本文关键词：网站建设合同黑客攻击
上周凌晨两点，老张的电话把我吵醒了。他声音都在抖，说公司官网被挂了黄赌毒页面，后台数据全乱套。我赶过去一看，那个花了十五万做的商城系统，连个基本的防火墙日志都没开。老张苦着脸问我：合同里写了维护费，怎么黑客攻击来了服务商不吭声？
这事儿挺讽刺的。我们总在谈网站建设合同里的付款方式、验收标准，却没人仔细看看“安全责任”那一栏。很多时候，合同里写着“负责日常维护”，但什么是日常维护？是指改个错别字，还是指抵御一场DDos攻击？这里面的水，深得很。
我在行业里摸爬滚打十二年，见过太多把代码当一次性买卖的交易。你以为你买的是一个网站，其实你买的是一份潜在的负债。记得2019年我接手过一个教育机构的案子，前任开发商卷款跑了，留了一套烂尾代码。新接手的团队想加个优惠券功能，结果动了底层数据库结构，直接把线上交易堵死了。那天他们赔了多少？我算了一下，加上服务器费用、客户投诉处理，以及品牌信誉损失，大概赔掉了两百多万。那时候他们才意识到，合同里没约定源码交付权，等于把脖子别在别人裤腰带上。
现在的情况更严峻。随着AI爬虫普及，针对网站漏洞的自动化扫描工具满天飞。你网站后台用了十年前的ThinkPHP旧版本，哪怕你设了强密码，也没用。一旦泄露，不仅是被黑，更可怕的是你的客户数据——手机号、邮箱、甚至身份证号，可能在暗网上以几分钱一条的价格流出。这时候，你再拿合同去找乙方扯皮，人家会说：“是你自己没买企业级WAF（Web应用防火墙），或者是你员工点了钓鱼邮件，这不归我管。”
别觉得这离我们很远。去年我帮一个做五金配件的老板审合同，他们找的是一家小型外包公司，报价极低，三千块搞定。我翻了三遍合同，发现里面有一句：“因不可抗力导致的系统故障，乙方不承担责任。”什么叫不可抗力？黑客攻击算不算？他们没定义。后来果然被植入了挖矿脚本，电费账单暴涨了八千块，而外包公司两手一摊，说这是甲方运维没做位，合同里没写安全服务，爱找谁找谁。
所以，怎么避坑？我的建议很直接：不要只看功能列表。
第一，必须约定“源代码及数据库文档”的无条件交付权利，这是你的命根子。
第二，安全维护期内的定义要细化。是仅指界面更新，还是包含安全补丁升级？建议明确写上“每季度一次安全漏洞扫描与修复”。
第三，关于数据备份。很多人只备份文件，不备份数据库，或者备份频率低得离谱。合同里要规定每日增量备份，每周全量备份，并保留至少三个月的备份历史。
还有一个很多人忽略的点：SLA（服务等级协议）。如果系统因安全原因宕机，乙方需要在多久内响应？是48小时，还是4小时？响应之后，多久能恢复业务？这些数字，比那几万块的开发费更要命。我见过一个大厂，因为SLA写得模糊，系统停了三天，最后仲裁时法院支持了乙方，因为合同没约定“可用性”指标。
说到底，网站建设不是一次性消费，而是一场长期的信任博弈。你在签合同的那一刻，就要想到五年后可能发生的黑客攻击场景。别让那份漂亮的PPT骗了你自己，真正的保障，藏在那些枯燥的法律条款和技术指标里。
如果你现在正在谈单子，不妨拿个本子，把“安全责任边界”这几个字重重地圈起来。问对方：如果我被黑了，你负责吗？负责到什么程度？如果对方支支吾吾，或者告诉你“那得另签合同”，那就跑吧，趁早跑。毕竟，你的品牌口碑，比那几千块的差价，贵得多。
