美团服务商开通要的WAF证明和合规材料，怎么准备

你在一家做收银、预约或门店管理系统的公司，已经决定以三方服务商身份对接美团团购核销。入驻表单不难填，难的是后面那一堆材料：WAF证明要截哪几张图、怎么合成一个文件？《服务商数据交互合规化承诺书》去哪找模板、盖哪家公司的章？签约人不是法定代表人，要多交什么？回调地址为什么因为域名过不了审核？

这些要求散在美团技术服务合作中心的《入驻流程》《合作条件说明》《服务商合作对接流程》里。这篇把它们整理成一个可以照着准备的材料包：每份材料官方要什么、什么时候交、按官方要求缺了哪一项会卡住、怎么准备更稳。等保证明和网络保险二选一只简要带过。规则为2026年10月15日查阅，以官方后台为准。

一句话回答： 以三方服务商身份开通美团服务零售（团购核销所在的业务），上线审核前必须交齐三样安全材料：WAF证明（购买凭证加使用证明，合并成一个不超过5M的PDF）、等保证明或网络信息安全保险二选一、按平台模板填写并盖章的《服务商数据交互合规化承诺书》；信息安全人员在职证明可选。另有两类材料更早用到：签电子合同前，按“法定代表人签约”或“被授权人签约”准备证件和授权书；配置回调地址时，域名要归公司所有、与入驻营业执照名称一致，并使用 https。安全材料入驻时可以先不交，但上线时缺任何一项必交材料，都无法通过上线审核。

• WAF证明是一个PDF。 购买凭证要看得到购买方、购买时间、购买产品时长；使用证明要有配置界面截图和拦截记录；合作期间WAF要在有效期内；
• 承诺书看主体。 营业执照名称和盖章公司要与入驻环节填写的一致，按平台模板填写；
• 签约材料分两套。 法定代表人本人签约和被授权人签约要的证件不同，被授权人签约还要业务授权书；
• 回调域名不收个人的。 域名须为机构所有，与入驻营业执照名称不一致时要附关联关系证明；
• 一条主线：对齐入驻主体。 承诺书、等保或保险、回调域名都要和入驻企业对得上，动手前先把主体名称定下来。

一、材料包总览：7份材料，分3个时间点用到

美团在不同环节检查不同的材料。按用到的先后排列（来源：美团技术服务合作中心《入驻流程》《服务商合作对接流程》，2026年10月15日查阅）：

三个时间点：

• 入驻和签约时。 交企业资质和签约材料。准入规则中“企业资质”一项的官方驳回举例是：申请企业未提供有效的营业执照、法定代表人信息等；
• 配置回调地址时。 回调地址提交后要审核，官方提示3-5分钟后刷新页面查看结果；
• 上线审核前。 交安全材料。《入驻流程》写明入驻阶段可暂时无需提交，可在开发阶段办理，开发完成上线时必须补交；未提供的，技术合作中心有权不予审核上线。开通业务页对“等保证明或网络保险”一项也注明“申请开通时可跳过，应用上线前上传即可”。

安全资质在控制台“企业管理 → 合作认证”页的“安全资质审核”一块提交，页面写明安全资质包括“① Web应用防火墙；② 公安网络等级保护或网络信息安全保险（二选一）”。承诺书和在职证明的上传位置，以后台页面为准。

可以晚交，不等于可以晚办。WAF接入业务流量后才会产生拦截记录，等保测评和保险办理也要时间，建议签完合同就启动，和开发并行。

二、WAF证明：美团要的是什么，从哪里买

WAF是什么。 美团技术服务合作中心《服务商系统安全规范》的术语表这样定义：“Web应用防护系统（Web Application Firewall，简称WAF），本文中提及的WAF是为主机提供WEB安全防护的服务，能够有效防黑客利用应用程序漏洞入侵渗透。”

