цена, срок договора?

Как исправить

Сменить надпись на «zahlungspflichtig bestellen» («Заказать с оплатой») — в теме магазина это одна строка перевода.

Нормы и ссылки

• BGB § 312j

В приложении: Только вручную.

касается сайтов, которые продают товары или услуги посетителям онлайн

Почему это важно

В Германии покупателю показывают итоговую цену с НДС и пишут, сколько стоит доставка, а у товаров на развес и на объём — ещё цену за килограмм или литр. Цена «без НДС» для покупателей-частных лиц — повод для предупреждения.

Как проверить самому

Откройте несколько карточек товаров и корзину. Есть ли рядом с ценой «inkl. MwSt.» («с НДС») и ссылка или сумма доставки? У товаров на вес и объём — цена за единицу?

Как исправить

Включить в теме магазина подпись «inkl. MwSt., zzgl. Versand» со ссылкой на условия доставки и показ цены за единицу.

Нормы и ссылки

• PAngV § 3
• PAngV § 4

В приложении: Только вручную.

касается сайтов, которые продают товары или услуги посетителям онлайн

Почему это важно

В ЕС при объявлении скидки «было» — это самая низкая цена товара за последние 30 дней до скидки, а не любая цена из прошлого. Перечёркнутая «старая» цена, которой не было месяц, — нарушение.

Как проверить самому

Найдите товары со скидкой. Что показано как «было»: самая низкая цена за 30 дней или просто прежняя? Есть ли подпись, что это за цена?

Как исправить

Показывать как «было» самую низкую цену за 30 дней — у крупных платформ это настройка или модуль, у самописного магазина нужна история цен.

Нормы и ссылки

• Price Indication Directive 98/6/EC, art. 6a
• PAngV § 11

В приложении: Только вручную.

касается сайтов, которые продают товары или услуги посетителям онлайн

Почему это важно

В Германии компания больше чем с 10 работниками, у которой есть сайт и общие условия (AGB), обязана написать на сайте, готова ли она решать споры с покупателями через службу примирения, — даже если не готова. Если компания обязалась участвовать, указать службу надо при любом размере.

Как проверить самому

Есть ли в Impressum или в AGB фраза об участии в «Verbraucherschlichtung» (например, «Wir sind nicht bereit und nicht verpflichtet…»)?

Как исправить

Добавить фразу в Impressum и в AGB. Шаблоны есть у Торгово-промышленной палаты (IHK).

Нормы и ссылки

• VSBG § 36

В приложении: Только вручную.

Почему это важно

Платформу ЕС для споров с покупателями (ODR) закрыли 20 июля 2025 года, и ссылка на неё больше не нужна. Сама ссылка не нарушение, но ведёт в никуда и выдаёт, что юридические тексты давно никто не правил.

Как проверить самому

Поищите на сайте, особенно в Impressum и AGB, ссылку на ec.europa.eu/consumers/odr или фразу «OS-Plattform», «Online-Streitbeilegung», «ODR platform».

Как исправить

Убрать ссылку и фразу из Impressum, AGB и подвала. Если её обещали оставить в подписанном обязательстве после предупреждения (Unterlassungserklärung), сначала спросить юриста.

Нормы и ссылки

• Regulation (EU) 2024/3228

В приложении: Доступна автоматическая проверка на платном тарифе.

касается сайтов, где посетители публикуют своё: комментарии, отзывы, форум, объявления

Почему это важно

В ЕС, если сайт показывает отзывы покупателей, он обязан сказать, проверяет ли, что их написали настоящие покупатели, и как. Купленные или выдуманные отзывы запрещены вовсе.

Как проверить самому

Есть ли рядом с отзывами или на отдельной странице текст о том, как отзывы проверяются (например, «только после покупки») или что не проверяются?

Как исправить

Добавить под отзывами одну-две фразы: проверяются ли они и как.

Нормы и ссылки

• Unfair Commercial Practices Directive 2005/29/EC, art. 7(6), annex I 23b–23c
• UWG § 5b

В приложении: Только вручную.

