Un juge fédéral de l'Utah a bloqué en octobre 2026 les obligations de SB 73 qui ordonnaient aux sites pour adultes de détecter les VPN. La partie que personne n'a contestée reste en vigueur : l'interdiction, pour ces mêmes sites, de publier des modes d'emploi pour contourner les contrôles d'âge. Le résultat est une loi qui ne demande plus rien de techniquement impossible, mais qui garde ce qu'elle avait de plus fragile.
Ce que la loi demandait
SB 73, adoptée en 2026, visait les entités commerciales hébergeant "une part substantielle de contenu nuisible aux mineurs". Elle leur imposait un choix binaire : soit bloquer les visiteurs arrivant par un VPN ou un outil équivalent masquant leur trafic, soit identifier la localisation physique de ces visiteurs pour appliquer le filtrage géographique. Elle y ajoutait une interdiction de publier des instructions expliquant comment utiliser un VPN pour échapper aux vérifications d'âge. L'Electronic Frontier Foundation (EFF) la présente comme la première loi d'un État américain à s'attaquer à l'usage des VPN pour contourner un contrôle d'âge légal.
La chronologie explique en partie la confusion du débat public. L'entrée en vigueur était prévue le 6 mai 2026. Aylo, la société mère de Pornhub, a aussitôt contesté la constitutionnalité du texte. L'État et le demandeur se sont accordés pour suspendre l'application pendant l'examen de la demande d'injonction, ou jusqu'à la publication de règles administratives précisant les modalités de conformité. Ces règles (R152-78B) ont été publiées le 1er septembre 2026 par la Division de la protection des consommateurs du département du Commerce de l'Utah, avec une entrée en vigueur possible dès le 8 octobre. L'EFF a transmis ses observations pour s'y opposer. Puis le juge Barlow a tranché.
Au passage, plusieurs articles de fournisseurs de VPN ont annoncé une entrée en vigueur au 3 septembre 2026. Cette date ne correspond ni à la loi, ni aux règles administratives, ni à l'ordonnance : c'est un rappel utile que la couverture de ce dossier par les vendeurs d'outils de contournement est un contenu commercial, pas une source juridique.
Un État ne peut pas régenter tout l'internet
Le juge a accordé une injonction préliminaire, estimant que la loi viole probablement l'interdiction constitutionnelle faite aux États d'adopter des textes qui pèsent significativement sur les entreprises et les personnes situées hors de leurs frontières. Le raisonnement central porte sur la disposition dite de "localisation réelle". Citée par l'EFF, la décision retient qu'elle "oblige en pratique une entité à fournir un service de vérification d'âge à chaque utilisateur qui visite son site, d'où qu'il vienne, car elle enfreindrait la loi si un seul de ces utilisateurs venait à masquer sa localisation". Le tribunal ajoute que l'Utah dispose de moyens moins attentatoires aux libertés pour empêcher ses mineurs d'accéder à des sites pour adultes.
Deux précautions de lecture. D'abord, l'EFF est ici à la fois partie gagnante et commentatrice de sa propre victoire : la portée exacte de l'ordonnance mérite d'être vérifiée au dossier, et l'analyse qui suit repose sur son compte rendu. Ensuite, une injonction préliminaire n'est pas un jugement définitif. L'État peut faire appel, le fond reste ouvert, et rien ne dit que la loi est morte.
Reste que le motif retenu n'est pas "le contrôle d'âge est illégitime". C'est "un seul État ne peut pas dicter à l'internet mondial la façon dont il traite chaque visiteur". La nuance est décisive pour la suite du dossier.
Détecter un VPN, ou deviner
L'argument technique, lui, ne vient pas du tribunal : il se déduit de sa rédaction. Un site ne voit d'un visiteur qu'une adresse IP, une poignée de main TLS, des en-têtes et les informations de son navigateur. La détection de VPN n'est pas une mesure, c'est un score : réputation des adresses, plages d'hébergeurs connus, incohérence entre géolocalisation IP et fuseau horaire, fuites WebRTC, particularités de la pile TCP. Ce score produit les deux erreurs classiques. Des faux positifs massifs : VPN d'entreprise, réseaux universitaires, mutualisation d'adresses par les opérateurs mobiles, relais privés d'iCloud, navigateurs qui masquent le trafic par défaut. Et des faux négatifs tout aussi banals : proxys résidentiels et machines louées dans des plages grand public, que les bases de réputation ne distinguent pas d'un abonné domestique.
Or la loi transformait ce taux d'erreur en responsabilité : un seul visiteur masquant sa localisation suffisait à constituer l'infraction. La seule façon de s'en prémunir était donc de vérifier l'âge de tout le monde, partout - exactement ce que le juge a estimé extraterritorial. Autrement dit, le texte ne demandait pas aux sites de mieux faire leur travail ; il leur demandait de transformer une inférence probabiliste en certitude juridique.