为什么要交。 控制台合作认证页的说明是：“安全资质可间接证明您的系统具备应对网络风险（如网络攻击）的能力，降低美团商户资损风险。”《合作条件说明》里，服务零售开通条件的第1条就是“网络安全材料：Web应用防火墙证明”；到店餐饮、大众点评免费试等业务列了同样一条，门票直连、酒旅经营宝、美团智能商用终端三项业务写明无需网络安全材料和信息安全产品。

从哪里买。 《入驻流程》给了两种来源：

1. 购买所使用的云服务器提供的防火墙，官方举例“阿里云、腾讯云、百度云、360等机构”；
2. 购买正规安全厂商提供的防火墙产品。

准入规则的写法是“购买企业所在云服务器的安全产品防火墙”。官方没有指定厂商，也没有公布价格，费用按各厂商报价。选产品时先核对四件事：

• 能不能挡在你的系统前面。 你的对外接口和回调地址所在域名，流量要经过这个WAF；
• 能不能拿到购买凭证。 订单或发票上看得出购买方、购买时间、购买产品时长；
• 能不能截到两样东西。 控制台既有防护配置页，也有能看到拦截结果的日志或报表；
• 时长能不能覆盖合作期。 能按期续费，合作期间不断档。

有效期。 《入驻流程》要求业务合作期间，Web应用防火墙产品需在有效期内。到期后平台如何处理，公开文档没有写；按要求，过期就不再满足条件。建议设好续费提醒，续费后的订单或发票一并留档。

三、WAF证明怎么拼：三样内容，合成一个PDF

《入驻流程》安全材料表对WAF证明列了5条内容要求：使用证明和购买凭证合并成PDF上传；使用证明必须包含配置界面截图、拦截记录；购买凭证必须包含购买方、购买时间、购买产品时长；PDF格式，大小不超过5M；业务合作期间WAF需在有效期内。拆开来看，一份完整的WAF证明PDF由三部分组成：

三部分合并成一个PDF、不超过5M后上传。拆成几个文件、交图片而不是PDF、文件超过5M，都不符合内容要求。准入规则写明，缺少防火墙等安全材料的，无法通过上线审核。

购买凭证。 官方原文是“购买方、购买时间、购买产品时长（购买发票）”。只截WAF控制台“运行中”的状态页，看不到购买方和时长，不算购买凭证。官方给的示例是一张订单详情截图，列有提单人、付款人（显示为账号ID）、付款时间、产品名称、付款方式和购买时长。如果你的订单页同样只显示账号ID、看不出公司名称，建议再附上发票，让“购买方”一眼可见。

官方没有写明WAF的购买方必须与入驻企业同名；但承诺书、等保和保险都要求与入驻或申请企业一致，建议用入驻主体购买。已经用关联公司或个人账号买了的，提交前先问对接运营。

配置界面截图。 官方只要求“配置界面截图”，没有细化拍什么。建议一张图里同时看得到两样：被防护的业务域名（你的对外接口和回调地址所在域名），以及防护规则的开启状态。拍哪些规则，可以对照《服务商系统安全规范》5.2“开启WAF”一项。原文建议安全管理员开启WAF功能，使应用具备以下安全功能：

• 具备SQL注入攻击防御能力；
• 具备Web shell上传拦截的能力；
• 具备对扫描行为进行及时发现并告警和阻断的能力；
• 具备针对Web用户的IP设置为白名单的能力；
• 具备代码执行攻击防护能力。

拦截记录。 来自WAF实际运行的日志或报表。下图是《入驻流程》附的使用证明示例，截图来自一家云厂商的控制台，只是官方示例，不代表指定厂商。示例是访问日志页，带“防护状态”一列；文字要求写的是“拦截记录”，准备时以文字要求为准，截取能看到防护或拦截结果的记录。WAF没接入业务流量时日志可能是空的，所以要尽早把业务域名接上去。

