La loi VPN de l'Utah est entrée en vigueur, et plus de 100 organisations répondent par une journée « Defend VPNs »

Il y a trois semaines, l’Utah est devenu le premier État américain à appliquer une loi qui tient explicitement compte de l’usage des VPN. Les organisations de défense des droits numériques ont répondu avec la deuxième journée d’action « Defend VPNs », fixée au 25 septembre, coordonnée par Fight for the Future et soutenue par plus de 100 organisations. Aucun de ces deux événements n’interdit les VPN. Mais les deux montrent où va le bras de fer.

Et vu de France, le sujet n’a rien d’exotique : la question de ce qu’une loi doit faire des VPN revient dans chaque débat sur la vérification d’âge, y compris chez nous.

La loi SB 73 de l’Utah : ce qui s’applique depuis le 3 septembre

La SB 73 est une loi de vérification d’âge. Elle oblige les sites dont plus d’un tiers du contenu est « préjudiciable aux mineurs » à vérifier l’âge des utilisateurs de l’Utah. Ce qui la distingue des dizaines de lois similaires dans d’autres États, c’est sa définition de l’utilisateur de l’Utah.

Comme l’a expliqué Gizmodo, la loi considère toute personne physiquement située en Utah comme un utilisateur de l’Utah, VPN ou non. Un habitant de Salt Lake City qui se connecte via un serveur en Allemagne reste, juridiquement, en Utah. Les sites qui ne se conforment pas risquent 2 500 dollars par infraction, plus une responsabilité civile.

La loi devait s’appliquer en mai 2026. Aylo, maison mère de Pornhub, l’a contestée en justice, et l’Utah a accepté de suspendre son application jusqu’au 3 septembre, un épisode que nous avions couvert en juin lors de l’annonce de la suspension. Cette pause est terminée, et la loi est applicable.

Ce que la SB 73 signifie pour les utilisateurs de VPN

Soyons précis, car les titres ne l’ont pas toujours été.

Ce n’est pas une interdiction des VPN. Utiliser un VPN en Utah reste légal pour la vie privée, le travail, le voyage ou le streaming. L’article de Gizmodo insiste sur ce point.

La charge pèse sur les sites, pas sur les utilisateurs. Un site concerné doit déterminer si un visiteur est physiquement en Utah, même quand son adresse IP indique Francfort ou Toronto. Aucune méthode fiable ne permet de le faire à partir d’une IP seule, et c’est bien le problème. En pratique, les sites vérifient l’âge de tout le monde, utilisent des signaux de localisation plus intrusifs (GPS, données de l’appareil), ou bloquent largement l’Utah et le trafic VPN.

Les fournisseurs de VPN sont inquiets malgré tout. NordVPN parle de « piège de responsabilité », selon Gizmodo. Si un site peut être sanctionné parce qu’un utilisateur s’est caché derrière un VPN, la pression pousse à détecter et bloquer le trafic VPN en général. Ça touche tous les utilisateurs de VPN, pas seulement ceux qui veulent éviter un contrôle d’âge.

Notre première analyse du texte, la loi SB 73 de l’Utah expliquée, détaille le texte juridique.

Pourquoi « physiquement en Utah » est si difficile à vérifier

Toute la loi repose sur une idée : un site devrait savoir où se trouve physiquement un visiteur. Techniquement, c’est bien plus compliqué qu’il n’y paraît.

La géolocalisation IP est l’outil standard, et c’est précisément celui qu’un VPN neutralise. Un utilisateur de VPN à Provo apparaît avec l’adresse IP d’un serveur à Denver, Paris ou Tokyo.

Les listes d’IP de VPN sont l’étape suivante. Des bases de données commerciales signalent les plages d’IP des fournisseurs de VPN et des centres de données. Elles repèrent assez bien les serveurs VPN populaires, mal les proxys résidentiels, les réseaux mobiles et les nouvelles IP. Et elles ne disent pas où se trouve la personne derrière le VPN, seulement qu’elle en utilise un.

La localisation de l’appareil (GPS, positionnement Wi-Fi) est précise, mais les navigateurs ne la partagent qu’avec une autorisation explicite, que personne n’accorde pour lire un site d’actualité.

Un site qui veut être tranquille avec la SB 73 a donc trois options : vérifier l’âge de tout le monde quel que soit le lieu, bloquer tout le trafic VPN, ou accepter le risque juridique. Chacune déborde sur des gens qui n’ont rien à voir avec l’Utah. C’est exactement ce contre quoi met en garde la coalition Defend VPNs.

