Vente d’alcool en ligne : comment vérifier l’âge d’un acheteur sans lui demander ses papiers ?

Le 21 juillet 2026, le Parlement a définitivement adopté l’interdiction des réseaux sociaux aux moins de 15 ans. Le texte n’est pas promulgué pour autant : une saisine du Conseil constitutionnel a été annoncée, des doutes ayant été soulevés sur sa conformité aux libertés fondamentales. Surtout, il ne dit pas comment vérifier l’âge : il laisse cette tâche aux plateformes. Plusieurs parlementaires ont dénoncé ce flou, d’autant que le périmètre de la loi reste lui-même discuté après les objections de Bruxelles.

En pratique, deux méthodes existent aujourd’hui, éprouvées sur les sites pornographiques : la pièce d’identité accompagnée d’un selfie, transmise à un prestataire qui confirme l’âge sans livrer le document à la plateforme, ou l’estimation de l’âge par algorithme à partir d’un selfie seul. La première se heurte à l’emprunt des papiers d’un proche plus âgé. La seconde bute sur un problème plus embêtant : un algorithme distingue sans peine un enfant de dix ans d’un adulte de trente, mais devient franchement approximatif autour du seuil, précisément là où la décision compte.

Reste une troisième voie, plus discrète et autrement plus intéressante : la preuve à divulgation nulle de connaissance, ou ZKP. Elle permet de prouver qu’on est majeur sans montrer sa pièce d’identité ni même donner sa date de naissance. C’est la brique que l’application européenne de vérification d’âge, annoncée techniquement prête en avril 2026, doit intégrer.

Si vous vendez du champagne, du vin, du CBD ou de la vape en ligne, tout ceci vous concerne directement : vous avez déjà l’obligation de vérifier l’âge de vos acheteurs. Les moyens de la remplir vont changer, et l’expérience des dernières réglementations numériques suggère que les exigences iront vers le haut, pas vers le bas. Voici comment fonctionne cette technologie, où elle en est réellement, et ce qu’elle implique pour votre boutique.

Prouver sans montrer, le principe de la preuve à divulgation nulle

Ouvrez votre tunnel de commande. Il y a probablement un champ date de naissance quelque part, ou une case à cocher. Vous savez que vos clients y saisissent ce qui leur passe par la tête, et vos clients savent que vous le savez. Vous stockez donc une donnée personnelle supplémentaire sans avoir vérifié quoi que ce soit.

C’est le pire des deux mondes, et c’est pourtant la configuration la plus répandue sur les sites qui vendent de l’alcool en France. Elle ne relève pas de la négligence : jusqu’ici, les seules options praticables étaient une case déclarative sans valeur juridique, ou une collecte de documents d’identité que personne de raisonnable n’a envie d’héberger. Entre les deux, rien.

Le ZKP ouvre une troisième voie en séparant deux choses qu’on avait toujours confondues : vérifier une information, et la recevoir.

Le procédé n’a rien d’expérimental en soi. Formalisé en 1985, il tourne en production depuis une dizaine d’années dans l’univers des cryptomonnaies, où il sécurise quotidiennement des volumes de transactions considérables. Ce qui est neuf, c’est son application aux documents d’identité.

Le mécanisme repose sur une chaîne à trois maillons. Une autorité de confiance regarde votre pièce d’identité une seule fois, et vous remet une attestation signée que votre téléphone conserve. Quand un site a besoin de connaître votre âge, il ne pose plus une question ouverte du type « quelle est votre date de naissance », mais une question fermée : « cette personne a-t-elle plus de 18 ans ». Votre téléphone calcule une preuve mathématique et renvoie l’équivalent d’un oui.

Ce que reçoit le marchand n’est pas une donnée mais une preuve : quelques kilo-octets qu’il contrôle pour s’assurer que le seuil d’âge est franchi. Ni nom, ni date de naissance, ni numéro de document. Le fournisseur de la preuve n’est pas informé des services dans lesquels elle est utilisée, et chaque preuve n’est valable qu’une seule fois, ce qui empêche le suivi entre services.

Et le tiers de confiance classique, alors ?

Les solutions existantes reposent déjà sur un prestataire qui vérifie l’âge et se contente de renvoyer un oui au site marchand. La différence avec le ZKP tient en un mot : le moment.

