从接触到签约的app合规检测决策清单，2026年实操版本

“合同签了、钱付了、报告出了，结果应用商店不认。”

这是我一个做社交app的朋友今年3月的真实遭遇。他们选了一家报价很低的检测公司，对方承诺“包通过”，结果报告被华为应用商店驳回，理由是“检测机构资质不被认可”。等他想去追责时，合同里压根没写“不通过怎么处理”的条款——钱退不回，时间也耽误了。

市场上app合规检测公司鱼龙混杂，资质真假难辨、报价落差十倍、售后标准模糊，选错一次，轻则返工重测，重则app被通报下架，法务和技术负责人双双被问责。

这篇文章，把我踩坑和对比的经验整理成一份可直接打印的12项核查清单。 签约前逐项打勾，能过滤掉市面上80%不靠谱的服务商。

一、资质真伪核查（2项）

这是红线项，资质造假或过期，直接pass。

1. CMA资质是否在官方渠道可查

• 核查方式：登录国家市场监督管理总局官网（http://cma.cnca.cn/cma/infoQuery/tBzQualificationQuery/tBzQualificationQueryList）查询国家级资质；或登录省级平台查询。
• 核验要点：证书编号、机构名称、有效期（CMA通常3-5年）、检测能力范围是否包含“移动应用软件检测”或“个人信息保护”类别。
• 红旗信号：❌ 客服说“我们有合作实验室资质”——CMA是给机构发的，不存在“合作”一说，这是偷换概念。

2. CNAS认可编号是否在CNAS官网可查

• 核查方式：登录中国合格评定国家认可委员会官网，输入认可编号查询。
• 核验要点：认可范围是否包含“软件产品检测”或“信息安全检测”；认可状态是“有效”而非“暂停”或“撤销”。
• 红旗信号：❌ 对方出示的证书上检测公司名称和签约主体不一致；❌ 认可编号查不到或已过期。

附加项（如涉及等保测评）：等保测评机构必须有公安部第三研究所颁发的《网络安全等级保护测评机构推荐证书》，备案信息可在公安部官网查询。

二、检测范围与标准（3项）

检测深度直接决定报告能否通过监管审核。

3. 检测规则库是否覆盖2026年最新法规

• 核查方式：要求对方提供规则库清单，核对是否包含以下维度——
  • 《App违法违规收集使用个人信息行为认定方法》（2019年，依然是基础）
  • 工信部《关于开展APP侵害用户权益专项整治行动的通知》及历次通报
  • 《个人信息保护法》实施后各地监管细则
  • 各应用商店最新上架规范（华为、小米、苹果各有差异）
• 红旗信号：❌ 对方回答“我们的规则库每年更新一次”——监管动态以月为单位变化，一年一更肯定滞后；❌ 说不出最近三期工信部通报的典型问题。

4. 检测深度：自动化扫描还是源代码级审计

• 核查方式：问清楚报告包含哪些交付物——
  • 基础版：自动化扫描报告（含漏洞列表、风险等级）
  • 进阶版：人工渗透测试记录+源代码审计报告+整改建议
  • 完整版：以上全部 + 合规声明 + 可用于监管提交的正式文书
• 参考价格锚点：DCloud的隐私合规检测为150元/次（自动化检测，适合快速自查），爱加密等专业服务为5万元/次量级（含人工），差异在检测深度和报告法律效力上。
• 红旗信号：❌ 报价极低但承诺“报告监管认可”——自动化扫描报告通常仅用于内部自查，监管机构一般不认。

5. 是否覆盖多端（iOS/Android/鸿蒙）

• 核查方式：明确告知对方你的app覆盖的系统和版本号，要求合同内写明检测范围。
• 红旗信号：❌ 对方说“我们只做Android，iOS差不多”——鸿蒙系统和iOS的隐私权限机制差异很大，“差不多”意味着漏测。

三、交付标准与报告效力（2项）

报告是拿来用的，不是拿来存着的。

6. 报告用途：仅内部整改，还是可用于监管提交

• 核查方式：问清楚——“这份报告拿去提交给应用商店或网信办，会被认可吗？”
• 核验要点：有些公司的报告只标注“内部参考”，不具备监管提价效力；还有些报告虽然写了“专业意见”，但检测公司本身没有出具司法鉴定报告的资质。签约前确认你的需求是哪一种。
• 红旗信号：❌ 对方回避回答“能否用于监管提交”；❌ 合同里写“报告仅供客户内部使用，不代表对产品合规性作出保证”。

