Le 5 août 2026, le comité sénatorial du commerce des États-Unis a examiné cinq projets de loi sur Internet destinés aux enfants. Quatre ont été adoptés : le Kids Online Safety Act, le CHATBOT Act, le Youth AI Privacy Act du sénateur Edward Markey et le Children's Artificial Intelligence Toy Safety Act du sénateur Tammy Duckworth. Le cinquième — le SCREEN Act — a obtenu 15 voix contre 13, mais n'est pas sorti du comité : au moment du vote, il n'y avait pas de quorum dans la salle.
Pour l'industrie des proxies, ce n'est pas une nouvelle anodine. Le SCREEN Act est le premier projet de loi fédéral aux États-Unis qui intègre directement dans le texte de la loi la catégorie « adresses VPN connues » et exige l'application d'une vérification d'âge à leur égard. Et tandis que le niveau fédéral patine dans la procédure, une norme similaire est déjà en vigueur au niveau des États : la loi de l'Utah SB 73 est entrée en vigueur le 6 mai 2026.
Que demande exactement le SCREEN Act aux adresses IP
Le SCREEN Act est le S. 737 dans le 119e Congrès, intitulé Shielding Children's Retinas from Egregious Exposure on the Net Act. L'auteur est le sénateur Mike Lee, avec pour co-sponsors John Curtis, Jim Banks et James Lankford. Le projet de loi a été présenté le 26 février 2025 et est resté sans mouvement jusqu'en août 2026.
Le mécanisme est le suivant. Le service est tenu d'appliquer des « mesures technologiques de vérification » aux utilisateurs, en déterminant leur emplacement par adresse IP, sauf s'il ne peut établir que l'utilisateur se trouve en dehors des États-Unis. De plus, la loi exige explicitement de soumettre au processus de vérification le trafic provenant d'adresses VPN connues. Une simple case à cocher « j'ai plus de 18 ans » n'est pas suffisante : la loi indique clairement que l'auto-déclaration ne suffit pas, des méthodes liées à l'identité réelle sont nécessaires.
La Electronic Frontier Foundation, dans une analyse du 31 juillet 2026, souligne deux effets secondaires. Le premier — la portée : les formulations sont rédigées de telle manière qu'elles englobent pratiquement tout service contenant ne serait-ce qu'un fragment de contenu explicite, comme Netflix, Reddit, Discord, Bluesky. Le second — la conservation des données : les exigences de protection concernant les documents collectés sont formulées de manière vague, les entreprises ont le droit de les conserver aussi longtemps qu'elles le jugent raisonnable.
Utah : une loi qui fonctionne déjà
Le projet de loi fédéral n'est pour l'instant qu'une intention. En revanche, la SB 73 « Online Age Verification Amendments » a été signée par le gouverneur de l'Utah, Spencer Cox, le 19 mars 2026, et la partie concernant les VPN a commencé à fonctionner le 6 mai.
L'Utah a abordé la question sous un angle inattendu — non pas en interdisant les VPN aux utilisateurs, mais en rendant les sites responsables. Selon la SB 73, un utilisateur est considéré comme se connectant depuis l'Utah s'il s'y trouve physiquement, peu importe quel proxy ou VPN masque son IP. La responsabilité de la vérification reste sur le site même lorsque le visiteur a falsifié sa géolocalisation. De plus, il existe une interdiction distincte : les plateformes contenant une part substantielle de contenu nuisible aux mineurs n'ont pas le droit de publier des instructions pour contourner les vérifications via VPN.
NordVPN a qualifié cette construction de « piège à responsabilité » et de « paradoxe insoluble de conformité ». La logique est simple : si un site ne peut pas déterminer de manière fiable la localisation réelle d'une personne derrière un VPN, et que la loi exige de le faire, il lui reste deux options — soit bloquer toutes les IP marquées comme VPN et proxy, soit exiger une vérification de tous les visiteurs du monde entier. Les deux options dépassent largement l'objectif initial.
