Bug Bounty et hacking éthique en Algérie : existe-t-il un cadre juridique pour la

Le dilemme du chercheur

L’Algérie possède une communauté croissante de chercheurs en cybersécurité et de hackers éthiques qualifiés. Beaucoup sont autodidactes, perfectionnant leurs compétences via les compétitions CTF (Capture The Flag), les plateformes HackerOne et Bugcrowd, et l’étude indépendante. Des chercheurs algériens ont signalé des vulnérabilités sur des plateformes internationales et obtenu une reconnaissance au sein de la communauté mondiale de recherche en sécurité. Mais quand il s’agit de signaler des vulnérabilités dans les systèmes algériens — sites gouvernementaux, portails bancaires, infrastructure télécom, réseaux universitaires — ces mêmes chercheurs font face à une incertitude juridique flagrante qui décourage l’activité même qui améliorerait la cybersécurité de l’Algérie.

Le problème est simple et sérieux : l’Algérie n’a aucune disposition de safe harbor pour la recherche en sécurité de bonne foi. Aucune politique de divulgation de vulnérabilités (VDP) n’est publiée par une agence gouvernementale algérienne majeure. Il n’existe aucun cadre de divulgation coordonnée. Et la législation principale sur la cybercriminalité — la loi 09-04 du 5 août 2009, portant règles particulières relatives à la prévention et à la lutte contre les infractions liées aux technologies de l’information et de la communication — contient des dispositions suffisamment larges pour criminaliser l’acte de découvrir et signaler une vulnérabilité, même lorsque l’intention est purement constructive.

Cela crée un effet dissuasif. Les chercheurs qui découvrent qu’un site ministériel fuit des données citoyennes, ou qu’une API bancaire expose des informations de comptes clients, font face à un choix binaire : signaler la vulnérabilité et risquer des poursuites, ou rester silencieux et laisser la vulnérabilité persister jusqu’à ce qu’un acteur malveillant l’exploite. La plupart choisissent le silence. Le résultat est que les citoyens les plus conscients de la sécurité en Algérie sont juridiquement dissuadés d’aider à sécuriser l’infrastructure numérique du pays.

Les récentes avancées de l’Algérie en gouvernance de cybersécurité — dont la Stratégie Nationale de Cybersécurité 2025-2029 (décret présidentiel n° 25-321, décembre 2025) et l’établissement d’unités de cybersécurité dédiées dans les institutions publiques (décret présidentiel n° 26-07, janvier 2026) — représentent un progrès institutionnel. Mais aucun de ces décrets ne traite de la divulgation responsable, du signalement de vulnérabilités ou des protections juridiques pour les chercheurs en sécurité de bonne foi. Le vide persiste.

La loi 09-04 : le champ de mines juridique

La loi 09-04 a été promulguée le 5 août 2009 pour établir le cadre juridique algérien en matière de cybercriminalité. Elle comprend 19 articles répartis en six chapitres, criminalisant l’accès non autorisé aux systèmes d’information (article 394bis du Code pénal, tel que modifié), l’interception non autorisée de données et l’interférence avec le fonctionnement des systèmes. Les peines pour l’infraction de base d’accès non autorisé sont l’emprisonnement de trois mois à un an et des amendes de 50 000 à 100 000 DZD. Les peines s’aggravent considérablement pour les formes aggravées : si des données sont modifiées, supprimées ou si le fonctionnement du système est saboté, les peines peuvent atteindre deux à trois ans d’emprisonnement avec des amendes pouvant atteindre plusieurs millions de DZD. Les peines sont doublées lorsque les systèmes ciblés appartiennent à la défense nationale ou aux institutions publiques.

La question critique pour les chercheurs en sécurité est la définition de l’« accès non autorisé ». Dans de nombreux systèmes juridiques, les chercheurs soutiennent que sonder un système pour découvrir des vulnérabilités — sans modifier de données, perturber les services ou exfiltrer des informations — ne devrait pas constituer une infraction pénale, surtout lorsque l’intention est de communiquer les résultats au propriétaire du système. Mais la loi 09-04 ne distingue pas entre l’accès non autorisé malveillant et la recherche en sécurité de bonne foi. Il n’y a pas d’exception d’« intention », pas de défense d’« intérêt public », et aucune reconnaissance du concept de divulgation responsable. La loi oblige également les fournisseurs de services à coopérer avec la police judiciaire et les autorités, compliquant davantage la position des chercheurs qui interagissent avec les propriétaires de systèmes.

