Tribunal de l'Utah : pas de géolocalisation précise par IP. Qu'est-ce que cela signifie pour les VPN et les proxies ?

Le 24 septembre 2026, le juge fédéral de l'Utah, David Barlow, a suspendu la partie de la loi SB 73 qui exigeait des sites qu'ils identifient la véritable localisation des visiteurs, même derrière un VPN ou un proxy. L'argument principal du tribunal est formulé presque de manière technique : il n'existe pas de géolocalisation parfaite par IP, alors que la loi l'exigeait. À la fin octobre, l'Ofcom britannique doit publier ses recommandations sur la détection des VPN. Ci-dessous, nous analysons ce que le tribunal a décidé, en quoi cela diffère de la position du Royaume-Uni et ce qui change pour ceux qui travaillent avec des services géo-dépendants, le scraping et les proxies.

Ce que le tribunal de l'Utah a décidé

Le recours a été déposé par Aylo (propriétaire de Pornhub et d'autres sites pour adultes), affaire Aylo Freesites Ltd v. Utah, n° 2:26-cv-00340. Une norme a été mise en cause : la section 78B-3-1002(3), ajoutée par les amendements de 2026. Elle considérait qu'un visiteur physiquement présent dans l'Utah était un résident de l'État, même si sa localisation était masquée par un VPN ou un proxy. Le site était responsable pour cet utilisateur.

Le tribunal a émis un injonction préliminaire. Les principaux arguments :

• Il n'y a pas de clause sur les « efforts raisonnables ». Formelement, le site est responsable de chaque utilisateur manqué, c'est-à-dire qu'il doit géolocaliser tous sans erreur. Les deux parties ont convenu que la géolocalisation parfaite est impossible.
• Charge sur le commerce en dehors de l'État. Comme il est impossible de distinguer avec précision un résident de l'Utah derrière un VPN d'un résident de Seattle ou de Shanghai, le site devrait vérifier l'âge de tous les visiteurs du monde. Dans la décision, un chiffre est mentionné : Aylo devrait vérifier 28 millions d'utilisateurs. Le tribunal a estimé que cela violait probablement la soi-disant clause de commerce dormant de la Constitution des États-Unis (dormant Commerce Clause).
• L'État a des moyens moins contraignants pour protéger les mineurs.

L'Utah a rétorqué que la loi n'exige pas la perfection, mais des mesures raisonnables : une utilisation probable de VPN peut être calculée, et la localisation peut être déduite des paramètres de l'appareil et de l'activité du compte. Le tribunal a répondu qu'il analysait le texte de la loi adopté par la législature, et non comment le procureur général propose de l'appliquer.

Ce qui reste en vigueur

• La principale obligation des sites pour adultes de vérifier l'âge « par des méthodes raisonnables » est maintenue.
• La prohibition pour ces sites de dire comment contourner la vérification via VPN, qu'Aylo n'a pas contestée, est également maintenue.
• Les règles d'exécution R152-78B, publiées le 1er septembre et susceptibles d'entrer en vigueur le 8 octobre, ne peuvent pas être appliquées tant que l'injonction du tribunal est en vigueur.
• Les parties ont convenu de suspendre le procès jusqu'à la fin de la session de la législature de l'Utah en 2027 : il est prévu que la loi soit réécrite.

Contexte : des lois sur la vérification de l'âge pour le contenu pour adultes ont été adoptées dans 27 États des États-Unis (en août 2026), mais seul l'Utah a tenté d'obliger directement les sites à identifier les utilisateurs derrière un VPN. Comment cette norme était formulée avant le tribunal et pourquoi elle poussait les sites à bloquer massivement les IP, nous l'avons analysé dans l'article sur le SCREEN Act et l'Utah SB 73.

Pourquoi l'IP ne dit pas où se trouve une personne

La conclusion du tribunal est techniquement correcte et va bien au-delà des sites pour adultes. La géolocalisation par IP est une estimation probabiliste basée sur une base de données, et non une mesure. Le site ne voit que l'adresse à partir de laquelle la requête a été envoyée. Si le trafic passe par un VPN ou un proxy, c'est l'adresse du serveur intermédiaire ou d'un appareil tiers.

