拿下第一个企业客户：vibe 项目的售前攻坚实战

你的产品很好，demo 很惊艳，客户的业务负责人也很喜欢。然后就没有然后了——安全问卷发来 200 道题，POC 做到一半没了声音，法务说 MSA 要"走流程"，采购说"你先成为我们的合格供应商"。三个月过去，商机还在 CRM 里躺着，状态是"跟进中"。

这就是企业客户的售前"绞肉机"。一人团队打企业单，最大的误区是"技术好就行"。企业买的不是功能，是"风险可控"。你的任务不是证明你多厉害，而是系统性地消除对方的风险焦虑：数据会不会丢、系统会不会挂、你这个人会不会跑路、出了事找谁赔。

这篇补上企业线缺失的一环：本站已有《vibe 项目从单用户到 B2B 团队版的升级实战》（技术准备：SSO/组织模型）和《签下企业客户只是开始：客户成功实战》（签下之后），中间"怎么拿下"没人写过。本篇讲签下"之前"的完整攻坚链：POC 设计、安全问卷、MSA/DPA 谈判、采购准入。四篇合起来，是"准备→拿下→守成"的三部曲。

售前四关：每一关都在筛人

先建立全局观。企业采购的售前流程通常有四关，顺序可能因公司而异，但关关都有：

第一关：POC（概念验证）——"你的东西在我们环境里真能跑吗？"业务部门主导，周期 2-4 周。这是唯一一关你擅长的，也是唯一一关"技术好"有用的。

第二关：安全评估——"你的系统会不会把我们搞出事？"IT/安全部门主导：安全问卷、渗透测试报告、架构评审。一人团队倒在这里的最多。

第三关：法务谈判——"出了事谁负责？"法务主导：MSA（主服务协议）、DPA（数据处理协议）、责任上限、赔偿条款。谈判周期以"月"计。

第四关：采购准入——"你有没有资格收我们的钱？"采购/财务主导：供应商注册、账期、发票、信息安全基线。最无聊的一关，也最容易被忽视。

四关的筛选逻辑是统一的：每一关都在问同一个问题——"跟你合作的风险可控吗？"你的全部售前动作，都应该围绕"交付确定性"展开，而不是"展示牛逼技术"。

找对人：售前要搞定的四个角色

绞肉机的每一关背后都是一个人。搞不定流程，先搞定人——企业售前有四个关键角色，缺一不可：

1. 发起人（Champion）：业务部门的人。他是"觉得你的产品好"的那个人，也是你在客户内部唯一的盟友。你的任务是把他武装起来：给他一页纸的"内部汇报材料"（ROI 测算、上线效果、风险说明），让他能拿着去说服老板。没有发起人，你连 POC 的门都摸不到；发起人不够 senior，POC 做完了也推不动。

2. 把关人（Gatekeeper）：IT/安全负责人。他不关心你的功能有多酷，只关心"会不会出事"。对付把关人只有一个办法：材料一次给全、问题一次答透。安全问卷不要分五次提交——一次性提交完整材料包，让他"一次看完、一次通过"。把关人最怕的是"反复"，你每返工一次，他对你的风险评级就降一档。

3. 拍板人（Economic Buyer）：有预算签字权的人。注意：拍板人通常不是跟你聊技术的那个人。一人团队最常见的死法是"跟工程师聊了三个月，最后发现他没有预算权"。尽早问一句："这个采购最终需要谁签字？"——问得越早，死得越明白。如果对方遮遮掩掩，大概率这个商机本身就不成熟。

4. 法务与采购：流程的守门员。他们不创造价值，只防范风险。对他们的策略是"不催、只给材料"：每一轮修改附上 diff 说明、每一次让步写清理由。让他们的每一轮审核"有材料可看、有结论可写"，流程自然就快了。催是没用的——你的催促在他们的 KPI 里一文不值。

四个角色的推进节奏是：发起人帮你开门，把关人决定你能不能进，拍板人决定买不买，法务采购决定什么时候能买。售前跟进表上，每个商机都应该标注"四个角色分别是谁、什么态度"——任何一个角色空缺，这个商机就是有残缺的。

POC 设计：免费的要有限，成功标准要书面

POC 是把双刃剑：做得好是拿单神器，做不好是免费劳动力。守住三条线：

第一，范围要小、时间要短。标准的 POC 是 2 周、限定 1-2 个核心场景。客户说"把全量功能都验证一遍"？那叫"免费试用三个月"，不是 POC。POC 验证的是"核心价值假设"，不是"全部功能清单"。

