Un site adulte accessible depuis la France doit vérifier l’âge de ses visiteurs par un dispositif technique, pas par une case à cocher. La question n’est plus de savoir s’il faut le faire, mais lequel des cinq dispositifs disponibles tient à la fois devant l’Arcom, devant la CNIL et devant votre taux de conversion. Voici comment les départager, critère par critère.
La loi SREN du 21 mai 2024 a confié à l’Arcom le pouvoir d’établir un référentiel technique pour la vérification de l’âge sur les services diffusant du contenu pornographique. Les éditeurs et hébergeurs qui ne s’y conforment pas s’exposent à des mesures de blocage et de déréférencement, prononcées sans passer par un juge. Le régulateur est consultable sur arcom.fr.
Le piège est là : ce référentiel impose une vérification robuste tout en interdisant, dans les faits, la solution la plus simple. Vous n’avez pas le droit de connaître l’identité de vos visiteurs pour prouver leur majorité. La CNIL (cnil.fr) le rappelle sans ambiguïté : collecter une pièce d’identité sur un service pornographique crée un risque disproportionné pour les personnes. Constituer une base reliant identités civiles et habitudes de consommation intime, c’est fabriquer la cible de chantage la plus convoitée du web.
Conformité réglementaire d’un côté, minimisation des données de l’autre. La plupart des dispositifs du marché sacrifient l’un des deux. Le vôtre ne doit sacrifier ni l’un ni l’autre.
Le bouton « J’ai plus de 18 ans » n’est pas un dispositif de vérification, c’est un aveu. Il ne répond à aucune exigence du référentiel et n’oppose aucune résistance à un adolescent. Si votre site fonctionne encore ainsi, le sujet n’est pas le choix d’une solution mais l’urgence du calendrier.
Longtemps présentée comme le compromis acceptable, elle échoue sur deux fronts. Techniquement, les cartes de retrait accessibles aux mineurs et les cartes prépayées la rendent contournable. Juridiquement, elle transmet à l’éditeur une donnée bancaire directement identifiante pour une finalité qui n’a rien de bancaire. Rapport coût-risque défavorable.
Un algorithme estime une tranche d’âge à partir d’une image du visage, sans identifier la personne. L’approche a du sens pour les publics très éloignés de la majorité, avec un traitement local et une suppression immédiate de l’image. Ses limites sont réelles : marge d’erreur autour de la zone 16-22 ans, biais démographiques documentés, et une friction psychologique forte. Montrer son visage à une caméra sur un site adulte reste un point de rupture pour une part significative des utilisateurs.
Efficace, éprouvée, et parfaitement inadaptée à ce contexte. Vous héritez d’un scan de pièce d’identité, donc d’une obligation de conservation, de sécurisation et de purge, sur un service où cette donnée n’a rien à faire. Un incident de sécurité sur ce périmètre ne se répare pas par un communiqué. C’est le scénario que le régulateur cherche précisément à éviter.
Le principe : un tiers vérificateur contrôle l’âge, puis délivre une preuve cryptographique de majorité. L’éditeur reçoit un feu vert sans savoir qui est la personne. Le vérificateur, lui, ne sait pas sur quel site la preuve est présentée. Personne ne détient l’équation complète. C’est l’architecture que la CNIL et le PEReN ont poussée dans leurs travaux techniques, et celle sur laquelle s’aligne le portefeuille européen d’identité numérique issu du règlement eIDAS 2.
Avant d’écouter la démonstration d’un prestataire, posez ces six questions et exigez une réponse écrite :
Chez IDxLAB, nous avons construit GreenBadg autour de cette contrainte, pas à côté d’elle. La vérification d’âge se fait une fois auprès d’un tiers de confiance ; le site reçoit ensuite une attestation de majorité, valable, révocable, et vide de toute donnée personnelle. L’éditeur prouve sa conformité sans jamais constituer de fichier. L’utilisateur accède au service sans laisser son identité en dépôt.
Ce choix a des conséquences concrètes en production. Un opérateur du secteur adulte comme Dorcel ne peut pas se permettre un dispositif qui divise son audience par deux à l’entrée, ni un dispositif qui l’expose à un incident de données. L’attestation réutilisable règle les deux problèmes en même temps : le visiteur vérifié une fois n’a plus à recommencer, et l’éditeur n’a rien à protéger puisqu’il ne détient rien.
Notre ancrage dans l’écosystème French Tech Aix-Marseille n’est pas décoratif : il nous met en contact direct avec les opérateurs, les intégrateurs et les acteurs publics qui vivent ces obligations au quotidien, et qui testent nos réponses avant qu’elles ne partent en production.
Oui. La loi SREN impose aux éditeurs et hébergeurs de services diffusant du contenu pornographique de mettre en place un dispositif technique de vérification de l’âge, y compris lorsque le service est établi hors de France mais accessible depuis le territoire. L’Arcom peut engager des mesures de blocage et de déréférencement en cas de manquement.
Techniquement oui, mais c’est la pire option. La CNIL considère que la collecte directe d’une pièce d’identité par un service pornographique est disproportionnée. Elle crée un risque majeur pour les personnes et une responsabilité lourde pour l’éditeur en cas de fuite. La vérification doit être déléguée à un tiers, sans retour d’identité vers le site.
C’est une architecture où deux acteurs distincts détiennent chacun la moitié de l’information. Le tiers vérificateur connaît l’identité mais ignore le site visité. Le site reçoit une preuve de majorité mais ignore l’identité. Aucun des deux ne peut reconstituer le lien, même en cas de compromission de l’un d’eux.
Elle peut constituer un premier niveau pertinent, mais sa marge d’erreur autour de la majorité impose une solution de repli pour les cas incertains. Un dispositif sérieux combine plusieurs voies de vérification et prévoit un recours pour les utilisateurs mal classés par l’algorithme.
Une intégration par redirection ou par SDK se déploie généralement en quelques jours côté technique. Le délai réel dépend surtout des arbitrages internes : parcours utilisateur, gestion des sessions, documentation de conformité à produire pour le régulateur.
