Être majeur ne suffit pas à franchir la restriction française de Pornhub. Dans le blocage choisi par Aylo, propriétaire de la plateforme, le site se fonde sur la localisation de la connexion plutôt que sur l’âge de la personne. Un adulte peut donc être écarté avant même d’avoir eu la possibilité de prouver sa majorité.
La situation met en tension deux exigences légitimes : protéger les mineurs et permettre aux adultes de consulter des contenus légaux sans exposer leur identité ni leurs habitudes intimes. Tout dépend alors de la manière de contrôler l’âge, des informations qui circulent et de l’acteur auquel on confie cette responsabilité. Le VPN intervient à la fin de cette histoire : il peut changer les conditions d’accès, mais laisse ces questions entières.
Une fermeture choisie, sous la pression de la loi
Le 4 juin 2025, Aylo a suspendu l’accès à Pornhub, YouPorn et RedTube depuis la France. Il ne s’agissait pas, pour ces plateformes, d’un blocage exécuté par les fournisseurs d’accès sur ordre du régulateur. Le groupe a choisi de refuser les connexions françaises plutôt que d’appliquer le dispositif de vérification de l’âge qu’il contestait. Sa déclaration publique revendique aussi une campagne destinée à interpeller les internautes sur la politique française.
L’objectif français est différent : demander aux services concernés de distinguer les majeurs des mineurs avant de donner accès aux contenus. La loi SREN du 21 mai 2024 a renforcé les moyens de l’Arcom, avec un référentiel technique, des sanctions et la possibilité de demander le blocage des services qui ne respectent pas leurs obligations. L’arrêté du 26 février 2025 a étendu le dispositif à certains prestataires établis dans d’autres États de l’Union européenne.
Les allers-retours judiciaires expliquent les changements d’accès de l’été 2025. Après une réouverture en juin, Aylo a rétabli la restriction en juillet. Le Conseil d’État avait refusé, le 15 juillet, de suspendre l’arrêté, faute d’urgence démontrée. Il rappelait que le dispositif n’interdisait pas les contenus aux adultes. Cette décision en référé ne tranchait cependant pas la légalité de l’arrêté au fond : maintenir une obligation pendant un contentieux ne clôt pas tous les débats qu’elle soulève.
Le 16 juin 2026, la Cour de justice de l’Union européenne a précisé les possibilités d’intervention d’un État auprès de services établis dans un autre pays de l’Union. Elle distingue les obligations générales, auxquelles elle s’oppose dans ce cadre, des mesures visant un service déterminé, possibles sous conditions. L’affaire concernait le dispositif français antérieur à la loi SREN : elle ne valide ni n’annule automatiquement les règles adoptées depuis.
La pression européenne s’exerce aussi par une autre voie. Dans ses conclusions préliminaires du 26 mars 2026, la Commission estime que Pornhub et trois autres plateformes protègent insuffisamment les mineurs au regard du règlement sur les services numériques, le DSA. Il s’agit d’une procédure distincte, encore contradictoire à cette étape, et non d’une sanction définitive. Le contrôle d’âge ne se résume donc plus à un tête-à-tête entre Aylo et la France.
Prouver sa majorité sans donner son nom au site
L’inquiétude la plus immédiate concerne la rencontre entre une identité et une consultation intime. Transmettre un document pour accéder à un contenu sexuel peut faire craindre qu’une fuite de données (et elles sont nombreuses !) permette un jour de relier les deux. Cette inquiétude mérite une réponse technique précise, même lorsque la finalité du contrôle paraît justifiée.
Le cadre français ne demande pas au site pornographique de constituer un fichier de pièces d’identité. La CNIL explique le fonctionnement du « double anonymat » : le site reçoit une preuve de majorité sans connaître l’identité ; le prestataire qui établit cette preuve ne doit pas savoir quel site est consulté. Le référentiel impose aux services concernés de proposer au moins une solution de ce type, après la période transitoire.
Dans ce schéma de double anonymat, on peut se représenter le parcours en deux temps. Une personne fait établir qu’elle a au moins 18 ans, puis présente une preuve utilisable pour franchir le contrôle. Le service destinataire doit apprendre qu’elle remplit la condition d’âge, sans recevoir son nom ni sa date de naissance. Selon le dispositif, cette preuve peut être conservée ou générée localement : c’est l’une des orientations privilégiées par la CNIL pour éviter de solliciter systématiquement un tiers.
La promesse dépend de la séparation effective entre les acteurs. Le référentiel de l’Arcom prévoit notamment des exigences d’indépendance, de confidentialité et de limitation des possibilités de relier les preuves entre elles. Un dispositif bien conçu doit empêcher que la vérification devienne elle-même un moyen de suivre les visites.
