App de vérification d’âge Europe
des failles graves risquent une fuite de données massive.

La formulation la plus répandue est inexacte. Le code PIN n’était pas stocké en clair : il était chiffré et enregistré dans un fichier de préférences local. Le problème est ailleurs, et il est plus profond. Ce chiffrement n’était pas lié cryptographiquement au coffre contenant les données d’identité qu’il était censé protéger.

La démonstration tient en quatre gestes. L’attaquant ouvre le fichier de préférences de l’application, supprime les deux valeurs correspondant au PIN chiffré et à son vecteur d’initialisation, redémarre l’application, puis choisit un nouveau code. L’application, considérant qu’elle s’adresse à un nouvel utilisateur, accepte ce code et présente ensuite comme valides les justificatifs créés sous le profil précédent.

Deux protections annexes tombaient dans le même mouvement, pour la même raison. Le compteur limitant le nombre de tentatives était un simple entier inscrit dans ce fichier, remis à zéro à volonté, ce qui autorisait un nombre illimité d’essais. Et l’exigence d’authentification biométrique se réduisait à une valeur binaire qu’il suffisait de basculer pour sauter entièrement cette étape.

Le contournement du PIN a monopolisé l’attention, mais des chercheurs ont documenté le 17 avril un problème d’une autre nature, et d’une portée supérieure au regard du règlement européen sur les données.

Le résultat de la vérification est bien chiffré. En revanche, les images sources utilisées pour l’obtenir sont écrites sur le stockage de l’appareil sans chiffrement. Le portrait extrait du passeport par lecture sans contact et les selfies pris pendant le contrôle restent présents sur le téléphone, y compris lorsque la procédure échoue, que l’utilisateur revient en arrière ou que l’application se ferme brutalement.

La différence de gravité tient à un détail technique décisif. Le contournement du PIN suppose un accès privilégié au stockage interne de l’appareil. Les images biométriques, elles, se trouvent sur un stockage accessible sans privilège particulier, donc lisibles par une autre application disposant des autorisations correspondantes. Une donnée biométrique couverte par le règlement européen se retrouve ainsi exposée à un niveau de risque bien plus élevé.

Le principe retenu est défendable, et il mérite d’être décrit avant d’en critiquer la mise en œuvre. L’objectif est de permettre à un internaute de prouver qu’il a dépassé un seuil d’âge sans transmettre au site consulté son identité, sa date de naissance ni son âge exact.

L’utilisateur obtient d’abord une attestation d’âge auprès d’un émetteur de confiance, en s’appuyant sur un dispositif national d’identité électronique, un document lu sans contact, ou un tiers déjà détenteur de l’information comme une banque. L’application conserve ensuite cette attestation et la présente, sous forme de preuve, lorsqu’un service en ligne demande une vérification.

La brique cryptographique employée repose sur la preuve à divulgation nulle de connaissance, qui permet d’établir la véracité d’une affirmation sans révéler les données qui la fondent. Le développement a été confié, dans le cadre d’un marché de quatre millions d’euros, à une société suédoise d’identité numérique associée à un opérateur allemand. La solution partage les spécifications techniques des futurs portefeuilles européens d’identité numérique, d’où son surnom de mini-portefeuille.

Les vulnérabilités techniques peuvent se corriger. La contestation exprimée par une partie de la communauté scientifique porte sur autre chose, et elle ne disparaîtra pas avec un correctif.

Le premier reproche vise la nature même de l’opération. Prouver son âge suppose, en amont, un contrôle d’identité appuyé sur un document officiel et une comparaison biométrique. Le dispositif protège la confidentialité vis-à-vis du site consulté, mais il introduit un point de passage identitaire là où la navigation était jusqu’ici anonyme.

Le second porte sur la généralisation. Déployer une telle chaîne à l’échelle de centaines de millions de personnes sans audit indépendant préalable expose à des conséquences difficilement réversibles en cas de défaut. C’est le sens du moratoire réclamé en mars 2026. Les régulateurs nationaux abordent déjà ces questions, comme le montrent les travaux de la CNIL sur les manquements de sécurité et les règles à venir.

La plupart des sites d’entreprise ne sont pas concernés par une obligation de vérification d’âge. Le sujet devient pertinent pour ceux qui diffusent des contenus soumis à une restriction, vendent des produits réglementés ou opèrent un service accessible aux mineurs.

Le réflexe utile est le même que pour tout dispositif d’identification : ne jamais conserver ce dont on n’a pas besoin. Un site qui reçoit une preuve binaire n’a aucune raison de journaliser autre chose que le résultat et sa date. Enregistrer le document présenté, une image, ou même un identifiant permettant de recouper les visites transforme une mesure de protection en base de données sensible, avec les conséquences bien documentées par les fuites portant sur des centaines de millions de comptes en France.

La question de la conformité se pose enfin en amont du choix technique. Recourir à un prestataire tiers de vérification déplace la responsabilité sans la supprimer : le responsable de traitement reste celui qui décide de la finalité. C’est le même raisonnement qui structure les exigences de mise en conformité applicables aux plateformes d’intelligence artificielle.