Résumé

  • La déclaration publiée par l’IAB le 24 août présente les signaux d’âge minimaux, non corrélables et relayés par l’appareil comme la piste la plus prometteuse au degré de maturité actuel. Elle n’en fait ni un produit immédiatement déployable, ni une attestation juridique.
  • Le partage d’un appareil crée un problème de rattachement distinct : l’établissement de l’âge, le profil local, la session du navigateur et la requête du site peuvent fonctionner correctement, alors que la réponse concerne une autre personne.

Une bonne réponse à propos du mauvais sujet

La scène d’ouverture est une hypothèse destinée à éprouver l’architecture, pas le récit d’un incident. Elle montre pourquoi minimiser les données et identifier le contexte courant sont deux opérations différentes. Répondre seulement « plus de 18 ans » protège mieux qu’envoyer une date de naissance ou une pièce d’identité. Cela ne suffit pas à savoir qui se trouve devant l’écran.

Le raccourci « un téléphone, un compte, une personne » tient déjà imparfaitement sur un appareil personnel. Il cède complètement sur une tablette familiale, un ordinateur scolaire, un téléphone prêté ou une console de salon. Un adulte peut avoir établi son âge correctement ; le système peut conserver le résultat sans erreur ; le navigateur peut appeler l’interface prévue. Si l’enfant a repris le contexte adulte, chaque journal technique semblera normal et la décision sera néanmoins fausse.

La question d’audit doit donc changer : non pas seulement « le signal était-il authentique ? », mais « quel sujet, quel profil et quel instant décrivait-il authentiquement ? »

La proposition de l’IAB est assortie de conditions

L’Internet Architecture Board partage l’objectif de protection des mineurs, puis examine les conséquences architecturales de plusieurs moyens d’y parvenir. Un tiers central d’assurance d’âge concentre des informations sensibles. La collecte d’identité par chaque site élargit les risques d’atteinte à la vie privée et d’usurpation. Le blocage réseau pousse vers l’affaiblissement du chiffrement ou la visibilité du trafic. Le contournement peut conduire à des VPN inconnus, à des justificatifs partagés ou frauduleux et à des applications issues de circuits gris.

La déclaration ajoute deux effets de structure : les grands fournisseurs d’appareils peuvent acquérir un pouvoir sur la fiabilité, la concurrence et la souveraineté numérique ; des obligations nationales incompatibles peuvent fragmenter un réseau fondé sur l’interopérabilité.

L’IAB demande donc un résultat d’âge limité au besoin, sans remontée d’activité ni corrélation entre sites. L’acteur qui établit l’âge ne devrait pas connaître les destinations consultées. Il ne devrait pas exister de registre central des activités. Le dispositif doit limiter exclusion et charge, et reposer sur des interfaces ouvertes, interopérables, élaborées avec plusieurs parties prenantes.

Dans cet ensemble, l’approche par l’appareil est dite la plus prometteuse « en principe » au stade actuel. Elle ne supprime pas l’établissement initial de l’âge. Elle donne un levier considérable aux fournisseurs du système et de l’appareil. Elle dépend d’une interface que tout appareil, système ou navigateur peut mettre en œuvre. Surtout, le texte réclame une prise en charge robuste de plusieurs utilisateurs sur les appareils partagés.

Présenter cette appréciation comme une homologation sans réserve effacerait précisément les conditions qui la rendent défendable.

RFC 9998 interdit de confondre les rôles

RFC 9998, rapport informatif publié sur le flux IAB en juin 2026, restitue un atelier consacré à l’assurance d’âge. Il précise que les interventions ne représentent pas nécessairement l’IAB ou le W3C, et que leur présence n’est ni validation ni consensus.

Le rapport distingue le vérificateur, l’acteur chargé d’appliquer la règle, celui qui sélectionne la politique et celui qui classe un contenu ou un service. Il regroupe sous « assurance d’âge » la vérification, l’estimation et l’inférence. Les justificatifs peuvent manquer ou ne pas être reconnus. L’estimation produit des acceptations et rejets erronés. L’inférence dépend de données parfois absentes ou trompeuses.

Une tranche d’âge révèle moins qu’un âge exact, mais il faut encore déterminer à qui elle appartient. Les preuves à divulgation nulle et sélective réduisent ce qui est communiqué ; elles ne règlent ni le partage de justificatifs, ni le contournement, ni la censure, et peuvent concentrer la confiance dans quelques logiciels. Une preuve mathématique répond à la proposition encodée. Elle ne corrige pas un mauvais choix de profil effectué en amont.

Six décisions produisent le même jeton

L’acteur d’établissement rattache une preuve ou une estimation à une personne, un compte ou un contexte. Le système de comptes choisit où conserver le résultat. L’appareil détermine le profil actif. Le navigateur choisit le contexte consulté et la continuité de session. Le service formule un seuil selon une politique. Enfin, une autorité institutionnelle ou juridique décide si la méthode et le recours satisfont la règle applicable.

Aucun de ces acteurs ne possède naturellement toute la chaîne. L’émetteur d’un document ignore qui prendra la tablette plus tard. Le fabricant ne devrait pas choisir la juridiction du site. Le navigateur ne peut inventer le seuil légal. Le site ne peut lire tout le profil local sans ruiner la minimisation. Le régulateur peut demander un résultat sans détenir les traces techniques de chaque rattachement.

Une spécification exploitable doit nommer le sujet de l’assertion, l’événement de sélection du profil, la limite de session, la fraîcheur, l’origine demanderesse, le sens du seuil, la présence de l’utilisateur et le recours. Elle doit couvrir veille, réveil, transfert entre applications, changement de compte, mode invité et dérogation parentale. Posséder une conclusion adulte sur l’appareil ne signifie pas que la session courante est autorisée à l’utiliser.

L’ouverture déplace le pouvoir sans l’effacer

Une interface interopérable peut empêcher une plateforme d’imposer son protocole privé à tous les sites. Elle permet à des navigateurs et systèmes indépendants de concourir, et au service de ne demander que le seuil nécessaire.

Mais le système d’exploitation conserve la maîtrise des profils, du stockage sûr, des indices de présence, des mises à jour et de la disponibilité de l’interface. Il faut vérifier qu’un navigateur indépendant obtient un signal équivalent, qu’une mise en œuvre reste possible sans rejoindre le service d’identité du fournisseur, et qu’une personne peut contester un faux résultat sans remettre son identité complète à chaque site.

Une obligation de résultat garde la correction possible

L’IAB préfère des objectifs mesurables à l’inscription d’une technique précise dans la règle. Un régulateur peut exiger protection, limites de confidentialité, évaluation indépendante, recours accessible et déclaration d’incident sans figer un format de justificatif.

Un mécanisme imposé trop tôt crée une dépendance par les contrats, les investissements et les logiciels installés. L’incitation se déplace alors de « avons-nous contrôlé la bonne personne ? » vers « avons-nous utilisé le procédé prescrit ? ».

Sources