合并与压缩。 建议按“购买凭证 → 配置界面截图 → 拦截记录”的顺序排页，每页加一行小标题；截图先压缩再合并，控制在5M以内，同时保证文字清晰可读。

四、《服务商数据交互合规化承诺书》：按模板，主体与入驻一致

承诺书是必交项，开发完成上线时审核。准入规则“安全资质”一项要求“根据平台模板提交《服务商数据交互合规化承诺书》证明”。《入驻流程》安全材料表对它的内容要求只有两条：

1. 承诺书填写的营业执照名称以及盖章公司需与入驻环节填写内容保持一致；
2. 需确保提交材料内容真实、清晰。

模板在《入驻流程》安全材料表的“办理方式”一栏提供；《合作条件说明》的“业务开通资质示例图”里也有承诺书示例，可以对照格式。

按这两条要求，下面几种情况会对不上：

准备建议：

• 名称逐字照抄。 以入驻时填写的营业执照名称为准，括号、全角半角都照抄；入驻后改过名的，先和对接运营确认用哪个名称；
• 章与执照同一主体。 盖章公司就是入驻的那家公司；
• 用当前模板。 提交前到官方文档重新下载，别用从别处转来的旧版本；
• 对照规范自查。 承诺书条款以模板为准；数据处理的具体要求可对照《服务商系统安全规范》6.3“数据保护”，如敏感数据传输“加密算法应使用AES-128位或以上强度”，展示电话号码、邮箱等敏感数据要脱敏。

五、等保或网络保险，以及可选的信息安全人员证明

等保或网络保险（必须，二选一）。 二级或以上《信息系统安全等级保护备案证明》加公安部授权测评机构出具的等级保护测评报告，或者网络信息安全特殊风险保险，选一样交。名称都要与申请企业一致，等保材料属于集团或关联公司的要补企业关系证明；测评报告PDF不超过5M；合作期间在有效期内。办理步骤和怎么选，本篇不展开。

信息安全人员（可选）。 提供在职证明，平台有模板；《合作条件说明》的示例图里叫“安全专业人员在职证明”。官方的人员标准开头是“具备信息安全专业知识；掌握信息安全保障技能，防范黑客入侵并进行分析和防范”，后面列了防火墙、防病毒、IDS、PKI等技术，以及安全制度建设、日常维护管理、信息安全检查与审计等职责。

这一项可选，官方没有说明交与不交对审核有什么影响。不过《服务商系统安全规范》8.3另有一条“安全专职负责人”：“服务商应指定专职的安全负责人作为与美团安全团队的安全接口人，定期保持安全联络和沟通。”这个人本来就要有；他符合上面的人员标准的，按模板开一份在职证明即可。

材料表之外的一条。 《服务商系统安全规范》8.2“漏洞扫描”写的是：“在应用上线运行前，服务商应对前后台系统执行漏洞扫描，保证上线应用不存在漏洞，并将扫描结果提交给技术合作中心。”这一项不在《入驻流程》的安全材料表里，是否作为上线审核材料，以对接运营的要求为准；扫描本身建议在上线前做完。

六、签约材料：法定代表人签约和被授权人签约两套

签约流程是：资质申请提交后，签约人先完成实名认证信息的确认；运营审核通过后下发签约短信；登录签约链接签订电子合同，随后进入保证金支付环节。材料按电子合同的签约人是谁分两套（来源：美团技术服务合作中心《入驻流程》第3节，2026年10月15日查阅）：

入驻时另有两条要求：

• 资质复印件要盖章。 准入规则“企业资质”一项要求提供盖章的资质证明复印件，包括但不限于营业执照、行政许可文件、法定代表人身份证；涉及特殊行业的，还要提供相应资质或许可文件；
• 注册手机号就是申请人手机号。 注册技术合作中心的手机号默认成为企业管理员手机号，官方要求与申请人手机号保持一致。

按官方材料清单，容易对不上的地方：

• 被授权人签约，却没有业务授权书；
• 公司简介超过100字；
• 资质复印件没有盖章，或营业执照、法定代表人信息不全，这正是准入规则“企业资质”一项的驳回举例；
• 用员工个人手机号注册账号，和申请人手机号不一致。