Dans le modèle classique, le prestataire est présent à chaque vérification. Votre client lui transmet sa pièce d’identité ou son selfie, il contrôle, il répond à votre site. Il apprend donc deux choses d’un coup : qui est votre client, et sur quel site il est en train d’acheter. Puisque c’est votre boutique qui le sollicite, la destination lui est connue par construction. C’est précisément ce que le principe dit du double anonymat cherche à corriger, en cloisonnant les deux informations pour que le vérificateur ne sache plus où la vérification a lieu. Mais c’est une couche ajoutée par-dessus, qui dépend de la manière dont le prestataire l’a implémentée, et non une propriété du modèle lui-même.

Avec le ZKP, l’autorité n’intervient qu’une fois, au moment de délivrer l’attestation. Ensuite elle sort du jeu : elle n’est pas contactée, elle n’apprend rien, elle peut même être hors ligne. Le calcul se fait sur le téléphone du client, et votre site vérifie seul, avec des clés publiques.

Un point mérite d’être posé, parce qu’il vous concerne autant que vos clients : un tiers qui voit passer chaque vérification voit aussi passer votre trafic. Il sait combien de personnes tentent d’acheter chez vous, à quel rythme et à quelles heures. Ce n’est plus un sujet de vie privée, c’est un sujet de confidentialité commerciale.

Deux nuances pour ne pas idéaliser. La chaîne repose toujours sur une autorité qui a vu la pièce d’identité une fois, et sur une liste d’émetteurs reconnus : la confiance n’est pas supprimée, elle est déplacée en amont et concentrée sur un seul moment. Et le tiers de confiance classique conserve aujourd’hui un avantage décisif : il fonctionne.

Ce que votre téléphone calcule vraiment

Une preuve à divulgation nulle doit satisfaire trois propriétés en même temps. La complétude : si l’affirmation est vraie, un porteur honnête convainc toujours le vérifieur. La solidité : si elle est fausse, personne ne peut le convaincre, sauf avec une probabilité négligeable. Et la divulgation nulle : le vérifieur n’apprend rien d’autre que la validité de l’affirmation. Les deux premières, on les attend de n’importe quel contrôle. C’est la troisième qui change la nature de l’objet.

Un mot d’abord sur la signature électronique, qui est la brique de base de tout le mécanisme. Elle n’a rien à voir avec un paraphe au bas d’une page. C’est un calcul que seul le détenteur d’une clé secrète peut effectuer, et que n’importe qui peut vérifier avec la clé publique correspondante, librement diffusée. Deux propriétés en découlent : on ne peut pas l’imiter sans la clé, et elle est liée au contenu signé, si bien que modifier une virgule dans le document suffit à la faire tomber.

En pratique, votre téléphone ne prouve pas votre âge. Il prouve qu’il a réussi un test, sans montrer sa copie. Ce test est une liste de quatre vérifications que l’application effectue en local sur votre attestation de majorité :

• l’attestation porte la signature de l’organisme qui l’a délivrée, elle n’a donc été ni fabriquée ni retouchée ;
• l’attribut correspondant au seuil d’âge est bien à vrai ;
• le téléphone détient la clé secrète associée à cette attestation, ce qu’il démontre en signant à la demande, donc l’attestation est bien la sienne et non une copie récupérée ailleurs ;
• l’attestation n’a pas expiré.

Si les quatre tiennent, l’application produit une preuve de quelques kilo-octets que le site peut contrôler sans jamais voir l’attestation elle-même.

Le troisième point mérite un mot de plus. Ce que le site demande de signer, c’est un nombre qu’il tire au hasard à chaque fois. Une preuve interceptée ne resservira donc jamais : elle valait pour ce nombre-là, une fois.

Deux détails d’ingénierie disent le soin apporté à l’ensemble. L’organisme qui délivre l’attestation n’a pas besoin de savoir que ce mécanisme existe, rien ne change dans sa procédure. Et la spécification prévoit de masquer la date d’expiration, au motif qu’une date trop précise permettrait déjà de suivre quelqu’un à la trace.

Ça, c’est la théorie. La mise en pratique a connu un démarrage plus difficile.