Au niveau international, ce vide a été comblé par divers mécanismes. Les Pays-Bas ont été pionniers des directives de divulgation coordonnée des vulnérabilités (CVD) en 2013, lorsque le Centre National de Cybersécurité néerlandais (NCSC) a publié une directive de divulgation responsable et que le Service des Poursuites Publiques a émis une lettre de politique décrivant comment les procureurs devaient traiter les cas de piratage éthique. La politique prend en compte des facteurs tels que si le chercheur a servi un intérêt public important, a agi proportionnellement et ne pouvait pas atteindre le même résultat par des moyens moins intrusifs — bien qu’elle ne garantisse pas l’immunité contre les poursuites. Le département de la Justice américain a révisé sa politique d’inculpation en vertu du CFAA (Computer Fraud and Abuse Act) en mai 2022, déclarant explicitement que la recherche en sécurité de bonne foi — définie comme l’accès à un ordinateur uniquement à des fins de test, d’investigation ou de correction d’une faille de sécurité, de manière conçue pour éviter tout dommage — ne devrait pas faire l’objet de poursuites. La directive NIS2 de l’UE (directive 2022/2555, adoptée en décembre 2022) exige de chaque État membre de désigner un CSIRT comme coordinateur pour la divulgation des vulnérabilités et d’établir des politiques nationales de CVD, avec une date limite d’octobre 2024 pour la mise en œuvre. L’Algérie n’a aucune guidance équivalente à aucun niveau — législatif, judiciaire ou réglementaire.

Cas et conséquences : quand les chercheurs parlent

Bien que l’Algérie n’ait pas de cas largement médiatisés de chercheurs poursuivis spécifiquement pour divulgation responsable (contrairement, par exemple, au cas de 2017 d’un chercheur hongrois de 18 ans arrêté après avoir signalé une vulnérabilité dans le site de billetterie électronique de l’Autorité des Transports de Budapest, provoquant un tollé massif), l’absence de poursuites ne signifie pas l’absence de risque. Des chercheurs algériens dans les forums de cybersécurité et sur les réseaux sociaux décrivent des rencontres allant de l’indifférence aux menaces implicites lorsqu’ils tentent de signaler des vulnérabilités à des organisations algériennes.

Le scénario typique : un chercheur découvre une vulnérabilité (injection SQL, base de données exposée, contournement d’authentification) sur un site gouvernemental ou d’entreprise algérien. Il tente de contacter l’organisation — peinant souvent à trouver un quelconque contact de sécurité (pas de fichier security.txt, pas de coordination CERT, pas d’email de divulgation responsable). Quand il parvient à joindre quelqu’un, les réponses vont de « qui êtes-vous et comment avez-vous accédé à notre système ? » à l’absence totale de réponse. Certains chercheurs rapportent avoir été avertis par les organisations que signaler une vulnérabilité pourrait être interprété comme un aveu d’accès non autorisé.

L’alternative souterraine est pire. Les vulnérabilités découvertes dans les systèmes algériens circulent effectivement dans des groupes Telegram privés et des forums du dark web, où elles sont partagées ou vendues à des acteurs malveillants sans aucune intention de divulgation responsable. L’escalade des cyberconflits transfrontaliers dans la région nord-africaine — dont les incidents cyber Algérie-Maroc de 2025, qui ont vu des millions de dossiers de citoyens exposés sur des forums clandestins — démontre que les vulnérabilités non corrigées dans les institutions régionales ont des conséquences réelles lorsqu’elles sont exploitées par des acteurs malveillants plutôt que signalées par des chercheurs responsables. Un écosystème fonctionnel de divulgation responsable canaliserait au moins une partie de ces découvertes vers la remédiation plutôt que l’exploitation.