7. 报告交付周期与复测规则

• 核查方式：合同内写明——
  • 初测报告交付时间（通常3-7个工作日）
  • 整改后复测是否免费、免费几次
  • “不通过”的定义标准（是指检测项未全部通过，还是监管不认可）
• 真实案例：贵州省农村信用社2026年1月的APP合规检测服务招标中，中标价56万元，服务内容明确包含“检测出问题点提供整改咨询服务及整改完成后复测”。这说明大型机构对“检测+整改+复测”闭环的刚性需求。
• 红旗信号：❌ 复测需重新签合同计费；❌ 合同没有“不通过”的界定条款。

四、数据安全与保密（2项）

把app源代码交给第三方，这是很多技术负责人的最大顾虑。

8. 交付形态：SaaS、私有化还是本地化部署

• 核查方式：确认以下信息——
  • 检测过程是否需要上传源代码到对方服务器
  • 是否支持本地化工具部署（代码不出你公司的内网）
  • 检测完成后，数据是否会被留存、留存多久、如何删除
• 选项对比：SaaS模式（适合通用型app，成本低）、私有化部署（适合金融、政务类核心应用，数据自主可控）、API集成（适合CI/CD流水线集成）。
• 红旗信号：❌ 对方只提供SaaS一种模式，且说不清数据留存政策；❌ 合同中未明确数据删除条款。

9. 保密协议是否包含代码和检测结果保护

• 核查方式：单独索要保密协议模板（NDA），检查——
  • 保密信息范围是否明确包含“源代码、检测报告、漏洞详情”
  • 保密期限（一般3-5年，不低于2年）
  • 违约责任是否明确（泄密赔偿标准或违约金）
• 红旗信号：❌ 对方说“用框架协议里的保密条款就行”——太笼统，必须单独签；❌ 保密协议里写“客户自行承担提交代码的风险”——这是推卸责任。

五、售后保障与争议解决（3项）

签合同不是终点，检测不通过时的处理才是。

10. 售后响应机制（7×24小时？紧急联系人？）

• 核查方式：合同内写明——
  • 售后联系方式（电话/邮件/工单系统）
  • 响应时效（紧急问题几小时内响应）
  • 是否有专属客户经理或技术对接人
• 行业参考：头部安全服务商通常会提供7×24小时应急响应。
• 红旗信号：❌ 对方说“有问题找销售，销售再转技术”——没有直接的技术售后通道，紧急时耽误事。

11. 退款条款——什么情况能退、退多少

• 核查方式：合同内确认——
  • 如果检测报告被监管机构/应用商店驳回，能否退款
  • 如果检测过程中发现对方资质造假，能否全额退款
  • 如果因对方技术原因导致检测失败或数据泄露，赔偿标准
• 参考条款：某APP检测服务协议中，商家的最高赔偿限额写的是50000元——这个金额对于核心app下架造成的损失来说杯水车薪。签约前评估赔偿条款是否覆盖你的实际风险。
• 红旗信号：❌ 合同里没有退款条款，或写“一经售出概不退款”；❌ 赔偿上限远低于你的潜在损失。

12. 争议解决：仲裁还是诉讼，管辖地在哪里

• 核查方式：查看合同最后几页的“争议解决”条款——
  • 选择仲裁还是诉讼（仲裁一裁终局，诉讼可以上诉）
  • 管辖地在哪里（选择“被告所在地”还是“原告所在地”）
  • 如果选仲裁，仲裁委名称是否明确（例如“北京仲裁委员会”而不是“当地仲裁机构”）
• 谈判技巧：争取将管辖地写为“原告所在地”或“乙方所在地”（你家门口），避免去对方城市打官司。
• 红旗信号：❌ 合同写“争议提交商家所在地法院”——你被起诉要去外地应诉，成本高；❌ 仲裁条款写“提交当地仲裁委”——“当地”指哪里？不明确等于无效。

2026年主流app合规检测服务商速查（附资质线索）

说明：以上信息基于公开资料整理，具体以签约前核实为准。

最终决策：三句话记住怎么选

1. 资质不查不签——CMA/CNAS编号上官网查，查不到或对不上，直接排除。
2. 合同不细不签——检测范围、复测规则、退款条款、数据删除、管辖地，每一条都要落在纸上。
3. 先测再付全款——对于预算充足的项目，可以谈分期付款：签约付30%，初测报告交付付40%，复测通过后付30%。

把这12项打印出来，选任何一家app合规检测公司之前，逐项打勾。 不打无准备之仗，不签没看过的合同。毕竟，app万一被下架，背锅的是你和你的团队。