La clause VPN de l'Utah est bloquée, pour l'instant : ce que change l'injonction Aylo et ce qu'elle ne change pas

Mise à jour du 6 octobre 2026 : la décision que cet article attendait est arrivée, avec un mois d’avance. Le 24 septembre, le juge David Barlow, du tribunal fédéral de district de l’Utah, a fait droit à la demande d’injonction préliminaire d’Aylo contre la clause de localisation réputée, la partie du SB 73 qui comptait un utilisateur de VPN physiquement présent dans l’Utah comme un visiteur de l’Utah, quelle que soit l’adresse IP vue par le site. Son raisonnement tient en deux de ses propres phrases : l’amendement « impose à des entités comme Aylo de géolocaliser les utilisateurs de son site avec une précision parfaite pour échapper à toute responsabilité », et « il n’est pas contesté qu’une géolocalisation parfaite n’est pas possible à ce jour ».

L’injonction est plus étroite que ne le laissent entendre la plupart des comptes rendus, et les dates qui comptaient en septembre ne comptent plus du tout. Cet article a été mis à jour de bout en bout : ce que le juge a bloqué, ce qu’il a refusé de bloquer, ce qui reste en vigueur dans l’Utah aujourd’hui, et ce que la règle de détection à 95 % de l’État s’apprêtait à demander aux sites web.

Quand cet article a paru le 3 septembre, la nouvelle du jour était une date qui signifiait moins que ne l’affirmaient les titres. Gizmodo et d’autres rapportaient que la première loi américaine visant l’usage des VPN entrerait en vigueur ce jour-là. En réalité, le SB 73 était en vigueur depuis le 6 mai 2026, et le 3 septembre marquait seulement l’expiration d’une trêve judiciaire : la promesse faite par l’Utah de ne pas appliquer la clause VPN contre une seule entreprise, Aylo, l’exploitant de Pornhub, le temps que le juge examine le recours de la société. Cette trêve a été prolongée le 27 août et a pris fin à l’instant où la décision est tombée.

Voici ce que dit le texte, qui il engage, ce que le tribunal a décidé, et ce que tout cela signifie pour une personne qui utilise un VPN.

La loi VPN de l'Utah est-elle entrée en vigueur le 3 septembre ?

Non. La confusion vient de l’amalgame entre deux documents.

Le premier est la loi elle-même. Le SB 73, les Online Age Verification Amendments (amendements sur la vérification de l’âge en ligne), a été porté par le sénateur Calvin Musselman et le représentant Steve Eliason, puis promulgué par le gouverneur Spencer Cox le 19 mars 2026. L’article 22 du texte adopté fixe sa date d’entrée en vigueur : le 6 mai 2026, une poignée de dispositions fiscales suivant le 1er octobre. Le passage sur les VPN figure à l’article 14, qui modifie l’article 78B-3-1002 du Code de l’Utah, et il porte la date du 6 mai comme tout le reste.

Le second document est une stipulation conjointe (un accord entre les parties déposé auprès du tribunal) enregistrée devant la justice fédérale le 27 avril 2026, cinq jours après le dépôt de la plainte d’Aylo. La Division de la protection des consommateurs et le Département du commerce de l’Utah y acceptaient de renoncer à appliquer la « disposition sur la localisation réputée » contre Aylo et ses filiales « jusqu’au 3 septembre 2026, soit 120 jours après la date à laquelle la disposition devait autrement prendre effet ». Aylo, de son côté, s’engageait à ne pas modifier son géoblocage actuel dans l’Utah, ce qui signifie que Pornhub et ses sites frères resteraient bloqués pour les adresses IP de l’Utah, comme ils le sont depuis 2023.