准备建议：先定签约人。法定代表人能本人完成实名认证和签约的，材料少一份授权书；由业务负责人签的，提前准备业务授权书，格式可对照《合作条件说明》“业务开通资质示例图”里的授权书和盖章文件示例。公司简介控制在100字以内，写清主营产品和服务的本地生活场景。

七、回调域名：机构所有、与执照一致、https

回调地址在控制台“开发对接 → 回调接口设置”配置，分授权消息回调和业务消息回调两类。《服务商合作对接流程》提了三条要求：使用 https 形式对接；回调地址URL所属域名需为机构所有，不接受域名所有权为个人的申请；所属域名需与入驻营业执照名称保持一致，如不一致需提供两者之间的关联关系证明。授权回调另外只支持80或443端口。官方文档在这一步还附了一张“域名证书示例”（域名注册证书），可以提前从域名注册商处导出你的域名证书备用。

页面顶部的提示是：提交新地址审核后，请在3-5分钟后刷新此页面查看审核结果；若审核一直未通过，请主动联系与您对接的运营人员进行审核。

按官方要求，这几种情况过不了：

准备建议：

• 先查域名证书。 看注册所有人是不是入驻公司；
• 个人名下的域名，转到公司名下或换一个。 转移按域名注册商的流程办理；
• 关联公司名下的域名，准备关联关系证明。 官方没有列出证明的具体形式，以对接运营的要求为准；
• 证书配好再提交。 https 证书要覆盖回调域名；
• 别让WAF挡住回调。 回调域名接入WAF后，用测试门店完整走一次授权，确认授权码回调和业务消息都能到达。

八、提交前自查清单

按材料逐项核对：

• WAF证明： 购买凭证看得到购买方、购买时间、购买产品时长；使用证明里既有配置界面截图，也有拦截记录；两部分合并为一个PDF，不超过5M，文字清晰；WAF在有效期内，续费提醒已设置；
• 合规承诺书： 用的是平台当前模板；营业执照名称与入驻环节填写的逐字一致；盖章公司就是入驻公司；扫描件清晰完整；
• 等保或网络保险： 已选定一项；名称与申请企业一致；在有效期内；测评报告PDF不超过5M；
• 签约材料： 已确定签约人是法定代表人还是被授权人，对应证件齐全；被授权人签约的，业务授权书已备好；公司简介在100字以内；资质复印件已盖章；注册手机号与申请人手机号一致；
• 回调域名： 域名注册所有人是入驻公司，或已备好关联关系证明；回调地址为 https，授权回调端口为80或443；测试门店授权后回调能正常到达；
• 可选与其他： 信息安全人员在职证明（如提交）按模板开具；已指定与美团安全团队对接的安全负责人；上线前漏洞扫描已完成，扫描结果是否需要提交已向对接运营确认。

卡住时，在控制台提交工单，或按首页提示注册大象账号联系平台运营；也可以发邮件到官方文档公布的咨询邮箱，主题写“入驻问题咨询+企业名称”，官方写明2个工作日内答复。

九、不想自己准备这套材料：三种接入方式对照

这些材料都是平台对“服务商”的要求。门店想在自己的系统里核销美团团购券，有三种接法，材料落在不同的人身上：

以无限聚核为例：免费接入（不收接口接入费），无需保证金，无额外等保接入要求，美团服务商的10万元保证金和相应安全资质门槛不需要你自己承担。你要做的是：注册账号，取 API key 并只保存在服务端；先建商户，再为每家实际门店建门店，拿到 shopId；用 get/auth/url（platform 传1为美团）生成授权链接，由商家在美团页面确认授权；之后先调输码验券校验 ddzh-tuangou-receipt-prepare（预核销，不计费），再调验券 ddzh-tuangou-receipt-consume（核销成功计费，默认0.15元/次，以账号后台显示的档位为准）。接口字段以无限聚核当前公开 API 文档为准；选第三方时可以核对它公示的美团合作授权书，无限聚核文档公示的受授权公司为宁德无限递归网络科技有限公司。