касается сайтов, где посетители публикуют своё: комментарии, отзывы, форум, объявления

Почему это важно

В ЕС сайт, где посетители публикуют своё (комментарии, отзывы, форум, объявления), обязан дать единый контакт для пользователей и властей, описать правила публикаций в условиях и дать способ сообщить о незаконном содержимом. Часть обязанностей не касается совсем маленьких компаний, но контакт и способ пожаловаться нужны всем.

Как проверить самому

Есть ли на сайте контакт для связи по вопросам публикаций (почта или форма), правила публикаций в условиях и кнопка или форма «Пожаловаться» у публикаций?

Как исправить

Указать контакт в Impressum или на странице «Контакты», дописать правила публикаций в условия, добавить кнопку «Пожаловаться» — у форумов и систем комментариев это обычно модуль.

Нормы и ссылки

• Digital Services Act 2022/2065, art. 11, 12, 14, 16

В приложении: Только вручную.

Почему это важно

В Калифорнии бизнес, которого касается закон о данных (CCPA — оборот больше примерно 26 млн $ в год, или данные больше 100 тысяч жителей, или половина дохода от продажи данных), и который продаёт данные или передаёт их для рекламы, обязан дать ссылку отказа на главной. Малого сайта закон обычно не касается — тогда пункт отмечается «не применимо».

Как проверить самому

Есть ли в подвале главной ссылка «Do Not Sell or Share My Personal Information» или «Your Privacy Choices» и ведёт ли она к форме отказа?

Как исправить

Добавить ссылку в подвал и форму отказа или кнопку в платформе согласия — у крупных платформ согласия это готовая настройка для США.

Нормы и ссылки

• CCPA, Cal. Civ. Code § 1798.135
• CCPA Regulations, 11 CCR § 7025–7026

В приложении: Доступна автоматическая проверка на платном тарифе.

касается сайтов с подпиской на рассылку

Почему это важно

В США закон CAN-SPAM требует в каждом рекламном письме понятную ссылку отписки (и выполнять её в течение 10 рабочих дней), настоящий почтовый адрес отправителя и честную тему письма. Штраф — за каждое письмо.

Как проверить самому

Откройте любое письмо рассылки: есть ли ссылка «отписаться» и почтовый адрес компании? Работает ли отписка без входа в аккаунт?

Как исправить

Добавить в шаблон письма ссылку отписки и почтовый адрес — во всех сервисах рассылок это поля подвала письма.

Нормы и ссылки

• CAN-SPAM Act, 15 U.S.C. § 7704

В приложении: Только вручную.

касается сайтов, которые продают товары или услуги посетителям онлайн

Почему это важно

Светло-серый текст на белом не читают люди со слабым зрением, а на солнце — почти все. В ЕС для интернет-магазинов и онлайн-услуг это требование закона с июня 2025 года.

Как проверить самому

Экран «Производительность» показывает оценку доступности по PageSpeed. Вручную — PageSpeed Insights (pagespeed.web.dev), раздел «Специальные возможности», пункт про контрастность.

Как исправить

Затемнить текст или осветлить фон так, чтобы контраст был не меньше 4,5:1 (для крупного текста 3:1). Проверить можно любым калькулятором контраста.

Нормы и ссылки

• WCAG 2.1 AA
• European Accessibility Act 2019/882
• BFSG

В приложении: Проверяет приложение, бесплатно.

касается сайтов, которые продают товары или услуги посетителям онлайн

Почему это важно

Экранный диктор зачитывает незрячему посетителю описание картинки. Без него товар на фото — пустое место, а кнопка-картинка — «кнопка без названия».

Как проверить самому

Экран «Производительность» (доступность по PageSpeed) или PageSpeed Insights — пункт «У изображений нет атрибута alt».

Как исправить

Заполнить alt у содержательных картинок. У чисто декоративных — пустой alt="".

Нормы и ссылки

• WCAG 2.1 AA
• European Accessibility Act 2019/882
• BFSG

В приложении: Проверяет приложение, бесплатно.

касается сайтов, которые продают товары или услуги посетителям онлайн

Почему это важно

Поле, у которого есть только серая подсказка внутри, диктор не называет, а подсказка исчезает, едва человек начал печатать.

Как проверить самому

Экран «Производительность» или PageSpeed Insights — пункт про подписи у полей форм.

