Как проверить сайт на требования закона с помощью Codex: 152-ФЗ, cookie, оферта и реклама

Сайт собран за выходные с ИИ, работает, заявки идут. А потом кто-то в чате спрашивает: «А согласие у тебя отдельно? А Метрика до баннера стартует?» — и уверенность пропадает. Закон о сайте говорит не одной статьёй, а россыпью: персональные данные, защита потребителей, реклама, информация, кассы. Держать всё это в голове владельцу небольшого сайта не нужно. Нужно знать, что проверять, — и иметь того, кто проверит внимательно.

Таким проверяющим может быть ИИ-агент. Codex открывает страницы, читает код, смотрит, какие скрипты подключены и когда стартует счётчик, и сверяет увиденное с действующими текстами законов. Так выглядит проверка сайта с ИИ: не чек-лист «что должно быть», а отчёт о том, что есть у тебя.

Что проверять на сайте: карта требований

Не всё касается всех. Блог без форм и счётчиков живёт проще, чем онлайн-школа с оплатой и личным кабинетом. Вот что стоит проверить и когда это про тебя.

Персональные данные: политика, согласие, уведомление

Если сайт собирает данные через интернет, политику обработки нужно опубликовать там же, на страницах, где идёт сбор, с неограниченным доступом. Для каждой формы сначала определяют основание обработки: согласие, договор с человеком или другое из ст. 6. Если основание — согласие, оно должно быть конкретным, предметным, информированным, сознательным и однозначным и оформляется отдельно от других документов: галочка «согласен с офертой, на рассылку и на всё остальное» этому не соответствует. Уведомить Роскомнадзор нужно до начала обработки; исключений с 2022 года осталось мало, и сайт с формой и CRM под них обычно не подпадает.

Цена ошибки — ст. 13.11 КоАП. Для организаций: политика не опубликована — 30–60 тыс. ₽ (ч. 3), Роскомнадзор не уведомлён — 100–300 тыс. ₽ (ч. 10), базы за рубежом — 1–6 млн ₽ (ч. 8). Обработка без письменного согласия там, где оно обязательно, или согласие без нужных сведений — 300–700 тыс. ₽ (ч. 2).

Нужно ли согласие на cookie и Яндекс Метрику

Слова «cookie» в 152-ФЗ нет. Но Роскомнадзор в письме от 26.06.2024 написал прямо: метрические программы, которые отличают посетителя и собирают сведения о его поведении, — это обработка персональных данных. Значит, посетителя нужно проинформировать, получить согласие и описать обработку в политике. Про Google Analytics там же: это трансграничная передача, нужно уведомление по ч. 3 ст. 12 152-ФЗ. Баннер как таковой законом не прописан, но удобнее всего получить согласие именно им — и запускать счётчик после ответа, а не до.

Продающие страницы: продавец, оферта, чек

Тому, кто продаёт потребителям, закон велит назвать себя: наименование, адрес, режим работы, для ИП — сведения о регистрации. При дистанционной продаже до договора — цена, условия, порядок оплаты. Публичная оферта — предложение со всеми существенными условиями любому, кто откликнется. При оплате на сайте покупатель получает электронный чек. Отдельно о возврате: условия «денег не возвращаем» стоит показать юристу — право потребителя отказаться от услуги закреплено в ст. 32 ЗоЗПП.

Реклама и вход на сайт

Чужая реклама и оплаченные размещения в интернете идут с пометкой «Реклама», указанием рекламодателя и идентификатором erid, который присваивает оператор рекламных данных. Штрафы — ст. 14.3 КоАП, за рекламу без идентификатора — 200–500 тыс. ₽ для организаций.

С 1 декабря 2023 года владелец сайта, где доступ есть только авторизованным, обязан пускать пользователей из России одним из четырёх способов: по российскому номеру телефона, через Госуслуги, через Единую биометрическую систему или через систему российского владельца. Вход только по e-mail или только через Google в этот перечень прямо не входит — вопрос для проверки, если у тебя личный кабинет.

Почему проверка сайта с ИИ, а не чек-лист

Чек-лист отвечает на вопрос «что должно быть». Агент отвечает на вопрос «что у тебя на самом деле». Разница большая: владелец обычно не знает, какие скрипты подтянул конструктор, что стартует до баннера и куда ведёт ссылка «Согласие» на странице оплаты. Codex это видит — он скачивает страницы, читает код, ищет формы и внешние подключения по всем адресам из карты сайта.

Второе преимущество — свежесть. Законы меняются: с 1 сентября 2026 года, например, перестали действовать правила продажи товаров, утверждённые постановлением № 2463, вместо них — постановление № 657. Чек-лист из интернета об этом не знает, а агенту можно велеть сверяться с действующими текстами на сегодня.

Граница понятная: агент видит сайт снаружи — что внутри, разберём ниже.

