Авторизация в приложении магазина: SMS, звонок, VK ID, Сбер ID

Покупатель собрал корзину, нажал «Оформить» и ждёт код, который не приходит. Через минуту он закрывает приложение, а магазин платит за SMS, которые никто не ввёл. От способа входа зависят две вещи: сколько новых покупателей доходит до первого заказа и во что обходится каждый подтверждённый номер. Разбираем, какие способы разрешены в России, сколько стоят SMS и звонки в 2026 году и как выстроить вход без лишних шагов.

18 сентября 2026 Технологии 17 мин чтения

---

Что такое авторизация в мобильном приложении простыми словами

Авторизация — проверка, что в приложение входит владелец аккаунта. Магазин спрашивает номер телефона, отправляет одноразовый код и пускает покупателя в личный кабинет, только когда код совпал. Регистрация — первый такой вход: сервер создаёт профиль, к которому дальше привязываются заказы, адреса, бонусы и подписки на уведомления.

Удобно сравнить с картой постоянного покупателя в офлайн-магазине. Кассир не спрашивает паспорт, но просит назвать номер телефона и подтвердить его — после этого баллы начисляются на нужный счёт. В приложении роль кассира выполняет сервер, а подтверждение номера берёт на себя SMS, звонок или сервис вроде VK ID и Сбер ID.

Для интернет-магазина вход открывает сценарии, без которых приложение превращается в витрину:

• Оформление заказа. Статус доставки и чек привязываются к покупателю, а не к устройству.
• Бонусы и уровни лояльности. Баллы начисляются на профиль и одинаково видны в приложении, на сайте и на кассе.
• История и повтор заказа. Покупатель находит прошлые покупки и повторяет их в пару касаний.
• Персональные предложения. Витрина и push-уведомления строятся по истории покупок.
• Возрастные ограничения и оформление на юрлицо. Эти сценарии опираются на данные профиля.

Экран входа — первое место, где приложение просит у покупателя усилий: ввести номер, дождаться кода, переключиться в сообщения. Поэтому авторизацию проектируют как часть воронки продаж, а не как техническую формальность. Какие разделы кабинета открываются после входа, подробно разобрано в статье о личном кабинете в приложении интернет-магазина.

Какие способы входа разрешены в России

С 1 декабря 2023 года российские владельцы сайтов, информационных систем и программ для ЭВМ, которые дают доступ к информации только авторизованным пользователям в России, обязаны проводить авторизацию одним из способов из части 10 статьи 8 закона «Об информации» (149-ФЗ). Мобильное приложение магазина относится к программам для ЭВМ, поэтому требование касается и его.

Закон называет четыре способа:

• Номер мобильного телефона российского оператора — SMS-код, звонок, голосовой код.
• Госуслуги — Единая система идентификации и аутентификации (ЕСИА).
• Единая биометрическая система.
• Иная информационная система авторизации, владелец которой — гражданин России без другого гражданства или российская компания под российским контролем (более 50% голосов).

Под четвёртый пункт подходят российские сервисы входа: CNews относит к таким системам Яндекс ID, VK ID и Сбер ID, а сами сервисы подтверждают пользователя по российскому номеру телефона. Вход только по электронной почте и паролю, а также через зарубежные аккаунты в перечне закона не назван, поэтому основным способом их не делают.

С лета 2026 года за нарушение порядка авторизации действует отдельная статья 13.55 КоАП, введённая федеральным законом № 199-ФЗ от 26 июня 2026 года: штраф для должностных лиц — от 30 000 до 50 000 ₽, для юридических лиц — от 500 000 до 700 000 ₽. Набор способов входа стоит согласовать с юристом ещё на этапе технического задания.

Способы авторизации в приложении магазина

У каждого способа своя цена для магазина и своё число действий для покупателя. В приложениях интернет-магазинов основой почти всегда служит номер телефона, а сервисы входа добавляют как короткий путь для тех, у кого они уже есть.

