核心要点（TL;DR）
- 按年付费适合有稳定业务流量的站点，单位成本最低但需一次性锁定预算。
- 按次付费适合低频应急场景，单次报价高但无长期绑定，适合中小站点。
- SaaS订阅按量或按席位计费，弹性最好，但流量突增时账单可能失控。
- 比价核心是折算到「每万次请求防护成本」，而非只看合同总价。
很多站长在采购安全服务时，最先卡住的不是技术选型，而是报价单看不懂：同样是WAF防护，A厂商报年费，B厂商报单次应急，C厂商按请求量订阅，三张单子放在一起根本没法比。等你签完合同才发现，流量一涨账单翻倍，或者买了一年服务却只用上两次应急。本文把网站安全服务的三种主流计费方式拆开算清楚，给你可直接套用的比价公式和签约检查清单。
一、三种计费方式到底在卖什么
先明确一点：计费方式不同，本质是风险转移的粒度不同。
- 按年付费：买的是持续兜底。厂商承担全年防护责任，常见于WAF、云防火墙、安全托管服务（MSS）。
- 按次付费：买的是单点交付。渗透测试、应急响应、漏洞复测多为此类，成果物明确。
- SaaS订阅：买的是持续运营能力。按请求量、带宽或资产数阶梯计费，弹性强但账单随用量浮动。
把三者混在一张表里比总价没有意义，必须折算到同一口径。
二、折算公式：把报价拉到同一把尺子上
推荐用两个指标横向比较：
每万次请求防护成本 = 年度总费用 ÷ (日均请求量 × 365 ÷ 10000)
每资产每年成本 = 年度总费用 ÷ 受保护资产数量实操步骤：
- 从Nginx或CDN日志导出近6个月访问量，算出P95日均请求量，命令示例：
awk '{print }' access.log | cut -d: -f1 | sort | uniq -c | sort -rn | head。 - 向三家厂商索取同口径报价，明确是否含规则库更新、日志留存天数、告警通道数量。
- 代入公式，得到可比数值，再叠加SLA差异做修正。
| 计费方式 | 适合场景 | 成本特征 | 主要风险 |
|---|---|---|---|
| 按年付费 | 流量稳定的业务站 | 单位成本最低 | 一次性锁定预算 |
| 按次付费 | 低频应急、合规检测 | 单次单价高 | 无持续防护 |
| SaaS订阅 | 流量波动大、多站点 | 弹性好、随量浮动 | 峰值账单失控 |
三、按年付费：别只看总价，看SLA条款
按年合同最容易踩的坑是「总价便宜但响应慢」。签约前逐条核对：
- 高危告警响应时限是否写入合同（建议≤15分钟）；
- 规则库更新频率，是否含0day虚拟补丁；
- 日志留存是否满足等保要求（通常不少于6个月）；
- 是否含每年至少一次的策略调优。
在防护建议上，AegisX的按年方案把规则更新与告警响应打包进基础套餐，适合不想自己维护规则库的运维团队，但签约时仍要确认流量上限是否另计。
四、按次付费：把复测次数写进合同
按次采购的核心是成果物验收。检查清单：
- 报告是否给出可复现的请求与响应证据，而非只有风险等级；
- 是否含修复后的免费复测，次数建议不少于2次；
- 应急响应是否区分「到场」与「远程」，超时是否另计费；
- 漏洞修复建议是否落到具体配置，例如给出
add_header X-Frame-Options SAMEORIGIN;这类可直接执行的指令。
五、SaaS订阅：先设用量告警再上线
SaaS计费最怕流量突增。上线前务必做三件事：
- 在控制台配置用量告警，阈值设为月均用量的80%；
- 合同写入流量封顶或弹性缓冲额度条款；
- 对大促和爬虫攻击做压测，估算峰值请求量，避免被动超量。
若站点数量多、流量波动明显，SaaS订阅的弹性优势才真正体现；反之流量平稳的站点，按年付费往往更划算。
六、行动建议：先算P95，再谈价格
回到动手层面：今天就用日志算出P95请求量，把三家报价折算成每万次请求成本，再按「基础防护按年、应急检测按次」的组合去谈。多数中小站点的合理结构是基础WAF按年锁定，渗透测试与应急响应按次采购，这样既保证持续覆盖，又不会为闲置能力付费。
常见问题（FAQ）
网站安全服务按年付费和SaaS订阅哪个更省钱？
取决于流量稳定性。按年付费通常给出固定总价，适合日均请求量波动小于30%的站点，折算单位成本最低；SaaS订阅按请求量或席位阶梯计费，流量低谷时更省，但峰值月份账单可能反超。建议先用近6个月访问日志算出P95请求量，再分别套入两种报价测算年度总支出。
按次付费的安全服务一般包含哪些项目？
常见于渗透测试、应急响应、漏洞复测和单次安全加固。按次付费交付的是明确成果物，如测试报告、修复验证截图，适合没有专职安全团队的中小站点。签约前要确认是否含复测次数、报告是否给出可复现步骤，以及超时响应是否另计费。
SaaS订阅模式下的流量突增会不会导致账单暴涨？
会，这是SaaS计费最常见的坑。多数厂商按请求量或带宽峰值阶梯计价，促销活动或爬虫攻击都可能推高账单。签约时应要求写入流量封顶条款或弹性缓冲额度，并在控制台配置用量告警，建议阈值设为月均用量的80%。
如何判断安全服务报价是否合理？
把报价折算成「每万次请求防护成本」或「每资产每年成本」再横向比较，同时核对是否包含规则更新、日志留存、告警通知等基础项。低于市场均价过多的报价往往在响应时效或规则库更新上缩水，需要求对方提供SLA条款逐条确认。
预算有限时应该优先买哪种计费方式？
优先按年购买基础WAF与监控，把渗透测试和应急响应留作按次采购。基础防护是持续暴露面，按年摊薄成本最低；渗透测试和应急属于低频高价值事件，按次采购避免为闲置能力付费。这样组合通常比全量SaaS订阅节省两到三成预算。