Voilà d’où vient la date du 3 septembre. Elle n’a jamais été une date d’entrée en vigueur. C’était l’expiration d’une promesse de non-application faite à un seul plaideur. Et selon le rôle du tribunal, les parties ont déposé le 27 août une nouvelle « stipulation conjointe de prolongation de la non-application », dont le tribunal a pris acte le lendemain. Comme XBIZ l’a rapporté le 28 août, la prolongation court jusqu’au 22 octobre 2026, ou jusqu’à ce que le tribunal tranche la demande d’injonction préliminaire d’Aylo, selon la première de ces deux échéances. La stipulation justifie ce délai supplémentaire par une procédure réglementaire en cours dans l’Utah : « cette période de tolérance prolongée permet aux plaignants de participer à ce processus réglementaire sans menace de responsabilité dans l’intervalle ».

La phrase exacte était donc plus longue qu’un titre ne le permet. La clause VPN est devenue loi en mai, s’appliquait sur le papier à tous les sites concernés sauf Aylo, et n’a jamais, pour autant que le dossier public en témoigne, été appliquée à quiconque au sujet du trafic VPN. Depuis le 24 septembre, elle est suspendue à titre préliminaire. La décision prononce l’injonction sur la disposition elle-même, sans en limiter les termes aux plaignants, et l’Electronic Frontier Foundation y voit une clause mise hors jeu tant que l’injonction tient.

Qu'exige vraiment le SB 73, et de qui ?

L’Utah impose la vérification de l’âge sur les sites pour adultes depuis 2023. Le SB 73 refond ce régime : il ajoute une application publique par la Division de la protection des consommateurs, en parallèle du droit existant d’intenter une action privée, ajoute des amendes, crée une taxe d’accise sur les sites concernés, et ajoute deux paragraphes sur les VPN. Ces deux paragraphes, dans le texte adopté, se lisent ainsi.

La règle de localisation réputée, nouveau paragraphe (3) de l’article 78B-3-1002 : « Une personne est considérée comme accédant au site web depuis cet État si elle se trouve effectivement dans l’État, qu’elle utilise ou non un réseau privé virtuel, un serveur proxy ou tout autre moyen de dissimuler ou de travestir sa position géographique afin de faire croire qu’elle accède au site web depuis un lieu situé hors de cet État. »

L’interdiction de facilitation, nouveau paragraphe (4) : un site concerné « ne peut faciliter ni encourager l’utilisation d’un réseau privé virtuel, d’un serveur proxy ou de tout autre moyen de contourner les obligations de vérification de l’âge », y compris en fournissant « des instructions sur la manière d’utiliser un réseau privé virtuel ou un serveur proxy pour accéder au site web » ou « des moyens permettant aux personnes se trouvant dans cet État de contourner le géoblocage ou le blocage ».

Ces deux règles s’adressent à une « entité commerciale qui exploite un site web contenant une part substantielle de contenus nuisibles aux mineurs ». La part substantielle a un chiffre : plus de 33 1/3 % de l’ensemble des contenus du site. Un site qui se présente comme principalement réservé aux adultes, ou qui utilise un domaine à connotation adulte, est présumé franchir cette ligne.

Les sanctions visent la même entité. En vertu du nouvel article 78B-3-1004, le directeur de la Division peut infliger une amende administrative allant jusqu’à 2 500 $ par infraction, et un tribunal peut y ajouter une sanction civile allant jusqu’à 2 500 $ par infraction, la restitution des gains, des injonctions et des dommages-intérêts, plus jusqu’à 5 000 $ par infraction en cas de non-respect d’une ordonnance. L’article 78B-3-1002(6) exempte les fournisseurs d’accès à Internet, les moteurs de recherche et les hébergeurs cloud qui se contentent d’acheminer le trafic, et le paragraphe (5) exempte les contenus d’information et d’intérêt public de bonne foi.

Remarquez ce qui manque. Il n’y a aucune définition de l’« utilisateur de VPN », aucune obligation imposée à un fournisseur de VPN, et aucune amende, infraction ou responsabilité civile pour une personne qui se connecte via un VPN. La version à retenir : le SB 73 de l’Utah ne réglemente pas les utilisateurs de VPN ; il réglemente les sites web, en décrétant qu’un visiteur physiquement présent dans l’Utah compte comme un visiteur de l’Utah, quelle que soit l’adresse IP que voit le site.

Est-il désormais illégal d'utiliser un VPN dans l'Utah ?

