Discord freine le déploiement mondial du contrôle d'âge après des critiques : notre analyse
Discord, comme plusieurs autres grandes plateformes, notamment Reddit et Roblox, fait face à une pression réglementaire croissante pour mieux protéger les mineurs contre les contenus destinés aux adultes.
Après avoir mis en place des contrôles d'âge conformément à la loi britannique sur la sécurité en ligne (Online Safety Act) et à la loi australienne modifiant la sécurité en ligne (Online Safety Amendment Act), qui interdit l'accès aux réseaux sociaux aux utilisateurs de moins de 16 ans, Discord a tenté d'anticiper une législation similaire dans l'Union européenne, aux États-Unis et ailleurs en étendant son programme de vérification de l'âge à l'échelle mondiale.
Le 9 février, Discord a annoncé que « tous les utilisateurs nouveaux et existants à travers le monde bénéficieront d'une expérience adaptée aux adolescents », avec des paramètres de communication mis à jour, un accès restreint aux espaces réservés aux personnes d'un certain âge et un filtrage du contenu qui préserve la confidentialité et les relations significatives qui caractérisent Discord.
Cette formulation n'a pas été bien accueillie.
De nombreux utilisateurs ont interprété cette annonce comme signifiant que tout le monde serait rétrogradé par défaut à une « expérience pour adolescents » à moins de vérifier son âge, soit par un scan facial, soit en fournissant une pièce d'identité officielle. La panique s'est rapidement répandue sur les forums, les réseaux sociaux et les chaînes de commentaires YouTube.
Discord a ensuite précisé que « la grande majorité des utilisateurs peuvent continuer à utiliser Discord exactement comme ils le font aujourd'hui, sans jamais avoir à confirmer leur âge ». Mais le mal était déjà fait. La réaction négative avait déjà fait dégénerer la situation, en provoquant une véritable crise de confiance publique.
Discord rompt sa promesse de traitement sur l'appareil
Tout au long de son annonce, Discord a mis l'accent sur les mesures de protection de la vie privée. Parmi les principales fonctionnalités mises en avant figurait le « traitement direct sur l'appareil », l'entreprise affirmant que les selfies vidéo utilisés pour l'estimation de l'âge du visage « ne quittent jamais l'appareil de l'utilisateur ».
Il est à noter que e portail web n'a pas fait la même déclaration explicite concernant la vérification basée sur l'identité.
L'impression générale que de nombreux utilisateurs en ont retirée était que les données personnelles sensibles resteraient locales, traitées sur l'appareil et ne seraient jamais transmises à des tiers. Cette assurance visait à apaiser les inquiétudes en matière de confidentialité.
En réalité, elle les a attisées.
L'ancienne page d'assistance de Discord (désormais accessible via les archives web) révélait que les utilisateurs au Royaume-Uni « pourraient faire partie d'une expérience » impliquant le fournisseur de vérification d'âge Persona.
La clause de non-responsabilité stipulait :
« Important : si vous résidez au Royaume-Uni, vous pouvez participer à une expérience dans le cadre de laquelle vos informations seront traitées par Persona, un fournisseur spécialisé dans la vérification de l'âge. Les informations que vous fournissez seront conservées temporairement pendant 7 jours maximum, puis supprimées. Pour la vérification des pièces d'identité, toutes les informations sont floutées à l'exception de votre photo et de votre date de naissance, afin que seules les données réellement nécessaires à la vérification de l'âge soient utilisées. »
Persona est un service de vérification d'identité basé sur le cloud. Par définition, cela signifie que les données des utilisateurs sont transmises et traitées sur des serveurs externes, et non uniquement sur l'appareil.
Bien que cette admission ne contredise pas directement les messages précédents de Discord (après tout, la société n'a jamais explicitement promis que toutes les données de vérification de l'âge seraient traitées sur l'appareil), elle a clairement établi une chose : le système n'était finalement pas purement local. Même s'il s'agissait d'une expérience limitée au Royaume-Uni, cela a donné l'impression que Discord avait tenu des propos mensongers ou, à tout le moins, communiqué de manière extrêmement médiocre.
Les inquiétudes se sont accentuées en raison des pratiques plus générales de Persona en matière de données. Les enquêteurs sur Internet qui ont examiné ses politiques ont souligné les références à des vérifications effectuées à partir de « bases de données tierces, de registres gouvernementaux et d'autres sources accessibles au public ».