Le prototype européen n’a pas tenu à l’examen

Le 15 avril 2026, la présidente de la Commission européenne annonce l’application comme techniquement prête, la présente comme respectant les normes de confidentialité les plus élevées au monde, et souligne que son code étant ouvert, chacun peut le vérifier. Le lendemain, le consultant en cybersécurité Paul Moore publie un contournement complet. Les protections en cause tenaient à des choix d’implémentation : compteurs de tentatives dans un fichier modifiable, authentification biométrique désactivable par simple édition de configuration, identifiants sensibles stockés sans protection matérielle. Une version durcie a été publiée le 17 avril.

À décharge : aucune de ces failles n’était exploitable en production, et c’est justement l’ouverture du code qui a permis de les repérer avant tout déploiement à grande échelle.

Pourquoi ce n’est pas la cryptographie qui a lâché

La distinction paraît technique, elle a pourtant des conséquences directes sur ce que vous devez en penser. Aucune des failles publiées ne visait les mathématiques de la preuve à divulgation nulle. Elles visaient l’application mobile qui l’emballe : un code PIN rangé dans un fichier de configuration ordinaire plutôt que dans l’enclave sécurisée présente sur tous les smartphones modernes, des compteurs de tentatives modifiables, une chaîne de confiance incomplète entre le lecteur de passeport et l’émetteur.

Ce schéma est le quotidien de la sécurité applicative. Un algorithme réputé inviolable ne protège rien si les clés dorment dans un fichier accessible. La même logique vaut pour une boutique en ligne : le paiement repose sur du chiffrement irréprochable, et se fait pourtant compromettre par un module obsolète ou un compte administrateur mal protégé.

Reste une limite qui, elle, ne se corrige pas. Une preuve cryptographique peut démontrer qu’un justificatif valide a été délivré à une personne majeure, mais elle ne peut pas garantir que l’utilisateur derrière l’écran est bien cette personne. Un adolescent qui emprunte le téléphone d’un parent passera la vérification, aujourd’hui comme dans dix ans.

Et le contournement est déjà su. Les enfants voient passer des publicités pour des VPN chez leurs influenceurs préférés depuis des années : ils connaissent le moyen de contourner le dispositif avant même qu’il soit en place.

Ce qu’on peut en retenir côté marchand : quand un contrôle se fait contourner, la réponse consiste rarement à l’abandonner, plutôt à en élargir le périmètre. Le ZKP, lui, réduit votre exposition au risque parce qu’il vous évite de stocker des documents d’identité. Il ne garantira jamais qu’aucun mineur n’a commandé chez vous, et aucun texte ne vous demande cette garantie. Ce qu’on attend de vous, c’est une diligence démontrable.

Vente d’alcool en ligne, l’obligation existe déjà

D’ailleurs, pour expliquer son application, la présidente de la Commission européenne a pris l’exemple d’un commerce qui demande à voir une pièce d’identité avant de vendre une bouteille.

Le sujet arrive souvent par l’actualité réseaux sociaux, alors que la contrainte pèse sur les sites marchands depuis des années. La vente à distance de boissons alcooliques est juridiquement assimilée à de la vente à emporter, avec les mêmes devoirs.

Un point mérite l’attention, parce qu’il est contre-intuitif. Les sites de vente d’alcool doivent mettre en place une vérification explicite de l’âge avant l’achat, et non dès l’entrée sur le site. Beaucoup de boutiques font pourtant l’inverse, avec une fenêtre « avez-vous 18 ans ? » qui s’affiche avant même que le visiteur ait vu un produit.

Ce placement pose deux problèmes distincts. Juridiquement, cliquer « oui » sur une fenêtre pop-up n’établit pas une preuve de majorité. Commercialement, c’est un mur entre votre trafic et votre catalogue, dressé au moment où le visiteur ne sait pas encore s’il a envie de rester. Un internaute qui arrive depuis une recherche organique ou une campagne payante et qui rencontre un formulaire avant tout contenu repart souvent. La même logique s’applique aux protections anti-robots, et nous avions détaillé pourquoi il vaut mieux réduire la friction sans sacrifier vos conversions.

Déplacer ce contrôle dans le tunnel de commande, au moment de la validation du panier, améliore les deux dimensions à la fois. Le visiteur navigue librement, découvre le catalogue, et ne rencontre la vérification qu’au moment où il a une raison de la franchir. C’est l’un des arbitrages que nous posons systématiquement quand nous créons un site e-commerce pour une maison de champagne ou un caviste : la question se traite à la conception du tunnel, elle est nettement plus coûteuse à reprendre ensuite. Nous avions détaillé les autres points structurants dans notre guide sur la création d’un e-commerce de champagne.

