档案管理软件办理增值电信业务许可证全教程实操指南

一、许可证类型精准判定与技术前置条件

在开始技术部署前，必须明确档案管理软件对应的许可证类型。根据《电信业务分类目录》，如果你的软件通过互联网向用户提供有偿的信息存储、检索或数据处理服务，通常属于“信息服务业务（仅限互联网）”，需办理ICP许可证。若软件涉及在线支付或第三方交易处理，则需办理EDI许可证。本指南以最常见的ICP许可证（经营性）为例，进行全流程技术实操配置。

技术硬性指标：

• 服务器必须托管在中国大陆境内。
• 域名必须完成ICP备案，且备案主体与申请主体一致。
• 网站必须全站HTTPS加密。
• 服务器日志及业务日志需留存不少于60天（建议180天）。

二、服务器环境搭建与安全加固

1. 服务器采购与初始化

推荐使用阿里云ECS或腾讯云CVM。操作系统建议选择CentOS 7.9或Ubuntu 20.04 LTS。

操作命令：

```bash 更新系统内核及软件包 yum update -y CentOS apt update && apt upgrade -y Ubuntu 安装基础工具：Nginx, Git, Vim, Unzip yum install nginx git vim unzip -y ```

2. 防火墙与端口策略配置

为了通过通信管理局的合规性扫描，必须关闭非必要端口，仅开放80（HTTP）和443（HTTPS）。

操作命令：

```bash 使用firewalld配置防火墙 systemctl start firewalld systemctl enable firewalld 开放HTTP和HTTPS firewall-cmd --permanent --add-service=http firewall-cmd --permanent --add-service=https 移除SSH端口的外网访问（建议仅通过内网堡垒机或密钥登录） firewall-cmd --permanent --remove-service=ssh 重载防火墙 firewall-cmd --reload ```

三、域名ICP备案与核验文件配置

在申请经营许可证前，域名必须处于“已备案”状态。登录云服务商备案系统提交资料。

关键操作：放置工信部门核验文件。

管局审核期间，会要求在网站根目录下放置特定的验证文件。请下载验证文件（如`verify.txt`），上传至Nginx配置的`root`目录下。

Nginx配置片段：

```nginx server { listen 80; server_name your_archives_domain.com; root /var/www/html; 确保核验文件放在此目录 location / { index index.html; } 确保核验文件可直接访问 location ~ \.txt$ { add_header Content-Type text/plain; } } ```

配置完成后执行`nginx -s reload`。访问`http://your_archives_domain.com/verify.txt`确保能正常显示内容。

四、全站HTTPS强制跳转与安全头配置

申请许可证的网站必须全站HTTPS。使用Let's Encrypt免费证书或云厂商证书。

操作步骤：

将申请到的证书文件（`.crt`/`.pem`）和私钥文件（`.key`）上传至`/etc/nginx/ssl/`目录。

完整Nginx SSL配置：

```nginx server { listen 80; server_name your_archives_domain.com; 强制将所有HTTP请求重定向至HTTPS return 301 https://$server_name$request_uri; } server { listen 443 ssl http2; server_name your_archives_domain.com; ssl_certificate /etc/nginx/ssl/your_domain.pem; ssl_certificate_key /etc/nginx/ssl/your_domain.key; 安全协议配置 ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers HIGH:!aNULL:!MD5; ssl_prefer_server_ciphers on; 安全响应头配置（防点击劫持、MIME嗅探） add_header X-Frame-Options "SAMEORIGIN"; add_header X-Content-Type-Options "nosniff"; add_header X-XSS-Protection "1; mode=block"; HSTS配置（可选，建议开启） add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always; root /var/www/html; index index.html; location / { try_files $uri $uri/ /index.html; } } ```

五、服务器日志留存技术实现（合规核心）

《网络安全法》要求留存不少于6个月的网络日志。默认配置可能导致日志丢失，必须手动配置日志轮转。

1. 配置Nginx日志轮转

编辑配置文件：`/etc/logrotate.d/nginx`，输入以下内容：

```bash /var/log/nginx/.log { daily 每天切割日志 rotate 180 保留180天（超过6个月） missingok 如果日志丢失不报错 notifempty 如果日志为空不进行轮转 compress 压缩旧日志 delaycompress 延迟压缩（保留最近一天未压缩） sharedscripts postrotate 重新打开日志文件，避免写入旧文件 /bin/kill -USR1 `cat /run/nginx.pid 2>/dev/null` 2>/dev/null || true endscript } ```

执行`logrotate -f /etc/logrotate.d/nginx`测试配置是否生效。

六、档案管理软件业务审计日志开发

档案软件涉及敏感文件操作，管局会检查是否具备用户行为审计能力。需要在数据库中建立审计日志表，并记录关键操作。

1. 审计日志表结构（MySQL）

在数据库中执行以下SQL语句：

