Signaler les failles selon les règles, ne pas révéler les détails avant correction, ne pas diffuser d'outil d'exploitation et ne pas les transmettre à l'étranger

Coût

Gratuit. Signalez la faille au fournisseur du produit ou à une plateforme officielle. Tant que le fabricant n'a pas corrigé, ne publiez ni détails ni code de vérification.

Ce que vous y gagnez

Ce règlement vise trois catégories : les fournisseurs de produits réseau en Chine, les exploitants de réseaux, et les organisations ou personnes qui découvrent, collectent ou publient des failles. Nul ne peut exploiter une faille pour porter atteinte à la cybersécurité, ni collecter, vendre ou publier illégalement des informations sur des failles. La diffusion publique d'informations sur les failles doit respecter cinq règles. Premièrement, ne pas publier avant que le fournisseur ait proposé une mesure de correction. Deuxièmement, ne pas publier les détails d'une faille touchant un réseau, un système ou un équipement en service chez un exploitant. Troisièmement, ne pas exagérer délibérément les dangers et les risques, ni se servir de l'information sur la faille pour faire du sensationnalisme ou de l'arnaque. Quatrièmement, ne pas publier ni fournir de programme ou d'outil conçu pour exploiter une faille et porter atteinte à la cybersécurité. Cinquièmement, publier en même temps les mesures de correction ou de prévention. Par ailleurs, les informations sur une faille non publiée ne peuvent pas être fournies à une organisation ou une personne étrangère autre que le fournisseur. Le règlement encourage à signaler les failles à quatre plateformes officielles : la plateforme de partage des informations sur les menaces et failles de cybersécurité du ministère de l'Industrie et des Technologies de l'information (工业和信息化部网络安全威胁和漏洞信息共享平台) ; la plateforme de failles du Centre national de communication des informations de cybersécurité (国家网络与信息安全信息通报中心) ; la plateforme de failles du Centre national de coordination pour la gestion des urgences informatiques (国家计算机网络应急技术处理协调中心) ; la base de données des failles du Centre chinois d'évaluation de la sécurité de l'information (中国信息安全测评中心). Les infractions à ces règles de collecte ou de publication sont traitées par le ministère de l'Industrie et des Technologies de l'information et par le ministère de la Sécurité publique (公安部), chacun dans son domaine. Les faits relevant de la loi sur la cybersécurité (《网络安全法》) sont sanctionnés selon cette loi. La publication d'informations de sécurité sur un système doit respecter les dispositions nationales. En cas d'infraction, l'autorité compétente ordonne la correction, donne un avertissement, et peut infliger une amende de 10 000 à 100 000 CNY (1万到10万元). En cas de refus de correction ou de gravité, l'amende est de 100 000 à 1 000 000 CNY (10万到100万元). Elle peut aussi ordonner la suspension des activités concernées, la fermeture du site ou de l'application, ou la révocation de la licence d'exploitation ou du registre de commerce. Les responsables directs et les autres personnes directement responsables encourent une amende de 10 000 à 100 000 CNY (1万到10万元) (à l'échelle nationale).

Remarques

Le règlement nomme explicitement les particuliers : « je ne suis qu'un amateur » n'entre dans aucune exception. Soumettre une faille d'un système chinois à une plateforme de primes étrangère tombe précisément sous l'interdiction de transmettre à l'étranger une faille non publiée. Avoir le droit de tester et savoir quoi faire d'une faille trouvée sont deux questions distinctes : une faille trouvée légalement peut aussi valoir une sanction si la méthode de publication est irrégulière ; une faille trouvée sans autorisation pose un problème à la fois dans le test et dans la publication. Parmi les canaux de signalement, ceux du ministère de l'Industrie et des Technologies de l'information et du Centre national d'intervention d'urgence sur Internet (国家互联网应急中心, CNCERT) sont les plus utilisés. Le règlement ne traite pas explicitement le cas où l'on a déjà prévenu le fabricant et où celui-ci ne corrige pas ; en pratique, il faut garder la trace de la négociation et du signalement, et signaler en parallèle à la plateforme officielle. Pour l'accès lui-même, voir §11.9 (ne pas tester le système d'autrui sans autorisation écrite) ; ce qu'on fait ensuite d'une faille découverte se traite à part.

Niveau de preuve

A : Chiffres précis tirés de méta-analyses, de grandes cohortes ou d’essais randomisés ; pour les lois et politiques, le texte officiel.

Sources

1. 工业和信息化部、国家互联网信息办公室、公安部 (2021). 网络产品安全漏洞管理规定（工信部联网安〔2021〕66 号，第二、四、九、十、十四条，2021 年 9 月 1 日施行）. https://www.gov.cn/gongbao/content/2021/content_5641351.htm
2. 全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十八、六十五条；2016 年文本为第二十六、六十二条，规定第十四条援引的是 2016 年文本的条号）. https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm

Traduit de l’original chinois. Livre original, section 11, conseil 10. Cette section décrit des règles juridiques, surtout celles de la Chine continentale. Ce sont des informations générales, pas un conseil juridique. Le contenu peut être dépassé et les règles varient selon les lieux. Pour une démarche, un rendez-vous médical ou un procès, suivez ce que disent l’administration, le médecin ou l’avocat. Avertissement