Par Renaud Jacobs

À la mi-avril 2026, la présidente de la Commission européenne a déclaré l'application européenne de vérification d'âge « techniquement prête » et conforme aux « plus hauts standards » de confidentialité. Quelques jours plus tard, un consultant en sécurité britannique la contournait en moins de deux minutes. Trois mois et une série de correctifs plus tard, il recommençait avec une extension de navigateur écrite en quelques minutes à l'aide d'une IA. L'histoire mérite d'être reprise dans l'ordre, parce que son intérêt n'est pas là où on l'a placé.

Commençons par rappeler ce dont il s'agit, car ce n'est pas un gadget. L'application est ce que la Commission surnomme le mini-wallet : elle est bâtie sur les mêmes spécifications techniques que le portefeuille européen d'identité numérique, dont elle constitue explicitement la marche d'approche ; les lignes directrices de la Commission sur l'article 28 du règlement sur les services numériques la désignent comme la méthode de référence pour protéger les mineurs en ligne ; et son déploiement est attendu dans les vingt-sept États d'ici la fin 2026. Ce qui casse ici ne casse pas dans un projet secondaire.

Premier temps : le contournement

Paul Moore est consultant en sécurité, britannique, et il travaille à découvert : il publie ses démonstrations en vidéo. Celle qui a fait le tour d'Europe dure moins de deux minutes.

Le mécanisme se résume en une phrase, et je la donne au niveau où elle éclaire sans servir de mode d'emploi. Le code confidentiel de l'application était bien