包年包月是一种预付费计费方式，适用于资源需求稳定、可预测或具有长期防护周期的场景。相较于按量付费，包年包月提供更优惠的单价，有助于降低 Web 应用安全防护成本。本文介绍包年包月版 WAF 的计费规则。
计费原理
包年包月版 WAF 的费用由基础服务费和增值服务费组成：
基础服务费（必选）：根据所选 WAF 版本（如高级版、企业版）提供的默认防护能力收取，为预付费项目。
增值服务费（可选）：在 WAF 默认防护能力无法满足业务需求时，用于开通额外功能或扩展默认规格。其中：
弹性后付费 QPS 和 BOT管理：风险识别 两项服务按每月实际用量计费（后付费）；
其余增值服务均采用预付费模式。
计费项
版本功能差异：以下介绍包年包月版 WAF 各计费项的定价。关于不同 WAF 版本所提供的防护功能差异，请参见版本说明。
价格变动提示：下列产品及服务价格可能调整，最终计费金额以您的阿里云账单为准。
基础服务费
包年包月版本 | 单价 |
基础版 | 140美元/月 |
高级版 | 556美元/月 |
企业版 | 1400美元/月 |
旗舰版 | 4260美元/月 |
增值服务费（预付费）
高级版、企业版、旗舰版可免费试用一次Bot管理-Web防护、Bot管理-APP防护、API安全。试用有效期为功能开通后 7 天。试用期结束后，若未开通正式版本，相关防护配置将自动清除。
计费项 | 单价 |
API安全 |
|
Bot管理-Web防护 |
说明 WAF 已推出新版 Bot 管理功能。对于已开通旧版 Bot 管理包年包月服务的用户，可继续按旧版价格续费。详情请参见【公告】Bot管理重磅版本升级及服务定价调整的公告。 |
Bot管理-APP防护 |
|
洪峰限流 | 1200美元/月。 |
QPS扩展 | 中国内地WAF：
非中国内地WAF：
说明
|
CNAME接入：域名扩展 | 按购买的域名数累计阶梯计费：
|
CNAME接入：独享IP | 30美元/个/月 |
CNAME接入：智能负载均衡 | 150美元/个/月 |
日志服务 | 75美元/TB/月 重要 开启日志服务功能后，日志存储容量最小可购买规格为3TB。 |
多云/混合云WAF扩展节点 | 按扩展节点数累计阶梯计费：
说明 如您的业务部署在多云、本地 IDC、内网或专有云等环境中，且无法通过 CNAME 接入公共云 WAF，但需 WAF 防护能力，可购买多云/混合云防护扩展节点，通过本地 WAF 实现防护。 防护能力按部署模式区分如下：
|
多云/混合云BOT节点 | 按扩展节点数累计阶梯计费：
说明 如需在多云/混合云集群中启用 Bot 防护功能，请购买此节点数量。 |
多云/混合云API安全节点 | 按扩展节点数累计阶梯计费：
说明 如需在多云/混合云集群中启用API安全防护功能，请购买此节点数量。 |
重保场景防护 | 重保场景防护需在购买 WAF 实例后单独开通，开通后立即生效（生效时间与 WAF 实例的购买时间无关）。更多信息，请参见重保场景防护。 |
增值服务费（后付费）
按量付费功能可能导致账户欠费，欠费将影响 WAF 的正常使用。请您密切关注费用与成本，并及时处理欠费。有关欠费处理方式及详细说明，请参见欠费说明。
计费项 | 单价 |
BOT管理：风险识别 | 按命中次数计费。单价为0.007美元/次。 说明 开启风险识别功能未配置规则，或已配置规则且没有流量命中规则时，不计费。 |
弹性后付费 QPS | 详细计费信息，请参见弹性后付费。 |
当您为 ALB 实例启用 WAF 防护时，除 WAF 产生的上述计费项费用外，ALB 亦将产生相应费用。更多信息，请参见为 ALB 开启 WAF 防护。
计费周期
包年包月预付费部分计费周期为订单的购买周期（以 UTC+8 时间为准），一个计费周期的起点为开通或续费资源的时间（精确到秒），终点为到期日次日的零点（00:00:00）。
增值服务费按量付费部分每天结算一次费用（以 UTC+8 时间为准），结算完毕后进入新的结算周期。
包年包月以年、月为单位的计费周期，均指自然年、自然月。
重保场景防护功能的计费周期，以开通的时间为起点，开通时选择的还原时间为终点。
按量付费费用结算一般在凌晨进行，若您需要修改功能变更（例如添加域名、开启新的功能防护等），建议您在每日6:00之后进行，否则该变更可能会计入前一天的账单。
如果您的账户可用额度（含阿里云账户余额和代金券）小于待结算的账单，会收到余额不足的短信或邮件提醒。
实例到期说明
包年包月WAF实例的具体到期规则如下：
到期前提醒：系统将在实例到期前15天、7天、3天和1天，通过短信或邮件发送续费提醒。
到期影响：若未在实例到期前完成续费，实例到期后，WAF中已配置的内容将保留15天。
若在15天内完成续费，原有配置继续生效。
若15天内未续费，相关配置将于第16天被系统自动释放，防护服务立即终止。如需继续使用WAF服务，须重新购买实例并重新配置。
重要对于通过CNAME接入的域名，CNAME记录将在配置释放时被阿里云删除。若此时您尚未将域名DNS解析修改回源站，将导致域名无法访问。
为避免服务中断，请根据系统通知及时续费。
账单查询
如果您想要在WAF 3.0账单管理页面查看包年包月实例及增值服务功能产生的具体费用明细，以及按量付费功能的实际用量，请参见查看账单。
常见问题
版本内QPS、QPS扩展、弹性后付费QPS有什么区别？
WAF的QPS处理能力为版本内QPS、QPS扩展与弹性后付费 QPS之和，
计费项 | 说明 |
版本内包含的QPS | 包年包月版WAF默认提供一定量的QPS处理能力，具体数值请参见版本内QPS上限。 |
QPS扩展 | 适用于业务所需QPS长期高于版本内QPS、且无需升级WAF版本的场景，采用预付费模式。 |
弹性后付费 QPS | 适用于流量波动大、突发性强的场景，采用按量后付费模式。 |
QPS超用了会有什么影响？
对于包年包月版WAF，若实际QPS超过其处理能力，WAF将不再保证服务等级协议（SLA）。接入该实例的防护对象可能随时出现业务访问异常，包括但不限于丢包、限速、连接限制、防护失效、日志或报表数据异常、访问超时等。
如多次或长时间超出QPS限额，WAF实例可能进入沙箱。具体触发条件请参见实例进入沙箱的条件。
为避免QPS超用，建议采取以下措施之一：
购买QPS扩展；
开通弹性后付费 QPS；
升级WAF版本。