Même sans VPN, la précision est faible. Selon MaxMind (l'une des plus grandes bases de données géographiques), pour les États-Unis, dans un rayon de 50 km, environ 60% des adresses IP sont correctement identifiées, 33% sont liées à une ville, mais se trompent de plus de 50 km, et pour 7% des données, il n'y a pas d'informations au niveau de la ville. L'entreprise précise qu'elle ne garantit pas la précision à l'avenir.

L'erreur provient de plusieurs couches :

• Attribution des blocs à la région d'enregistrement. Un fournisseur peut enregistrer un sous-réseau dans une ville et le distribuer à des abonnés dans une autre.
• NAT mobile. Les opérateurs mobiles ont de nombreux abonnés derrière une seule IP publique, et l'accès à Internet passe souvent par un nœud dans une autre région.
• Réseaux d'entreprise et clouds. Un employé dans l'Utah avec un VPN de bureau apparaît comme un utilisateur du siège en Californie ou d'un centre de données.
• Délai de mise à jour des bases. Les sous-réseaux passent entre les fournisseurs et les pays, et les bases mettent des semaines à rattraper cela.

Par conséquent, toute exigence de « déterminer avec précision » se heurte à la physique du réseau. Le tribunal de l'Utah est devenu, en fait, le premier tribunal à le constater dans une décision concernant les VPN.

Le Royaume-Uni prend une autre voie

Au Royaume-Uni, la vérification de l'âge selon la loi sur la sécurité en ligne est en vigueur depuis le 25 juillet 2025, avec des amendes atteignant 18 millions de livres sterling ou 10 % du chiffre d'affaires mondial. La réaction des utilisateurs a été immédiate : les inscriptions à Proton VPN depuis le Royaume-Uni ont augmenté de 1400 % le jour de l'entrée en vigueur des règles, et l'application a brièvement dépassé ChatGPT dans l'App Store britannique.

La position des autorités est cependant plus prudente que celle des États-Unis :

• Le 15 juillet 2026, la ministre des technologies, Liz Kendall, a déclaré au parlement que le gouvernement ne prohibera pas les VPN et n'imposera pas de vérification de l'âge pour eux.
• Ofcom déclare clairement que la loi ne lui donne pas le droit d'exiger le blocage des VPN.
• Dans un rapport de juillet 2026, le régulateur a reconnu qu'aucun méthode de vérification de l'âge n'élimine complètement le contournement, et recommande une approche multi-niveaux impliquant les magasins d'applications et le contrôle au niveau de l'appareil.
• En outre, Ofcom a été chargé de publier des recommandations d'ici la fin octobre 2026 sur ce que les services peuvent faire pour détecter et prévenir l'utilisation des VPN.

Ainsi, le modèle britannique n'est pas « géolocalisez parfaitement sous peine de sanctions », mais « prenez des mesures raisonnables ». Les analyses sectorielles décrivent déjà pour les services un schéma en trois états : utilisateur clairement du Royaume-Uni (appliquez les exigences), clairement pas du Royaume-Uni (hors la loi) et « localisation non vérifiable » — une décision distincte sur le risque, par exemple vérifier l'âge de tous dans ce groupe.

Comment les sites vont détecter les VPN et les proxies

Ni le tribunal américain, ni le régulateur britannique n'annulent le fait que les sites continueront à marquer le trafic suspect. Un ensemble typique de signaux :

1. ASN d'hébergement. Les adresses des plages de clouds et de centres de données (AWS, Hetzner, OVH, M247 et similaires) sont marquées en premier : les utilisateurs domestiques ordinaires ne viennent pas de là.
2. Listes de serveurs VPN. De nombreux VPN publient les adresses de leurs serveurs, les autres peuvent être facilement collectées en se connectant au service.
3. Densité d'utilisateurs sur l'IP. Des centaines de comptes différents provenant d'une seule adresse en peu de temps révèlent le nœud de sortie.
4. Incohérences. Le fuseau horaire du navigateur, la langue du système, la disposition, la locale de la carte de paiement par rapport au pays de l'IP.
5. Signaux comportementaux et de compte — exactement ce à quoi l'Utah faisait référence au tribunal.

