网站安全检测服务合同范本
去年秋天，网站一家做跨境电商的安全客户找到我，说他们的检测官网被人植入了挖矿脚本，整整三个月，服务范本服务器CPU天天爆表，合同直到用户投诉页面卡顿才察觉。网站更糟的安全是，他们压根没签过任何安全检测合同——那家“安全公司”只是检测发了份PDF报告就收了两万块，连检测范围都没写清楚。服务范本这案子最后没打成官司，合同因为合同里连违约责任都没约定。网站 所以，安全签网站安全检测合同，检测第一件事不是服务范本看价格，而是合同看“检测边界”。你得明确对方到底测什么——是只测应用层漏洞，还是包含服务器配置、DNS解析、第三方API接口？我见过一份合同，把“渗透测试”写成“模拟攻击”，结果服务商只扫了首页就交差，深层目录根本没碰。合同里必须写明检测的URL列表、IP段、测试深度（比如是否允许SQL注入尝试）、时间窗口（半夜能不能跑扫描器），甚至要约定测试账号的权限级别。第二点，很多人忽略“授权范围”的杀伤力。安全检测本质上是“受控攻击”，如果合同没写清楚你授权对方做什么，出了问题就是你的锅。比如，某次检测中，服务商的扫描器误伤了同服务器的其他租户，导致对方业务中断。租户起诉的是你，不是安全公司——因为合同里没写“检测行为造成的连带损失由服务商承担”。所以，务必加一条：服务商需购买专业责任险，且因检测操作引发的直接或间接损失，由服务商全额赔偿。别觉得这是刁难，正规安全公司都有这类保险，敢签的才是真干活的。
报告交付标准是第三个坑。别信“检测完成后提供报告”这种废话。你要在合同里规定报告必须包含：漏洞复现步骤（带截图或视频）、危害评级（参考CVSS 3.1标准）、修复建议（要具体到代码级，而不是“加强输入过滤”这种废话）、复测条款（修完漏洞后免费再测一次）。我见过最离谱的报告，通篇是“可能存在风险”，连个URL都没给。另外，约定报告交付时限——比如“检测结束后5个工作日内”，超期每天扣合同额的1%。
还有一点容易被糊弄：数据保密条款。检测过程中，服务商可能接触到你的用户数据库、支付日志甚至源码。合同里要写明：所有数据仅用于本次检测，禁止留存副本，检测结束后24小时内彻底删除，且服务商需提供删除证明（比如日志截图）。这不算苛刻，我认识的白帽黑客，反而更愿意签这种条款——他们怕背锅，你怕泄密，互相约束反而合作顺畅。
最后，付款方式别搞“先付全款”。合理结构是：预付30%启动，初版报告交付付40%，复测通过后付尾款30%。这样对方才有动力把报告写扎实。对了，合同里一定加一句“争议解决地选甲方所在地法院”——不然真出了纠纷，你得跑对方城市打官司，光差旅费就够再买一次检测服务了。
网站安全这事，合同写得越细，服务商越认真。别嫌麻烦，你花在条款上的半小时，可能省下的是几十万的数据泄露罚款。