Non, et cela ne l’était pas non plus le 6 mai. Chaque clause opérante du SB 73 désigne une entité commerciale comme la partie tenue à l’obligation. Un habitant de Salt Lake City qui active un VPN pour se connecter au Wi-Fi d’un hôtel, accéder au réseau de son employeur, empêcher son FAI de profiler sa navigation ou regarder son abonnement de chez lui en voyage n’a rien fait que la loi vise.

Ce que la loi change, c’est l’exposition du site web. Avant le SB 73, un site concerné pouvait soutenir qu’un visiteur arrivant depuis une adresse IP néerlandaise ou canadienne se trouvait, à ses yeux, aux Pays-Bas ou au Canada. Désormais, l’Utah dit que le site est responsable si ce visiteur se trouvait en réalité dans l’Utah. Le site peut-il le savoir ? C’est la question suivante, et c’est toute l’affaire.

Comment un site web est-il censé savoir que vous êtes dans l'Utah si vous utilisez un VPN ?

Il ne le peut pas, dans une large mesure, et c’est pourquoi les critiques du SB 73 viennent d’horizons très différents.

L’Electronic Frontier Foundation a qualifié le blocage des adresses VPN de « jeu de la taupe technique qu’aucune entreprise ne peut probablement gagner », en relevant que les fournisseurs de VPN ajoutent des adresses en permanence et qu’aucune liste de blocage complète n’existe. Citée par KUER en mai, Lia Holland, de Fight for the Future, a été plus directe : déterminer d’où navigue l’utilisateur d’un VPN sérieux est « littéralement impossible, par conception ». NordVPN, sollicité par Gizmodo, a décrit le texte comme un « piège à responsabilité » dans lequel « les plateformes s’exposent à un risque financier réel pour avoir échoué à une tâche technique que personne ne sait aujourd’hui accomplir de manière fiable ».

Les raisons techniques ne font pas débat. La géolocalisation par IP est une déduction commerciale tirée des données de routage et des registres d’enregistrement, pas une mesure de l’endroit où se trouve un appareil, et elle se trompe régulièrement à l’échelle d’un État, même pour des connexions ordinaires. La détection des VPN et des proxys repose sur des listes d’adresses de sortie connues qui ont toujours un temps de retard sur la réalité. Et les mêmes signaux qui trahissent un VPN grand public trahissent aussi les réseaux d’entreprise, les réseaux universitaires, les opérateurs mobiles qui font transiter le trafic par des passerelles situées dans un autre État, et les fonctions de confidentialité intégrées aux navigateurs courants. Un site qui bloque tout ce qui ressemble à un VPN bloque une large part de ses visiteurs légitimes, dans l’Utah et partout ailleurs.

C’est l’argument d’Aylo en une phrase : la seule façon d’être certain de se conformer à la loi de l’Utah est de vérifier l’âge de tout le monde, partout, ce qui, selon ce que l’entreprise a déclaré au tribunal, ferait fuir jusqu’à 80 % de ses clients, ou de bloquer quiconque pourrait éventuellement se trouver dans l’Utah. La réponse du sénateur Musselman, citée par KUER, est que « le SB 73 est une question de responsabilité », et que les sites peuvent vérifier l’âge ou confirmer la localisation « tout en préservant les options de chiffrement des utilisateurs ».

Le tribunal a désormais consigné jusqu’où va réellement ce désaccord, c’est-à-dire : pas bien loin. Extrait de la décision : « La loi exige une géolocalisation parfaite, mais les parties s’accordent sur le fait que l’état actuel de la technologie ne permet pas à une entité (1) de détecter parfaitement les utilisateurs de VPN ou de proxy, ni (2) de localiser parfaitement l’endroit d’où tous ces utilisateurs de VPN ou de proxy accèdent au site. » L’Utah et Aylo se sont affrontés sur tout le reste dans cette affaire. Pas sur cela.