SMS с кодом подтверждения

Покупатель вводит номер, сервер отправляет через SMS-агрегатора код из четырёх–шести цифр, покупатель вводит его в приложении. Способ знаком всем и работает на любом телефоне, включая кнопочные. Слабые места — задержки доставки, особенно когда сообщение уходит через другого оператора, и цена: с 2025 года SMS для бизнеса заметно подорожали. Код удобно подставлять автоматически: на Android это делает SMS Retriever API без доступа к переписке, на iPhone система сама предлагает код из сообщения над клавиатурой, если поле ввода помечено как поле одноразового кода.

Звонок-сброс и голосовой код

При звонке-сбросе (flash call) на номер покупателя поступает вызов, который сразу завершается, а код — последние четыре цифры номера, с которого звонили. При голосовом коде робот диктует цифры. Когда покупатель запрашивает код редко, звонок обходится в несколько раз дешевле SMS, но у способа три ограничения:

• Ручной ввод на iPhone. Приложение не может прочитать журнал вызовов, покупатель переписывает цифры сам.
• Ограничения Google Play. С 27 января 2027 года политика Google Play не будет разрешать запрашивать доступ к журналу вызовов ради подтверждения аккаунта, поэтому автоматическое чтение номера на Android уходит в прошлое.
• Маркировка звонков. С 1 сентября 2025 года операторы блокируют массовые вызовы компаний без договора на маркировку; по данным «Коммерсанта», маркировка стоит в среднем 30 копеек за попытку вызова.

Код в мессенджере

Код приходит сообщением в мессенджер, привязанный к номеру покупателя. Telegram Gateway берёт $0,01 за код и возвращает деньги за недоставленные сообщения. Ограничения способа: у покупателя должен быть аккаунт в мессенджере, а доступность зарубежного мессенджера в России зависит от решений регулятора. Операторы связи и национальный мессенджер MAX, по данным «Интерфакса», договорились о папке «Коды подтверждения», но публичных тарифов для бизнеса на момент публикации нет. Мессенджер можно поставить первым шагом каскада, если он доступен аудитории магазина и схема согласована с юристом, а при недоставке отправлять SMS.

Вход через VK ID

Покупатель нажимает кнопку VK ID и подтверждает вход в уже открытом аккаунте VK ID — без ввода кода. По условиям на странице VK ID для бизнеса, подключение и использование бесплатны, есть готовые библиотеки для разработчиков (SDK) под Android, iOS, веб и официальный пакет для Flutter, а быстрый вход One Tap срабатывает в одно нажатие. С согласия пользователя магазин получает имя, фамилию, дату рождения, почту и по отдельному запросу номер телефона — профиль в приложении заполняется без ручного ввода.

Вход через Сбер ID

Сбер ID работает так же, но опирается на данные, которые покупатель подтвердил в банке. На портале разработчиков Сбера указано, что подключение и использование бесплатны, расходы на авторизации банк берёт на себя, а подключить сервис может приложение, владелец которого зарегистрирован в России. Для подключения компания регистрируется на портале и подписывает оферту через электронный документооборот. С согласия покупателя приложение получает ФИО, телефон, почту и адрес доставки, поэтому форма оформления заказа заполняется заранее. По данным Сбера, которые приводит «Лента.ру», аккаунт Сбер ID есть у 100 млн человек.

Яндекс ID, T-ID и Госуслуги

Эти сервисы подключают, когда они совпадают с аудиторией магазина.

• Яндекс ID — передаёт имя, почту, телефон и дату рождения; библиотеки для iOS и Android есть в документации Яндекса.
• T-ID — вход через аккаунт Т-Банка; по условиям банка подключение доступно от 30 000 авторизаций в месяц.
• Госуслуги — вход через ЕСИА нужен сервисам, которым важна подтверждённая личность; для большинства интернет-магазинов, по нашему опыту, это лишний шаг.

Повторный вход по биометрии

Face ID и отпечаток пальца ускоряют повторный вход после первого подтверждения номера: приложение хранит сессию — сохранённый вход — на устройстве и открывает её по биометрии. Вместе с долгой сессией это главный способ не отправлять покупателю код при каждом визите.