第二，成功标准书面化。POC 启动前，用邮件（书面！）确认三件事：验证哪个业务指标、达到什么数值算成功、谁来签字确认。比如："POC 目标：在客户测试环境跑通订单同步流程，1000 单数据 0 丢失、延迟 <5 秒，由 IT 负责人签字确认。"——没有书面成功标准，POC 永远"还差一点"。

第三，POC 转付费的触发器。POC 协议里写清："达到成功标准后 15 日内，双方启动商务谈判；客户无正当理由拖延超过 30 日，POC 环境关闭。"——这条防止"白嫖 POC、无限续杯"。很多一人团队不好意思写，觉得"伤和气"。真相是：不敢写触发器的 POC，90% 会变成免费运维。

安全问卷 200 题：一人团队的"诚实应答"策略

安全问卷是绞肉机里最锋利的一刀。常见的问卷基于 SIG（Standardized Information Gathering）或 CAIQ（云安全联盟问卷）的精简版，200 道题是常态：数据加密、访问控制、备份恢复、漏洞管理、人员背景审查……很多题你看了都想笑："请描述贵司的安全运营中心（SOC）7×24 值守安排"——贵司就你一个人。

一人团队的应答策略是"诚实 + 补偿控制 + 路线图"，千万别编：

• 诚实：没有 SOC2，就写"目前未持有 SOC2 认证"。编造认证是欺诈，一旦出事，合同里的赔偿条款会教你做人。
• 补偿控制：每一题"没有"的后面，跟一句"但是我们有"。没有 SOC？——"但我们使用通过 SOC2 的云厂商（AWS/阿里云），数据加密、审计日志、备份策略见附件架构说明。"没有专职安全团队？——"但我们每季度做一次第三方渗透测试，报告见附件。"——企业要的不是"你什么都有"，是"你知道风险在哪、并且有对策"。
• 路线图："SOC2 Type I 计划 2027 年 Q2 启动"——路线图把"现在的短板"变成"未来的确定性"。大公司吃这套，因为他们自己的合规也是路线图堆出来的。

渗透测试报告值得单独准备一份：找正规厂商做一次黑盒测试（几千到几万块），报告有效期一年。这是安全问卷里"含金量最高"的附件——一份真实的渗透测试报告，胜过 50 道题的文字回答。

技术尽调：对方 IT 到底在看什么

过了问卷，对方 IT 可能会要求一次技术尽调（technical due diligence）：看架构、看代码、看运维。他们真正关心的只有三件事：

第一，数据流。画一张清晰的数据流图：用户数据从哪进、存哪、谁能访问、怎么备份、怎么删除。数据流图是技术尽调的"普通话"——一张好图胜过一万字文档。密钥管理（见本站《vibe 项目的密钥管理实战》）是必问题：API Key 怎么存、怎么轮换、谁有生产环境权限。

第二，单点故障。对方一定会问："就你一个人，万一你病了/跑路了怎么办？"——这是"bus factor = 1"的灵魂拷问。标准答案三件套：完整的部署文档（别人能接手）、代码托管在客户可访问的仓库（或约定 escrow）、关键系统的 runbook（见本站《vibe 项目的客户交接实战》里的交接预案）。你不是要证明"你不会出事"，而是证明"你出事了系统也不会死"。

第三，可观测性。监控、告警、日志、备份恢复演练——对方要确认"出问题时你能第一时间知道"。把你的 status page（见本站《vibe 项目的状态页实战》）链接直接甩过去，比说什么都管用。

MSA/DPA 谈判：可以让的，和不能让的

MSA（Master Service Agreement，主服务协议）是法务的主战场。谈判前先搞清三个核心条款：

责任上限（limitation of liability）：这是 MSA 里最重要的数字。对方模板通常写"无限责任"或"合同金额的 3 倍"。一人团队的谈判目标是压到"已付费用总额"或"12 个月服务费"。话术："我们是小团队，无限责任意味着一次事故就破产——破产了对贵司也没好处，合理的上限对双方都是保护。"

赔偿条款（indemnification）：对方要求你为"知识产权侵权"兜底是合理的（你的代码抄了别人的，你赔）；但"为一切损失兜底"不行。守住边界：只对"己方过错导致的直接损失"赔偿，间接损失（对方的业务中断、商誉损失）除外。

SLA（服务等级协议）：99.9% 还是 99.5%？别为了拿单乱承诺。算清楚：99.9% 意味着每月最多宕机 43 分钟——你一个人 on-call，做得到吗？承诺 99.5%（每月 3.6 小时）再超额交付，比承诺 99.9% 然后赔违约金强一百倍。

