Resumen

  • La política actual de APNIC comprueba que se puede contactar con un objeto IRT. Prop-171 plantea otra prueba: cuando los recursos pasan a una red descendente, ¿puede la denuncia viajar desde ese contacto hasta quienes pueden investigar?
  • APNIC 62 devolvió el texto a la lista de correo sin consenso. Quedan abiertas la definición de «ruta operativa fiable», la evidencia del reenvío y la función de verificación de la Secretaría.

Un mensaje entregado aún puede quedarse en el lugar equivocado

Un correo puede llegar a su destino y hasta recibir acuse de recibo, sin que el destinatario tenga acceso a la red afectada, autoridad para ordenar un cambio o un canal conocido hacia quien la opera. En el registro, el contacto parece activo. En la operación, el informe puede haberse detenido antes de encontrar a alguien capaz de investigar.

Ese es el punto de partida de APNIC prop-171, «Operational Accountability for Abuse Contacts in Sub-Allocated Address Space». APNIC-127 exige un objeto Incident Response Team (IRT) para cada registro de recursos y valida periódicamente el contacto publicado. Superar esa comprobación muestra que una dirección responde; no prueba que una denuncia vaya a la organización que conoce el cliente, el prefijo, el router o el servicio implicado.

La separación aparece cuando un titular asigna espacio de direcciones o conectividad a otra organización. El proveedor mayorista puede conservar el registro y operar una mesa central de abuso; la entidad descendente puede manejar los sistemas reales. A veces hay más de un intermediario. Whois ofrece una puerta de entrada, pero no enseña por sí solo qué ocurre después de cruzarla.

Los autores de prop-171 afirman, a partir de datos operativos, que una proporción significativa de ciertos informes de APNIC sobre contactos IRT que no responden o no funcionan procede de espacio subasignado. El texto no presenta recuentos, denominador, periodo, método de muestreo ni datos que permitan verificar esa afirmación de forma independiente. Debe atribuirse a los autores; no es una medición demostrada para la región ni para todos los informes de abuso.

La obligación propuesta y sus límites

El principio propuesto es que, cuando una organización descendente utiliza los recursos, el titular ascendente asegure una ruta operativa fiable desde el contacto registrado hasta la parte que debe gestionar los informes relativos a ellos. No impone un único diseño. Puede existir un contacto del operador descendente, una mesa central que identifique al cliente y remita el mensaje, o un mecanismo distinto, siempre que los avisos legítimos lleguen sin demora indebida a quien corresponda.

La flexibilidad importa: un proveedor de alojamiento, un operador mayorista, una empresa y un proveedor de servicios gestionados no organizan del mismo modo sus equipos. Tampoco se propone publicar cada dirección de clientes descendentes. Es posible hacer localizable un equipo de seguridad sin exponer datos personales o el mapa interno de escalado.

El texto dice que no cambiaría el intervalo de validación vigente ni crearía una auditoría o un mecanismo nuevo de cumplimiento. APNIC no se convertiría en investigador de incidentes y la Secretaría no recibiría nuevas facultades sancionadoras. Pero la exclusión no resuelve cómo se prueba la ruta. Podría exigirse una prueba controlada entre buzón y equipo, un registro de escalado o un acuse de recepción. Cada alternativa tiene costes, implicaciones de privacidad y posibilidades de cumplimiento meramente formal. Un campo de contacto no basta para observar el siguiente salto.

La evaluación de impacto de la Secretaría señala justamente que «ruta operativa fiable» carece de definición y método de validación. Además, prop-171 no fija un tamaño mínimo para una subdelegación. Una organización grande puede tener muchos segmentos, operadores y contactos; un mismo prefijo también puede devolver varias opciones. Cuanto más granular sea la obligación, más claro debe ser qué información mantiene el titular y qué evidencia cuenta como transmisión cumplida.

La lista de correo deja una decisión de diseño

La evaluación también señala que las reglas existentes ya pueden cubrir algunos casos. El titular puede crear objetos IRT para clientes o usar el suyo cuando sigue a cargo. Prop-125 mantiene la responsabilidad de validación del titular ascendente si el contacto descendente es inválido o no responde. Sin embargo, la política actual no define con la misma claridad quién responde por el paso posterior a un contacto válido. Prop-171 intenta cubrir esa zona, aunque el lenguaje podría leerse como una expectativa de aplicación adicional pese a que el texto niega crearla.

En APNIC 62, el Policy SIG no alcanzó consenso y devolvió prop-171 a la lista. No fue una adopción, pero tampoco una conclusión de que el problema planteado fuera falso. La ficha individual aún conserva «For Discussion at APNIC62 OPM», mientras la página general refleja el resultado posterior. Esa etiqueta antigua es una discrepancia de mantenimiento; el informe de resultados y la lista actual son la referencia para el estado.

La próxima versión sería más comprobable si separara cuatro hechos: quién figura como titular; quién opera la red; quién recibe y reenvía el informe; y qué registro demuestra el traspaso. También debería explicar cómo se interpreta «sin demora indebida». No toda incidencia necesita el mismo plazo, pero la expresión requiere un procedimiento que pueda examinarse.

La recepción no equivale a resolución. Un registro puede hacer localizable un contacto y mantenerlo vigente, pero no puede decidir si una denuncia es correcta, si una acción está justificada o qué debe revelar un equipo durante su investigación. Una prueba de entrega debería confirmar que el aviso alcanzó a la parte responsable, sin convertir a APNIC en árbitro del fondo ni exponer datos de clientes.

APNIC-127 ya exige contactos atendidos y una validación cada seis meses. No es una regla vacía. Prop-171 pregunta si la responsabilidad que da sentido a ese contacto se extiende al siguiente paso. Sin consenso en APNIC 62, la diferencia entre «localizable» y «responsable» sigue pendiente de una definición verificable y proporcionada.

Fuentes

  • APNIC, ficha de prop-171 y estado publicado. Enlace
  • APNIC, texto v001 de prop-171 y evaluación de la Secretaría. Texto
  • APNIC 62, informe oficial. Informe
  • APNIC Blog, resultados del Policy SIG en APNIC 62, 25 de septiembre de 2026. Artículo
  • APNIC-127, política vigente. Políticas
  • APNIC, registro de prop-125. Enlace
  • APNIC, estado de las propuestas. Lista
  • APNIC, proceso de desarrollo de políticas. Proceso
  • Heng Lu, Note 65, «Running-Code Primacy» (solo como lente editorial). Enlace