L'Utah est devenu le premier État à formaliser cela par la loi. Le Wisconsin a tenté d'aller plus loin en inscrivant une interdiction directe des VPN dans la SB 130 / AB 105, mais après des critiques publiques, le sénateur Van Wanggaard a retiré ce point en février 2026, et le projet de loi a été envoyé au gouverneur sans lui. Selon la Free Speech Coalition, des lois sur la vérification d'âge ont été adoptées dans 25 États, et environ 15 autres sont en cours d'examen.
Comment sont constituées les listes « d'adresses VPN connues »
Ce qui est le plus intéressant dans ces lois, c'est qu'elles reposent sur une technologie qu'elles ne décrivent pas elles-mêmes. Une « adresse VPN connue » n'est pas un fait juridique, mais une entrée dans une base commerciale de réputation IP. Des services comme IPQualityScore, IPinfo et ipgeolocation.io vendent de telles listes, qui sont constituées de plusieurs couches.
- Cartographie ASN. Les plages sont mises en correspondance avec les données des registraires Internet régionaux : à qui appartient cette adresse — à un hébergeur ou à un fournisseur d'accès domestique.
- Plages de cloud publiées. AWS, DigitalOcean, OVH et d'autres publient leurs réseaux. Les serveurs VPN commerciaux se trouvent presque toujours là, et non sur des lignes domestiques, — donc tout le pool de centres de données est suspect par défaut.
- DNS inversé et motifs de noms. Les enregistrements PTR typiques d'hébergement révèlent une infrastructure aussi bien que l'ASN.
- Signaux comportementaux. Une densité anormale d'utilisateurs différents sur une seule adresse, un décalage entre la géolocalisation IP et le fuseau horaire ainsi que la langue du client.
Selon les déclarations des fournisseurs, ces systèmes offrent plus de 95 % de succès contre les points de terminaison VPN commerciaux connus, avec un taux de faux positifs inférieur à 1 % sur les réseaux résidentiels. Cela semble bon jusqu'à ce que ce 1 % soit multiplié par tout le trafic du pays.
Où les listes échouent
Les faux positifs dans la réputation IP ne sont pas rares, mais une caractéristique structurelle. Les sources typiques d'erreurs :
- Réutilisation des adresses. Une IP qui avait un point de terminaison VPN le mois dernier est maintenant attribuée à une entreprise ordinaire. Dans les anciennes listes noires, elle reste marquée.
- CGNAT chez les fournisseurs. Les opérateurs cachent des milliers d'abonnés derrière une seule adresse, et des motifs ASN non typiques poussent les classificateurs à prendre les utilisateurs domestiques pour des proxies.
- Opérateurs mobiles. Une partie du trafic cellulaire est routée à travers une infrastructure voisine de celle des centres de données — et tombe sous le coup des soupçons.
- VPN d'entreprise. Techniquement, ils ne se distinguent pas des VPN commerciaux : le même tunnel, la même adresse de sortie d'hébergement.
Pour l'instant, une telle liste est un outil anti-fraude, une erreur coûte une captcha supplémentaire. Lorsqu'elle devient un outil de conformité, une erreur coûte un refus d'accès — et le site n'a pas de motivation à enquêter, car la sanction menace en cas de négligence, et non de surprotection. C'est pourquoi la pression réglementaire déplace toujours les seuils vers un blocage plus agressif. Une analyse détaillée de la manière dont les plateformes classifient les adresses et sur quels critères elles distinguent le trafic domestique de l'infrastructure a été faite dans notre article sur l'intelligence IP et la détection des proxies résidentiels.
Qui cela affectera-t-il, en dehors du public cible de la loi
Formellement, le SCREEN Act et la SB 73 sont rédigés pour le contenu pour adultes. En pratique, ils changent l'économie des blocages pour l'ensemble d'Internet — car un site ne construit pas une couche de détection distincte « pour la conformité » et une autre « pour tout le reste ». Il achète une seule base de réputation IP et l'applique à tout le trafic.
Ensuite, tout ce qui vit sur des adresses d'infrastructure en souffre :
- Collecte de données et surveillance. L'analyse des prix, la vérification des résultats par région, le suivi de l'assortiment — des tâches où le pool de centres de données a historiquement été la solution la moins chère.
