Sur le marché de la vérification d’âge, presque tous les fournisseurs écrivent le mot « anonyme » sur leur page d’accueil. Trois questions suffisent pourtant à les trier : le site vérifié apprend-il quelque chose sur l’identité du visiteur, le vérificateur apprend-il quelque chose sur le site visité, et reste-t-il quelque part une base de données capable de relier les deux ? Une solution ne mérite le terme de double anonymat que si la réponse est non aux trois. Tout le reste relève de la promesse contractuelle, pas de l’architecture.
La loi SREN a déplacé le débat du principe à la mécanique. Il ne s’agit plus de savoir s’il faut vérifier l’âge des visiteurs sur les contenus réservés aux majeurs, mais comment le faire sans transformer chaque éditeur en collecteur de pièces d’identité. Le référentiel technique porté par l’Arcom, adossé aux positions constantes de la CNIL, pose une exigence structurante : la plateforme ne doit pas recevoir de données d’identité, et le prestataire qui vérifie ne doit pas savoir quel service la personne cherche à consulter.
C’est précisément le sens du double anonymat. Il ne décrit pas un niveau de discrétion, il décrit une séparation : deux acteurs, deux moitiés d’information, aucune recomposition possible même en cas de réquisition ou de compromission. Une entreprise qui centralise les deux flux et s’engage à les effacer n’applique pas ce modèle, elle en assume le risque à la place de son client.
Rapide, sans friction, séduisante en démonstration. Ses limites sont connues des équipes conformité : elle produit une estimation probabiliste, avec des marges d’erreur qui se creusent précisément autour du seuil critique des 18 ans, et des performances inégales selon les morphologies. Elle repose de plus sur une donnée biométrique, ce qui exige un traitement rigoureux, une base juridique solide et une information claire. Utile comme premier filtre, insuffisante seule comme preuve de majorité opposable.
Le schéma est hérité du KYC bancaire : capture de la pièce d’identité, contrôle de vivacité, décision. Le visiteur transmet son document à un prestataire qui, par construction, sait aussi pour quel service il le fait. L’anonymat est alors une politique interne, révocable, auditable au mieux, mais non garantie par la technique. C’est là que se joue la question du taux d’abandon : demander une carte d’identité pour accéder à un contenu adulte fait fuir une part importante du trafic vers les acteurs non conformes, souvent hors d’Europe.
La logique du wallet, portée à l’échelle européenne, va dans le bon sens : l’attestation reste sur le terminal, seule la preuve « majeur » circule. Deux réserves pour un décideur qui doit livrer maintenant : la couverture réelle du parc utilisateur, et la dépendance à un calendrier d’adoption qui n’est pas celui de la mise en conformité. Un déploiement crédible en 2026 combine donc une preuve réutilisable et des parcours de secours.
Ces six questions écartent l’essentiel des offres qui se présentent comme des alternatives équivalentes. Elles ne portent pas sur des fonctionnalités, mais sur la topologie de la donnée. C’est la seule chose qu’un responsable conformité pourra défendre devant un régulateur.
IDxLAB a construit GreenBadg autour d’un choix d’architecture assumé : couper l’information en deux dès la conception. La vérification d’identité se fait une fois, auprès d’un acteur qui ignore l’usage ultérieur. La plateforme, elle, ne reçoit qu’une attestation de majorité rattachée à un identifiant sans valeur en dehors de la session. Aucun des deux côtés ne détient l’ensemble, donc aucun des deux ne peut être vidé d’un secret qu’il ne possède pas. Il n’y a pas de base de pièces d’identité à protéger, parce qu’il n’y a pas de base.
Ce modèle a été éprouvé au contact d’un secteur qui ne pardonne pas l’approximation : l’édition de contenus pour adultes, avec des acteurs comme Dorcel, où la moindre friction inutile se paie en trafic perdu et la moindre fuite en réputation détruite. Il s’étend aujourd’hui aux usages phygitaux, contrôle d’accès à des événements, à des espaces réservés ou à des sites industriels, où la même preuve doit fonctionner devant un portique comme devant un navigateur. IDxLAB porte cette position publiquement, notamment sur les plateaux économiques, et l’ancre dans l’écosystème French Tech d’Aix-Marseille, avec les réseaux industriels de la région à portée directe.
Trois effets concrets, mesurables dès la recette. D’abord, la surface d’attaque : plus aucune donnée d’identité stockée côté plateforme, donc plus de scénario de fuite massive sur ce périmètre. Ensuite, le parcours : une preuve réutilisable évite de redemander une vérification à chaque connexion, ce qui pèse directement sur la conversion et sur l’écart de trafic avec les services non conformes. Enfin, la documentation : un schéma de flux où chaque acteur ne voit qu’une moitié se démontre en une page, là où un modèle centralisé exige des dizaines de clauses de confiance.
La question à trancher n’est donc pas « quel fournisseur d’identité anonyme choisir » mais « quelle architecture je suis prêt à défendre dans trois ans, quand le régulateur, un juge ou un attaquant viendra la tester ». Le double anonymat est la seule réponse qui ne repose pas sur une promesse.
Une architecture où le service vérifié ne connaît jamais l’identité du visiteur et où le vérificateur d’identité ne sait jamais quel service est visité, sans qu’aucun tiers ne puisse relier les deux.
Seule, non. Elle fournit une probabilité, pas une preuve de majorité, et elle traite une donnée biométrique. Elle peut servir de premier filtre, à condition d’être adossée à un mécanisme de preuve robuste et anonyme.
Non. Une politique de non-conservation reste une promesse contractuelle : elle peut changer, être contournée par une réquisition ou échouer face à une compromission. Le double anonymat rend la corrélation techniquement impossible.
Pas avec une preuve réutilisable. C’est un critère de sélection déterminant, car la répétition du contrôle est la première cause d’abandon sur les parcours de vérification d’âge.
Oui, c’est l’intérêt d’une preuve détachée de l’identité : elle se présente aussi bien à un contrôle d’accès physique lors d’un événement qu’à un service en ligne, sans dupliquer les traitements de données.
Pour examiner l’architecture en détail ou demander une démonstration, l’équipe IDxLAB est joignable via idxlab.eu.