Как исправить

Добавить каждому полю видимую подпись (label), связанную с ним.

Нормы и ссылки

• WCAG 2.1 AA
• European Accessibility Act 2019/882
• BFSG

В приложении: Проверяет приложение, бесплатно.

касается сайтов, которые продают товары или услуги посетителям онлайн

Почему это важно

По атрибуту lang диктор выбирает произношение, а по заголовкам незрячий человек перемещается по странице, как зрячий — взглядом.

Как проверить самому

Экран «Производительность» или PageSpeed Insights — пункты про атрибут lang и порядок заголовков.

Как исправить

Указать <html lang="…"> и выстроить заголовки по порядку: один H1, под ним H2, под ними H3.

Нормы и ссылки

• WCAG 2.1 AA
• European Accessibility Act 2019/882
• BFSG

В приложении: Проверяет приложение, бесплатно.

касается сайтов, которые продают товары или услуги посетителям онлайн

Почему это важно

Многие люди не пользуются мышью. Если до кнопки «Купить» нельзя дойти клавишей Tab или не видно, где сейчас фокус, — купить они не могут.

Как проверить самому

Откройте сайт и пройдите его клавишей Tab: меню, ссылки, форма, корзина, оформление заказа. Фокус всё время должен быть виден, а Enter — нажимать кнопки.

Как исправить

Вернуть видимую рамку фокуса (часто её убирают в стилях outline: none) и сделать кнопками то, что сейчас — блоки с обработчиком клика.

Нормы и ссылки

• WCAG 2.1 AA
• European Accessibility Act 2019/882
• BFSG

В приложении: Только вручную.

касается сайтов, которые продают товары или услуги посетителям онлайн

Почему это важно

В ЕС с 28 июня 2025 года интернет-магазины и онлайн-услуги для потребителей обязаны описать, насколько их сайт доступен и куда сообщать о проблемах. В Германии это требует BFSG. Не касается микропредприятий, которые оказывают услуги: меньше 10 работников и не больше 2 млн € годового оборота или итога баланса.

Как проверить самому

Поищите на сайте страницу «Erklärung zur Barrierefreiheit» («Заявление о доступности»), обычно в подвале.

Как исправить

Опубликовать заявление: что доступно, что нет, контакт для жалоб. Шаблоны дают надзорные органы стран ЕС.

Нормы и ссылки

• European Accessibility Act 2019/882
• BFSG

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

TLS 1.0 и 1.1 официально устарели и считаются небезопасными. Сервер, который их ещё принимает, позволяет при неудачном стечении подсмотреть данные посетителей.

Как проверить самому

Проверьте домен на ssllabs.com/ssltest: в разделе Protocols TLS 1.0 и 1.1 должны быть «No». Из терминала: openssl s_client -connect ваш-домен:443 -tls1_1 -cipher 'DEFAULT@SECLEVEL=0' должен завершиться ошибкой. Без -cipher свежий OpenSSL сам отказывается от старых версий, и ошибка будет даже на старом сервере.

Как исправить

В настройках веб-сервера оставить TLS 1.2 и 1.3 (в nginx — ssl_protocols TLSv1.2 TLSv1.3;). Caddy так делает по умолчанию.

Нормы и ссылки

• BSI TR-02102-2
• RFC 8996 (TLS 1.0 and 1.1 deprecated)
• GDPR art. 32

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

Если сайт открывается по http, первый запрос посетителя уходит открытым. Переадресация и заголовок Strict-Transport-Security заставляют браузер ходить только по https.

Как проверить самому

Из терминала: curl -I http://ваш-домен — ответ 301 (или 308) на https. curl -I https://ваш-домен — есть строка Strict-Transport-Security.

Как исправить

Включить переадресацию на https в веб-сервере и добавить заголовок Strict-Transport-Security: max-age=31536000. includeSubDomains — только если https есть у всех поддоменов.

Нормы и ссылки

• RFC 6797 (HSTS)
• GDPR art. 32

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

Заголовки Content-Security-Policy, X-Content-Type-Options, Referrer-Policy и запрет показа сайта в чужом фрейме закрывают целые классы атак — подмену содержимого и «кликджекинг».