La réponse de l’Utah lui-même arrivait par voie réglementaire, et le texte est désormais public. Le projet de règlement de la Division, R152-78B, publié dans l’Utah State Bulletin du 1er septembre, définit l’« obscurcissement de la géolocalisation » comme un VPN, un serveur proxy ou toute autre technologie masquant la position d’un appareil, et précise ce qu’est une détection « commercialement raisonnable » : un système conçu pour déterminer avec au moins 95 % de précision si un visiteur se trouve dans l’Utah, à côté d’une norme distincte de 95 % pour établir si un visiteur est mineur. Les sites peuvent analyser des « signaux latents », et le règlement en nomme deux : la latence de la connexion et le fuseau horaire réglé sur l’appareil ou le navigateur. Un visiteur signalé comme masquant sa position se voit proposer trois options : partager la localisation de son appareil pour confirmer qu’il n’est pas dans l’Utah, désactiver le masquage et vérifier son âge s’il y est, ou simplement vérifier son âge. Les propres estimations de coût de la Division vont de 0,01 $ à 0,12 $ par contrôle d’âge et environ un cent par visiteur pour le filtrage de localisation.

Relisez cela à la lumière de la décision, et le calendrier devient l’histoire. La loi, telle qu’écrite, exigeait la perfection ; le règlement censé adoucir cette perfection en un objectif de 95 % est parvenu au tribunal trop tard. La note de bas de page 73 de la décision le dit sans détour : parce que le projet de règlement est arrivé après la clôture des écritures et l’audience, « le tribunal ne l’examine pas ici ». La consultation s’est close le 1er octobre, l’EFF ayant déposé des observations en opposition. Le bulletin indique le 8 octobre comme date la plus précoce à laquelle le règlement peut prendre effet, aucun avis le rendant effectif n’avait paru à la date de cette mise à jour, et ses dispositions de localisation mettent désormais en œuvre une clause qu’un tribunal fédéral a suspendue.

Qu'a décidé le juge Barlow le 24 septembre ?

Aylo Freesites et Aylo Group ont déposé plainte le 22 avril 2026 devant le tribunal fédéral de district de l’Utah, affaire 2:26-cv-00340, contre la Division de la protection des consommateurs, sa directrice Katie Hass, le Département du commerce et sa directrice exécutive Margaret Busse. L’affaire est confiée au juge David Barlow. La plainte vise spécifiquement la disposition sur la localisation réputée et soutient, selon le Deseret News, que la clause « transforme ce qui est nominalement une réglementation de l’Utah en un mandat mondial de fait », en violation des limites que la Constitution impose aux États en matière de commerce interétatique et international.

Aylo ne conteste pas la vérification de l’âge en tant que telle. La Cour suprême a tranché cette question en juin 2025 dans l’arrêt Free Speech Coalition v. Paxton, en validant la loi texane sur la vérification de l’âge. La thèse d’Aylo est plus étroite : un État peut exiger des contrôles d’âge pour ses résidents, mais il ne peut pas rendre une entreprise étrangère responsable de visiteurs qu’elle n’a aucun moyen fiable de situer dans l’État.

Le 24 septembre 2026, cette thèse plus étroite l’a emporté, sur l’une de ses deux branches. Dans une décision motivée de 40 pages, le juge Barlow a estimé que la clause de localisation réputée viole probablement la dormant Commerce Clause, la limite constitutionnelle qui interdit aux États de réglementer le commerce au-delà de leurs frontières, à la fois comme réglementation directe de comportements hors de l’État au sens de la jurisprudence ACLU v. Johnson du dixième circuit et au regard du test de pondération de l’arrêt Pike. L’illustration retenue par le tribunal est celle qu’il faut garder en tête : Aylo compte environ 28 millions de visiteurs américains par mois, et comme la loi exige une certitude qu’aucun outil ne peut fournir, la seule voie sûre serait de les vérifier tous, qu’ils se trouvent à Salt Lake City ou à Honolulu. Une loi de l’Utah qui force une entreprise à traiter chaque Américain comme un habitant potentiel de l’Utah revient, a conclu le tribunal, à réglementer la nation entière.