Сравнение способов входа: конверсия, стоимость, данные

Сравним способы по параметрам, которые влияют на бюджет и на то, сколько покупателей дойдёт до профиля. Цены взяты из открытых прайсов провайдеров и публикаций СМИ на сентябрь 2026 года.

У каждого варианта своя сильная сторона. SMS — универсальный вариант: работает у всех покупателей без исключения. Звонок заметно экономит бюджет, но добавляет ручной ввод. VK ID и Сбер ID сокращают вход до пары нажатий и заполняют профиль, но охватывают только своих пользователей. Поэтому в приложениях магазинов складывается схема «сервис входа плюс номер телефона»: быстрый путь для тех, у кого есть аккаунт, и универсальный — для остальных.

Сколько стоит SMS-авторизация в 2026 году

С середины 2025 года операторы перевели сервисные SMS на пакетные тарифы, и межоператорские отправки, по данным «Коммерсанта», в отдельных случаях подорожали почти вдвое. Теперь магазин платит не за каждое сообщение, а за каждого уникального получателя в месяц: пакет до пяти SMS стоит одинаково, отправили вы покупателю один код или пять.

Как это выглядит в открытых прайсах SMS-агрегаторов:

Из тарифов следуют три практических вывода:

• Главная статья расходов — число разных покупателей, получивших код за месяц. Покупатель, которого приложение просит войти заново при каждом визите, обходится дороже того, кто не выходит из аккаунта месяцами.
• Повторные отправки переводят в следующий пакет. Шестой код за месяц у части операторов увеличивает счёт за получателя в несколько раз, поэтому кнопку «Отправить ещё раз» ограничивают таймером и лимитом.
• Постоянные платежи не зависят от числа входов. Имя отправителя и шаблоны оплачиваются ежемесячно у каждого оператора, и для небольшого приложения они составляют заметную часть счёта.

Прикинем на примере. Если за месяц код запрашивают 30 000 разных покупателей и каждому уходит не больше пяти SMS, по тарифу 8,40 ₽ за получателя это около 252 000 ₽ в месяц плюс плата за имена отправителей и шаблоны. Звонок-сброс при цене около 1 ₽ за звонок и 0,30 ₽ за маркировку стоит 1,30 ₽ за каждую попытку. Если покупатель запрашивает код в среднем один раз в месяц, звонки обойдутся примерно в 39 000 ₽. Чем больше кодов на покупателя, тем меньше разница: при пяти кодах звонки стоят уже около 195 000 ₽, а SMS остаются в том же пакете. Расчёт условный: у каждого оператора и агрегатора свои цены, и их стоит пересчитать по договору перед запуском.

Как снизить расходы на коды и защититься от накрутки

Расходы на авторизацию растут по двум причинам: приложение отправляет коды чаще, чем нужно, и злоумышленники заставляют его отправлять SMS на подконтрольные им номера. Обе причины закрываются на стороне сервера и интерфейса.

Каскад способов доставки кода

Первым отправляют дешёвый канал, а дорогой оставляют запасным. Типовая схема: звонок-сброс или сообщение в мессенджере, при неудаче через 30–60 секунд — SMS. По такому каскаду устроен вход в приложении сети кофеен, которое разобрано в кейсах ниже: сначала звонок-подтверждение, при неудаче — SMS.

Долгая сессия и сервисы входа

Покупатель подтверждает номер один раз, а дальше приложение продлевает сессию незаметно для него и предлагает повторный вход по биометрии. Кнопки VK ID и Сбер ID забирают часть входов на бесплатные для магазина сервисы. Каждый вход, который обошёлся без кода, уменьшает число получателей в месячном пакете.

Защита от накрутки SMS-трафика

Накрутка SMS-трафика — мошенничество, при котором боты вводят в форму входа номера из дорогих направлений, а злоумышленник получает долю от оплаченных магазином сообщений. Group-IB описывает атаку с более чем 500 фейковыми регистрациями меньше чем за час. Меры защиты, которые рекомендует документация Twilio и которые применяют российские провайдеры:

• Лимиты запросов. Ограничения на число кодов для одного номера, устройства и IP-адреса за час и сутки.
• Нарастающая пауза. Каждая следующая отправка на тот же номер доступна через всё более долгий интервал.
• Только нужные направления. Отправка кодов разрешена лишь на номера стран, где работает магазин.
• Проверка на бота. Капча включается, когда с одного устройства или адреса идёт серия запросов.
• Контроль доли введённых кодов. Если отправок стало больше, а подтверждений нет, срабатывает оповещение, и дежурный разработчик отключает подозрительное направление.