Ce qui change pour votre boutique dans les mois qui viennent

Le scénario souhaitable est simple : votre tunnel enverra une requête, recevra un oui ou un non, et n’aura rien à conserver. Le scénario probable à court terme l’est moins, puisque les méthodes disponibles reposent sur des selfies et des documents d’identité confiés à des tiers. Entre les deux, un e-commerçant a surtout intérêt à ne pas se précipiter.

Quelques repères :

• Ne stockez pas de copie de pièce d’identité. C’est le point le plus sensible. Un dossier de scans de cartes d’identité sur un serveur est un actif toxique : très attractif pour un attaquant, difficile à justifier au regard de la minimisation des données, et lourd de conséquences en cas de fuite. Les bonnes pratiques RGPD applicables à un site web sont le préalable à toute mise en place.
• Si vous passez par un tiers de confiance, vérifiez ce qu’il conserve et pendant combien de temps. Le fait que la donnée ne transite pas par votre serveur ne vous dispense pas d’un contrat clair sur son sort.
• Placez le contrôle au bon endroit du parcours, à la validation de commande plutôt qu’à l’entrée du site.
• Conservez la trace de la vérification, pas la donnée vérifiée. Un horodatage et un identifiant de contrôle suffisent à démontrer votre diligence.
• Profitez du chantier pour revoir vos mentions obligatoires : c’est aussi la période des nouvelles obligations d’affichage entrées en vigueur en 2026.
• Traitez le sujet comme un sujet de sécurité, pas seulement de conformité. Un tunnel qui manipule des données sensibles suppose de sécuriser sérieusement votre CMS e-commerce.

Comment nous accompagnons les e-commerçants sur ce sujet

Le sujet tombe exactement à l’intersection de trois métiers qui, dans beaucoup d’organisations, ne se parlent pas : la technique, la conformité et la conversion. C’est ce qui le rend inconfortable à traiter, et c’est aussi pourquoi une agence 360° y est utile.

Sur le tunnel de commande. Auditer l’emplacement actuel du contrôle d’âge, mesurer ce qu’il coûte en abandon, et le repositionner à la bonne étape sans casser le parcours. Sur PrestaShop comme sur WooCommerce, cela relève de l’ajustement, pas de la refonte. C’est un chantier que nous menons régulièrement depuis nos bureaux de Troyes et de Reims, au cœur d’une région où la vente d’alcool en ligne est un sujet quotidien.

Sur la donnée et la sécurité. Vérifier ce que votre site conserve réellement, ce que conservent vos prestataires, et ce que vous seriez capable de démontrer en cas de contrôle. Notre pôle cybersécurité traite ces questions avec les mêmes réflexes que sur le reste de l’infrastructure : où dorment les secrets, qui y accède, que se passe-t-il en cas de fuite.

Sur la montée en compétence de vos équipes. Zetruc est organisme de formation certifié Qualiopi. Quand le sujet concerne autant le service client et le marketing que la technique, une demi-journée de cadrage en interne évite souvent des mois d’improvisation.

L’intérêt de traiter les trois ensemble est simple : une décision prise pour la conformité seule dégrade presque toujours la conversion, et l’inverse est vrai aussi.

Prendre de l’avance plutôt que subir le calendrier

La vérification d’âge sort de sa zone grise. Pendant quinze ans, la case à cocher a suffi, faute de mieux. L’arrivée d’un calendrier politique clair met fin à cet équilibre, même si les outils censés l’accompagner ont encore beaucoup à prouver, qu’il s’agisse des algorithmes d’estimation ou du prototype européen.

Ce qui ne dépend ni de Paris ni de Bruxelles, en revanche, c’est ce que vous stockez, où vous placez votre contrôle, et ce que vous pouvez démontrer en cas d’inspection. Ces trois décisions sont entre vos mains dès aujourd’hui, elles réduisent votre exposition quelle que soit la technologie qui finira par s’imposer, et elles se prennent plus sereinement hors période de mise en conformité forcée.

Un point de départ concret : faites relire votre tunnel de commande par quelqu’un qui regarde en même temps la conformité, la donnée conservée et le taux d’abandon. C’est exactement ce que nous faisons pour les e-commerçants et les maisons de champagne du Grand Est. Parlons de votre boutique, le premier échange sert surtout à savoir si vous avez un vrai sujet ou non.