Un visiteur qui active un VPN pour se présenter comme letton plutôt que français ne vous met pas automatiquement en faute. Ce qui vous met en faute, c’est un dispositif dont le seul verrou est l’adresse IP. La ligne de partage est là : le droit français ne vous demande pas d’empêcher toute fraude individuelle, il vous demande de déployer un système de vérification d’âge conforme, sur l’ensemble de vos accès, et de pouvoir le prouver.
Depuis la loi SREN du 21 mai 2024, l’Arcom dispose d’un référentiel technique qui fixe les exigences applicables aux systèmes de vérification de l’âge des services diffusant du contenu pornographique. Ce référentiel raisonne en termes de fiabilité, de proportionnalité et de protection des données, avec une recommandation claire : la solution du double anonymat, portée notamment par la CNIL, où le vérificateur d’âge ignore le site visité et où le site ignore l’identité du visiteur.
Au niveau européen, l’article 28 du DSA impose aux plateformes des mesures appropriées pour la protection des mineurs, et la Commission a publié des lignes directrices qui vont dans le même sens : des mécanismes robustes, pas une case à cocher. Un projet d’application européenne de preuve d’âge est en cours d’expérimentation avec plusieurs États membres. Dans tous ces textes, la responsabilité de l’éditeur porte sur la conception de son dispositif, non sur le comportement de chaque utilisateur.
Beaucoup d’éditeurs ont bâti leur conformité sur un raisonnement territorial : détecter les IP françaises, leur imposer un contrôle, laisser passer les autres. Ce montage a deux défauts rédhibitoires. D’abord, un VPN grand public le neutralise en trois clics, et l’on a vu au Royaume-Uni, dès l’entrée en application des obligations de l’Online Safety Act, des pics massifs de téléchargements d’applications VPN. Ensuite, un mineur résidant en France qui accède à votre service via une IP étrangère reste un mineur exposé à un contenu interdit : votre dispositif a échoué, et l’argument technique ne fera pas illusion devant un régulateur.
Autrement dit, le géoblocage est une mesure de segmentation commerciale. Il n’a jamais été une mesure de protection des mineurs.
Le contournement devient votre problème dès lors qu’il révèle une faiblesse de conception. Les configurations les plus exposées sont connues :
Inversement, un utilisateur majeur ou mineur qui falsifie activement son environnement (VPN, faux document, emprunt du téléphone d’un adulte) relève de la fraude individuelle. Aucun référentiel n’exige un taux de contournement nul, ce qui serait techniquement absurde. Ce qui est exigé, c’est que la vérification soit systématique, indépendante du réseau d’origine, fondée sur une preuve difficile à transférer, et documentée. Un éditeur qui coche ces quatre cases est dans une position solide, y compris face à une mise en demeure.
Le contrôle s’applique à toute tentative d’accès au contenu, quelle que soit l’IP. C’est plus simple à auditer, plus simple à maintenir, et cela supprime d’un coup toute la question du VPN.
Une attestation d’âge doit être rattachée à un secret propre au terminal, avec une durée de validité courte et une réauthentification sur signaux de risque (changement d’empreinte matérielle, réutilisation simultanée depuis deux appareils). C’est ce qui fait la différence entre une preuve et un laissez-passer.
Bloquer les plages IP de VPN est contre-productif : vous pénalisez des utilisateurs légitimes soucieux de leur vie privée, y compris ceux qui ne veulent pas que leur fournisseur d’accès observe leur navigation. La bonne réponse est d’appliquer le même contrôle à tous, sans discrimination réseau.
Vous devez pouvoir prouver qu’un contrôle valide a précédé chaque accès. Vous ne devez surtout pas conserver de pièce d’identité, de selfie ou de date de naissance : ce serait créer un fichier de fréquentation intime, c’est-à-dire exactement le risque que le RGPD et la CNIL vous demandent d’éviter. Conservez la trace de l’événement de vérification et de sa validité, rien d’autre.
C’est précisément la logique de GreenBadg, développé par IDxLAB : le vérificateur atteste de la majorité sans savoir quel service est consulté, l’éditeur reçoit un signal binaire sans jamais toucher à une donnée d’identité. La preuve est liée au terminal et limitée dans le temps, donc peu partageable, et le déclenchement ne dépend d’aucune géolocalisation, donc indifférent au VPN. Cette approche a été éprouvée avec des acteurs exigeants du secteur, dont le groupe Dorcel, et se déploie depuis notre base marseillaise, au sein de l’écosystème French Tech Aix-Marseille.
La question n’est donc pas de savoir si un VPN peut tromper votre système. La question est de savoir si votre système repose encore sur quelque chose qu’un VPN peut tromper. Si la réponse est oui, ce n’est pas un problème d’utilisateurs, c’est une dette d’architecture, et elle se rembourse en quelques semaines de chantier.
Non, pas en tant que tel. Votre obligation est une obligation de moyens : déployer un système de vérification conforme au référentiel de l’Arcom sur tous vos points d’accès. En revanche, si le VPN suffit à désactiver votre contrôle, c’est votre dispositif qui est en cause, pas la fraude de l’utilisateur.
Non. Un filtrage par adresse IP se contourne trivialement et laisse passer des mineurs résidant en France connectés depuis une IP étrangère. Le géoblocage est une mesure commerciale, pas une mesure de protection des mineurs.
Ce n’est ni efficace ni souhaitable : les listes d’IP sont incomplètes et vous pénalisez des utilisateurs légitimes attachés à leur confidentialité. Mieux vaut appliquer le même contrôle d’âge à tous les accès, indépendamment du réseau d’origine.
En journalisant l’événement de vérification (horodatage, validité, terminal associé) et non son contenu. Avec une architecture en double anonymat, l’éditeur ne détient jamais l’identité : il conserve uniquement la preuve qu’un contrôle valide a eu lieu, ce qui suffit à documenter la conformité.
C’est le risque principal après le VPN. Il se traite en liant l’attestation à un secret du terminal, en limitant sa durée de validité et en imposant une réauthentification dès qu’un signal de partage apparaît, par exemple un usage simultané depuis deux appareils distincts.
