网站用了海外CDN加速节点，用户数据经过境外中转算不算数据出境

数据只是“经过”境外节点，算不算出境

网站为了提升海外访问速度，接入了提供全球加速能力的 CDN 服务——用户在境外访问网站时，请求会被就近调度到该地区的节点，经过加速处理后再转发回国内的源站服务器，整个过程只是短暂的网络层中转，网站的数据并没有被存储在境外。这和把用户数据主动存放在境外服务器、或者把数据库直接部署在境外云机房，完全不是一回事。但这种“经过”境外节点的网络路径，确实让一部分请求数据在物理上流经了境外设备，这是否构成需要关注的数据出境问题，进而影响网站的备案状态？ 数据出境安全评估与网站备案有什么关系 已经讲清楚了 ICP 备案和数据出境安全评估是两套不同的体系，但没有具体展开“CDN 境外节点中转”这个越来越常见的实际场景该怎么判断，这正是本文要补充的部分。

关键要点

• ICP 备案关注的是网站的接入服务是否在境内合规完成，数据出境安全评估关注的是数据跨境流动本身是否符合规定，CDN 使用境外加速节点这件事可能同时牵涉两者，但触发条件和判断标准不一样。
• “数据经过境外节点中转”和“数据被存储在境外”在性质上存在差异，但不能简单地认为“只是经过”就完全不需要关注。
• 判断是否需要进一步评估，核心要看传输的数据类型、数据量级，而不是简单看网络路径是否碰到了境外设备。
• 选择 CDN 服务商和配置加速策略时，有一些具体的技术手段可以降低潜在的数据出境关注点。

两套体系：备案管接入，评估管数据流向

事项	关注的核心问题	主管部门
ICP 备案	网站主办者是谁，网站的服务器/空间接入服务是否在境内合规提供	通信管理局
数据出境安全评估	网站运营过程中收集、处理的数据是否、以何种方式流向境外，流向境外的数据类型和规模是否达到需要申报评估的门槛	国家网信部门

网站主体本身（源站服务器）部署在境内、接入服务也在境内合规备案完成的前提下，CDN 作为网络加速层，使用境外节点进行中转，原则上不直接改变网站本身的备案状态——备案关注的接入主体仍然是你的源站服务器所在的境内接入商，不会因为 CDN 在境外设有加速节点而要求你把这些节点也纳入备案信息。

但这不意味着“经过境外节点”这件事可以完全不管——它可能触发的是数据出境安全评估层面的关注，这是另一套独立的判断逻辑。

“经过”和“存储”：程度不同，不能一概而论

• 纯粹的网络层加速、不涉及用户数据的持久化存储：比如静态资源（图片、CSS、JS 文件）通过境外节点进行缓存加速，这类内容本身通常不涉及用户的个人信息或敏感数据，被境外节点短暂缓存、转发的风险相对有限。
• 涉及用户请求中的个人信息、需要经过境外节点处理的动态内容：比如用户登录请求、包含个人信息的表单提交，如果这类请求也通过境外节点进行加速或者中转处理，意味着用户的个人信息确实在物理路径上经过了境外设备，这种情况下需要更谨慎地评估。
• 数据是否在境外节点留下持久化副本：纯转发和带缓存的转发是不同的，如果 CDN 服务商的境外节点对包含个人信息的内容也进行了缓存留存（哪怕只是临时缓存），这比单纯的“流量经过”更接近实质性的数据出境。

什么情况下需要进一一步评估

结合 数据出境安全评估与网站备案有什么关系 中提到的常见触发情形，具体到 CDN 场景：

• 关键信息基础设施运营者：如果网站运营方本身被认定为关键信息基础设施运营者，对数据出境的审慎程度要求更高，即便只是 CDN 境外节点的网络层中转，也建议纳入整体的数据出境风险评估范围。
• 处理个人信息达到规定数量级：如果网站的用户规模、涉及的个人信息处理量已经达到相关规定里需要申报评估的门槛，需要评估的不只是“主动传输给境外第三方”的场景，也应该把 CDN 境外节点经手敏感数据的情况纳入考量。
• 传输内容是否涉及重要数据：如果 CDN 加速的内容涉及国家规定的重要数据范畴，即便只是中转，也需要按相应要求进行评估，而不能以“只是加速、不是存储”为理由完全忽略。

