DNS防火墙服务等级协议
版本更新日期：【2026年10月30日】
版本生效日期：【2026年10月30日】
本服务等级协议（Service Level Agreement，以下简称"SLA"）约定了阿里云向客户提供的DNS防火墙服务（含内网DNS防火墙、公网递归DNS防火墙）的服务可用性等级指标及赔偿方案。
特别提示您，除非另有约定，本协议不适用于DNS防火墙公测、邀测、免费的功能及版本，不适用于公网权威防火墙（DDoS攻击防护、权威解析代理）等其他DNS防火墙组件，也不适用于免费解析流量额度内的解析请求。
1. 定义
1.1 DNS防火墙：指阿里云为客户的域名查询提供恶意域名检测与拦截能力的安全服务，本协议项下包括：
（1）内网DNS防火墙：指为Private Zone提供安全保障，对VPC内的域名查询进行威胁情报识别与拦截，并支持客户自定义防护规则的服务；
（2）公网递归DNS防火墙：指为接入企业递归网关的域名查询提供威胁情报识别与拦截的服务。
1.2 防护范围：指客户在DNS防火墙控制台中配置并处于生效状态的防护规则所适用的域名查询范围，包括威胁情报防护规则的生效范围及客户自定义防护规则的生效范围。防护范围的配置方式、生效时延及限制以阿里云产品文档为准。
1.3 受保护查询：指同时满足以下条件的域名查询请求：
（1）该查询属于相应DNS防火墙组件的防护范围；
（2）该查询由阿里云计费系统记录为产生防护检测次数的查询；
（3）对于公网递归DNS防火墙，该查询同时满足《企业递归网关服务等级协议》中"有效查询"的全部条件；对于内网DNS防火墙，该查询为通过相应Private Zone关联的VPC内客户端发起的域名查询。
1.4 检测未执行：指因阿里云服务端原因，DNS防火墙未对受保护查询完成应有的防护检测并输出检测结果（拦截或放行）的情形。本条仅针对检测这一动作是否被执行，不涉及检测结果是否正确（检测结果的准确性、覆盖率属于第2.3条约定的防护效果范畴）。
前述"完成检测"，指DNS防火墙对受保护查询执行了威胁情报及已生效防护规则的匹配，并输出检测结果（拦截或放行）。是否完成检测以阿里云系统监测数据为准。下列情形均视为未完成检测：
（1）DNS防火墙未在应有时限内对查询作出任何检测处理，即超时丢弃查询；
（2）DNS防火墙虽启动检测，但威胁情报库查询、规则匹配等环节发生错误，未能输出有效检测结果。
下列情形视为检测已正常完成或不属于检测未执行：
（1）DNS防火墙依据已生效的防护规则返回的拦截应答（含NXDOMAIN、重定向至拦截提示地址等客户所配置的处理方式）；
（2）DNS防火墙完成检测后依据权威DNS的实际应答返回的NOERROR、NXDOMAIN、NODATA等正常解析结果；
（3）威胁情报库未收录或未能识别的恶意域名，DNS防火墙已对其执行检测并输出放行结果的，视为检测已正常完成，不视为检测未执行，此类情形属于第2.3条约定的防护效果范畴；
（4）因客户自定义防护规则配置错误、防护范围配置错误或未及时更新，导致查询未被纳入检测的情形。
1.5 防护失效：指因阿里云服务端原因，防护范围内已生效的防护规则在应当拦截的查询上未被执行，即受保护查询命中已生效的防护规则但被放行。以下情形不视为防护失效：
（1）防护规则的新增、修改、删除在阿里云产品文档承诺的生效时延内尚未生效；
（2）查询所涉域名未被阿里云威胁情报识别为恶意域名（即漏报），或已被识别的恶意域名因情报更新、下线而不再命中（详见第2.3条）；
（3）客户自行将域名加入白名单、调整规则优先级或关闭相应防护规则所导致的情形。
1.6 服务周期：一个服务周期为一个自然月。
1.7 服务不可用分钟数：在某一分钟内，客户某一阿里云账号下相应DNS防火墙组件的受保护查询出现下列任一情形的，视为该分钟内该组件服务不可用：
（1）全部受保护查询均发生检测未执行；
（2）发生防护失效，且经阿里云确认为该组件平台侧故障所致。
服务不可用低于1分钟的，不计入不可用时间。一个服务周期内服务不可用分钟数之和，即为该组件的服务不可用分钟数。内网DNS防火墙与公网递归DNS防火墙的服务不可用分钟数分别统计，不合并计算。
1.8 月度服务费用：为客户在一个服务周期（即自然月）中就某一阿里云账号下相应DNS防火墙组件所支付的服务费用，包括：
（1）公网递归DNS防火墙：防护检测次数费用；
（2）内网DNS防火墙：自定义规则条数费用及防护检测次数费用。
月度服务费用不包括用代金券抵扣的费用，亦不包括企业递归网关、移动解析HTTPDNS、Private Zone等被防护产品自身的费用。
1.9 服务可用性：DNS防火墙服务可用性按服务周期统计，以客户某一阿里云账号下的相应DNS防火墙组件为维度分别计算：
服务可用性 =（1 − 服务不可用分钟数 / 服务周期总分钟数）× 100%
其中，服务周期总分钟数按服务周期内的总天数 × 24（小时）× 60（分钟）计算。客户当月未开通相应DNS防火墙组件，或该组件当月月度服务费用为零的，该组件当月无服务可用性承诺。
2. 服务可用性
2.1 服务可用性承诺
客户同时满足以下条件的，阿里云对相应DNS防火墙组件的服务可用性作出承诺：