- Vérification des résultats locaux et de la publicité. Les agences doivent voir la page à travers les yeux d'un utilisateur d'un État ou d'un pays spécifique ; un filtre VPN agressif casse précisément cela.
- Multi-comptes et SMM. Les plateformes interprètent déjà, sans nouvelles lois, le signe « proxy » comme un signal de risque lors de l'inscription et de la connexion.
- Utilisateurs ordinaires de tunnels d'entreprise. Un employé utilisant un VPN de travail apparaît pour le site de la même manière qu'une personne cachant sa localisation.
Qu'est-ce que cela signifie pour le choix du type de proxy
La principale conclusion pratique : l'écart entre les adresses d'infrastructure et les adresses d'abonnés ne fera que se creuser, et il est déterminé non par la qualité du trafic, mais par l'origine de l'IP.
Les proxies de centres de données figurent en tête des listes presque automatiquement : leur ASN est publiquement connu, les plages sont publiées par les hébergeurs eux-mêmes. C'est toujours l'option la plus rapide et la moins chère pour les plateformes qui se moquent du type d'adresse — API internes, analyse de sources loyales, tests de charge. Mais les utiliser là où une vérification VPN est en place devient de plus en plus absurde.
Les proxies résidentiels passent par de vraies lignes d'abonnés des fournisseurs domestiques : selon l'ASN, ils appartiennent à des FAI ordinaires, et ce type de trafic ne tombe pas dans la catégorie « adresse VPN connue ». Cela en fait une option viable là où la vérification de l'origine de l'IP se renforce.
Les proxies mobiles s'appuient sur des pools d'opérateurs mobiles, où des dizaines et des centaines d'abonnés partagent une seule adresse. C'est pourquoi bloquer de telles adresses coûte le plus cher aux plateformes : le coût d'un faux positif est mesuré non par un visiteur, mais par tout le pool.
Cependant, aucun type d'adresse n'annule les autres signaux de détection — empreinte TLS, comportement du navigateur, cohérence des en-têtes et du fuseau horaire. Changer d'IP ne résout qu'une partie du problème ; nous avons écrit sur l'apparence de l'autre partie dans notre analyse des initiatives britanniques visant à restreindre les VPN.
Où va la situation en dehors des États-Unis
L'histoire américaine fait partie d'un mouvement général. L'Australie a lancé une interdiction des réseaux sociaux pour les enfants de moins de 16 ans le 10 décembre 2025, la Malaisie a suivi le 1er juin 2026, la norme brésilienne est entrée en vigueur en mars 2026, et la Turquie a restreint l'accès aux utilisateurs de moins de 15 ans en avril 2026. Le service de recherche du Parlement européen a enregistré une augmentation notable de l'utilisation des VPN pour contourner les vérifications d'âge, et au Royaume-Uni, l'idée de limiter l'accès aux services VPN par un contrôle d'âge est en discussion.
La tendance générale est claire : d'abord, les régulateurs exigent une vérification d'âge, puis découvrent que cette vérification est contournée par un changement d'IP, et la prochaine étape consiste à tenter de fermer la possibilité même de changer d'IP. Le langage juridique reste toujours en retard par rapport à la technique — « adresse VPN connue » reste une référence à une base de données commerciale, que personne n'est obligé de publier ou de contester.
Conclusion
L'échec du SCREEN Act le 5 août n'est qu'un report de la procédure, et non une annulation du cours : le projet de loi a obtenu la majorité des voix et n'a pas passé uniquement en raison de l'absence. Un précédent réel a déjà été établi dans l'Utah, où la responsabilité de l'utilisateur pour un VPN incombe au site depuis le 6 mai 2026, et la logique de cette loi pousse les plateformes vers un blocage total des adresses marquées.
Pour ceux qui utilisent des proxies dans leur travail, la conclusion pratique est la suivante : les adresses d'infrastructure deviennent moins chères et plus risquées, tandis que la fiabilité d'accès dépend de plus en plus de l'origine physique de l'IP. Il vaut mieux vérifier non la vitesse déclarée du pool, mais son origine et son apparence dans les bases de réputation IP — car c'est sur elles que la loi se base désormais.
```