Как проверить самому

Проверьте домен на securityheaders.com или командой curl -I https://ваш-домен.

Как исправить

Добавить заголовки в веб-сервер: X-Content-Type-Options: nosniff, Referrer-Policy: strict-origin-when-cross-origin, frame-ancestors в CSP (или X-Frame-Options: SAMEORIGIN). CSP вводить осторожно — она может сломать сайт.

Нормы и ссылки

• OWASP Secure Headers

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

Заголовок «Server: nginx/1.18.0» или «X-Powered-By: PHP/7.4» подсказывает, какие известные уязвимости пробовать. Это не дыра, но лишняя подсказка.

Как проверить самому

curl -I https://ваш-домен: в строках Server и X-Powered-By не должно быть номеров версий. В коде страницы — тег meta generator с версией WordPress.

Как исправить

nginx — server_tokens off; PHP — expose_php = Off; WordPress — убрать generator плагином безопасности или в теме.

Нормы и ссылки

• OWASP Secure Headers

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

Открытый .env отдаёт пароли от базы и ключи сервисов, открытый .git — весь код сайта с историей. Это одна из самых частых причин взлома.

Как проверить самому

Экран «Безопасность» → «Проверить сервер» бесплатно проверяет .env и .git у сайтов этого сервера: приложение запрашивает их с вашего компьютера, как браузер, и смотрит, не отдаёт ли сайт сам файл. Содержимое не показывается и не сохраняется.

Как исправить

Запретить отдачу этих путей в веб-сервере (в nginx — location ~ /\.(env|git) { deny all; }) и сменить все пароли и ключи, если файл был открыт.

Нормы и ссылки

• OWASP Top 10
• GDPR art. 32

В приложении: Проверяет приложение, бесплатно.

Почему это важно

Большинство взломов WordPress и других CMS идёт через известные уязвимости в старых версиях ядра, тем и плагинов.

Как проверить самому

В админке CMS посмотрите, есть ли обновления ядра, тем и плагинов. Список плагинов можно сверить с wpscan.com или patchstack.com.

Как исправить

Обновить всё, удалить неиспользуемые плагины и темы, включить автообновления безопасности.

Нормы и ссылки

• OWASP Top 10
• GDPR art. 32

В приложении: Автоматической проверки пока нет. Проверьте сами.

Почему это важно

Без этих записей кто угодно может слать письма от имени вашего домена, а ваши настоящие письма чаще уходят в спам.

Как проверить самому

Проверьте домен на mxtoolbox.com или командами dig TXT ваш-домен (SPF) и dig TXT _dmarc.ваш-домен (DMARC). DKIM настраивается у почтового сервиса.

Как исправить

Добавить записи по инструкции своего почтового сервиса. Если домен почту не шлёт вовсе — SPF «v=spf1 -all» и DMARC «p=reject».

Нормы и ссылки

• RFC 7208 (SPF)
• RFC 6376 (DKIM)
• RFC 7489 (DMARC)

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

Файл /.well-known/security.txt говорит, куда сообщить о найденной уязвимости. Без него нашедший дыру не знает, кому писать.

Как проверить самому

Откройте https://ваш-домен/.well-known/security.txt.

Как исправить

Положить файл с полями Contact: и Expires: (шаблон — securitytxt.org).

Нормы и ссылки

• RFC 9116 (security.txt)

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

Картинка, скрипт или форма по http на странице https ломают шифрование: браузер блокирует часть такого содержимого или показывает «небезопасно», а то, что прошло, можно подменить по дороге.

Как проверить самому

F12 → «Console»: есть ли предупреждения «Mixed Content»? Во вкладке «Network» — адреса, начинающиеся с http://?

Как исправить

Заменить в теме и базе сайта адреса http:// на https:// (у WordPress — плагин поиска и замены) и добавить заголовок Content-Security-Policy: upgrade-insecure-requests.

Нормы и ссылки

• W3C Mixed Content
• GDPR art. 32

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

Cookie без флага Secure может уйти по незашифрованному соединению, а cookie входа без HttpOnly может прочитать любой скрипт на странице. Это не отдельный закон, а то, что закон о данных называет «подходящими мерами защиты».

