Nouvelles règles chinoises de certification électronique 2026 : échéance du 30 octobre et signatures conformes CA

Le régulateur chinois a durci les règles qui sous-tendent chaque signature électronique. En avril 2026, le ministère de l'Industrie et des Technologies de l'information (MIIT) a émis sa notification relative aux règles métier de la certification électronique (工信发函〔2026〕181号), accompagnée de la norme sectorielle T/CQAE 11034-2025, « Spécification des règles métier de la certification électronique ». Les fournisseurs de services de certification électronique doivent refondre leurs processus pour satisfaire quatre exigences non négociables – vérification directe par la CA, contrats directs avec l'abonné, preuve de l'intention et gestion contrôlée des clés – avant la fin de la période de transition, le 30 octobre 2026.

Pour les entreprises qui signent en Chine continentale ou avec des contreparties de Chine continentale, il ne s'agit pas d'une affaire interne à un fournisseur. Lorsqu'un contrat signé est contesté, le tribunal examine précisément ces maillons de la chaîne de confiance. Cet article expose ce qui a changé, ce que les quatre règles exigent et ce qu'un acheteur doit vérifier.

Ce que couvre la réforme de 2026

Le régime chinois de la signature électronique comporte deux niveaux souvent confondus. La loi sur la signature électronique détermine quand une signature est juridiquement fiable. En dessous, les règles métier de la certification électronique régissent la manière dont une autorité de certification (CA) agréée vérifie l'identité, délivre les certificats et conserve les preuves.

Les mesures de 2026 portent sur ce second niveau. La notification du MIIT (工信发函〔2026〕181号) exige des autorités de certification qu'elles examinent leurs processus existants au regard des règles métier révisées et mènent une refonte complète de conformité. La norme d'accompagnement T/CQAE 11034-2025 – une norme d'association sectorielle, et non le texte de la notification elle-même – fixe les détails opérationnels sur lesquels les inspections sont mesurées.

Cette ligne diffère des travaux distincts de l'Administration d'État de la cryptographie sur l'usage de la cryptographie dans les services de certification électronique, qui régit l'agrément d'usage de cryptographie plutôt que les règles métier elles-mêmes ; les deux lignes imposent des obligations différentes aux mêmes fournisseurs.

La réforme n'est délibérément pas cosmétique. Les fournisseurs ne peuvent y satisfaire en réécrivant seuls leur politique interne ou en mettant à jour leur énoncé des pratiques de certification (CPS). La notification exclut aussi les contournements : une plateforme ne peut pas, par des clauses contractuelles, requalifier la certification en « service de sécurité » ou en « service d'authentification auxiliaire », ni transformer illicitement une certification tierce en projet maison pour contourner les règles.

Les quatre lignes rouges

La norme réduit la refonte à quatre exigences que le secteur appelle des lignes rouges – sans exemption, sans « version transitoire ».

• Vérification directe par la CA (CA直验). L'identité doit être vérifiée par la CA agréée elle-même. La délégation à un organisme ou à une personne externe est interdite, et une personne morale différente est considérée comme externe. L'objectif est de maintenir intact le lien entre une identité réelle et un certificat numérique.
• Contrat direct avec l'abonné (CA直签). Le contrat de service de certification doit être conclu directement entre la CA et l'abonné au certificat, afin que droits et obligations soient énoncés et acceptés – non dissimulés derrière une case à cocher par défaut ou une autorisation floue.
• Preuve de l'intention (意愿留证). L'intention de l'abonné doit être enregistrée et traçable sur toute la chaîne. Les certificats à assurance élevée exigent une confirmation par enregistrement audio ou vidéo ; les certificats de niveau de base exigent un enregistrement de confirmation traçable.
• Gestion contrôlée des clés (私钥直管). Les clés de signature sont détenues en premier lieu par l'abonné. Lorsqu'une CA héberge la clé, elle a besoin de l'autorisation écrite de l'abonné, d'un stockage chiffré et d'un relevé complet de chaque usage – aucune invocation non autorisée.

Ces quatre exigences modifient la structure des dispositifs fondés sur « la connexion à une CA » ou la « certification conjointe », car dans ces modèles les étapes régulées étaient souvent accomplies par d'autres que la CA agréée.

Pourquoi les tribunaux appliquent déjà la norme

La réforme n'est pas seulement un exercice administratif. Dans une affaire récente, le tribunal populaire du district de Changjiang, à Jingdezhen, a cité dans son avis d'examen la Spécification des règles métier de la certification électronique et a demandé aux parties un rapport de vérification directe par la CA, au motif qu'une CA ne peut confier la vérification d'identité des utilisateurs à un tiers.

