每次聊企微对接，客户方 IT 负责人的第一个问题都一样："数据存哪？"尤其金融、医疗、制造业，聊天记录和客户资料出内网是红线。这篇讲清楚私有化场景下的真实边界——什么能攥在自己手里，什么绕不开，以及怎么部署。
先把边界说透：私有化不等于把企微装进机房
企微本体跑在腾讯云上，这一点谁都改变不了——客户消息从微信侧产生，必然经过腾讯的链路，任何对接方案都一样。私有化真正能控制的是另一件事：业务数据的存储和加工只发生在你自己的服务器上。
也就是说，"数据不出域"指的是：消息内容、客户资料、跟进记录这些业务数据，落库在你自己的数据库、处理在你自己的应用、备份在你自己的存储里，不进任何第三方 SaaS 的界面和存储。
自己服务器上跑什么：三件套
组件 | 跑在哪 | 职责 |
|---|---|---|
Webhook 接收器 | 你的服务器 | 接收平台推送的事件，验签、去重、入队 |
业务数据库 | 你的内网 | 消息、客户、跟进记录唯一落地点 |
应用服务 | 你的服务器 | SOP、质检、报表等所有业务逻辑 |
数据流向是单向清晰的：平台把事件推到你的接收器 → 原样落你自己的库 → 业务逻辑在本地消化。以 Eyun 这类企微 API 平台的对接方式为例，平台侧只承担与企微的协议对接和事件转发，聊天内容和客户数据最终都沉淀在你自己的基础设施里。
部署清单：五件事
生产环境部署，这五条逐项打勾：
# 接收器放内网，nginx 反代对外，只开 443 server { listen 443 ssl; server_name wecom.yourcompany.com; # 备案域名 + 正规 CA 证书 location /webhook { proxy_pass http://127.0.0.1:8080; # 应用只监听内网回环 } }固定公网出口 IP：调接口的服务器 IP 加进白名单，出口 IP 漂移会间歇性失败
正规 CA 证书：自签名证书会让平台的推送直接被 TLS 层拒绝，你日志里什么都看不到
生产禁用内网穿透：穿透隧道断了消息静默丢，测试可以，生产不行
数据库只在内网监听：
bind-address绑内网地址，杜绝公网直连凭证进配置中心：App Token、验签 secret 不进代码仓库
一个常见误解：把消息备份到网盘
有团队对接完，为了"双保险"把消息库定时导出传到某网盘——这就把数据主动送出域了。备份用你自己的存储设备，异地备份也走你自己控制的机房或专有存储。域内域外，看的是存储介质归谁管。
验收：怎么确认数据真的不出域
部署完做一次数据流审计：从客户发消息开始，抓全链路——消息到你的接收器了吗？落你自己的库了吗？业务系统读的是本地库吗？全程抓包看有没有往第三方域名发业务数据。这一套做下来给安全部门看，比口头承诺有用。
接口能力、字段和事件字典在 Eyun 开发文档可以完整过一遍，实例凭证在官网开通后即可对接。先想清楚数据流再动工——私有化项目返工成本太高，架构对了再写代码。