Resumen

  • APNIC sitúa en el tercer trimestre de 2026 una mejora para seguir todos los correos IRT y comprobar su validez al iniciar sesión, en vez de confiar en una marca estática de bloqueo de cuenta.
  • La propuesta cambia la fuente y el momento de la decisión de acceso. La información pública no dice que sustituya el ciclo semestral, la marca Invalid a los 15 días o la limitación de MyAPNIC a los 30.
  • Correo, reto de validación, objeto IRT, ámbito de cuenta y decisión de acceso son estados distintos. Un único indicador no puede conservar por sí solo la procedencia de todos ellos.
  • Un recibo de decisión IRT, diseñado para proteger datos privados, podría registrar las versiones, los plazos, la regla de agregación y el origen del resultado sin revelar la dirección ni el código.

La decisión antigua y la evidencia nueva

Una cuenta puede haber recibido una restricción porque su contacto IRT no había completado la validación. Más tarde, el contacto termina el proceso. Si el acceso solo lee una marca copiada antes, el miembro puede seguir limitado pese a que ya no exista la condición que produjo la marca. El riesgo simétrico es conservar una autorización cuando el estado pertinente dejó de ser válido.

APNIC no afirma que un caso concreto haya ocurrido. En su hoja de ruta pública, formula el resultado deseado como prevención: evitar que las cuentas permanezcan bloqueadas o desbloqueadas de forma incorrecta. La solución propuesta consiste en rastrear continuamente todas las direcciones IRT y comprobar su validez al iniciar sesión, sin depender de un indicador estático. Es una iniciativa del equipo Membership para APNIC Login y Whois, con objetivo Q3 de 2026.

La diferencia es la procedencia. La marca de bloqueo es una conclusión derivada; la validez del contacto es el estado que debería alimentar esa conclusión. Consultarlo cuando se solicita el acceso reduce la ventana en la que la copia y el hecho pueden separarse.

La hoja de ruta no publica todavía el modelo final, la fecha de despliegue dentro del trimestre ni la forma de combinar varios objetos o varias direcciones. Tampoco presenta la función como ya operativa. Por eso, “actual” no debe convertirse en una palabra mágica: necesita un conjunto evaluado, un instante y una regla.

Seis meses, 15 días y 30 días no son el mismo reloj

La prop-125 figura como implementada. La política vigente de recursos exige un objeto IRT para cada registro de recursos. Sus contactos email y abuse-mailbox deben estar vigilados y las quejas recibidas han de obtener una respuesta rápida.

El régimen de validación tiene tres hitos. APNIC verifica los contactos periódicamente o cada seis meses. El titular dispone de 15 días desde el mensaje de validación; si el proceso falla, el objeto se marca Invalid en Whois. Si después de 30 días la validación sigue pendiente, se limita el acceso a MyAPNIC hasta que los contactos sean validados.

El anuncio de implantación de 2019 sitúa el comienzo el 30 de junio de aquel año. El formulario de validación pide un código único enviado por correo. Completar el reto aporta evidencia de acceso al buzón en ese momento.

Nada de lo publicado indica que una consulta al iniciar sesión borre estos plazos. El semestre determina cuándo hace falta evidencia nueva; los 15 días cambian el estado público del objeto; los 30 días activan la consecuencia de acceso. El inicio de sesión es el punto en que debe leerse el resultado correcto.

Una explicación operativa ha de conservar la causa. “Cuenta limitada” no basta si no se sabe si venció un reto, se cruzó el día 15 o el 30, se modificó un objeto o se consultó una versión antigua.

Hay cinco estados, no una sola luz

La dirección de correo es un dato sensible con historial. El reto de validación tiene emisión, entrega, vencimiento y resultado. El objeto IRT tiene identidad, versión y atributos. La guía del objeto IRT diferencia e-mail de abuse-mailbox y usa mnt-by para señalar quién autoriza cambios.

El ámbito de la cuenta reúne los recursos, objetos y contactos que intervienen en el acceso. La decisión de inicio de sesión aplica una versión de regla a una instantánea determinada y devuelve permitir o limitar con un motivo.