C'est la conséquence pratique pour les entreprises. Si un contrat est ensuite contesté et que la chaîne de vérification d'identité a été sous-traitée, cochée par défaut ou jamais attestée, ces lacunes deviennent le point d'attaque. Une signature qui semblait valable à la signature peut être difficile à défendre en cas de litige.

Trois vérifications que tout acheteur devrait faire

La notification place les obligations de transition sur les fournisseurs, mais elle donne aussi une liste de contrôle aux acheteurs. Toute question à laquelle le fournisseur ne peut répondre clairement est une raison d'examiner de plus près la chaîne de certification.

• Vérifier l'agrément. Confirmez que le fournisseur de signature électronique et la CA qui délivre réellement les certificats détiennent un agrément valide de service de certification électronique. Vérifiez-le via le canal officiel du MIIT https://ythzxfw.miit.gov.cn/index, et non depuis une page marketing. Un agrément manquant est éliminatoire.
• Vérifier la vérification directe par la CA. C'est la ligne rouge centrale. Pour les particuliers, le système de la CA agréée devrait exécuter des contrôles d'identité réelle plus une vérification à deux facteurs par visage ou SMS, sans relais tiers. Pour les organisations, la CA devrait vérifier le registre du commerce et effectuer directement des contrôles de compte ou de vivacité, sans que la plateforme touche aux données de vérification essentielles. Si une étape est décrite comme « faite par la plateforme » ou « sous-traitée à un service de vérification tiers », la chaîne est rompue.
• Vérifier l'émetteur du certificat. Ouvrez un contrat signé et lisez les détails du certificat. L'émetteur devrait correspondre exactement à la CA agréée. Surveillez les formulations vagues telles que « émis pour le compte de », « émis conjointement » ou « co-émis », et confirmez que le certificat peut être consulté dans le système de service de certification électronique du MIIT. Si l'émetteur n'est pas la CA agréée elle-même, le poids juridique du certificat est affaibli dans le nouveau cadre.

Ce que les entreprises étrangères devraient faire

Les équipes hors de Chine continentale qui signent avec des contreparties de Chine continentale devraient traiter l'échéance du 30 octobre comme une fenêtre de sélection et de revue, et non seulement comme un événement de conformité lointain.

• Demandez à votre fournisseur le nom juridique de l'émetteur du certificat pour chaque méthode de signature, et la preuve d'agrément qui la sous-tend. La marque de la plateforme, le processus d'enregistrement et la CA agréée peuvent être trois entités distinctes.
• Demandez comment l'identité a été vérifiée, comment le contrat d'abonné a été présenté et accepté, où les clés sont générées et qui peut les invoquer, et quels enregistrements sont conservés à chaque étape.
• Demandez un exemple de dossier de preuves : le fichier signé, les informations de certificat, les événements d'authentification du signataire, les enregistrements de consentement et d'intention, les horodatages et l'historique d'audit.
• Rappelez-vous que l'agrément du fournisseur et l'opposabilité du contrat sont liés mais non identiques. Le caractère contraignant d'un document donné dépend encore du type de document, de l'intention des parties, de la fiabilité de la méthode de signature et des preuves disponibles. Pour la vue d'ensemble de la signature en Chine continentale, voir l'aperçu de la signature électronique en Chine continentale.

Ce qui vient ensuite

La période de transition s'achève le 30 octobre 2026, après quoi le MIIT devrait passer à des inspections à grande échelle. Les fournisseurs qui ne satisfont pas aux exigences risquent la suspension des activités non conformes et, à l'extrême, le retrait ou la révocation de leur agrément. Les entreprises qui revoient leurs fournisseurs dès maintenant évitent de découvrir une chaîne de certification brisée au moment d'un litige.

Points clés

• La notification du MIIT sur les règles métier de la certification électronique (工信发函〔2026〕181号) et la norme T/CQAE 11034-2025 fixent quatre lignes rouges pour la certification électronique en Chine.
• Les quatre règles sont : vérification directe par la CA, contrat direct avec l'abonné, preuve de l'intention et gestion contrôlée des clés.
• La période de transition s'achève le 30 octobre 2026, après quoi inspections et mesures d'agrément sont attendues.
• Les tribunaux appliquent déjà la norme : dans une affaire à Jingdezhen, le tribunal a exigé un rapport de vérification directe par la CA.
• Les acheteurs devraient vérifier l'agrément du fournisseur, l'étape de vérification directe par la CA et l'identité de l'émetteur du certificat avant de se fier à un certificat émis en Chine.