（1）客户已开通相应DNS防火墙组件，且已完成防护范围配置，防护规则处于生效状态；
（2）客户已按照阿里云产品文档及使用建议完成接入与配置（包括内网DNS防火墙场景下VPC与Private Zone的关联配置，公网递归DNS防火墙场景下源IP地址绑定及接入地址配置）；
（3）客户当月相应DNS防火墙组件存在受保护查询，且实际产生付费账单。
满足上述条件的，内网DNS防火墙与公网递归DNS防火墙的服务可用性承诺均不低于99.99%。
不满足上述条件的，DNS防火墙服务不承诺SLA。如未达到上述可用性标准，客户可根据本协议第3条申请相应赔偿。
2.2 与被防护产品SLA的关系
（1）公网递归DNS防火墙的可用性承诺，与《企业递归网关服务等级协议》相互独立。因企业递归网关自身原因导致的有效查询失败，适用《企业递归网关服务等级协议》；因DNS防火墙防护链路原因导致的检测未执行或防护失效，适用本协议。同一分钟内的不可用时长，客户仅可就其中一项协议申请赔偿，不重复计算；
（2）内网DNS防火墙的可用性承诺，与Private Zone相关服务等级协议相互独立，同一分钟内的不可用时长不重复赔偿；
（3）本协议的赔偿基数仅为DNS防火墙组件自身的月度服务费用，不包括被防护产品的服务费用。
2.3 防护效果的限定
本协议的服务可用性承诺仅针对DNS防火墙对受保护查询的检测执行（即第1.4条所述检测是否被执行）及已生效防护规则的执行（即第1.5条所述规则是否被执行），不包括以下内容：
（1）威胁情报对恶意域名的识别覆盖率、准确率、时效性。阿里云不承诺识别全部恶意域名，亦不承诺威胁情报不存在误报；
（2）对未被威胁情报识别、未被客户自定义防护规则覆盖的域名查询的拦截效果；
（3）防护规则、威胁情报库的更新时延及生效时延；
（4）客户自定义防护规则的配置正确性及其拦截、放行效果；
（5）DNS防火墙控制台、OpenAPI、防护统计、安全日志等管控与运维功能；
（6）客户通过其他安全产品或自建系统实现的防护效果。
2.4 除外情形
因下述原因导致的服务不可用的时长不计入服务不可用时间：
（1）阿里云预先通知客户后进行系统维护所引起的，包括割接、维修、升级和模拟故障演练；
（2）任何阿里云所属设备以外的网络、设备故障，或被查询域名的权威DNS问题引起的；
（3）客户的网络或应用程序受到黑客攻击，或客户源IP地址、VPC网络被利用发起网络攻击引起的；
（4）客户主动关闭、暂停DNS防火墙组件，删除或修改防护规则、防护范围、白名单，或客户账号欠费导致服务停止引起的；
（5）客户的终端、本地DNS服务器、VPC网络或Private Zone关联配置错误、变更、缓存引起的；
（6）客户查询量超出所购买的服务规格、配额或使用限制，或客户以异常查询模式（如短时间内构造海量需深度检测的查询）诱发防护链路拥塞、超时，阿里云依据产品文档采取限速、拦截等限制措施引起的；
（7）阿里云依据法律法规、监管要求或政府及司法机关指令，对特定域名实施拦截或限制解析引起的；
（8）客户违反相关产品服务条款或免责声明，以伪造或轮换来源IP、滥用递归链路等方式规避管控机制，阿里云依据相关规则采取限制措施引起的；
（9）客户维护不当或保密不当致使数据、口令、密码等丢失或泄漏所引起的；
（10）客户的疏忽或由客户授权的操作所引起的；
（11）客户未遵循阿里云产品使用文档或使用建议引起的；
（12）不可抗力引起的。
3. 赔偿方案
3.1 赔偿标准
根据客户某一阿里云账号下相应DNS防火墙组件的月度服务可用性，按照下表中的标准计算赔偿金额。赔偿方式仅限于用于支付DNS防火墙产品的代金券，且赔偿总额不超过未达到服务可用性承诺的当月客户就该账号下相应DNS防火墙组件所支付的月度服务费总额的50%（不含用代金券抵扣的费用）。
服务可用性 | 赔偿代金券金额 |
低于99.99%但等于或高于99.95% | 月度服务费的10% |
低于99.95%但等于或高于99.90% | 月度服务费的30% |
低于99.90% | 月度服务费的50% |
内网DNS防火墙与公网递归DNS防火墙的赔偿分别计算，各自以相应组件的月度服务费用为基数。当月客户账号相应DNS防火墙组件的月度服务费用为零的，即使服务可用性未达到本协议第2.1条的承诺，阿里云亦不予赔偿。
3.2 服务不可用时间的认定
服务不可用时间以阿里云系统监测数据为准。客户可提供下列材料作为佐证，阿里云将结合系统监测数据进行核实：
（1）在防护范围内发起查询的记录（如dig查询日志、抓包文件、客户端解析日志）；
（2）对于主张防护失效的情形，客户需提供命中已生效防护规则的域名、查询时间及查询来源，以及该域名在客户控制台防护规则或威胁情报中的命中状态截图。
3.3 赔偿申请时限
客户可在每个自然月第五（5）个工作日后，对上个月没有达到服务可用性承诺的阿里云账号提出赔偿申请。赔偿申请最迟不应晚于DNS防火墙服务未达到服务可用性承诺的相关月份结束后两（2）个月内提出。
4. 其他
阿里云有权对本SLA条款作出修改。如本SLA条款有任何修改，阿里云将提前30天通知您。如您不同意阿里云对SLA所做的修改，您有权停止使用DNS防火墙服务；如您继续使用DNS防火墙服务，则视为您接受修改后的SLA。
