Чек-лист сайта и интернет-сервиса в РФ

Актуальность: 2 августа 2026 года.

Перед применением

Чек-лист адаптируется к B2B/ B2C, ИП/ООО/ НПД, типу данных, контенту, рекламе, платежам и отрасли. Лендинг без оплаты всё равно может собирать персональные данные и распространять рекламу.

1. Владелец и обязательная информация

• [ ] понятно, кто владелец/продавец/исполнитель и как с ним связаться;
• [ ] наименование, статус, реквизиты и иные обязательные сведения соответствуют фактической стороне договора и категории продажи;
• [ ] домен, хостинг, репозиторий, аналитика и кабинеты оформлены/контролируются бизнесом, а не только подрядчиком;
• [ ] сведения в сайте, оферте, чеке, банке и реестрах не противоречат друг другу;
• [ ] лицензии/разрешения/возрастные или отраслевые ограничения проверены.

2. Договор и потребитель

• [ ] описаны товар/услуга, цена, состав, срок, порядок исполнения и приёмки;
• [ ] оферта/условия доступны до оплаты и сохраняется применимая версия;
• [ ] возврат, отмена, претензия, поддержка и гарантия не ухудшают обязательные права потребителя;
• [ ] нет заранее установленных лишних услуг, тёмных паттернов и ложного дефицита;
• [ ] автопродление/рекуррентный платёж прозрачен и легко прекращается;
• [ ] партнёр/агент/маркетплейс не скрывает фактического продавца и обязанности.

См. PAYMENTS_KKT.md и PENALTIES_AND_RISKS.md.

3. Персональные данные и cookies

• [ ] составлена карта всех форм, trackers, CRM, чатов, виджетов и подрядчиков;
• [ ] каждое поле имеет цель/основание, лишние поля удалены;
• [ ] политика соответствует реальному процессу и доступна постоянно;
• [ ] необходимые согласия конкретны, доказуемы и не спрятаны в общей оферте;
• [ ] проверены уведомление оператора, локализация и трансграничная передача;
• [ ] cookies/аналитика/реклама загружаются по законному сценарию;
• [ ] есть сроки хранения, удаление, ответы на обращения и инцидентный процесс;
• [ ] тестовая/аналитическая среда не получает production-данные без необходимости.

Подробно: PERSONAL_DATA_AND_SECURITY.md.

4. Платежи и ККТ

• [ ] определён продавец, момент расчёта, способ платежа и обязанность по чеку;
• [ ] ККТ/ОФД/номенклатура/признак способа и предмета расчёта проверены;
• [ ] email/телефон для чека собирается и используется корректно;
• [ ] возврат/частичный возврат/предоплата/зачёт/рассрочка протестированы;
• [ ] чек платёжного агрегатора не ошибочно принят за чек продавца;
• [ ] webhook повторяется идемпотентно, сумма/валюта/статус сверяются;
• [ ] рекуррентный платёж останавливается после отказа клиента;
• [ ] банк/провайдер получил понятное описание модели и документы.

5. Реклама и контент

• [ ] информационный контент отделён от рекламы, определены рекламодатель и рекламораспространитель;
• [ ] для интернет-рекламы проверены идентификатор, пометка, данные/отчётность в применимом контуре;
• [ ] обещания, цены, сравнения и кейсы подтверждаемы;
• [ ] отзывы реальны, получено разрешение на имя/изображение/материал;
• [ ] есть права/лицензии на тексты, код, фото, видео, музыку, шрифты и бренды;
• [ ] AI-контент проверен человеком на факты, права, персональные данные и вводящее в заблуждение изображение/голос;
• [ ] пользовательский контент имеет правила, жалобу и процесс удаления.

Подробно: ADVERTISING_CONTENT_AI.md.

6. Техническая безопасность и доступность

• [ ] HTTPS, обновления, минимальные права, MFA и менеджер паролей;
• [ ] секреты не находятся в HTML/JS/репозитории/аналитике/логах;
• [ ] формы защищены от спама/инъекций, загрузки файлов ограничены;
• [ ] админка/резервные копии/логи имеют отдельный доступ и срок хранения;
• [ ] восстановление проверено, домен/сертификат/платёж имеют ответственного;
• [ ] внешние скрипты и цепочка поставок инвентаризированы;
• [ ] есть контакты для безопасности/претензий и журнал инцидентов;
• [ ] интерфейс проверен на понятность, мобильность и доступность для целевой аудитории, даже когда формальная обязанность ограничена.

7. Проверка запуска

1. Пройти путь нового пользователя без внутреннего знания.
2. Отправить тестовые данные и найти их во всех системах/логах.
3. Провести тестовый платёж, чек, возврат и отмену подписки.
4. Проверить согласия/версии/доказательства и удаление данных.
5. Открыть сайт без маркетинговых cookies и с заблокированным внешним сервисом.
6. Проверить 404/500, контакт поддержки и аварийный режим.
7. Зафиксировать дату, версии документов и ответственного.

После изменения

Новая форма, аналитика, чат, AI, платёж, партнёр или рекламный канал повторно запускают релевантную часть чек-листа. Ежеквартальный просмотр не заменяет проверку до запуска.