```sql CREATE TABLE `sys_audit_log` ( `id` bigint(20) NOT NULL AUTO_INCREMENT COMMENT '主键', `user_id` bigint(20) NOT NULL COMMENT '操作用户ID', `username` varchar(50) DEFAULT NULL COMMENT '操作用户名', `module` varchar(50) NOT NULL COMMENT '业务模块：ARCHIVE_UPLOAD, ARCHIVE_DOWNLOAD, ARCHIVE_DELETE', `file_name` varchar(255) DEFAULT NULL COMMENT '操作的档案名称', `ip_address` varchar(50) NOT NULL COMMENT '客户端IP地址', `browser_info` varchar(500) DEFAULT NULL COMMENT '浏览器User-Agent', `operation_status` tinyint(1) DEFAULT '1' COMMENT '操作状态：1成功，0失败', `create_time` datetime NOT NULL DEFAULT CURRENT_TIMESTAMP COMMENT '操作时间', PRIMARY KEY (`id`), KEY `idx_user_id` (`user_id`), KEY `idx_create_time` (`create_time`) ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='档案系统安全审计日志'; ```

2. Java后端审计日志切面实现（Spring Boot）

创建切面类，自动拦截并记录关键业务操作。

```java @Aspect @Component @Slf4j public class ArchiveAuditAspect { @Autowired private SysAuditLogMapper auditLogMapper; // 定义切点，拦截自定义注解 @Pointcut("@annotation(com.yourcompany.annotation.AuditLog)") public void auditPointCut() {} @Around("auditPointCut()") public Object around(ProceedingJoinPoint point) throws Throwable { HttpServletRequest request = ((ServletRequestAttributes) RequestContextHolder.currentRequestAttributes()).getRequest(); // 获取用户信息（需根据自身Session或JWT实现） Long userId = getCurrentUserId(); String username = getCurrentUsername(); Object result = null; boolean status = true; try { result = point.proceed(); return result; } catch (Exception e) { status = false; throw e; } finally { // 异步或同步保存审计日志 SysAuditLog log = new SysAuditLog(); log.setUserId(userId); log.setUsername(username); log.setIpAddress(getIpAddr(request)); log.setBrowserInfo(request.getHeader("User-Agent")); log.setOperationStatus(status ? 1 : 0); log.setCreateTime(new Date()); // 通过方法名或注解获取模块名称 String methodName = point.getSignature().getName(); log.setModule(methodName.toUpperCase()); auditLogMapper.insert(log); } } } ```

七、内容安全机制对接（防违规）

若档案软件允许用户上传文档或图片，必须接入第三方内容安全检测（如阿里云绿网、腾讯云天御），防止存储违规信息。

实操代码示例（文件上传检测）：

```java public void uploadArchive(MultipartFile file) { try { // 1. 调用第三方文本/图片检测API String fileContent = extractTextFromPdf(file); boolean isSafe = greenService.scanText(fileContent); if (!isSafe) { log.warn("检测到违规文件，用户：{}, 文件名：{}", getCurrentUserId(), file.getOriginalFilename()); throw new BusinessException("文件内容包含违规信息，禁止上传"); } // 2. 检测通过后执行保存逻辑 saveFileToStorage(file); } catch (IOException e) { throw new BusinessException("文件处理失败"); } } ```

八、申请材料中的技术文档编写

在工信部系统中提交申请时，需上传《技术方案》。该文档需包含以下技术细节：

• 网络拓扑图：使用Visio绘制，清晰标注防火墙、负载均衡（SLB）、应用服务器、数据库服务器的位置及IP段。
• 服务器清单：列出所有服务器的IP地址、配置（CPU/内存）、操作系统版本及部署的软件服务。
• 网络安全架构：说明已部署的WAF、DDoS防护策略及数据备份策略（如每日全量备份+Binlog实时备份）。

九、系统核验与最终提交

完成上述所有配置后，登录工信部政务服务平台（https://txyz.miit.gov.cn/）提交申请。

提交前自检清单：

1. 域名是否已备案？访问域名是否跳转HTTPS？
2. 网站底部是否显著悬挂ICP备案号及链接？
3. 服务器日志轮转是否已设置为保留180天？
4. 档案上传、下载功能是否已记录IP、时间、用户ID？

确认无误后提交，管局通常会在20-60个工作日内完成审核。审核期间请保持网站可访问，电话畅通，以应对可能的实地考察或技术核查。