做机械设备的卢经理周一早上接到客户电话：你们官网点进去自动跳到一个赌博页面。他赶紧自查，网站首页代码里被塞了一段跳转脚本，搜索引擎快照里全是博彩关键词。他找建站公司，对方说被黑不归他们管，修复要另外收费。这个责任到底怎么分？这话得从网站安全的归属说起。
先分清被黑的原因出在哪层
网站被挂马，常见三条路径。程序漏洞：网站代码有注入点或后台弱口令，被扫上去——责任主要在建站方，交付的代码质量和默认安全配置是它的本分。服务器被攻破：同服务器上的其他站点被黑牵连，或者服务器密码太弱——如果服务器是建站公司代维护的，它有管理责任；客户自己管的服务器，责任自负。第三方组件漏洞：用了带漏洞的开源插件没及时升级——维护期内属于建站公司的日常维护范围。分清哪层出了问题，责任就清楚了大半，别一上来就吵，让对方出具被黑原因说明。
维护期内的修复，多数该免费
- 合同含维护期的：期内漏洞修复、清马通常包含在维护范围，加收属于重复收费。
- 维护期外的：程序层漏洞补丁属于原开发质量问题的延续，可以谈减免；新增功能另算。
- 交付时就该有基本防护：后台强密码策略、数据库定期备份、HTTPS部署，这些没做的是欠账。
卢经理的合同里恰好写了「一年内免费处理安全漏洞」，据理力争后对方认了账，免费清马加固。合同一个条款，省了两千八的修复费。
事后要做四件事防复发
清完马不是结束。改掉所有后台和服务器密码；全站代码查一遍后门，别只删跳转脚本；确认数据备份机制正常运转，问清多久备一次；搜索引擎提交重新审核，让快照尽快更新，不然客户搜出来还是博彩页面，损失接着走。安全这件事，签约时多问一句备份频率和漏洞响应条款，比被黑后扯皮省心百倍。比格网络这类把安全维护写进标准合同、定期自动备份的服务商，出事时的响应姿态也完全不同。网站被黑考验的从来不是技术，是合同里有没有提前写清楚那几行字。卢经理的站清完马后做了两处加固，至今两年没再出过事。他说现在跟同行吃饭必聊这个话题，听的人个个点头，回头还是没人去翻合同——直到自己中招那天。
