UK Online Safety Act : vérification d'âge au-delà des VPN et des proxys
L'Online Safety Act exige une vérification d'âge hautement efficace. Découvrez pourquoi la détection des VPN et des proxys compte et comment conserver une preuve défendable de chaque contrôle.
L'Online Safety Act (loi britannique sur la sécurité en ligne) a relevé la barre : il ne suffit plus d'avoir "un contrôle d'âge", il faut une vérification d'âge réellement efficace. Pour toute équipe qui se fie à la localisation apparente d'un utilisateur, cela soulève une question gênante : que se passe-t-il dès qu'il active un VPN ?
Efficace est le mot clé
L'obligation n'est pas satisfaite par une simple case à cocher. Elle exige des mesures proportionnées au risque et suffisamment solides pour fonctionner en pratique. Un contrôle qu'un VPN traverse sans effort n'est pas solide en pratique, et les régulateurs ont clairement indiqué que le problème du contournement incombe à l'opérateur.
Les VPN, le contournement évident
Quand les règles sur l'âge se sont durcies, les inscriptions à des VPN ont bondi. Ce n'est pas un hasard : un VPN déplace l'adresse IP apparente, si bien qu'une vérification de géolocalisation ou de pays voit le serveur, pas l'utilisateur. Si votre vérification d'âge repose sur la localisation apparente, un VPN la déjoue discrètement.
Vérifier si une connexion passe par un VPN
Détecter le masquage, puis décider
Vous n'êtes pas obligé de bloquer systématiquement chaque utilisateur de VPN, mais vous devez pouvoir les repérer. Le principe :
- Détecter l'anonymiseur avec la détection VPN et proxy, ainsi que les contrôles de nœuds de sortie Tor. Une origine masquée est un signal, pas un verdict automatique.
- Appliquer votre politique. Passer à une vérification renforcée quand l'origine est masquée, ou bloquer sous les catégories de contenu les plus strictes. L'essentiel est que la décision soit délibérée et journalisée.
- Conserver une trace. Garder la preuve du contrôle et de l'action pour chaque requête.
La moitié preuve de l'obligation
Démontrer qu'une mesure a été appliquée compte autant que l'appliquer. Un journal qui peut être modifié plus tard n'est pas une preuve. Un journal chaîné par hachage l'est : chaque entrée scelle un hachage de l'entrée précédente ainsi que ses propres données, de sorte que toute altération casse la chaîne et est détectée à la vérification.
Provenance couvre les deux moitiés en un seul appel. Il détecte le masquage VPN, proxy et Tor sur le même moteur que nos outils de détection, applique le verdict à votre politique propre à chaque juridiction, et écrit un journal d'audit inviolable que vous pouvez exporter comme preuve signée pour un régulateur.
En résumé
Une vérification d'âge hautement efficace et le contournement par VPN ne peuvent pas coexister si votre seul signal est la localisation apparente. Détectez le masquage, agissez selon votre politique, et conservez une preuve qui tient la route. Comme toujours, associez le contrôle technique à un avis juridique et à votre prestataire de vérification d'âge, ceci est une mesure de conformité, pas un conseil juridique.