DPA（Data Processing Agreement，数据处理协议）是 GDPR/个保法语境下的必备附件，核心是：你作为"受托处理者"能拿客户数据做什么、不能做什么。必备项：处理目的限定、数据最小化、安全措施、子处理者清单、数据删除义务、配合审计。如果你的产品不碰客户的个人数据，争取签一个"简化版 DPA"或豁免——别为了省事跳过，不合规的代价比谈判大得多。

谈判心法：法务的 KPI 是"不出事"，不是"快"。你要做的不是催，而是"把每一轮修改的 diff 准备好、把让步的理由写清楚"。跟大公司法务谈判，拼的不是气势，是"让对方的每一轮审核都有材料可看"。

采购准入：最无聊的一关，最容易翻车

终于到签约了，采购说："先成为我们的合格供应商。"这一关没有技术含量，全是材料：营业执照、开票信息、银行账户、对公打款测试、信息安全基线表。给三条实战建议：

第一，提前准备"供应商材料包"：营业执照扫描件、开户许可证、一般纳税人证明（如有）、近一年的完税证明、公司介绍一页纸。第一次就交齐，别让采购催你三遍——采购对"材料不齐的供应商"的第一印象，直接影响账期谈判。

第二，账期谈判：大公司默认 Net 60（60 天账期）甚至 Net 90。一人团队的现金流扛不住 90 天，谈判目标是 Net 30，底线是"首单预付 50%"。话术："我们是小团队，账期太长会影响项目排期——首单预付 50%，后续按 Net 30，对双方都稳妥。"

第三，第一单的定价策略：灯塔客户值得给折扣，但折扣要换东西——换"案例授权"（允许你写进官网案例）、换"推荐信"、换"引荐 2 家同行"。白纸黑字写进补充协议："乙方给予 8 折优惠，甲方同意乙方将其列为公开客户案例。"——第一单的真正价值不是收入，是第二单、第三单的敲门砖。

售前材料包：一次准备，反复使用

四关打下来，你会发现 80% 的材料是重复用的。聪明的做法是提前准备一套"售前材料包"，存在云盘里，随取随用：

• 公司介绍一页纸：你是谁、做什么、服务过谁、一句话价值主张。别超过一页，采购没时间看 BP。
• 安全白皮书（轻量版）：架构图、数据流图、加密方案、备份策略、渗透测试报告摘要。5-8 页，回答安全问卷 80% 的问题。
• 客户案例模板：行业、场景、效果数据、客户证言（匿名版也行）。没有企业客户？写你服务过的最大客户，哪怕是中小客户。
• POC 协议模板：范围、成功标准、转付费触发器——上一节的三条线，直接模板化。
• MSA/DPA 谈判底线表：责任上限、赔偿范围、SLA、账期——每一项写清"目标/底线/让步条件"，谈判时不临场发挥。

这套材料包是你的"售前弹药库"。第一次准备最花时间（约 1-2 周），但第二次打企业单，你会感谢现在的自己。

售前 16 项自查 + 止损线

POC（4 项）：□ 范围 ≤2 周/1-2 个场景 □ 成功标准书面确认 □ 转付费触发器写进协议 □ POC 环境有明确关闭条件
安全（4 项）：□ 安全问卷诚实作答（无编造） □ 渗透测试报告在有效期内 □ 数据流图/架构图已准备 □ bus factor 对冲方案（文档+仓库+runbook）已备好
法务（4 项）：□ 责任上限谈到"已付费用"量级 □ 赔偿范围限定直接损失 □ SLA 承诺 ≤ 实际能力 □ DPA/数据删除义务已确认
采购（4 项）：□ 供应商材料包一次交齐 □ 账期谈到 Net 30 或首单预付 □ 灯塔折扣换了案例授权 □ 发票/打款测试完成

最后说说止损线：售前跟进超过 6 个月、过了 POC 但法务/采购没有任何实质进展、对方联系人换了三茬——满足两条，就该把商机状态改成"休眠"，把时间还给下一个客户。一人团队最大的成本不是丢单，是"在一个没希望的单子上耗半年"。企业销售是概率游戏，你的胜率来自"打足够多的仗"，不是"在一场仗里耗死"。

愿你的第一个企业客户，从这篇开始不再是"跟进中"，而是"已签约"。拿下之后，别忘了去看《签下企业客户只是开始：客户成功实战》——守成和拿下一样重要。

声明

本文为独立开发者实务经验分享，不构成法律意见。MSA/DPA 条款涉及金额较大或情形复杂时，请咨询执业律师。不同司法管辖区的法律规定存在差异，SIG/CAIQ 为公开问卷框架，撰稿时以公开资料表述为准。