Ce qui survit ne protège personne
Le contentieux a laissé de côté l'essentiel. Selon l'EFF, la procédure d'Aylo ne visait pas l'interdiction de diffuser des instructions sur les VPN. Cette disposition n'a donc pas été suspendue par l'ordonnance.
Le résultat est paradoxal : l'Utah conserve l'interdiction de dire, et perd l'obligation d'agir. Une restriction à la liberté d'expression est la catégorie la plus exposée au premier amendement, et celle qui, seule, n'apporte aucune protection à un mineur. Bloquer un mode d'emploi ne rend pas un tunnel indisponible ; l'information est partout, à commencer par les sites des fournisseurs de VPN qui publient des tutoriels de contournement et ont couvert cette loi avec un empressement commercial.
Il faut aussi corriger un cadrage répandu. SB 73 n'interdit pas les VPN, ne sanctionne pas leurs utilisateurs et ne visait pas les fournisseurs : elle plaçait la contrainte du côté des sites, avec un périmètre défini par la nature du contenu hébergé. Les gros titres sur un "État qui interdit les VPN" décrivent une intention, pas le dispositif. Le dispositif, lui, demandait à un site de savoir ce que son visiteur fait de son propre trafic.
L'autre verrou : le magasin d'applications
La même législature a pris, en parallèle, le chemin inverse. Le gouverneur Spencer Cox a signé le 18 mars 2026 la loi HB 498, qui amende l'Utah App Store Accountability Act de 2025 (SB 142), premier du genre aux États-Unis. Le texte élargit le périmètre aux applications préinstallées, resserre les obligations susceptibles d'être attaquées comme discours contraint et précise les cas de renouvellement du consentement parental, selon des analyses de cabinets américains. Fait plus notable : la loi retire au procureur général de l'Utah le pouvoir d'appliquer le dispositif, pour ne laisser l'action qu'aux mineurs victimes d'un manquement.
Le contraste est instructif. Le magasin d'applications et le système d'exploitation disposent déjà de données de facturation, de compte et d'appareil : leur demander une catégorie d'âge, c'est solliciter la couche identitaire, pas la couche réseau. C'est plus efficace, moins intrusif pour un site isolé, et cela évite de faire porter à chaque plateforme mondiale la charge de deviner la géographie de ses visiteurs.
Ce n'est pourtant pas un havre. Le modèle s'est diffusé - Texas, Louisiane, Californie sous le nom de Digital Age Assurance Act, Alabama - et il a été attaqué de la même manière : la loi texane a été suspendue sur le fondement du premier amendement une semaine avant son entrée en vigueur, le 1er janvier 2026, et un groupement professionnel a poursuivi l'Utah au sujet de SB 142. HB 498 est présenté par ses propres promoteurs comme une consolidation après les critiques liées au discours contraint, pas comme une refonte. Retirer le pouvoir d'enquête du procureur général déplace par ailleurs l'application du droit vers des contentieux privés, plus lents et plus coûteux pour les plaignants, qui sont des mineurs.
Et cette voie a un coût de structure : elle concentre la vérification d'âge entre les mains de deux plateformes de distribution, avec le pouvoir de refuser une application qui ne se plie pas au format exigé.
Qui paie la vérification
Il faut regarder l'addition. Une règle adoptée par un État de 3,5 millions d'habitants obligeait, dans sa version initiale, tous les sites mondiaux à vérifier chacun de leurs visiteurs : la charge était supportée par tous les internautes, sous forme de pièces d'identité ou de scans du visage confiés à des sites pour adultes, et par les sites eux-mêmes, qui doivent acheter des briques de vérification dont personne ne peut auditer sérieusement la précision. Une loi peut ainsi créer un marché pour des prestataires de détection dont le taux d'erreur est précisément ce que la loi punit.
Le modèle privilégié en Europe déplace la vérification ailleurs. La CNIL recommande en France un mécanisme de "double anonymat" : un tiers de confiance vérifie l'âge et délivre un jeton, le site n'apprend qu'une chose - majeur ou non -, sans identité ni adresse. Le débat sur l'efficacité et le coût de ces dispositifs n'est pas tranché, mais l'architecture tranche d'elle-même : on vérifie un compte, pas un tunnel.
C'est là que se situe la vraie ligne de partage, et elle n'oppose pas partisans et adversaires du contrôle d'âge. Elle sépare deux endroits où l'État peut poser sa contrainte : la couche identitaire, qui sait ou peut savoir, et la couche réseau, qui ne peut que soupçonner. SB 73 choisissait la seconde. Le juge Barlow a estimé qu'un État ne pouvait pas l'imposer au monde entier. L'Utah, lui, a déjà parié sur la première avec HB 498 - un pari toujours sous le feu des tribunaux, et dont la version locale vient de priver son propre procureur du pouvoir d'agir.
La prudence, ici, n'est pas de parier sur la disparition du contrôle d'âge. C'est de constater que la partie de SB 73 encore applicable ne vérifie aucun âge : elle interdit de publier un tutoriel.