Методика

Правила проверки

Правила отвечают на вопросы, которые чаще всего возникают у владельца сайта. Каждое имеет вес: чем выше вес, тем сильнее провал правила влияет на оценку.

1. R1вес 20

   HTTPS и редирект

   Сайт открывается только по защищённому протоколу?

   Данные из форм уходят по открытому каналу — их можно перехватить. Для сайтов, где собирают телефоны и адреса, это базовая и самая заметная проблема.

   Как проверяем: Запрос по http:// и проверка, что сайт перенаправляет на https://; проверка сертификата.

2. R2вес 20бесплатно

   Политика обработки ПД

   На сайте есть политика обработки персональных данных?

   Политика — обязательный документ оператора. Без неё нельзя законно собирать даже имя и телефон через форму обратной связи.

   Как проверяем: Поиск ссылки в шапке и футере, загрузка документа и проверка обязательных блоков.

3. R3вес 20бесплатно

   Cookie-баннер

   Согласие на cookie спрашивают до загрузки аналитики?

   Если счётчики и пиксели стартуют до согласия, сайт передаёт данные посетителей третьим лицам без правового основания.

   Как проверяем: Проверка баннера до любых кликов и сетевых запросов к аналитике до согласия.

4. R4вес 20

   Согласие в формах

   В формах есть отдельная галочка согласия?

   Согласие должно быть конкретным, предметным и отдельным от других условий. Предустановленная галочка или её отсутствие делают обработку незаконной.

   Как проверяем: Перебор форм: чекбокс, его состояние по умолчанию, ссылка на политику рядом.

5. R5вес 20бесплатно

   Зарубежные трекеры

   Данные посетителей не уходят за границу?

   Google Analytics, Meta Pixel, YouTube и подобные сервисы получают IP и поведение посетителей. Локализация персональных данных требует хранить их в России.

   Как проверяем: Классификация всех сторонних запросов страницы по категориям и странам.

6. R6вес 10

   Хостинг сайта

   Сайт размещён на российском хостинге?

   Если база сайта и формы обрабатываются за рубежом, это первый вопрос при проверке. Хостинг в РФ сам по себе не гарантирует соответствие, но снимает часть рисков.

   Как проверяем: IP сайта, страна и провайдер по локальной базе GeoLite2, отметка CDN.

7. R7вес 5

   Гигиена TLS

   Настроены HSTS и защита от смешанного контента?

   Слабые настройки транспорта не нарушение само по себе, но усиливают последствия других проблем и портят оценку при аудите.

   Как проверяем: Заголовок Strict-Transport-Security, http-ресурсы на https-странице, срок сертификата.

8. R8вес 0

   Реестр операторов РКН

   Компания есть в реестре операторов персональных данных?

   Оператор обязан уведомить Роскомнадзор до начала обработки данных. Проверка справочная: официального открытого API у реестра нет, поэтому результат подтверждается вручную.

   Как проверяем: Поиск ИНН на страницах сайта и обращение к реестру через настроенный прокси.