Как проверить сайт на 152-ФЗ и другие требования в Codex

Нужен Codex с доступом в сеть: приложение, расширение для редактора или CLI. Как поставить CLI — в нашем гайде «Claude Code, Codex и Grok через терминал». Дальше три шага.

1. Пустая рабочая папка. Запускай проверку не в папке проекта сайта: агенту не нужны твой код и ключи, ему хватит того, что видит посетитель. Пароли, токены и клиентские базы агенту не давай. «Только чтение» в промпте — про проверяемый сайт: ничего не отправлять и не заполнять; писать агент может только отчёт в свою папку.
2. Промпт ниже — подставь адрес сайта и сохрани в файл prompt.txt в этой папке. Если у сайта несколько доменов (журнал, оплата, кабинет), проверяй каждый отдельной сессией.
3. Запуск с доступом в сеть и отчётом в файл. В CLI — одна команда: песочница пишет только в рабочую папку, сеть открыта, итог ложится в otchet.md. В приложении Codex — новая задача в этой папке, вставь промпт и разреши агенту выход в сеть, когда он спросит; отчёт попроси сохранить в файл.

mkdir -p ~/proverka-sayta && cd ~/proverka-sayta
codex exec --skip-git-repo-check -s workspace-write -c sandbox_workspace_write.network_access=true -o otchet.md "$(cat prompt.txt)"

--skip-git-repo-check нужен, потому что папка не Git-репозиторий. Так мы и запускали проверку 28.10.2026 (Codex CLI 0.157). К отчёту ты вернёшься после правок, с ним же пойдёшь к юристу.

Проверь сайт [АДРЕС] на требования российского законодательства к сайту, который работает с посетителями из России.

Работай только на чтение: открывай страницы (curl), смотри HTML, заголовки ответа, cookie, подключённые скрипты и формы. Ничего не заполняй, не отправляй и не регистрируйся. Внутренних данных у тебя нет — только то, что видно снаружи.

Проверь:
1. Политика обработки персональных данных: есть ли, открывается ли со страниц, где собирают данные, кто в ней оператор.
2. Формы (заявка, подписка, оплата): какое основание обработки следует из формы и документов (согласие, договор или другое); если основание — согласие, оно отдельно от других документов и без заранее поставленной галочки; есть ли ссылка на политику. Если основание не видно снаружи — запиши это вопросом ко мне.
3. Cookie и счётчики: что ставится до согласия посетителя, есть ли баннер, совпадает ли список сервисов с политикой.
4. Внешние скрипты: какие сервисы подключены и в какие страны могут уходить данные.
5. Продающие страницы: оферта, реквизиты продавца (наименование, ОГРН/ОГРНИП, адрес), контакты, условия возврата.
6. Реклама: есть ли рекламные блоки, пометка «Реклама» и erid.
7. Вход в личный кабинет: через какие сервисы авторизация.

Требования сверяй с действующими текстами на сегодня: consultant.ru, pravo.gov.ru, разъяснения Роскомнадзора. Не ссылайся на блоги.

Отчёт по-русски, коротко:
— таблица: № · что нашёл · доказательство (адрес и фрагмент) · норма · статус (подтверждено / риск, нужна проверка / нет данных) · первый шаг;
— отдельно: что нельзя проверить снаружи (уведомление в РКН, где лежат базы, договоры с сервисами) и какие вопросы нести юристу.
Не пиши «нарушение», если нет доказательства: «в материалах не нашёл» и «нет» — разные утверждения. Если по пункту всё в порядке — так и скажи.

Готовые скиллы для такой проверки тоже есть — например, открытый check-ru-digital-product Сергея Пименова (лицензия MIT): он разбирает ещё кассы и подписки. Мы пошли своим промптом: он короче и его проще подогнать под свой сайт.

Как читать отчёт агента: три статуса

Главное правило — отделять наблюдение от вывода. «Метрика запускается до согласия» — наблюдение, его можно проверить. «Сайт нарушает закон» — вывод, его делает юрист. Поэтому в промпте у каждой находки статус:

• Подтверждено — видно снаружи, есть адрес и фрагмент кода или текста. Это не «юрист подтвердил», это «агент видел своими глазами».
• Риск, нужна проверка — что-то похоже на проблему, но не хватает данных: например, внешний шрифт может передавать IP посетителя за рубеж, а может и нет.
• Нет данных — проверить снаружи нельзя.

Статус говорит о доказательности, а не о том, хорошо это или плохо: «подтверждено» бывает и про то, что всё работает правильно. Сам правишь понятную техническую ошибку, когда ясно, как должно быть; спорные риски и всё, что без данных, — к юристу, вместе с доказательствами.

И второе правило: «в материалах не нашёл» и «нет» — разные утверждения. Агент не нашёл баннер в HTML — значит, нужно открыть сайт в чистом браузере и посмотреть, а не сразу писать «баннера нет». Хороший отчёт сам предлагает такой первый шаг.