Cela ne rend pas toute navigation anonyme. Les garanties portent sur le contrôle d’âge ; elles ne font pas disparaître les autres informations qu’un site peut recevoir. Elles ne dispensent pas non plus d’examiner le prestataire, sa sécurité et les données effectivement conservées. Pour un adulte, l’enjeu concret est de savoir ce qu’il transmet, à qui, et ce qui reste une fois la vérification terminée.
Le périmètre du contrôle compte également. Dans ses recommandations de 2022, la CNIL défend un accès au Web sans contrôle d’identité ou d’âge par défaut et réserve ces dispositifs aux situations où ils sont nécessaires. Accepter une preuve de majorité pour un contenu réservé aux adultes ne revient donc pas à approuver son extension à toute la navigation.
Ce qu’Aylo conteste, et qu'il faut entendre
Aylo soutient que multiplier les vérifications sur les plateformes augmente les risques pour les données personnelles. Cet argument oblige à examiner la qualité des dispositifs, mais il ne suffit pas à condamner toutes les architectures possibles. Une copie d’identité reçue par le site et une preuve de majorité transmise en double anonymat n’exposent pas les mêmes informations aux mêmes acteurs.
Le groupe avance un second argument, essentiel à son raisonnement : si les plateformes qui contrôlent l’âge font fuir leurs visiteurs vers des concurrents qui ne contrôlent rien, la réglementation peut déplacer le problème. Aylo affirme que ces destinations seraient moins encadrées et plus dangereuses. C’est la position d’un acteur directement concerné par la perte de fréquentation ; elle doit être confrontée à des observations indépendantes, sans être rejetée pour cette seule raison.
Le mécanisme économique est compréhensible. Une vérification ajoute une étape, parfois jugée pénible ou intrusive. Un internaute peut abandonner. Un concurrent qui laisse entrer immédiatement dispose alors d’un avantage d’usage. Mais il manque encore plusieurs informations pour conclure : combien de visiteurs renoncent réellement, combien changent de site, quelle part sont mineurs et à quels contenus accèdent-ils ensuite ?
Une baisse d’audience ne mesure pas, à elle seule, la protection des mineurs. Elle peut traduire une protection efficace, le départ d’adultes réticents ou un déplacement vers d’autres services. Ces effets peuvent coexister. Les confondre permettrait aussi bien de proclamer trop vite la réussite de la loi que son échec.
Le Royaume-Uni ne fournit pas un verdict simple
Les observations britanniques donnent de la matière à cette discussion. Dans son bilan publié en juillet 2026, l’Ofcom constate de fortes baisses de fréquentation sur de nombreux sites ayant instauré un contrôle, tandis que certains services sans contrôle gagnent en popularité. Le risque de déplacement évoqué par Aylo ne peut donc pas être évacué.
Le même régulateur rapporte néanmoins des signes de frein à l’accès. Dans son étude de suivi des usages d’enfants de 8 à 14 ans, 8 % des participants ont visité des services pornographiques ; la moitié de ces enfants n’a atteint que des sites munis d’un contrôle d’âge. Les visites étaient souvent très brèves. L’Ofcom y voit un effet dissuasif, tout en relevant que ces passages rapides peuvent aussi correspondre à la recherche d’un site accessible sans contrôle.
Ces résultats britanniques ne mesurent pas directement l’effet du dispositif français et ne décrivent pas tous les adolescents. Ils invitent surtout à évaluer ensemble les obstacles rencontrés et les parcours qui permettent encore d’accéder aux contenus. Compter les vérifications effectuées serait insuffisant : une étape supplémentaire peut être très répandue sans être toujours efficace.
La CNIL rappelait dès 2022 qu’aucun dispositif n’est parfaitement efficace et que des contournements restent possibles. L’existence d’une faille ne démontre donc pas une absence totale d’utilité. Elle oblige en revanche à comparer le bénéfice obtenu avec les erreurs, les difficultés d’accès et les risques imposés aux utilisateurs.
Une politique crédible doit pouvoir répondre à ces deux exigences : documenter la réduction de l’exposition des mineurs et limiter les informations demandées aux adultes. La protection de l’enfance ne justifie pas de renoncer à mesurer l’efficacité ; la défense de la vie privée ne suffit pas non plus à établir qu’aucun contrôle acceptable ne serait possible.
Contrôler depuis l’appareil : une autre répartition des responsabilités
Aylo défend une vérification au niveau des téléphones, tablettes et ordinateurs. Dans le modèle qu’il propose, les appareils seraient protégés par défaut et seuls des adultes vérifiés pourraient ouvrir l’accès aux contenus réservés aux majeurs. Le groupe demande notamment l’intervention des fabricants de systèmes d’exploitation, Apple, Google et Microsoft.
