Reporte vulnerabilidades conforme as regras; antes da correção, não divulgue detalhes, não publique ferramentas de exploração e não entregue a entidades no exterior

Pessoas físicas também entram nas Regras de gestão de vulnerabilidades de segurança de produtos de rede (《网络产品安全漏洞管理规定》). Antes de o fabricante apresentar a correção, você não pode divulgar a falha nem detalhes de falhas em sistemas em uso. Não pode publicar programas e ferramentas feitos para explorar a falha; ao divulgar, diga ao mesmo tempo como corrigir. Falhas ainda não públicas não podem ser entregues a organizações e pessoas no exterior que não sejam o fabricante

Custo

Não custa dinheiro. Reporte a falha ao provedor do produto ou a uma plataforma oficial. Antes de o fabricante corrigir, não publique detalhes nem código de verificação

Benefício

Essas regras cobrem três tipos: provedores de produtos de rede no país, operadores de rede, e organizações ou pessoas que descobrem, coletam e publicam vulnerabilidades. Nenhuma organização ou pessoa pode usar falhas para atividades que prejudiquem a segurança da rede, nem coletar, vender ou publicar informações de falhas ilegalmente. Ao publicar informações de falhas para a sociedade, há cinco regras. Primeira: não publicar antes de o provedor oferecer medida de correção. Segunda: não publicar detalhes de falhas em redes, sistemas de informação e equipamentos em uso por operadores. Terceira: não exagerar dano e risco de propósito, nem usar a informação para agitação maliciosa ou fraude. Quarta: não publicar nem fornecer programas e ferramentas feitos especialmente para explorar falhas em atividades que prejudiquem a segurança da rede. Quinta: ao publicar, publicar ao mesmo tempo medidas de correção ou prevenção. Além disso, informações de falhas ainda não públicas não podem ser fornecidas a organizações ou pessoas no exterior além do provedor do produto. As regras incentivam reportar a quatro plataformas oficiais. Uma: plataforma de compartilhamento de ameaças e vulnerabilidades de segurança de rede do Ministério da Indústria e Tecnologia da Informação. Duas: plataforma de vulnerabilidades do Centro Nacional de Notificação de Segurança de Rede e Informação. Três: plataforma de vulnerabilidades do Centro Nacional de Coordenação de Resposta a Emergências de Rede de Computadores. Quatro: banco de vulnerabilidades do Centro Chinês de Avaliação de Segurança da Informação. Quem coletar ou publicar informações de falhas em violação das regras será tratado conforme a lei pelo Ministério da Indústria e Tecnologia da Informação e pelo Ministério da Segurança Pública, cada um no seu âmbito. Se configurar hipóteses da Lei de Segurança Cibernética, pune-se por essa lei. Publicar para a sociedade informações de segurança de rede como falhas de sistema deve cumprir as normas nacionais. Quem violar recebe ordem de correção e advertência, podendo multa de 10000 a 100000 yuan. Se recusar a corrigir ou em circunstâncias graves, multa de 100000 a 1000000 yuan. Também se pode ordenar suspensão da atividade, paralisação para reorganização, fechamento do site ou aplicativo, ou cassação de licença ou do alvará. Responsáveis diretos e outros diretamente responsáveis: multa de 10000 a 100000 yuan (nacional)

Notas

As regras incluem pessoas físicas de forma explícita; «sou só amador» não é exceção. Submeter falha de sistema doméstico a plataforma estrangeira de bug bounty cai exatamente em «falha não pública não pode ir para o exterior». Se há direito de testar: item 9 (sem autorização por escrito, não teste o sistema alheio); isso se separa de como lidar depois de obter a falha. Falha descoberta legalmente também pode ser punida se a forma de publicação violar; falha encontrada sem autorização tem problema no teste e na publicação. As regras não tratam à parte o caso «já avisei o fabricante e ele não corrige». A sugestão do autor é guardar registro da negociação e do reporte, e reportar também às quatro plataformas oficiais acima

Fontes · 2

1. 工业和信息化部、国家互联网信息办公室、公安部 (2021). 网络产品安全漏洞管理规定（工信部联网安〔2021〕66 号，第二、四、九、十、十四条，2021 年 9 月 1 日施行）. gov.cn/gongbao/content/2021/content_5641351.htm
2. 全国人大常委会 (2025). 网络安全法（2025 年修正，2026 年 1 月 1 日施行，第二十八、六十五条；2016 年文本为第二十六、六十二条，规定第十四条援引的是 2016 年文本的条号）. cac.gov.cn/2025-12/29/c_1768735112911946.htm