Una validación puede ser cierta para una dirección y no para otra. Una edición puede sustituir el contacto que debe examinarse. Una cuenta puede reunir recursos vinculados a diferentes objetos IRT. Una decisión correcta para la instantánea de las 09:00 puede quedar obsoleta a las 09:01.

El seguimiento continuo solo resuelve el problema si esas relaciones son explícitas. APNIC Login debe conocer qué objetos están dentro del ámbito, qué atributos importan, de qué evento procede cada estado y qué regla combina los resultados. Una consulta en tiempo real sin procedencia puede ser tan difícil de explicar como una marca estática.

La regla de agregación es la decisión de política escondida

Un objeto puede contener dos buzones de abuso y una dirección general. ¿Deben ser válidos los tres? ¿Basta con uno de los buzones? Si la misma dirección aparece en varios objetos, ¿una validación actualiza todas las apariciones? Si los objetos de los recursos de una cuenta discrepan, ¿se limita todo el acceso, una función o solo el recurso afectado?

APNIC no ha publicado esas respuestas en la hoja de ruta, así que no corresponde inventarlas. Sí corresponde exigir que la regla elegida tenga nombre y versión. Una decisión solo es reproducible si identifica el conjunto examinado y la lógica que lo convirtió en un resultado.

La arquitectura más clara conserva niveles separados. Un evento registra que un reto para un identificador de correo terminó a una hora. Un estado derivado define desde cuándo es válido y cuándo debe renovarse. Una evaluación IRT enumera los estados considerados. La decisión de cuenta cita esa evaluación y la versión de la regla. Corregir un nivel no obliga a borrar los anteriores.

Así también mejora el diagnóstico. Si el contacto valida a las 10:04 y el acceso de las 10:05 sigue limitado, puede haber latencia, otro correo vencido o una diferencia de ámbito. Cada causa requiere un equipo y una solución distintos.

Validar el buzón no valida la respuesta al abuso

Prop-125 busca que quienes gestionan incidentes puedan ser contactados. Sin embargo, introducir el código solo acredita que alguien con acceso al mensaje completó el reto. No demuestra que todas las quejas posteriores lleguen a la cola adecuada, pasen los filtros, sean leídas o terminen en una corrección.

Tampoco un reto vencido demuestra que la dirección no existe o que una denuncia concreta fue ignorada. Entrega, control del buzón, vigilancia, clasificación y resolución son observaciones distintas.

Esta frontera protege a todos. Una persona denunciante no debe recibir un estado verde como prueba de buen tratamiento. Un miembro no debe recibir una acusación de abuso porque expiró un plazo de validación. La limitación de MyAPNIC es una consecuencia de control de cuenta, no una sentencia, una revocación de recursos ni una decisión sobre la conducta de la red.

Un recibo que explique el acceso

Como recomendación editorial, APNIC podría emitir un recibo de decisión de acceso IRT. No es un compromiso publicado. El recibo ocultaría las direcciones y nunca incluiría el código, pero conservaría:

  • hora de la decisión y referencia privada de la cuenta;
  • claves y versiones de los objetos IRT examinados;
  • identificadores enmascarados o hash de los correos;
  • último evento exitoso, estado vigente y fecha de efecto;
  • vencimientos a seis meses, 15 días y 30 días;
  • versiones de ámbito, agregación y política;
  • instantánea exacta leída por APNIC Login;
  • resultado, código de motivo y fuente de la decisión; y
  • referencias a revisión, corrección o sustitución.

La fuente permitiría distinguir, durante la migración, una evaluación viva de un resultado heredado de la marca antigua. APNIC podría comparar ambas rutas, clasificar sus diferencias y retirar la anterior solo cuando las discrepancias sin explicación fueran mínimas.

No todos necesitan ver lo mismo. El miembro puede recibir objetos, contactos ocultos y plazos. El soporte puede acceder a referencias de eventos. Una prueba externa podría limitarse a la huella del recibo y un estado tipificado. Hacer una decisión auditable no exige publicar el buzón.

Fuentes