Le PDG de Persona, Rick Song, a ensuite déclaré à Ars Technica que les données des personnes vérifiées dans le cadre du test de Discord avaient été immédiatement supprimées. Cependant, le fait que les données aient pu être stockées pendant sept jours, combiné au modèle de traitement externe de Persona, n'a fait qu'intensifier le scepticisme.
La situation s'est aggravée lorsque des rapports ont révélé qu'une interface Persona avait été laissée exposée, permettant potentiellement un accès non autorisé à des données de vérification sensibles. Selon Malwarebytes, cette exposition était due à un composant web mal configuré qui rendait les ressources internes accessibles depuis Internet avant qu'elles ne soient sécurisées. Bien qu'il n'y ait eu aucune preuve confirmée d'exploitation dans le cas de Discord, le timing a amplifié la méfiance du public.
Pendant ce temps, les critiques ont souligné un épisode bien plus grave : une violation survenue le 20 septembre, au cours de laquelle des pirates ont accédé aux données détenues par le prestataire de services client tiers de Discord. Les informations compromises comprenaient des images de pièces d'identité officielles soumises par des utilisateurs qui contestaient des décisions négatives concernant leur âge, ainsi que des noms d'utilisateur, des adresses électroniques, des informations de facturation limitées, des adresses IP et des messages d'assistance. Pour de nombreux observateurs, cet incident a confirmé leurs pires craintes : même si les vérifications d'identité sont censées être ponctuelles, le fait de forcer les utilisateurs à soumettre à nouveau des documents sensibles dans des cas extrêmes augmente considérablement le risque d'exposition dans le monde réel.
Bien que les références à Persona aient été discrètement supprimées vers le 15 février — comme l'a noté The Verge — le mal était déjà fait. Pour de nombreux utilisateurs, le simple fait que ce partenariat ait existé contredisait l'esprit de la stratégie de Discord en matière de confidentialité.
Excuses et clarifications tardives : seront-elles suffisantes ?
Face à la montée des critiques, le PDG de Discord, Stanislav Vishnevskiy, a publié le 24 février un long message visant à apaiser les craintes.
Il a réaffirmé que pour environ 90 % des utilisateurs, rien ne changerait. Selon lui, la plupart des utilisateurs n'accèdent pas à des contenus soumis à une restriction d'âge et ne modifient pas les paramètres de sécurité par défaut.
M. Vishnevskiy a également révélé que Discord utilisait déjà un système interne pour estimer l'âge des utilisateurs à partir d'indicateurs liés à leur compte, déclarant :
« La détermination de l'âge fonctionne de la même manière, en utilisant la même catégorie de signaux au niveau du compte : depuis combien de temps votre compte existe, si vous avez un mode de paiement enregistré, les types de serveurs que vous utilisez et les habitudes générales d'activité de votre compte. Elle ne lit pas vos messages, n'analyse pas vos conversations et ne consulte pas le contenu que vous publiez. »
Il a reconnu que « faites-nous confiance » n'était pas une garantie suffisante et a promis de publier un article technique sur le blog expliquant la méthodologie avant le lancement mondial.
En ce qui concerne le partenariat avec Persona, Vishnevskiy a confirmé qu'il s'agissait d'un test limité au Royaume-Uni mené en janvier et a déclaré que Discord n'utilisait plus ce service car il « ne répondait pas aux critères de traitement entièrement sur l'appareil ».
La question reste de savoir si ces clarifications sont arrivées trop tard ou si elles sont suffisantes.
En conclusion
Aujourd'hui, la vérification de l'âge est l'une des questions les plus controversées pour les plateformes en ligne. Les régulateurs la considèrent comme une mesure de protection nécessaire pour les mineurs. Les utilisateurs la voient souvent comme une pente glissante vers la surveillance.
Même lorsqu'elle est mise en œuvre avec des mesures de protection de la vie privée, la vérification de l'âge introduit intrinsèquement de nouveaux risques. Elle crée des flux de données supplémentaires, augmente le nombre d'entités traitant des informations sensibles et accroît la surface d'attaque pour d'éventuelles violations. Chaque fournisseur de vérification supplémentaire devient un autre point de défaillance potentiel.
L'expérience de Discord illustre une tension plus large : les plateformes tentent de naviguer entre des exigences réglementaires de plus en plus strictes sans s'aliéner les utilisateurs soucieux de la protection de leur vie privée. Mais ce faisant, elles risquent d'éroder la confiance même qui a fait leur succès.
Que le report du lancement mondial de Discord reflète une leçon apprise ou simplement une pause avant une nouvelle controverse dépendra de la transparence et de la prudence avec lesquelles la plateforme procédera à l'avenir.