Le procureur général de l’Utah avait soutenu que l’État n’exigerait jamais que des efforts raisonnables de géolocalisation, pas des efforts parfaits. Le tribunal a tenu cet engagement pour sincère et juridiquement hors sujet : la loi ne contient aucun critère de raisonnabilité, en lire un dans le texte exigerait « une réécriture, et non une simple réinterprétation », et le tribunal doit juger le texte voté par le législateur, pas la politique d’application que propose le procureur général. Aylo, de son côté, a déclaré au tribunal que si la loi était écrite telle que le procureur général la défend, « nous ne serions pas ici ». Cet échange dessine la carte la plus claire de la suite : une correction législative d’un mot, une forme de « raisonnable », mettrait probablement fin au litige.

La décision n’est pas une victoire sur toute la ligne, et la plupart des comptes rendus ont gommé ce point. Le juge Barlow a rejeté le grief distinct d’Aylo selon lequel la clause constituerait une législation extraterritoriale illicite, s’est abstenu de trancher sur la Foreign Commerce Clause, et a refusé la demande d’Aylo d’étendre l’injonction à l’obligation générale de vérification de l’âge pour les visiteurs qui paraissent se trouver hors de l’Utah : « Cette mesure ne peut être accordée. » L’injonction est préliminaire, pas un jugement définitif, et elle porte sur un seul paragraphe d’une seule loi.

Un dernier passage mérite citation, car les tribunaux fédéraux le disent rarement aussi clairement. Dans sa partie consacrée au contexte, la décision relève que les VPN et les outils de confidentialité de localisation ont des « usages parfaitement légitimes », et les énumère : sécuriser les communications sur les réseaux publics, empêcher les sites web de collecter des données personnelles, et contourner la censure de gouvernements oppressifs. Cette phrase figure désormais au dossier public de la première affaire américaine portant sur une loi qui nomme les VPN.

La chronologie, d’après le rôle du tribunal et les écritures des parties :

Que reste-t-il réellement en vigueur dans l'Utah aujourd'hui ?

C’est la question à laquelle les titres répondent le plus mal, alors la voici, disposition par disposition, à la date de cette mise à jour :

Deux conséquences découlent de ce tableau. Pour une personne équipée d’un VPN, la décision ne change rien, car rien dans la loi ne s’est jamais appliqué à elle. Pour les sites concernés, les obligations exécutoires aujourd’hui sont les mêmes devoirs de vérification de l’âge qui existent dans environ la moitié du pays, moins la clause qui rendait l’Utah unique. Quant à savoir si Aylo lèvera désormais son blocage volontaire de l’Utah, en place depuis 2023, c’est une décision commerciale que l’entreprise n’a pas annoncée ; la stipulation qui gelait son géoblocage a pris fin avec la décision de justice.

Quels autres États copient l'approche de l'Utah ?

La vérification de l’âge sur les sites pour adultes est désormais la norme aux États-Unis. L’Age Verification Providers Association recensait au moins 25 États ayant adopté de telles lois en février 2026, et les recensements mis à jour au cours de l’été donnent un nombre encore plus élevé. L’Utah a été le deuxième État à s’y mettre, avec une loi entrée en vigueur le 3 mai 2023 qui a conduit Pornhub à bloquer l’État entier deux jours plus tôt. Google Trends a montré les recherches de VPN dans l’Utah grimper à leur pic de popularité aux premières heures du 2 mai 2023, comme Newsweek le rapportait à l’époque. Cet épisode, plus que tout autre, explique pourquoi le texte de 2026 mentionne les VPN.