Il est important de noter que toutes ces méthodes donnent une probabilité, et non une preuve. Les faux positifs sont inévitables : les employés avec un VPN d'entreprise, les abonnés des opérateurs mobiles, les voyageurs et les systèmes automatisés qui ont besoin de géo pour les affaires sont souvent concernés.

Ce que cela signifie pour les entreprises qui travaillent avec la géo

La décision concerne les sites pour adultes, mais les conséquences sont plus larges. La géo par IP est utilisée pour la tarification, la licence de contenu, la lutte contre la fraude, la vérification publicitaire et le suivi des résultats. Voici quelques conclusions pratiques.

Si vous êtes propriétaire d'un service

• Ne construisez pas la conformité sur une seule base de données géographique. Même sans VPN, un tiers des adresses aux États-Unis peut être lié à une ville incorrecte. Pour les décisions ayant des conséquences juridiques, il est nécessaire de documenter les « mesures raisonnables » que vous avez prises.
• Prévoyez un troisième état « je ne sais pas ». Le binaire « notre région / pas notre région » fonctionne mal sur le trafic mobile et d'entreprise.
• Vérifiez plusieurs sources. Différentes bases de données peuvent diverger sur la même adresse. Comme IPQS, Scamalytics, IPinfo et d'autres vérificateurs diffèrent, nous les avons comparés sur des adresses réelles.

Si vous collectez des données ou vérifiez la publicité par région

• Les adresses des centres de données seront bloquées en premier. La vague de lois sur la vérification de l'âge et les recommandations des régulateurs poussent les sites à bloquer les ASN d'hébergement dans leur ensemble. Pour des tâches où il est nécessaire de voir le site à travers les yeux d'un utilisateur local, les proxies résidentiels avec choix de pays et de ville conviennent : l'adresse appartient à un fournisseur domestique de la région souhaitée.
• Les adresses mobiles sont plus résistantes aux blocages, mais moins précises au niveau de la ville. En raison du NAT de l'opérateur, le site voit une seule adresse pour de nombreux abonnés, donc le bloquer coûte cher. Si la région est importante, mais pas la ville précise, les proxies mobiles sont une option fiable.
• Vérifiez où se trouve votre IP dans plusieurs bases de données. Le site peut utiliser une base différente de celle de votre vérificateur et voir une autre région. Avant une collecte massive, exécutez des requêtes de test et comparez quelle version locale le site cible fournit.
• Gardez l'empreinte du navigateur en accord avec l'IP. Le fuseau horaire, la langue et la locale doivent correspondre au pays de sortie : les incohérences sont détectées plus souvent que l'IP elle-même.

Que se passe-t-il ensuite

Les événements à venir à surveiller :

• Fin octobre 2026 — recommandations de l'Ofcom sur la détection des VPN. La question principale : y aura-t-il des méthodes techniques spécifiques ou restera-t-on à la formule des « mesures raisonnables ».
• Session de la législature de l'Utah en 2027 — la loi sera probablement réécrite avec une clause sur les efforts raisonnables. Le débat se déplacera alors de « peut-on exiger la perfection » à « que considérer comme raisonnable ».
• Autres États — l'EFF a déjà déclaré qu'elle contesterait de telles initiatives, mais les lois sur la vérification de l'âge continuent de s'étendre aux réseaux sociaux.

Conclusion

Le tribunal de l'Utah a confirmé ce que les ingénieurs réseau savaient depuis longtemps : l'IP est un indice de localisation, et non une preuve. Les législateurs peuvent exiger des sites des mesures raisonnables, mais pas une géolocalisation parfaite. Pour les entreprises, cela signifie deux choses. Les propriétaires de services devraient construire une logique géographique avec une marge d'erreur et un troisième état « je ne sais pas ». Et ceux qui ont besoin d'un accès honnête aux résultats locaux devront surveiller encore plus la qualité des adresses : sous la pression des régulateurs, les sites bloqueront plus souvent les centres de données et feront d'abord confiance aux IP résidentielles et mobiles.