2026年的公司网站维护合同，正在变成一份“合规文件”，而不再只是一张服务清单。 新版《网络安全法》将关键信息基础设施的罚款上限推高至一千万元，等保2.0实施指南要求面向公众的网站通过三级以上测评，数据安全义务已经嵌入了网站运行的每一个技术环节。但大量企业仍在沿用五年前甚至十年前的合同模板，把注意力放在“维护费多少、包含几次内容更新”上，恰恰漏掉了那些在出事时真正决定企业能否止损、能否换人、能否继续运转的条款。以下五个条款，是2026年网站维护合同中最容易被跳过、却最不该被跳过的部分。

一、故障响应时限：没有分级和赔偿公式的SLA，等于没有SLA

“及时响应”“尽快处理”“保证高可用”——这些表述在纠纷中的实际价值接近于零。一份能落地的SLA，必须把“多快算快、宕机赔多少”变成可测量、可计算的数字。常见写法是：P0级故障（全站不可访问）15分钟内响应、2小时内解决；P1级（核心功能不可用）1小时内响应、8小时内解决。同时要写死赔偿公式，例如月度可用性每低于99.9%零点一个百分点，扣减当月服务费的5%，月度封顶30%，而不是笼统的“承担相应责任”。

容易忽略的暗坑在定义环节：什么算“不可用”的起止时间、计划内维护窗口是否排除在可用性计算之外、客户自身原因导致的故障如何从分母中剔除。这些如果不写清楚，服务商可以用“那不算宕机”“那是计划内维护”把大部分事故挡在赔偿门槛之外。

二、备份频率：只写“定期备份”的条款，在勒索软件面前一文不值

“定期备份”四个字在2026年的安全环境下已经构成实质性的合同漏洞。勒索软件攻击的典型模式是先加密生产数据、再删除或加密备份，如果备份与生产系统共享同一套账号权限、存放在同一个网络位置，“有备份”和“没备份”没有区别。可参照的实务标准是：数据库每日增量备份、每周全量备份，源码定期归档，采用本地与异地双备份存储，每季度开展一次数据恢复演练。更严格的场景下，恢复点目标（RPO）应控制在15分钟以内，恢复时间目标（RTO）控制在4小时以内。

关键不在于频率数字本身，而在于三件事：备份存放在哪里、谁有权限删除它、有没有验证过它真的能恢复。合同里至少应约定异地或离线副本的存在、备份保留天数，以及“每季度提交一次恢复演练记录”作为服务费支付或续约的前提条件。

三、源码归属：付了维护费，不等于拿到了继续运行的权利

这是网站维护合同中最具迷惑性的条款。企业往往以为“网站是我们出钱做的，源码当然是我们的”，但法律默认规则并非如此：委托开发合同中未明确约定著作权归属的，著作权归受托人（服务商），委托人只能在约定目的范围内使用。即便合同写了“源码归甲方”，司法实践中对“交付”的理解也远不止“把代码文件发过来”——它包括载体交付、功能交付和权利交付三个层次，其中权利交付要求服务商保证代码不侵犯第三方权益，否则企业拿到的可能是一堆无法合法使用的代码。

因此，源码条款至少要覆盖三层：著作权归属的明确表述（而非“使用权”“永久使用”这类模糊措辞）、第三方开源或商业组件的许可证清单与授权状态、以及交付完成的书面确认机制。仅仅签一份《源代码移交确认书》还不够，确认书中如果含有“签收后不得追溯责任”之类的表述，后续发现代码权利瑕疵时企业的追索空间会被大幅压缩。

四、退出交接：合同里只写了“配合交接”，就等于允许对方不交接

绝大多数维护合同把力气花在“合作期间怎么服务”上，对“不合作了怎么分开”只留一句“应配合完成交接”。这句话没有可执行性：多少天内交接、交接什么格式的数据、账号归谁、老服务商什么时候撤销权限，全部悬空。等到真要换服务商时，企业才会发现数据库导不出来、域名解析控制权在老服务商手里、部署文档不存在，而对方一句“合同已终止”就可以把配合义务拖成无限期。

可落地的退出条款应当包含一份交接清单：账号与权限（后台超级管理员、云资源、域名与证书）、资料与文档（架构说明、部署手册、运维记录）、数据（原始格式导出，而非截图或PDF）、未了事项（在途工单、未结费用）。验收标准也不应是“签收”，而应是新服务商或企业自己的团队能在干净环境中独立完成一次发布、一次备份恢复、一次故障响应——做不到，就不算交接完成。交接期必须在合同终止前启动，老服务商的账号和权限在交接完成后立即回收并核对访问日志。

五、涨价机制：续约时的“温和上涨”，可能吃掉三年的预算弹性

维护合同的初始服务价格往往只是入口。续约时的调价条款如果只写“双方协商”或“随市场调整”，企业在第二年、第三年面对的涨价就没有任何可援引的约束。2026年实务中可参照的写法是：将调价与公开指数挂钩（如CPI或人力成本指数），设定单年涨幅上限（3%至5%是常见的协商区间），并要求提前不少于60天的书面通知，同时赋予企业在不接受调价时无罚则终止合同的权利。如果服务商坚持保留单方定价权而完全不给予退出通道，这类条款在争议中可能被认定为不公平条款。

容易被忽略的是“涨价与服务标准的联动”：费用上调时，备份频率、响应时限、安全扫描次数是否同步提升？如果合同只写涨价不写服务升级，企业支付的增量成本就没有对应的对价。

FAQ问答：

Q1：SLA里写了“99.9%可用性”，是不是就够了？

不够。99.9%意味着每月允许约43分钟停机，但关键要看“不可用”如何定义、由谁测量、赔偿怎么算。没有测量方法和赔偿公式的百分比，在索赔时几乎不可执行。建议同时约定以独立监控工具的数据作为结算依据，避免争议时各说各话。

Q2：我们出钱做的网站，源码为什么可能不属于我们？

著作权法对委托作品的默认规则是“合同未约定则归受托人”。合同里写“源码归甲方”是必要的，但还要注意：服务商是否使用了其自有框架或第三方组件、这些部分是否附带许可证限制、以及“交付”是否包含了权利瑕疵担保。只拿到代码文件而没有合法使用权，在更换服务商或二次开发时仍会受阻。

Q3：备份频率写到“每日备份”就安全了吗？

不必然。如果备份和网站跑在同一台服务器上、删除权限掌握在同一个人手里，一次勒索攻击或一次误操作就可能同时摧毁生产和备份。合同应约定至少一份异地或离线副本，并定期验证恢复能力。不验证的备份，只是一个未被检验的假设。

Q4：退出交接的“验收”到底应该以什么为标准？

以“接手方能够独立做一次运维动作”为标准，而不是“文件已发送”或“双方签了字”。具体可以是：新服务商在无原服务商指导的情况下，从备份恢复一次、发布一次更新、处理一次告警。做不到，交接就没有完成，尾款或配合义务就不应视为已经履行。

Q5：涨价条款只写“双方协商”为什么不够？

“协商”本身不产生任何约束。需要写清楚：触发调价的依据是什么、单次涨幅上限是多少、提前多久通知、企业不接受时能否无罚则退出。只给服务商单方涨价权而不给企业退出权的条款，在争议中处于不稳定状态，但在签约时企业往往因为“反正到时候再谈”而放过它。