Vérification de l'âge : la nouvelle excuse pour contourner le chiffrement ?

Censée renforcer la protection des mineurs en ligne, la vérification de l’âge s’impose progressivement comme un outil incontournable des politiques numériques européennes. Mais à mesure que les dispositifs se précisent, le périmètre s’élargit, les contraintes techniques se durcissent, et les garanties de confidentialité s’effritent. Et forcément, entre ambitions sécuritaires et pressions réglementaires, la frontière avec les outils de surveillance devient de plus en plus poreuse.

Depuis quelques mois, la vérification de l’âge s’est imposée comme la nouvelle obsession des régulateurs français, et plus largement européens. Portée par un discours centré sur la protection des mineurs, elle s’invite dans les lois, les directives, les plans d’action. L’intention affichée fait consensus, mais les modalités techniques, elles, soulèvent des tensions. Car derrière la promesse d’un web plus sûr, se dessine un autre enjeu bien moins consensuel : la transformation progressive des infrastructures techniques et des conditions d’accès au numérique, encadré de plus en plus fermement par des dispositifs susceptibles, à terme, de servir de levier pour surveiller, restreindre ou contourner les garanties apportées par le chiffrement et le droit à la vie privée.

Une stratégie française consolidée, juridiquement validée

En France, la vérification de la majorité s’est installée sans grande résistance politique, mais non sans tensions juridiques. Pour rappel, depuis janvier 2025, les plateformes pornographiques ont l’obligation de contrôler l'âge de leurs visiteurs et visiteuses. Une mesure qui s’inscrit dans le prolongement de la loi SREN, adoptée en mai 2024, précisée par un arrêté ministériel et imposant le recours à un tiers de confiance. En pratique, donc, l’internaute doit être redirigé vers un prestataire externe, qui vérifie son âge à partir d’un document ou d’une donnée fiable, puis génère une attestation sans transmettre d’informations personnelles au site consulté.

Sans grande surprise, ce cadre a suscité une levée de bouclier générale dans le monde du porno, et été attaqué dès sa publication par plusieurs plateformes, dont xHamster et Pornhub, qui contestaient à la fois son efficacité, sa compatibilité avec le droit européen et le modèle de vérification retenu. Saisi dans la foulée, le juge des référés leur avait alors donné raison dans un premier temps. Mais le Conseil d’État a finalement tranché mi-juillet en faveur du gouvernement, estimant que l’objectif de protection des mineurs justifiait la contrainte. Une décision qui lève le dernier obstacle juridique à l’application du dispositif, et ouvre la voie à un blocage effectif des sites qui refuseraient de s’y conformer. Les plateformes visées doivent dorénavant se plier au référentiel technique de l’ARCOM, sous peine de sanctions financières pouvant aller jusqu’à 6 % de leur chiffre d’affaires mondial.

Cette logique de contrôle s’étend désormais à d’autres services du quotidien. Emmanuel Macron a récemment réaffirmé sa volonté d’interdire l’accès aux réseaux sociaux aux moins de 15 ans, en s’appuyant sur le même mécanisme de vérification par un tiers de confiance. Encore inapplicable en l’état, faute d’intégration concrète aux grandes plateformes, la mesure viserait directement TikTok, Instagram ou Snapchat, en leur imposant de filtrer l’âge de leurs utilisateurs et utilisatrices avant toute inscription.

Un encadrement européen plus nuancé, mais techniquement bancal

En parallèle de cette stratégie nationale, la Commission européenne a publié mi-juillet également ses lignes directrices pour l’application de l’article 28 du Digital Services Act. Elles s’inspirent en partie de l’approche française, tout en introduisant une gradation selon le niveau de risque. Les plateformes exposant les mineurs à des contenus jugés particulièrement problématiques – pornographie, jeux, alcool – doivent recourir à des méthodes strictes de vérification d’identité, via des prestataires accrédités. Celles relevant d’un risque « moyen » peuvent opter pour des systèmes d’estimation d’âge, tandis que l’autodéclaration reste tolérée dans les cas les moins sensibles.

Dans les faits, cette hiérarchisation permet de préserver une forme de flexibilité réglementaire. Mais elle repose sur des contours flous, et surtout, elle délègue largement aux États membres la responsabilité de la mise en œuvre concrète des dispositifs. Cinq d’entre eux – France, Danemark, Grèce, Italie, Espagne – s’apprêtent ainsi à tester une application commune de vérification de la majorité, présentée comme respectueuse de la vie privée. Le système prévoit l’émission d’une « preuve d’âge » chiffrée, compatible avec les futurs portefeuilles d’identité numérique européens (EUDI Wallet).