Защиту формы входа проверяют до запуска вместе с остальными сценариями безопасности. Как устроена проверка серверной части под пиковую нагрузку, показано на странице услуги нагрузочного тестирования, а подход к защите оплаты — в статье о безопасности платежей в мобильном приложении.

Как вход влияет на конверсию регистрации

Каждый лишний шаг на пути к первому заказу уводит часть покупателей. По данным Baymard Institute, 18% покупателей, бросивших корзину по причинам, не связанным с простым просмотром, назвали причиной требование создать аккаунт. Исследование проведено на покупателях из США, но механика та же: чем раньше и настойчивее приложение просит войти, тем больше людей уходит.

Момент запроса входа

Каталог, карточки товаров и корзину показывают без входа, а номер спрашивают тогда, когда он действительно нужен покупателю:

• На оформлении заказа. Покупатель уже выбрал товары, и ввод номера воспринимается как часть покупки.
• При начислении бонусов. Экран лояльности объясняет, сколько баллов покупатель получит после входа.
• В сценариях с ограничениями. Товары 18+ показываются размытыми, пока покупатель не войдёт и данные профиля не подтвердят возраст.
• На персональной витрине. В приложении сети ресторанов из раздела кейсов гость без входа видит общие акции и призыв к регистрации с выгодами, а после входа — персональные предложения по истории заказов.

Сам экран входа тоже влияет на результат. При редизайне приложений магазинов с главного экрана часто убирают информационный блок о входе, а саму кнопку входа делают заметнее: витрина начинается с предложений, и покупатель сам решает, когда войти.

Шаги, на которых теряются покупатели

• Код не пришёл за 30–60 секунд. Помогают таймер с понятным текстом и кнопка другого канала: «Позвонить» или «Отправить SMS».
• Переключение между приложениями. Автоподстановка кода из SMS на Android и iPhone избавляет от перехода в сообщения.
• Ошибка в номере. Маска ввода с кодом страны и проверка длины номера срабатывают до отправки кода.
• Длинная анкета после входа. Имя, почту и дату рождения запрашивают позже или берут из VK ID и Сбер ID с согласия покупателя.
• Выход из аккаунта после обновления. Сессия должна переживать обновление приложения, иначе покупатель снова проходит вход и снова получает платный код.

Метрики воронки входа

Вход считают отдельной воронкой в системе аналитики, например AppMetrica, и смотрят на неё после каждого релиза:

• доля покупателей, открывших экран входа и отправивших номер;
• доля отправленных кодов, которые покупатели ввели;
• время от запроса кода до входа;
• доля повторных запросов кода;
• распределение входов по способам: номер, VK ID, Сбер ID;
• доля новых профилей, оформивших первый заказ.

Если доля введённых кодов падает, проблема чаще всего в доставке у одного из операторов или в накрутке. Если покупатели отправляют номер, но не доходят до заказа, стоит проверить анкету после входа. Порядок экранов и формулировки сравнивают через A/B-тестирование приложения, а настройка событий разобрана в статье об аналитике мобильного приложения.

Как внедряют авторизацию: пять этапов

Вход затрагивает и приложение, и договоры с провайдерами, поэтому его планируют отдельным блоком работ.

Сколько стоит внедрение авторизации

Авторизацию редко оценивают отдельно от приложения: экраны входа, профиль и серверная логика входят в проект личного кабинета. На бюджет влияют:

• число способов входа и каналов доставки кода;
• объединение профилей, если покупатель входил и по номеру, и через VK ID или Сбер ID;
• перенос существующей базы покупателей и бонусов из сайта или старого приложения;
• интеграция профиля с CRM и системой лояльности;
• требования к защите от накрутки и мониторингу.