Как проверить самому

F12 → «Application» → «Cookies»: у cookies вашего домена стоит ли галочка Secure, а у cookies входа (сессии) — HttpOnly? Есть ли SameSite=None без Secure?

Как исправить

Включить флаги в настройках сессии (PHP: session.cookie_secure и session.cookie_httponly; у фреймворков — настройка сессии) и там, где сайт ставит свои cookies.

Нормы и ссылки

• OWASP Session Management Cheat Sheet (cookies)
• GDPR art. 32

В приложении: Доступна автоматическая проверка на платном тарифе.

касается сайтов, где данные карты вводятся, не уходя с сайта (своя форма или встроенное окно платёжного сервиса)

Почему это важно

Если данные карты вводятся на странице вашего сайта, любой сторонний скрипт на ней может их украсть — так работают атаки вроде Magecart. Стандарт платёжных карт PCI DSS с 31 марта 2025 года требует знать каждый скрипт страницы оплаты, объяснить, зачем он нужен, и замечать его изменения. С переходом на страницу Stripe, PayPal или банка это обычно не ваша забота. Если поля карты встроены в вашу страницу окном платёжного сервиса (например, Stripe Elements), сама карта до вас не доходит, но скрипт на странице может подменить это окно — поэтому страницу всё равно держат чистой.

Как проверить самому

Откройте страницу оплаты, F12 → «Network» → фильтр «JS». Выпишите все скрипты: чей каждый и зачем он здесь? Есть ли среди них аналитика, чат, виджеты, которым на этой странице делать нечего?

Как исправить

Убрать со страницы оплаты всё лишнее, ограничить скрипты заголовком Content-Security-Policy, вести перечень оставшихся. Проще всего — перевести оплату на страницу платёжного сервиса; встроенное окно сервиса тоже снимает большую часть забот, но страница вокруг него должна оставаться чистой.

Нормы и ссылки

• PCI DSS v4.0.1, req. 6.4.3, 11.6.1

В приложении: Доступна автоматическая проверка на платном тарифе.

Почему это важно

Пароль от SSH подбирают роботы круглые сутки. Вход по ключу и запрет root закрывают самый частый путь взлома сервера.

Как проверить самому

Экран «Безопасность» → «Проверить сервер» смотрит настройки SSH бесплатно, только чтением.

Как исправить

Настроить вход по ключу под обычным пользователем с sudo, затем в sshd_config: PasswordAuthentication no, PermitRootLogin no. Не закрывайте текущую сессию, пока не проверите вход по ключу в новой. Если vpsFocus входит на сервер под root или по паролю, после этой правки он потеряет доступ. Поэтому сначала дайте новому пользователю sudo без пароля, а потом в vpsFocus: «Подготовка и установка» → «Удалить сервер» → «Убрать из приложения» (мониторинг на сервере продолжит работать) и добавьте сервер заново — со входом по ключу под этим пользователем.

Нормы и ссылки

• BSI IT-Grundschutz (SYS.1.3, SYS.1.6)

В приложении: Проверяет приложение, бесплатно.

Почему это важно

Без файрвола наружу смотрит всё, что случайно начало слушать порт: база данных, панель управления, тестовый сервер.

Как проверить самому

Экран «Безопасность» → «Проверить сервер».

Как исправить

Сначала разрешить SSH (sudo ufw allow OpenSSH), иначе включённый файрвол отрежет и вас, затем 80 и 443, и только потом включить: sudo ufw enable. В firewalld — то же через firewall-cmd. Помните: порты, опубликованные Docker, идут мимо ufw.

Нормы и ссылки

• BSI IT-Grundschutz (SYS.1.3, SYS.1.6)

В приложении: Проверяет приложение, бесплатно.

Почему это важно

MySQL, PostgreSQL, Redis или Docker API, доступные снаружи, — прямой путь к данным и к серверу.

Как проверить самому

Экран «Безопасность» → «Проверить сервер» показывает, что слушает на всех адресах, и порты Docker.

Как исправить

Привязать службы к 127.0.0.1 или закрыть порты файрволом; в Docker публиковать порт как 127.0.0.1:5432:5432.

