O pitch
A verificação de idade obrigatória da Austrália para redes sociais passou a valer em 10 de dezembro de 2025, provocando uma mudança enorme na forma como a identidade é intermediada na camada de aplicação (fonte: thread no HN/Spectrum). Os governos estão obrigando as plataformas a integrar dados biométricos ou vinculados à identidade para barrar usuários com menos de 16 anos, o que cria uma nova exigência de infraestrutura, de alto risco, para as equipes de backend.
Por dentro
A implementação mais funcional hoje se apoia nas carteiras de identidade europeias eIDAS 2.0, que usam provas de conhecimento zero (Zero-Knowledge Proofs, ZKPs) para verificar o status de “maior de 18” (fonte: comentário no HN). Essa abordagem permite que o usuário prove que atinge uma idade mínima sem transmitir a data de nascimento real nem a identidade completa ao serviço que faz o pedido.
Fora da UE, porém, a realidade é uma bagunça fragmentada de agregadores de identidade terceirizados. Esses sistemas concentram dados biométricos sensíveis em poucos silos de alto risco, criando na prática um honeypot para hackers (fonte: IEEE Spectrum). O overhead técnico de gerenciar essas integrações não é trivial, e as implicações de segurança de armazenar, ou mesmo apenas intermediar, esses dados são graves.
Apesar das 4,7 milhões de desativações de contas registradas na Austrália desde dezembro de 2025, a legislação em grande parte não conseguiu conter a atividade de menores (fonte: comentário no HN). Os usuários simplesmente migram para “contas fantasmas” ou plataformas descentralizadas sem monitoramento, muitas vezes usando engenharia social baseada no GPT-5 para contornar o controle automatizado de idade (fonte: IEEE Spectrum).
A disparada no uso de VPNs para driblar o geofencing tornou obsoleto o bloqueio regional por IP. Estamos vendo uma escalada em que menores usam credenciais roubadas ou identidades sintéticas geradas por IA para passar nas solicitações de verificação. É a clássica corrida armamentista da segurança, mas com o Estado impondo uma barreira técnica que, no fundo, é fácil de contornar.
Nossa opinião
Construir silos centralizados de identidade para verificar idade é um desastre de arquitetura à espera de um vazamento de dados. Os dados australianos provam que a verificação obrigatória não impede os menores; só os empurra para ambientes menos seguros e sem monitoramento. Se você for obrigado a implementar isso, a sua única escolha ética e técnica são as carteiras de identidade baseadas em ZKP, para evitar a responsabilidade de guardar dados pessoais (PII). Caso contrário, descarte por completo a abordagem biométrica centralizada: é uma armadilha de vigilância que não oferece nenhuma segurança real.