Отдельно от разработки владелец приложения оплачивает регулярные расходы по тарифам провайдеров, и они растут вместе с числом покупателей:

• коды в SMS, звонках и мессенджерах;
• имена отправителей и шаблоны сообщений у операторов;
• маркировку звонков.

Если приложение магазина разрабатывают на модульной платформе, личный кабинет пользователя уже входит в базовый набор модулей и настраивается под бренд, а дополнительные способы входа добавляют доработкой. Модель оплаты платформы состоит из трёх частей. Первое — единоразовая интеграция платформы под ваш бренд. Второе — ежемесячные лицензионные платежи, в которые уже включены затраты на техподдержку команды FITTIN. Третье — доработки нового функционала по Time & Materials со сметой и оценкой по часам перед стартом задачи. Актуальные суммы указаны на странице тарифов.

Для заказной разработки приложения с нуля стоимость фиксируют по техническому заданию или считают по отработанным часам — варианты разобраны на странице мобильных приложений на заказ. FITTIN — федеральная команда с центром разработки в Воронеже: распределённая модель позволяет держать эффективные ставки без потери качества.

Что спросить у подрядчика об авторизации

Вход на демонстрации выглядит одинаково у любого подрядчика, а различия проявляются в счетах за SMS и в жалобах покупателей. Ответы на эти вопросы стоит получить до подписания договора:

• Какие способы входа предложены и почему? Соответствуют ли они 149-ФЗ и пунктам 4.8 и 5.1.1(v) правил App Store.
• Как устроена доставка кода? Есть ли каскад каналов и запасной провайдер, если основной недоступен.
• Сколько живёт сессия? Выходит ли покупатель из аккаунта после обновления приложения.
• Как объединяются профили? Что происходит, если покупатель сначала вошёл по номеру, а потом через Сбер ID.
• Какие лимиты защищают от накрутки? Кто получает оповещение о всплеске отправок.
• Можно ли удалить аккаунт в приложении? Без этого приложение не пройдёт проверку в App Store.
• Какие события входа уходят в аналитику? Увидит ли маркетолог воронку входа по способам.

Если приложение уже работает и расходы на коды или отказы на экране входа выросли, узкие места покажет аудит мобильного приложения, а экраны входа отдельно разбирает аудит UX/UI.

Кейсы: вход по номеру и персональная витрина

Два проекта FITTIN, в которых авторизация встроена в путь покупателя. Данные взяты со страниц кейсов.

Как устроено приложение магазина с кабинетом, лояльностью и push-уведомлениями, показано на странице мобильных приложений для интернет-магазинов. Другие проекты собраны в разделе кейсов.

Итог: авторизация на одной странице

Сводка для разговора с подрядчиком и юристом.

Для приложения интернет-магазина оптимальный выбор — вход по номеру телефона с каскадом каналов и кнопками VK ID и Сбер ID рядом: так покупатель входит в пару нажатий, а магазин платит за SMS только там, где без них не обойтись.

Материалы по теме:

• Что открывается после входа: личный кабинет в приложении интернет-магазина, программа лояльности в приложении.
• Как устроена серверная часть: бэкенд мобильного приложения простыми словами, проектирование REST API.
• Единый профиль покупателя: CDP-платформа, интеграция приложения с CRM, push-уведомления для приложения.

Что делать дальше:

• Описать схему входа и данные профиля — разработка технического задания; проверить действующее приложение — аудит мобильного приложения.
• Посчитать бюджет — калькулятор стоимости и тарифы.
• Обсудить проект — приложение для интернет-магазина, контакты или форма ниже.

Часто задаваемые вопросы

Как сделать вход по номеру телефона в мобильном приложении?

Приложение показывает экран ввода номера, сервер отправляет одноразовый код через SMS-агрегатора, звонок или мессенджер и пускает покупателя в профиль, когда код совпал. Для этого нужны договор с провайдером, зарегистрированные имя отправителя и шаблон сообщения, лимиты на повторные отправки и автоподстановка кода: на Android — через SMS Retriever API, на iPhone — через системную подсказку над клавиатурой. После первого входа сессию сохраняют надолго и предлагают повторный вход по биометрии, чтобы не отправлять код при каждом визите.