Нормы и ссылки

• BSI IT-Grundschutz (SYS.1.3, SYS.1.6)

В приложении: Проверяет приложение, бесплатно.

Почему это важно

Известные уязвимости в системе и программах исправляются обновлениями. Сервер без них — открытая дверь с вывеской.

Как проверить самому

Экран «Безопасность» → «Проверить сервер» считает ожидающие обновления и говорит, нужна ли перезагрузка.

Как исправить

Установить обновления (sudo apt upgrade) и включить автоматические обновления безопасности (unattended-upgrades).

Нормы и ссылки

• BSI IT-Grundschutz (SYS.1.3, SYS.1.6)
• GDPR art. 32

В приложении: Проверяет приложение, бесплатно.

Почему это важно

fail2ban и похожие программы блокируют адреса, которые раз за разом ошибаются с паролем, и снимают нагрузку от роботов.

Как проверить самому

Экран «Безопасность» → «Проверить сервер» показывает неудачные входы за сутки и работает ли защита.

Как исправить

Установить fail2ban (sudo apt install fail2ban) — защита SSH включается в нём по умолчанию.

Нормы и ссылки

• BSI IT-Grundschutz (SYS.1.3, SYS.1.6)

В приложении: Проверяет приложение, бесплатно.

Почему это важно

Без копии сайт после взлома, сбоя диска или неудачного обновления не вернуть. Закон о защите данных требует умения восстановить данные. Экран «Резервные копии» делает копии мониторинга, а не вашего сайта.

Как проверить самому

Узнайте, где лежат копии сайта (у хостера, в панели, скриптом), и посмотрите дату последней. Копия старше недели — повод разобраться. Хотя бы раз попробуйте восстановить её на тестовом месте. Проще — указать папку с копиями в профиле сайта выше: тогда «Безопасность» → «Проверить сервер» сама покажет возраст самой свежей копии.

Как исправить

Настроить ежедневные копии файлов и базы на отдельное хранилище, не на тот же сервер.

Нормы и ссылки

• GDPR art. 32(1)(c)
• BSI IT-Grundschutz (SYS.1.3, SYS.1.6)

В приложении: Проверяет приложение, бесплатно.

Почему это важно

Адрес IP — персональные данные, и хранить их можно не дольше, чем нужно. Логи веб-сервера за три года — лишний риск и вопрос от проверяющих.

Как проверить самому

Экран «Безопасность» → «Проверить сервер» бесплатно читает настройки logrotate и показывает, сколько хранятся логи. Вручную — /etc/logrotate.d/nginx (строка rotate) и самый старый файл в /var/log/nginx/.

Как исправить

Задать в logrotate срок, например rotate 14 при daily — две недели, и указать его в политике конфиденциальности.

Нормы и ссылки

• GDPR art. 5(1)(e)

В приложении: Проверяет приложение, бесплатно.

Почему это важно

Неверное время ломает проверку сертификатов, путает журналы при разборе инцидента и сроки копий.

Как проверить самому

Экран «Безопасность» → «Проверить сервер» бесплатно смотрит, сверяются ли часы. Вручную — команда timedatectl: строка System clock synchronized: yes.

Как исправить

Включить синхронизацию: sudo timedatectl set-ntp true.

Нормы и ссылки

• BSI IT-Grundschutz (SYS.1.3, SYS.1.6)

В приложении: Проверяет приложение, бесплатно.

Почему это важно

Контейнер в режиме privileged или с проброшенным сокетом Docker по сути равен root на сервере: взлом сайта в нём — взлом всего сервера.

Как проверить самому

Экран «Безопасность» → «Проверить сервер» бесплатно показывает контейнеры в режиме privileged и с проброшенным сокетом Docker. Вручную — команда docker ps -q | xargs docker inspect | grep -E '"Name"|Privileged|docker.sock': у каждого контейнера Privileged должно быть false, а docker.sock не должен встречаться среди томов.

Как исправить

Убрать privileged: true и проброс /var/run/docker.sock там, где они не нужны; выдавать только нужные права через cap_add.

Нормы и ссылки

• BSI IT-Grundschutz (SYS.1.3, SYS.1.6)

В приложении: Проверяет приложение, бесплатно.