Возьми находку № [номер] из твоего отчёта и разбери её глубже, всё ещё только на чтение.

1. Что именно ты видел: адрес, фрагмент кода или текста, как это проверить мне самому в браузере.
2. Какая норма к этому относится — дай статью и ссылку на действующий текст, процитируй нужную фразу.
3. От чего зависит вывод: какие факты обо мне или о сайте его меняют.
4. Первый шаг, который я сделаю сам, и первый шаг, если это вопрос к юристу.

Если данных не хватает — так и скажи, не достраивай.

Что нашёл Codex на нашем журнале

Мы прогнали этот промпт на сайте «Нейрохакера» — 179 страниц из карты сайта, только чтение. Агент начал с главной: заголовки ответа, ссылки, формы и скрипты; потом скачал код баннера согласия и аналитики, чтобы понять, когда грузится счётчик; потом прошёл все адреса из sitemap и сверил нормы на «КонсультантПлюс».

Настоящий обмен в Codex 28.10.2026, оформление упрощено, показана часть отчёта по журналу.

Что вышло:

• Метрика — только после согласия. В коде агент нашёл баннер «Согласиться / Отклонить» и подключение счётчика только после ответа; первый ответ сервера cookie не ставит. Но код — это намерение, а не поведение, поэтому агент предложил проверить браузером. Мы проверили три сценария в чистом профиле Chrome по сетевому журналу: до выбора — ни одного запроса к Яндексу и ни одной cookie; после «Отклонить» и перезагрузки — то же самое, выбор запомнен; после «Согласиться» — счётчик загружается и ставит свои cookie. Теперь это уже «проверено в браузере», а не «найдено в коде».

  Повторить у себя: открой сайт в окне инкогнито, инструменты разработчика (F12) → вкладка Network (Сеть), в фильтре — yandex или имя своего счётчика, обнови страницу и посмотри, есть ли запросы до клика по баннеру; cookie — во вкладке Application → Cookies.

• Форм на журнале нет. Покупка подписки и вход в кабинет — на других доменах, их агент советует проверять отдельно. Мы так и сделали — отдельными сессиями.

• Рекламы с пометкой нет, а erid встречается только в наших же статьях о маркировке. Статус — «нет данных»: снаружи агент не знает, какие материалы оплачены. Сверить это может только редакция.

• Что снаружи не установить: уведомление в Роскомнадзор, где лежат базы и резервные копии, договоры с сервисами. Это агент честно вынес в вопросы владельцу и юристу.

По соседним сайтам — оплаты и кабинета — отчёты получились длиннее: там формы, документы продавца и сторонние сервисы платформы. Публиковать их мы не будем, и тебе не советуем выкладывать свои: такой отчёт — рабочий документ для тебя и юриста. По нему у нас составлен список правок и вопросов, правим после консультации.

Как выглядит находка с проблемой

У журнала форм нет, поэтому покажем, как разбирать проблемную находку, на учебном примере — лендинге курса с формой заявки. Так выглядит хорошая строка отчёта:

Обрати внимание на третью строку: хороший отчёт сам говорит, где кончается доказательство. Если агент пишет «нарушение ст. 9» без такого предела — попроси его разобрать находку вторым промптом.

Что агент не проверит — и что спросить у юриста

Агент закрывает то, что видно в браузере. Остальное — твоя часть работы:

• Уведомление Роскомнадзора. Подано ли и актуально ли — проверь в реестре операторов на сайте Роскомнадзора или у того, кто его подавал.
• Где лежат данные. Хостинг, CRM, сервис рассылок, платформа школы, резервные копии — в России ли базы с данными граждан РФ.
• Договоры с сервисами. Кто обрабатывает данные по твоему поручению и записано ли это.
• Квалификация. Что из партнёрских блоков — реклама, законно ли твоё условие о возврате, какие основания обработки у каждой формы.

По итогам проверки собери документ для юриста — коротко, без воды.

1. Что за сайт и что он делает: формы, оплата, кабинет, счётчики, внешние сервисы — по твоим наблюдениям.
2. Находки со статусом «риск» и «нет данных»: каждая — наблюдение, доказательство (адрес и фрагмент), норма со ссылкой, вопрос юристу одной фразой.
3. Что нужно от меня до встречи: какие документы и сведения собрать (уведомление в РКН, где хранятся базы, договоры с сервисами).

Без оценок «нарушение / не нарушение» — это вывод юриста.

С чего начать сегодня

Что дальше

Повторяй проверку после заметных изменений: новая форма, новый счётчик, оплата, личный кабинет, смена платформы. Если сайт собирал ИИ — тем более: агенты охотно ставят счётчики и шрифты с чужих серверов. Как устроен вайбкодинг и где у него слабые места — в гайде «Что такое вайбкодинг».

Вопросы и ответы