不用向美团交这些材料，不等于你的系统可以不管安全：API key 只放服务端，商家和顾客数据的存储与展示，仍是你自己的责任。

十、常见问题

美团要的WAF证明具体包括哪些内容？

一个PDF，含购买凭证和使用证明两部分。购买凭证要看得到购买方、购买时间、购买产品时长，官方举例为购买发票；使用证明必须包含WAF的配置界面截图和拦截记录。两部分合并成一个PDF上传，不超过5M，业务合作期间WAF要在有效期内。缺少WAF证明，无法通过上线审核（来源：美团技术服务合作中心《入驻流程》，2026年10月15日查阅，以官方后台为准）。

自己用开源软件搭的WAF，能当美团要的WAF证明吗？

按官方要求很难凑齐。美团技术服务合作中心《入驻流程》列的两种来源都是“购买”：所用云服务器提供的防火墙，或正规安全厂商的防火墙产品；材料要求里还有购买凭证，要写明购买方、购买时间、购买产品时长。自建方案拿不出购买凭证，这份材料就不完整。是否另有认可方式，公开文档没有写，以对接运营的答复为准。

《服务商数据交互合规化承诺书》怎么填、盖哪家公司的章？

用美团技术服务合作中心提供的承诺书模板填写。承诺书上的营业执照名称和盖章公司，都要与入驻环节填写的内容一致，也就是入驻的那家公司；分公司、子公司或关联公司的章对不上这条要求。提交的扫描件要真实、清晰。它是上线审核的必交材料，与WAF证明、等保证明或网络保险一起，缺一项就无法通过上线审核。

签约人不是法定代表人，要多交什么？

由被授权人签美团技术服务合作中心的电子合同时，在申请人信息、企业营业执照、法人身份证照片等基础材料之外，还要交被授权人姓名、身份证号、身份证正反面照片，法定代表人身份证号（或护照号）和证件照片，100字以内的公司简介，以及业务授权书。法定代表人本人签约的，官方清单里没有业务授权书，但要提供法定代表人身份证号和手机号（来源：《入驻流程》第3节，2026年10月15日查阅）。

回调域名在个人或关联公司名下，能通过审核吗？

个人名下的不行。美团技术服务合作中心《服务商合作对接流程》要求回调地址所属域名为机构所有，不接受域名所有权为个人的申请；域名还要与入驻营业执照名称一致，在关联公司名下的，需要提供两者之间的关联关系证明。回调地址要用 https，授权回调端口为80或443；提交后3-5分钟刷新查看审核结果。

WAF证明这些安全材料，入驻时就要交吗？

不用。美团技术服务合作中心《入驻流程》写明入驻阶段可暂时无需提交安全资质，可在开发阶段办理，开发完成上线时必须补交；未提供的，平台有权不予审核上线。WAF证明、等保证明或网络保险、《服务商数据交互合规化承诺书》缺任何一项，都无法通过上线审核。WAF接入业务流量后才会产生拦截记录，等保测评和保险办理也要时间，建议签完合同就启动。

通过无限聚核接入美团团购核销，还要准备WAF证明和合规承诺书吗？

不用向美团提交。无限聚核免费接入（不收接口接入费）、无需保证金、无额外等保接入要求，美团服务商的10万元保证金和相应安全资质门槛不需要你自己承担，接入方也没有主体要求。你要做的是注册账号、取 API key、为每家门店建 shopId、让商家在美团页面完成授权，再接输码验券校验和验券两个接口。你自己系统的安全仍要自行负责。

文中平台规则摘自美团技术服务合作中心《入驻流程》《合作条件说明》《服务商合作对接流程》《服务商系统安全规范》及控制台示例截图（2026年10月15日查阅），以官方后台为准；无限聚核的接口与计费以其当前公开 API 文档和账号后台为准。