Copier la clause VPN est une autre affaire, et la décision du 24 septembre vient de la rendre plus difficile à recommander. Des élus du Michigan ont proposé d’aller beaucoup plus loin en 2025 avec un projet de loi qui aurait obligé les FAI à bloquer purement et simplement le trafic VPN ; il s’est enlisé en commission. Le projet de loi du Wisconsin sur la vérification de l’âge contenait à l’origine un passage sur les VPN, retiré en février 2026 avant que le gouverneur n’oppose son veto au texte en avril. La plainte d’Aylo affirme qu’aucun État n’avait adopté de clause de localisation réputée auparavant, et nous n’avons trouvé aucune autre loi américaine promulguée qui nomme les VPN. Les assemblées législatives qui suivaient l’affaire ont désormais leur réponse : la première clause de localisation réputée n’a pas survécu à sa première requête. La décision esquisse même ce qui survivrait : une loi qui demande des efforts raisonnables de géolocalisation plutôt que des efforts parfaits. Attendez-vous à ce que la prochaine vague de rédaction, lors de la session 2027 de l’Utah et ailleurs, emploie ce mot. La Californie, de son côté, contourne le problème par l’autre bout : son Digital Age Assurance Act, effectif en janvier 2027, fait transmettre par le système d’exploitation aux applications une tranche d’âge déclarée par les parents, une approche qui n’exige aucune géolocalisation IP et ne mentionne aucun VPN.

Que doit faire une personne dans l'Utah au sujet de son VPN ?

Rien, au sens où aucune obligation ne vous est tombée dessus et aucune n’est proposée. Quelques remarques pratiques tout de même, car les effets de second ordre de lois comme celle-ci se font sentir chez les utilisateurs ordinaires plutôt que sur les sites qu’elles visent.

1. Gardez le VPN activé pour ce à quoi il sert. Le chiffrement sur le Wi-Fi public, une IP stable pour la banque et les connexions professionnelles, et une barrière entre votre navigation et votre FAI ne sont en rien affectés. Si vous voulez une sortie proche, Le VPN exploite un serveur à Salt Lake City parmi ses autres emplacements américains, si bien qu’une connexion depuis l’Utah peut rester dans l’Utah.
2. Attendez-vous à ce que davantage de sites contestent le trafic VPN, partout. La réponse rationnelle à une règle de responsabilité sans détection fiable est le surblocage. Si un site qui n’a rien à voir avec l’Utah se met à refuser votre connexion VPN, c’est le réflexe de conformité qui se propage, pas le signe que votre VPN fait quoi que ce soit de mal. Changer de serveur suffit généralement.
3. Ne prenez pas la loi pour une énigme à résoudre. Le SB 73 interdit aux sites concernés d’apprendre à leurs visiteurs comment contourner les contrôles d’âge, et cet article ne le fera pas à leur place. La vérification de l’âge pour les contenus pour adultes est constitutionnelle et là pour durer ; la seule question ouverte dans l’Utah est de savoir qui porte le fardeau quand les outils ne peuvent pas dire où se trouve une personne.
4. Surveillez le délai d’appel et la session 2027, pas le 22 octobre. Les dates que cet article vous disait de surveiller sont consommées : la décision est tombée le 24 septembre et a rendu sans objet l’échéance de trêve du 22 octobre. Ce qui reste ouvert, c’est de savoir si l’Utah fera appel devant la cour du dixième circuit avant l’expiration de son délai d’environ 30 jours, autour du 26 octobre, si la Division finalisera le règlement R152-78B maintenant que son volet localisation met en œuvre une clause bloquée, et si le législateur réécrira la loi avec un critère de raisonnabilité quand il se réunira fin janvier.

Si vous voulez la carte plus large des pays où les VPN sont restreints et de ceux où ils sont simplement réglementés, notre guide pays par pays de la légalité des VPN en 2026 la dresse, et notre page États-Unis liste les emplacements de serveurs américains. Pour un parallèle européen, le régulateur français a mené l’an dernier un combat très semblable sur les contrôles d’âge des sites pour adultes ; nous avons raconté comment cela s’est déroulé, y compris la même dynamique de surblocage que l’Utah importe aujourd’hui.

La version courte à transmettre à quiconque vous envoie le titre : la clause VPN de l’Utah réglementait les sites web et non les personnes, un juge fédéral vient de la bloquer parce qu’elle exigeait une perfection qu’aucune technologie ne sait fournir, le reste de la loi tient, et les prochains coups appartiennent à l’Utah, devant une cour d’appel ou devant son parlement l’an prochain.