Utah SB 73 : vérifier la localisation pour la conformité du contrôle d'âge
La loi de vérification d'âge de l'Utah exige des mesures proportionnées et la preuve que vous les avez appliquées. Voici comment détecter le masquage par VPN et proxy au niveau du contrôle et conserver une trace défendable.
Les règles de vérification d'âge de l'Utah (SB 73) rendent l'opérateur responsable si les mauvais utilisateurs franchissent un contrôle d'âge. Le point que la plupart des équipes ratent : un simple contrôle de localisation n'est pas une mesure défendable, car le signal le plus facile à lire est aussi le plus facile à falsifier.
Ce que la loi exige réellement
Une fois les détails écartés, il reste deux obligations. D'abord, prendre une mesure technique proportionnée pour vérifier l'utilisateur avant d'accorder l'accès. Ensuite, pouvoir prouver que cette mesure a été prise. Un indicateur qui affiche "autorisé" sans rien derrière ne satisfait pas le second critère.
C'est ce second point qui piège la plupart des équipes. On peut construire un contrôle parfait et quand même échouer à un audit si la trace peut être modifiée après coup, ou si elle n'existe tout simplement pas.
Pourquoi la géolocalisation brute échoue au premier test
La géolocalisation IP est fiable au niveau du pays, jusqu'à ce que quelqu'un interpose un VPN. La localisation lue appartient alors au serveur VPN, pas à la personne. Déplacer l'adresse IP apparente est précisément l'objet d'un VPN, donc faire confiance à la géolocalisation sans vérifier le masquage revient à faire confiance à l'élément le plus facile à usurper.
Vérifier si une connexion masque son origine
La mesure qui tient la route
- Lisez l'origine, puis vérifiez le masquage avec la détection VPN et la détection de proxy. Un VPN, un proxy résidentiel, une plage de datacenter ou un nœud de sortie Tor signifient que la localisation n'est pas fiable.
- Associez le verdict à une action. Sous un régime strict comme celui de l'Utah, une origine masquée face à un contrôle d'âge doit être bloquée ou renvoyée vers une vérification renforcée, pas laissée passer.
- Scellez le résultat. Enregistrez chaque contrôle dans une trace infalsifiable, afin de pouvoir prouver plus tard que vous l'avez effectué et ce qu'il a donné.
Pourquoi la trace doit être infalsifiable
Un journal d'audit que l'on peut modifier discrètement ne prouve rien. La solution est une chaîne de hachage : chaque entrée stocke un hachage de l'entrée précédente ainsi que les données du contrôle. Modifiez une ligne historique et tous les maillons suivants se rompent, ce qu'une passe de vérification détecte immédiatement. C'est la différence entre "nous avons des journaux" et "nous pouvons prouver que ce journal n'a pas été altéré".
C'est exactement ce que fait Provenance en un seul appel côté serveur : il s'appuie sur le même moteur que notre détection VPN et proxy, applique une politique par juridiction, et scelle chaque verdict dans un journal d'audit chaîné par hachage, exportable comme preuve signée.
Un contrôle concret
| Origine | Sous la politique de l'Utah | Trace |
|---|---|---|
| Résidentielle propre | Autoriser | Journalisé avec verdict |
| VPN / proxy / Tor | Bloquer ou renforcer | Journalisé avec motif |
| Ambiguë | Renforcer | Journalisé pour examen |
En résumé
Utah SB 73 n'est pas satisfaite par une estimation du pays à partir de l'IP. Détectez si l'origine est masquée, agissez selon ce verdict, et conservez une trace que personne ne peut réécrire. Associez le contrôle technique à votre prestataire de vérification d'âge et à vos conseils juridiques, et tenez l'export de preuves prêt pour le jour où quelqu'un demandera comment vous avez procédé.