Piratage en ligne : deux projets américains traitent les VPN différemment

Deux projets de loi américains veulent faciliter le blocage judiciaire de sites étrangers consacrés au piratage, mais ils ne ciblent pas les mêmes intermédiaires. L’American Copyright Protection Act, déposé par le représentant Darrell Issa en septembre 2026, pourrait inclure certains grands services VPN dans les ordonnances de blocage. Le DEFEND IP Act, présenté par le sénateur Thom Tillis et la représentante Zoe Lofgren, exclut explicitement les entreprises dont l’activité consiste exclusivement à fournir un VPN.

Ces textes ne constituent pas une interdiction générale des VPN et ne créent aucune obligation immédiate pour les utilisateurs américains. Ils doivent encore être examinés par le Congrès.

L’ACPA pourrait inclure les grands VPN

L’American Copyright Protection Act permettrait aux ayants droit de demander à un tribunal fédéral de désigner un site étranger principalement consacré à la mise à disposition illégale de contenus protégés, puis d’obtenir une ordonnance de blocage. Les fournisseurs d’accès, les résolveurs DNS et certains services VPN entreraient dans le périmètre du texte.

Un seuil de 100 000 utilisateurs ou abonnements

Le projet vise les services qui dépasseraient 100 000 utilisateurs ou abonnements mensuels aux États-Unis. La formulation du seuil reste toutefois à préciser : elle est décrite tantôt en nombre d’utilisateurs, tantôt en nombre d’abonnés payants. Cette différence peut modifier le nombre de fournisseurs concernés.

Le dispositif ne prévoit pas une coupure automatique de tous les sites signalés. L’intervention d’un tribunal serait nécessaire. En revanche, une fois l’ordonnance rendue, un grand fournisseur VPN pourrait devoir empêcher l’accès à un site désigné comme service de piratage.

Le fonctionnement technique reste incertain

Le projet ne détaille pas la manière dont ce blocage fonctionnerait lorsque l’utilisateur se connecte à un serveur VPN situé dans un autre pays. Le fournisseur contrôle ses propres serveurs et son réseau, mais ne maîtrise pas nécessairement toutes les connexions établies après la sortie du tunnel chiffré.

Il faudrait donc déterminer à quel endroit du parcours la restriction s’applique et comment éviter qu’elle soit contournée par un autre serveur ou une configuration différente. Cette question est centrale pour évaluer la portée réelle du texte.

Le DEFEND IP Act exclut les VPN dédiés

Le DEFEND IP Act reprend le principe d’un blocage judiciaire des sites étrangers de piratage, mais il vise d’autres intermédiaires. Il s’appliquerait aux fournisseurs d’accès comptant au moins 50 000 abonnés et aux résolveurs DNS publics dépassant 100 millions de dollars de revenus annuels.

Le texte exclut les entités qui fournissent exclusivement un service VPN, ou un service comparable de chiffrement et de routage du trafic par des serveurs intermédiaires. Cette exception protège les fournisseurs spécialisés. Elle laisse une zone d’interprétation pour les entreprises qui vendent un VPN avec un antivirus, un gestionnaire de mots de passe ou d’autres fonctions de cybersécurité.

Une procédure en deux étapes

1. Un tribunal fédéral devrait d’abord qualifier le site de « site étranger de piratage numérique ». La plateforme devrait être principalement conçue pour enfreindre le droit d’auteur ou être volontairement présentée comme une destination dédiée au piratage.

2. Les ayants droit pourraient ensuite demander une ordonnance de blocage. Le juge devrait apprécier si la mesure est techniquement réalisable et susceptible d’être efficace.

Les ordonnances pourraient rester valables pendant un an et être renouvelées. Elles pourraient aussi viser des diffusions en direct, ce qui permettrait de demander le blocage d’un site de retransmission sportive avant ou pendant un événement précis.

Le risque de surblocage dépasse les VPN

Le DEFEND IP Act étendrait le dispositif aux résolveurs DNS publics. Lorsqu’un même résolveur est utilisé dans plusieurs pays, une restriction appliquée à ses réponses peut produire des effets au-delà du territoire américain. Des internautes qui ne sont pas concernés par l’ordonnance pourraient alors rencontrer le même blocage.

Le ciblage d’un nom de domaine comporte aussi un risque d’erreur. Un domaine peut changer de contenu, héberger plusieurs activités ou être réutilisé après la fermeture d’une plateforme. Une mesure conçue contre un site pirate pourrait ainsi toucher une page légale, une petite entreprise ou une organisation partageant la même infrastructure technique.

Le contournement peut enfin déplacer les usages vers des applications gratuites, des services moins connus ou des configurations personnelles. Ces solutions peuvent offrir moins de garanties sur la collecte et l’utilisation des données. Une règle visant les grands intermédiaires ne ferait donc pas disparaître la demande d’accès aux contenus bloqués.

Pourquoi une interdiction générale serait difficile à appliquer

Les VPN sont aussi utilisés pour les connexions professionnelles à distance, la protection des échanges avec des sources journalistiques et l’accès à des ressources depuis un lieu de travail ou un établissement de recherche. Un filtrage trop large risquerait de perturber ces usages légitimes.

La détection pose une autre difficulté. Les VPN modernes peuvent faire passer leur trafic par des protocoles qui ressemblent à ceux d’une navigation Web chiffrée. Bloquer les signatures les plus visibles ne suffirait pas forcément à arrêter les tunnels privés. À l’inverse, un filtrage agressif pourrait interrompre des connexions qui n’ont aucun rapport avec le piratage.

Un blocage peut rendre un service plus difficile d’accès, mais il ne garantit pas sa disparition. De nouvelles adresses, de nouveaux serveurs ou des méthodes de camouflage peuvent apparaître après la mise en place d’une restriction. La portée de la mesure dépendrait donc autant de sa conception technique que du texte juridique.

Ce qu’il faut surveiller au Congrès

Aucune date de vote n’a été communiquée. Les deux propositions doivent encore passer par les commissions parlementaires compétentes, alors que la session du Congrès doit s’achever en janvier.

La différence entre les deux modèles est déjà nette. L’ACPA voudrait rendre certains grands VPN directement mobilisables pour bloquer des sites pirates. Le DEFEND IP Act privilégie les fournisseurs d’accès et les DNS publics, tout en laissant les VPN dédiés en dehors du dispositif. Tant qu’aucun des deux textes n’est adopté, cette distinction reste un choix législatif en discussion, pas une règle applicable aux utilisateurs.