网站维护合同最怕写成“按年付费、有问题就修”。真正决定合作质量的，是合同附件里的SLA（服务级别协议）。SLA不能只写“7×24响应”“及时处理”这类模糊表述，而要把服务范围、时限、责任和违约后果写清楚。签合同前，以下4件事必须写进SLA。

一、服务范围与责任边界：写清“维护什么、不管什么”

SLA应附一份《网站资产与维护清单》，列明域名、DNS、SSL证书、服务器/虚拟主机、数据库、CMS程序、主题插件、CDN、支付接口、短信/邮件接口、表单等分别由谁负责。常规维护要写明：可用性监控、故障排查、备份、安全补丁、插件更新、小Bug修复、页面/图片/产品内容更新是否包含，以及更新数量、提交方式和完成时限。

同时写清排除项：新增功能、改版设计、内容创作、SEO推广、第三方接口年费、因客户误操作或第三方服务故障导致的问题等。否则服务商认为“只修Bug”，客户认为“什么都该管”，很容易扯皮。还应约定服务时间、报障渠道、紧急联系人和客户配合义务。

二、响应与恢复指标：必须可量化、可考核

SLA要按影响程度划分优先级，例如P1为网站全站不可访问、支付失败、数据泄露；P2为核心功能受损；P3为局部异常；P4为咨询类问题。每个等级分别约定响应时间、临时恢复时间、最终恢复时间和进度通报频率。例如P1：15分钟内响应、4小时内恢复；P2：30分钟内响应、8小时内恢复。

注意，“响应”不等于“解决”。还要明确计时起点：从客户通过约定渠道报障且提供必要信息时开始；明确工作日还是7×24；明确计划维护窗口和提前通知要求；明确可用性如何计算、哪些情况可免责。没有这些定义，SLA就无法考核。

三、备份、安全与变更管理：别只写“定期备份”

“定期备份”太模糊。应写明备份频率、保留天数、是否异地/加密存储、恢复流程和演练频率，例如每日备份、保留30天、每季度做一次恢复测试。安全方面要约定漏洞修复时限、补丁更新周期、安全事件通知时间、是否提供监控和扫描、数据泄露处置流程。

账号和数据归属也要写清：域名、服务器、源码、数据库、备份和第三方平台管理权归客户所有；服务商仅在授权范围内访问，合同终止时须完整交接。变更管理同样重要：涉及程序、插件、服务器配置的变更应经客户确认，并保留回滚方案。

四、报告、违约与退出交接：让SLA“有牙齿”

SLA应要求服务商按月提供服务报告，包括可用性、工单数量、响应/恢复达标率、备份记录和安全事件。连续或多次未达标时，应有服务抵扣、整改期、终止合同等机制。没有违约责任的SLA，往往只是宣传材料。

还要写清退出交接：合同终止后几个工作日内移交账号密码、源码、数据库、备份、域名/DNS、SSL和文档，并在过渡期继续提供必要协助。对保密、禁止转包、数据删除和争议解决也应作出约定。建议把SLA作为合同附件，由双方签字确认，并明确合同正文与SLA冲突时的适用顺序。

FAQ问答

Q1：SLA只写“2小时响应”够吗？

不够。还要写清报障渠道、优先级、计时起点、响应后做什么、恢复时限和未达标责任。否则“响应”可能只是回一句“已收到”。

Q2：网站被攻击，谁承担责任？

要看合同约定和过错。SLA应明确服务商的安全监控、补丁、事件通知和处置义务，同时约定客户弱密码、违规插件、第三方服务等情形下的责任划分。不能简单写“安全由服务商全权负责”或“客户自担”。

Q3：维护费包含内容更新吗？

必须在SLA中写清。是包含少量页面/图片/产品更新，还是只修故障？每月多少次、多久完成、超出如何收费，都要明确。

Q4：服务商口头说7×24，合同却写工作日怎么办？

以书面合同和SLA为准。签字前把实际支持时间、节假日安排、紧急联系人写进去；如确需7×24，应明确覆盖范围和额外费用。

Q5：服务商长期不达标，能直接换人吗？

可以，但合同要提前设计路径：先书面整改，达到约定次数或严重程度后可终止，并要求完整交接账号、源码、备份和数据。否则临时换人可能连网站后台都拿不到。

签网站维护合同前，务必把SLA、维护清单、考核指标和退出交接写成可执行条款。具体条款还应结合业务规模、网站架构和法务意见审核。