Problème : le prototype actuel s’appuie sur l’API Google Play Integrity, au cœur d’une architecture de référence encore partiellement verrouillée, ce qui limite pour le moment son fonctionnement aux appareils licenciés Google (adieu iOS et ROM custom) et aux applications téléchargées via le Play Store. Une dépendance technique d’autant plus paradoxale pour une initiative censée garantir la souveraineté numérique et la confidentialité des données, et qui alimente déjà les critiques.

Du contrôle d’âge à la surveillance des canaux chiffrés, le cas britannique

Mais le plus embêtant dans toute cette histoire, c’est qu’au-delà des conditions d’accès aux sites, la logique de contrôle pourrait s’étendre à d’autres pans de l’écosystème numérique. Et sur ce point, le Royaume-Uni en offre une démonstration flagrante. Avec l’entrée en vigueur de l’Online Safety Act en fin de semaine dernière, les plateformes ne doivent plus seulement vérifier l’âge de leurs utilisateurs et utilisatrices, mais aussi prévenir la diffusion de contenus illégaux, y compris dans les espaces privés. L’article 122 du texte va jusqu’à exiger des entreprises qu’elles détectent les infractions dans les messages eux-mêmes, en posant le principe d’une analyse locale directement sur les appareils, avant même que les contenus ne soient chiffrés ou envoyés. Autrement dit, une remise en cause frontale de l’intérêt même du chiffrement de bout en bout.

Or, pour les services reposant sur l’E2EE – WhatsApp, Signal, iMessage – cette exigence est techniquement irréalisable. Aucun intermédiaire, pas même le fournisseur, ne peut aujourd’hui accéder aux messages échangés. Faute de solution concrète, le gouvernement britannique renvoie la responsabilité aux entreprises, tout en laissant planer la menace d’une mise en conformité obligatoire.

Tous se retrouvent donc dans une position délicate, pris entre leurs engagements techniques et la pression réglementaire. Car en transférant ainsi la charge à des acteurs privés, sans indiquer comment remplir l’objectif fixé, le texte contourne l’impasse politique. Il ne formule pas explicitement l’obligation d’implémenter une porte dérobée, mais contraint indirectement chacun à en imaginer un équivalent, supposément compatible avec leurs promesses de confidentialité. Une équation impossible, qui cherche insidieusement à fragiliser le chiffrement, sans jamais l’assumer comme tel.

L’Europe et la France, pour l’instant, n’ont pas encore franchi la ligne rouge. Mais les précédents récents montrent que la protection des mineurs constitue un terrain politiquement porteur pour imposer des dispositifs de surveillance indirects. La messagerie privée, longtemps perçue comme un espace sanctuarisé, pourrait devenir la prochaine cible, et on aurait bien tort de penser le contraire.

Une offensive sans relâche contre le chiffrement et l’anonymat

Car les initiatives sur la vérification d’âge s’inscrivent dans une dynamique plus large de remise en question des garanties techniques de confidentialité offertes aux utilisateurs et utilisatrices. En début d'année, déjà, la directrice d’Europol, Catherine De Bolle, appelait publiquement à un affaiblissement du chiffrement de bout en bout, au nom de l’efficacité des enquêtes criminelles. Plus pernicieux encore, l’agence, dans son rapport IOCTA 2025, plaide désormais pour un accès facilité aux métadonnées, qui permettraient, selon elle, de contourner les limites imposées par le chiffrement.

Adresses IP, historiques de connexion, journaux de session : à défaut de pouvoir lire les messages, Europol veut cartographier les interactions. Une orientation qui inquiète les défenseurs de la vie privée, d’autant que ces données ne sont aujourd’hui ni systématiquement collectées ni uniformément conservées. À terme, cela pourrait remettre en cause le modèle « no-log » de nombreux services, y compris les VPN.

Ces exigences, présentées comme des réponses ciblées à des enjeux bien réels – terrorisme, exploitation sexuelle, criminalité organisée –, ne s’attaquent pourtant pas aux racines des problèmes. Elles traduisent des préoccupations légitimes en contraintes techniques généralisées, qui affaiblissent au passage les garanties collectives. Et une fois les outils déployés, leur périmètre d’usage tend à s’élargir, bien au-delà du cadre initialement invoqué, au détriment des libertés fondamentales, à commencer par le droit à la vie privée.

Car ce qui commence comme une exception finit souvent par faire système. Et face à l’impopularité persistante des appels explicites au déchiffrement, la voie réglementaire offerte par la vérification d’âge pourrait bien devenir une alternative plus acceptable. Rien n’empêche l’Europe, demain, de s’inspirer du modèle britannique pour imposer aux plateformes des obligations de détection, y compris dans les espaces privés. À la clé, le même résultat qu’une backdoor imposée – sans jamais avoir à prononcer le mot interdit.