降低关注点的具体技术手段

如果希望在享受 CDN 全球加速能力的同时，尽量降低数据出境层面的潜在关注点，可以考虑以下方向：

• 区分静态资源和动态内容，分别配置加速策略：只对不涉及个人信息的静态资源启用境外节点加速，涉及用户身份、表单提交等动态请求尽量直接回源到境内服务器处理，不经过境外节点。
• 选择提供“仅境内节点”或“合规区域调度”选项的 CDN 服务商：部分 CDN 服务商支持按区域策略配置，针对境内访问用户强制走境内节点，只对真正的境外访问用户启用境外加速节点，这样可以把境外节点中转限定在“确实是境外用户访问”的场景。
• 确认 CDN 服务商的缓存策略，避免敏感内容被境外节点持久化缓存：和服务商确认对于包含个人信息的动态内容，是否配置为不缓存或者仅做短暂的网络层转发，而不是被动接受默认的全量缓存策略。
• 定期梳理网站实际收集和处理的数据类型、规模：这是判断是否触及数据出境安全评估门槛的基础信息，建议结合业务发展定期重新评估，而不是只在上线时判断一次就不再关注。

常见坑

• 把“CDN 用了境外节点”和“网站备案需要变更接入信息”混为一谈，其实这两者通常是不同层面的问题。
• 完全不区分静态资源和动态内容，统一用境外节点加速，把本可以避免的个人信息境外中转场景也包括进去了。
• 只关注“要不要申报数据出境评估”，却不清楚自己的业务规模和数据类型是否真的触及申报门槛，无法做出准确判断。
• 选择 CDN 服务商时只看加速效果和价格，不了解其缓存策略和节点区域配置能力，后续想做精细化控制时发现服务商不支持。
• 业务规模扩大、用户量级上升后，没有重新评估是否已经触及数据出境安全评估的门槛，长期用早期的判断结论应对已经变化的实际情况。

常见问题

只是用了带境外节点的 CDN，网站备案会被认定为接入信息不实吗？

通常不会。备案关注的接入信息对应的是网站源站服务器实际接入境内网络的服务商，CDN 的境外加速节点是网络传输路径上的中转环节，原则上不等同于网站本身的接入服务提供方发生了变化。

怎么知道自己的业务规模是否已经达到数据出境安全评估的申报门槛？

具体的数量标准和适用条件以国家网信部门最新公布的规定为准，建议结合自己网站实际处理的用户数据类型、规模，参考官方发布的评估指南自行判断，或者咨询专业的数据合规顾问，不要仅凭网络传输路径是否经过境外设备来做判断。

如果只是网站的静态图片、样式文件走了境外节点加速，这个也需要评估吗？

一般来说，不涉及个人信息或敏感数据的纯静态资源，被境外节点缓存加速，关注度相对较低。真正需要重点评估的是涉及用户个人信息的动态请求是否也经过了境外节点处理。

CDN 服务商自己说数据不会被存储在境外，这个说法可以完全采信吗？

建议在服务合同或服务条款中明确约定数据处理方式，并了解该服务商具体的节点部署、缓存策略的技术细节，而不是仅凭口头说明就完全放心。如果业务涉及敏感数据，建议进一步核实对方的具体技术实现和合规资质。

资料来源

国家网信部门关于数据出境安全评估的公开规定，以及工业和信息化部关于网站备案接入信息管理的公开说明。本文为一般性说明，仅供参考，具体是否触发评估及申报要求请以国家网信部门最新公布的规定为准。