Sites porno : la solution AgeGo enregistre les contenus auxquels accèdent les internautes

Début août, l’Arcom rendait obligatoire la vérification de l’âge des utilisateurs sur les sites pornographiques. Nous avons testé les solutions, il est non seulement très simple de se servir de ces outils, mais aussi de les contourner, voire de leur soumettre n’importe quoi.

Si cela peut prêter à sourire et à débattre du bien-fondé du recours à ce type de dispositif technique, une solution utilisée par plusieurs plateformes courues illustre un enjeu particulier : celui de la protection de la vie privée des usagers. D’après les analyses menées par AI Forensics, AgeGo récupère en effet des informations sur les sites et les pages exactes visitées par les internautes qui y font vérifier leur âge. Quant au flux vidéo de leur webcam, en cas de recours à la solution du selfie, il est envoyé directement vers l’outil Rekognition d’Amazon Web Services (AWS).

Login, selfie ou passage par un tiers

Les services d’AgeGo ont été déployés sur au moins six plateformes pornographiques, parmi lesquelles xvideos.com, tnaflix.com et xnxx.com. Sur son site web, AgeGo indique avoir été créée en 2019 et avoir des bureaux à Dublin, en Irlande, et Porto, au Portugal. Son siège est situé à Barcelone, en Espagne, dans les locaux d’Exogroup, une entité réunissant sept entreprises technologiques ou de l’industrie de la publicité en ligne.

Pour vérifier son âge en France, AgeGo propose trois options : s’identifier à un compte AgeGo, utiliser une estimation de l’âge en réalisant un selfie ou en recourant à une carte d’identité, et se connecter à l’application d’un autre fournisseur de vérification d’âge, Yoti. D’après sa politique de confidentialité, elle propose aussi, au Royaume-Uni, de s’identifier par SMS.

Auprès de l’internaute, le service présente ses options recourant au selfie ou à l’application tierce Yoti comme des solutions de « double anonymat », soit ce que l’Arcom impose. Comme le rappelle la CNIL, le double anonymat consiste à faire en sorte que le site auquel la personne accède n’ait pas connaissance de son identité, mais reçoive simplement la preuve de sa majorité, tandis que le tiers en charge de la vérification de l’âge connaît l’identité de la personne, mais pas les sites que celle-ci consulte.

« Double anonymat » très détaillé

Le problème, constate le chercheur Paul Bouchaud, consiste dans les pratiques d’AgeGo avant même que l’internaute ne consente à la politique en question, ou ne choisisse l’une des options de vérification d’âge proposée.

À ce stade, le navigateur de l’internaute envoie en effet une requête au serveur d’AgeGo, dans laquelle se retrouvent l’identifiant du site visité et l’URL de la vidéo exacte à laquelle l’internaute cherche à accéder. AgeGo produit ensuite un cookie qui code ces informations puis se retrouve inclus dans toutes les futures requêtes au serveur d’AgeGo. En substance, le fournisseur de vérification d’âge reçoit des informations précises sur les sites et les contenus spécifiques visités par les internautes.

À partir de ce 1er septembre, la société indique également que les flux vidéos collectés depuis la webcam de l’internaute seraient téléchargés directement sur les serveurs d’un service tiers. En l’occurrence, constate le chercheur d’AI Forensics, ce fournisseur est Amazon Web Services, par l’intermédiaire de son service de reconnaissance faciale Rekognition, qui permet à ses clients d’automatiser leurs analyses d’images et de vidéos. Outre ce flux, la technique de vérification de l’âge par reconnaissance faciale transmet en réalité l’adresse IP de l’usager et le fait qu’elle consulte des sites interdits aux moins de 18 ans.

Paul Bouchaud relève par ailleurs la présence d’un design trompeur (dark pattern) dans le fonctionnement d’AgeGo. Une fois la vérification d’âge effectuée, AgeGo oblige en effet l’internaute à créer un compte : ce n’est qu’une fois une adresse mail soumise au service qu’il ou elle peut accéder au site visé, un élément qui paraît superflu pour estimer l’âge de la personne.