备案、日志留存、数据出境：2026 中小企业官网合规清单

合规这件事，平时不觉得，一旦被通知整改就很被动。今年我们协助 11 个客户处理过备案信息核查、公安备案补录、隐私政策补充这几类问题。下面这份清单是按实际处理经验整理的，不涉及法律意见，具体以主管部门要求为准。 一、ICP 备案：信息必须和实际一致 备案不是一次性的。以下情况都需要变更备案： 公司名称、注册地址、法人变更； 网站负责人或联系方式变更（手机号停用是高频问题）； 域名更换、新增域名； 网站内容方向发生重大变化（比如从展示站改成电商）。 备案信息里的电话一定要能打通。我们遇到过客户因为备案手机号停机，被列入异常名单，解封花了三周。 二、公安联网备案：上线后 30 天内 很多企业只知道 ICP 备案，不知道还要做公安联网备案。流程是在全国互联网安全管理服务平台提交，需要上传营业执照、法人身份证、网站负责人身份证、域名证书等。拿到备案号后，要在网站页脚展示并链接到备案查询页。 三、隐私政策与 Cookie 提示 只要网站收集了任何个人信息（表单、留言、在线客服、统计工具），就应该有隐私政策页面，并在收集前告知。要点： 写清楚收集什么信息、用来做什么、保存多久、和谁共享； 提供联系方式，让用户可以要求查询、更正、删除； 如果用了第三方统计或广告工具，要说明其 Cookie 用途。 我们见过直接抄同行隐私政策的，结果里面写着别家的公司名和邮箱，反而成了风险点。 四、日志留存：至少 6 个月 《网络安全法》要求网络运营者留存网络日志不少于六个月。实操上要注意： Web 访问日志、登录日志、操作日志都要留，不能只留错误日志； 日志要能追溯到具体账号和时间，不能只有 IP； 定期检查磁盘空间，避免日志写满导致服务异常。 我们给客户的默认配置是：IIS/Nginx 访问日志按天切割保留 180 天，应用日志保留 90 天，数据库慢查询日志保留 30 天。 五、数据出境：别不知不觉踩线 这是最容易被忽略的一条。以下行为可能构成数据出境： 使用境外服务器或 CDN 承载境内用户数据； 使用境外统计工具（如某些境外分析平台）收集用户行为数据； 使用境外在线客服、表单收集工具； 把客户数据同步到境外 SaaS。 建议做法：优先选用境内服务商；确需使用境外工具的，做数据脱敏（不传手机号、身份证、详细地址），并在隐私政策里披露。 六、内容合规：三个高频问题 绝对化用语 ：「国家级」「最高级」「第一」这类词在广告法里有明确限制，产品页文案要过一遍。 地图使用 ：网站上的中国地图必须完整、准确，不能漏绘岛屿，建议使用官方标准地图服务下载。 医疗、教育、金融类内容 ：涉及资质前置审批，没有资质不要写相关业务。 一份可执行的检查顺序 如果你现在要自查，按这个顺序最快：先查备案信息是否准确 → 再看页脚有没有备案号和公安备案号 → 检查隐私政策是否真实对应你的工具 → 确认日志是否在留 → 最后过一遍文案里的绝对化用语和地图。 这些事不复杂，但需要有人定期看一眼。我们给托管客户做季度巡检时会把这几项一起过，发现问题提前改，比被通知整改省事得多。

孝感实诚网络科技有限公司（实诚科技）专注网站建设、小程序开发、管理系统定制与软件工具开发，咨询热线 13622369854。