Сколько стоит SMS для авторизации в 2026 году?

С середины 2025 года операторы тарифицируют сервисные SMS пакетами на получателя в месяц. По открытым прайсам агрегаторов на сентябрь 2026 года пакет до пяти сообщений одному получателю стоит около 8–13 ₽ в зависимости от оператора, а шестое и следующие сообщения переводят получателя в более дорогой пакет. Отдельно оплачиваются имя отправителя и шаблоны сообщений у каждого оператора: например, имя отправителя у МегаФона стоит 2 550 ₽ в месяц. Итоговый счёт зависит от числа разных покупателей, которые запрашивают код за месяц.

Что дешевле для подтверждения номера: SMS или звонок?

Звонок-сброс, при котором код — последние цифры входящего номера, стоит у провайдеров от 0,42 до 1,93 ₽ за вызов плюс около 30 копеек за маркировку попытки. Если покупатель запрашивает код раз в месяц, это в несколько раз дешевле SMS-пакета на получателя, а при частых повторных запросах разница сокращается. Взамен покупатель на iPhone вводит цифры вручную, а с 27 января 2027 года Google Play не будет разрешать читать журнал вызовов ради подтверждения аккаунта. Поэтому звонок чаще ставят первым шагом каскада, а SMS оставляют запасным каналом.

Можно ли авторизовать пользователей по email в России?

Закон «Об информации» (часть 10 статьи 8 149-ФЗ) требует от российских сайтов и приложений, которые пускают к информации только авторизованных пользователей, проводить авторизацию по номеру телефона российского оператора, через Госуслуги, Единую биометрическую систему или российскую систему авторизации. Электронная почта в этом перечне не названа, поэтому основным способом входа её не делают: почту собирают в профиле для чеков и рассылок. С лета 2026 года за нарушение порядка авторизации для компаний предусмотрен штраф от 500 000 до 700 000 ₽.

Как подключить вход через VK ID и Сбер ID в приложение?

Оба сервиса бесплатны для магазина. Для VK ID приложение регистрируют в кабинете VK ID для бизнеса, получают ключи и подключают готовые библиотеки для Android, iOS или официальный пакет для Flutter. Для Сбер ID компания регистрируется на портале разработчиков Сбера, подписывает оферту через электронный документооборот и получает идентификатор клиента и сертификат, библиотеки доступны для iOS и Android. На сервере нужно продумать объединение профилей, если покупатель раньше входил по номеру телефона.

Нужна ли регистрация для заказа в приложении интернет-магазина?

Каталог, карточки товаров и корзину показывают без входа, а номер телефона спрашивают на оформлении заказа, при начислении бонусов или в сценариях с ограничениями, например для товаров 18+. Так покупатель воспринимает вход как часть покупки. Обязательная регистрация до выбора товаров уводит часть покупателей: по данным Baymard Institute, 18% тех, кто бросил корзину не из-за простого просмотра, назвали причиной требование создать аккаунт.

Как защитить SMS-авторизацию от накрутки?

Накрутка SMS-трафика — схема, при которой боты вводят в форму входа номера из дорогих направлений, а магазин оплачивает сотни ненужных сообщений. Защита строится на сервере: лимиты на число кодов для одного номера, устройства и IP-адреса, нарастающая пауза между повторными отправками, отправка только на номера стран, где работает магазин, капча при серии запросов и оповещение, когда отправок становится больше, а введённых кодов нет. Эти проверки тестируют до запуска вместе с остальными сценариями безопасности.

Материал носит информационно-аналитический характер, отражает оценку команды FITTIN на дату публикации. Требования законодательства к авторизации пользователей приведены в общем виде — для решения по конкретному проекту сверяйтесь с актуальной редакцией закона и консультируйтесь с юристом. Цены провайдеров приведены по открытым прайсам на сентябрь 2026 года и могут меняться. VK ID, Сбер ID, Яндекс ID, T-ID, Telegram, App Store и Google Play — товарные знаки соответствующих правообладателей; упоминаются для описания сервисов.