La journée d’action Defend VPNs du 25 septembre

Fight for the Future a organisé la première journée Defend VPNs l’an dernier, avec environ 20 000 participants selon l’association. La deuxième édition était fixée au 25 septembre 2026, avec une coalition de plus de 100 organisations de défense des droits humains, des droits reproductifs, des personnes LGBTQ et des droits numériques.

La journée visait une série de lois et de projets qui restreignent l’accès aux VPN ou imposent une vérification d’âge par pièce d’identité :

• la SB 73 de l’Utah, première loi d’un État américain à tenir compte des VPN
• le projet de vérification d’âge du Wisconsin, qui a évité de justesse une interdiction des VPN (nous expliquions pourquoi ces clauses échouent)
• le projet d’interdiction pure et simple des VPN au Michigan, HB 4938
• les règles australiennes de vérification d’âge et l’approche britannique des VPN
• les interdictions des réseaux sociaux aux jeunes en Indonésie, en Malaisie et aux Émirats, et les projets en France et dans le Massachusetts

La France figure donc dans la liste. Le débat sur l’interdiction des réseaux sociaux aux moins de 15 ans pose la même question que l’Utah : que faire des VPN ? Nous avons retracé ce dossier dans notre article la France va-t-elle interdire les VPN ?.

La revendication centrale est simple : l’accès aux VPN doit être protégé comme un droit, pas traité comme une faille. La directrice de campagne Sarah Phillips l’a résumé sans détour : utiliser un VPN « n’est pas un crime ».

Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.

Pourquoi maintenant ?

Les lois de vérification d’âge se sont répandues très vite. La carte de Proton montre qu’elles concernent déjà des dizaines de pays, et nous suivons le panorama mondial dans notre dossier sur la vérification d’âge et les VPN. À chaque nouveau contrôle d’âge, les téléchargements de VPN explosent, les législateurs le remarquent, et le texte suivant essaie de traiter le cas des VPN.

Une loi n’a que quelques façons de « traiter » les VPN, et aucune n’est propre :

1. Interdire les VPN (le projet du Michigan). Difficile à faire respecter, probablement inconstitutionnel aux États-Unis, et nuisible aux entreprises comme à la sécurité.
2. Rendre les sites responsables des utilisateurs de VPN (l’Utah). Pousse les sites à bloquer le trafic VPN ou à collecter davantage de données de localisation.
3. Charger les fournisseurs de VPN d’appliquer blocages ou contrôles. C’est la direction du nouveau projet fédéral American Copyright Protection Act, qui obligerait les gros VPN à bloquer les sites pirates, et de certaines propositions européennes.

Les associations voient un schéma : des lois vendues au nom de la protection des enfants ou du droit d’auteur banalisent peu à peu la détection et le blocage des VPN, qui servent ensuite à autre chose. Les législateurs voient les VPN comme un trou dans chaque règle qu’ils adoptent. Cette tension ne va pas disparaître.

Ce qu’il faut faire concrètement

Si vous êtes en Utah, rien ne change à l’usage légal d’un VPN. Vous verrez peut-être plus de sites demander une vérification d’âge, et plus de sites refuser les connexions VPN. Si vous êtes en France, l’effet direct est nul, mais l’effet indirect est réel : les outils anti-VPN conçus pour une loi sont déployés pour tout le monde. Un site d’info, un forum ou une boutique qui juge plus simple de bloquer les VPN que de vérifier des pièces d’identité vous bloquera à Lyon ou à Bruxelles aussi facilement qu’à Salt Lake City.

Deux points pratiques :

• Continuez à choisir des VPN audités et réputés. La pression sur le secteur pousse vers des applis gratuites que personne ne régule ni n’audite. C’est la mauvaise direction pour votre vie privée. Notre liste des meilleurs VPN no-logs audités est un point de départ plus sûr, avec en tête NordVPN et ProtonVPN.
• N’attendez pas d’un VPN qu’il règle les contrôles d’identité. La vérification d’âge repose sur des documents ou des scans du visage, pas sur la localisation. Un VPN ne change rien à ce qu’on vous demande de prouver une fois qu’un site a décidé de le demander.

Si vous gérez vous-même un site, parlez-en à un juriste plutôt que de bloquer tous les VPN. Bloquer tout le trafic VPN, c’est aussi bloquer des journalistes, des télétravailleurs et des salariés sur réseau d’entreprise : un prix élevé pour se conformer à la règle d’un seul État.

Nous continuerons à suivre l’application de la loi en Utah, les recours et la prochaine vague de textes.