Construire un cadre de divulgation : ce dont l’Algérie a besoin

Un cadre viable de divulgation responsable pour l’Algérie nécessite une action à trois niveaux : juridique, institutionnel et organisationnel. Au niveau juridique, un amendement à la loi 09-04 ou une nouvelle directive ministérielle devrait établir un safe harbor pour les chercheurs en sécurité qui : (1) agissent de bonne foi pour identifier des vulnérabilités, (2) n’accèdent pas à des données, ne les modifient pas et ne les exfiltrent pas au-delà de ce qui est nécessaire pour démontrer la vulnérabilité, (3) signalent leurs découvertes au propriétaire du système ou à un organisme de coordination désigné dans un délai raisonnable, et (4) ne divulguent pas publiquement la vulnérabilité avant que le propriétaire n’ait eu un temps raisonnable pour remédier. Cela ne nécessite pas de décriminaliser le piratage — cela nécessite de distinguer entre recherche et attaque.

Au niveau institutionnel, DZ-CERT (l’équipe algérienne de réponse aux urgences informatiques, hébergée par CERIST) ou un organisme de coordination désigné devrait établir un portail de divulgation coordonnée des vulnérabilités où les chercheurs peuvent soumettre leurs découvertes de manière confidentielle. Cet organisme trierait les signalements, vérifierait les vulnérabilités, notifierait les organisations concernées, suivrait la remédiation et fournirait une couverture juridique aux chercheurs qui suivent le processus. Les institutions de cybersécurité existantes en Algérie — dont l’ASSI (l’Agence de Sécurité des Systèmes d’Information sous le Ministère de la Défense Nationale) et les unités de cybersécurité nouvellement établies dans les institutions publiques — pourraient intégrer un mandat CVD dans leurs cadres opérationnels. L’ENISA de l’UE a publié des directives détaillées pour l’établissement de cadres nationaux de CVD que l’Algérie pourrait adapter, et l’article 12 de la directive NIS2 fournit un modèle éprouvé pour la divulgation coordonnée par les CSIRT.

Au niveau organisationnel, les entités algériennes opérant des services numériques critiques — banques, télécom, portails gouvernementaux, processeurs de paiement — devraient publier des politiques de divulgation de vulnérabilités (VDP) sur leurs sites web. Une VDP est simplement une page indiquant : « Nous accueillons les signalements de sécurité. Voici comment nous contacter. Voici ce que nous considérons comme étant dans le périmètre. Voici notre engagement à ne pas engager de poursuites contre les chercheurs de bonne foi. » Sa mise en œuvre ne coûte rien et ouvre immédiatement un canal pour les améliorations de sécurité. Pour les organisations disposant d’un budget, des programmes formels de bug bounty (rémunérant les chercheurs pour les rapports de vulnérabilités vérifiés) créent une incitation de marché pour l’amélioration de la sécurité. Algérie Télécom, Djezzy, Ooredoo et SATIM — le commutateur national de paiement interbancaire qui connecte 19 institutions membres dont 18 banques et Algérie Poste — bénéficieraient tous de programmes pilotes exploitant le vivier existant de talents algériens en recherche de sécurité.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Loi algérienne 09-04 sur la prévention de la cybercriminalité — WIPO Lex
• Loi algérienne 09-04 — Digital Watch Observatory
• Politique de divulgation responsable des Pays-Bas — Government.nl
• Politique du DOJ américain sur les poursuites CFAA (2022) — Department of Justice
• Directive NIS2 de l’UE Article 12 — Divulgation coordonnée des vulnérabilités
• Politiques de divulgation coordonnée des vulnérabilités dans l’UE — ENISA
• DZ-CERT Équipe algérienne de réponse aux urgences informatiques — CERIST
• Cadre de cybersécurité algérien 2025-2029 — TechAfrica News
• Lois sur la protection des données et la cybersécurité en Algérie — Guide expert CMS
• Bonnes pratiques de divulgation de vulnérabilités — HackerOne
• Un adolescent hongrois arrêté pour avoir signalé un bug de l’autorité des transports — Ars Technica / Quartz