L’idée présente un intérêt : si la protection agit depuis l’appareil, elle peut s’appliquer à plusieurs services sans attendre que chacun coopère. Elle déplace aussi une partie du contrôle et de sa mise en œuvre vers les fournisseurs de systèmes. Il faut alors examiner la fiabilité de leurs filtres, la couverture des appareils et la façon de traiter les erreurs. Un compte reconnu comme adulte ne prouve pas que son titulaire tient le téléphone à chaque instant, notamment dans une famille où les appareils circulent.
L’expérience britannique montre que cette proposition a commencé à prendre une forme concrète. Aylo avait introduit des méthodes d’assurance d’âge au Royaume-Uni en juillet 2025, puis restreint l’accès aux nouveaux utilisateurs en février 2026, en dénonçant les résultats du dispositif. Le groupe a ensuite annoncé, le 5 mai 2026, une réouverture aux utilisateurs iOS britanniques éligibles ayant confirmé leur majorité via Apple.
La documentation britannique d’Apple décrit une confirmation de majorité liée au compte Apple, pour certains services, fonctionnalités et réglages. Elle peut notamment passer par une carte de crédit ou un document accepté. Certains réglages de protection s’appliquent automatiquement aux personnes dont l’âge n’a pas été confirmé. La vérification depuis l’appareil ne supprime donc pas nécessairement la présentation d’un justificatif : elle peut déplacer le parcours vers l’écosystème Apple.
Ce cas ne démontre pas que la solution peut être étendue sans difficulté à tous les équipements, ni qu’elle remplace les obligations des plateformes. L’Arcom considère les protections sur les terminaux comme complémentaires et refuse que les plateformes se déchargent de leur responsabilité sur d’autres acteurs. Le désaccord porte ainsi sur la méthode, mais aussi sur celui qui doit agir et répondre des résultats.
Ce que l'utilisation d'un VPN change
Le VPN répond à une difficulté plus limitée : la localisation apparente de la connexion. Il fait transiter le trafic par un serveur intermédiaire, dont le site voit l’adresse IP. Lorsque la restriction repose sur une origine française, une autre localisation peut modifier les conditions d’accès. Elle ne constitue jamais une preuve de majorité.
L’accès dépend encore des règles du service dans le pays de sortie et de ses éventuelles restrictions sur les VPN. L’exemple britannique suffit à montrer pourquoi une adresse étrangère ne garantit pas une consultation sans vérification. Il serait trompeur de promettre un pays qui fonctionnerait toujours, ou de présenter le VPN comme une solution au contrôle d’âge lui-même.
La confidentialité appelle un examen séparé. La CNIL souligne que le fournisseur de VPN devient un intermédiaire de confiance, susceptible de connaître votre adresse IP et les sites visités. Masquer sa connexion au site ne fait pas disparaître toutes les possibilités d’observation.
Il faut aussi distinguer cette visibilité du contenu des échanges. Lorsque la connexion au site utilise correctement HTTPS, ce chiffrement protège notamment le contenu des pages et les identifiants de connexion en transit. Le VPN ne donne pas automatiquement accès à ces informations, même si son fournisseur peut généralement observer les domaines contactés et les horaires. En revanche, un compte auquel vous vous connectez, des cookies ou d’autres procédés de traçage peuvent encore permettre au site de vous reconnaître. L’Electronic Frontier Foundation détaille ces limites.
Avant de confier une navigation intime à un fournisseur, vérifiez les données qu’il conserve et l’usage qu’il en fait. La durée de conservation doit être explicite. Un audit public aide à examiner ses engagements, sans garantir que ses pratiques resteront identiques. La promesse d’un anonymat total devrait susciter la méfiance. Ces repères s’adressent aux adultes ; ils ne constituent pas une méthode de protection des mineurs.
En quelques mots
Pour un adulte, le premier repère utile est le parcours de vérification lui-même. Sur un service qui propose plusieurs méthodes, examinez l’option en double anonymat. Le prestataire doit expliquer ce qu’il transmet au site et ce qu’il conserve après le contrôle. Tant que ce parcours reste opaque, une obligation de contrôle ne suffit pas à rendre rassurante une demande de justificatif.
Le compromis à défendre repose sur une preuve de majorité limitée à cet usage, une séparation vérifiable entre identité et consultation, et une évaluation des résultats sur l’accès des mineurs. Les protections sur l’appareil peuvent le compléter, sans dispenser les plateformes d’agir. Cela demande davantage de travail qu’un filtrage géographique ou qu’une promesse d’anonymat, mais répond aux deux personnes que le dispositif doit prendre en compte : le mineur à protéger et l’adulte dont l’intimité doit le rester.
