Resumen

  • AFRINIC publicó AFPUB-2018-GEN-001-DRAFT03 el 5 de junio de 2019. La publicación permite estudiar la propuesta, pero no demuestra que obtuviera consenso, fuera ratificada, se aplicara o produjera sanciones.
  • La innovación institucional de Draft 3 fue distinguir la validación del canal registrado de la gestión sustantiva de una denuncia. Un mensaje entregado, una respuesta automática o un acuse no prueban ni desmienten el hecho denunciado.
  • La validación periódica tiene una finalidad legítima y estrecha: reducir el coste de localizar a una función operativa. El remedio proporcionado a un contacto defectuoso es corregir o marcar ese dato, no restringir derechos ajenos al defecto.
  • AFRINIC es una entidad privada de coordinación técnica y llevanza registral. Puede verificar control y accesibilidad del contacto; carece de autoridad soberana, regulatoria, policial, punitiva, confiscatoria o jurisdiccional para decidir una controversia de abuso.
  • El diseño más sólido separa entrega, control autenticado, acuse, clasificación, remediación y adjudicación; incorpora aviso, plazo de subsanación y revisión del procedimiento sin convertir el registro en tribunal.

Una publicación, no una condena

El acto concreto fue modesto y, precisamente por eso, conviene nombrarlo con precisión. El 5 de junio de 2019, AFRINIC publicó AFPUB-2018-GEN-001-DRAFT03, la tercera versión de la familia de propuestas denominada Abuse Contact Policy Update. Jordi Palet Martinez figuraba como autor de esa familia. Lo que el registro documental permite afirmar es que apareció un tercer borrador en esa fecha. No permite convertir la publicación en un voto favorable, una decisión del consejo, una regla vigente, una puesta en producción ni un expediente de incumplimiento. Tampoco identifica a un miembro sometido a la propuesta o privado de una función del registro.

La cautela verbal importa porque una propuesta de política vive en varios tiempos. Primero alguien formula un texto. Después puede discutirse, revisarse, abandonarse, alcanzar o no consenso, recibir o no ratificación, traducirse o no a procedimientos operativos y, finalmente, aplicarse a hechos concretos. Cada paso requiere evidencia propia. Si se contrae toda esa secuencia en la frase «AFRINIC hizo», el lector recibe una historia más contundente que la documentada. Draft 3 es relevante no porque se haya probado un castigo bajo sus cláusulas, sino porque su redacción reconoció una frontera que toda arquitectura de validación debería respetar.

Esa frontera aparece entre dos preguntas. La primera es registral: ¿el dato público dirige a una vía que funciona y está vinculada a una persona o función autenticada para mantenerlo? La segunda es sustantiva: ¿ocurrió el abuso alegado, quién controlaba el servicio, qué pruebas son suficientes y fue adecuada la respuesta? La primera puede resolverse mediante pruebas de entrega y control. La segunda exige contexto técnico, atribución, conservación de registros, apreciación de pruebas y, en determinados casos, autoridad legal. Que ambas preguntas lleguen por el mismo buzón no las convierte en una sola.

Para entender por qué la precisión de Draft 3 era necesaria hay que retroceder un paso, pero no quedarse allí. Draft 2, publicado el 20 de noviembre de 2018, trataba el campo abuse-c y un buzón de abuso activamente gestionado como parte de los datos propuestos del registro. Preveía validación al crear o actualizar el contacto, al menos cada seis meses y también cuando AFRINIC lo considerara necesario. Su texto normativo daba hasta quince días para el desafío inicial y hasta otros quince tras la escalada. A la vez, un ejemplo conservaba una secuencia de dos días laborables más tres días hábiles. La discordancia entre el reloj normativo y el ejemplo era un problema de claridad dentro de aquel borrador, no una licencia para atribuir cualquiera de los dos plazos a Draft 3.

El aspecto institucional más delicado de Draft 2 no era el mero calendario. Su diseño conectaba sospechas de manipulación de la validación, respuestas consideradas incorrectas o ausencia de respuesta a casos de abuso con revalidación, intermediación de AFRINIC y el posible uso de otros procedimientos. De ese modo, la comprobación del directorio podía empezar a absorber una evaluación de conducta. El registro ya no preguntaría solamente si una puerta estaba allí; podría acabar preguntando si quien estaba detrás de la puerta actuó de forma satisfactoria.

La evaluación de AFRINIC fechada el 20 de abril de 2019 mostró que el riesgo no era abstracto. El análisis del personal indicaba que la restricción de cuenta propuesta podía inhabilitar funciones de MyAFRINIC, incluida la capacidad de votar. El asesor jurídico consideró desproporcionada la pérdida de derechos de voto por no actualizar un contacto, aunque señaló que esa consecuencia no era ilegal conforme al derecho de Mauricio. Son dos afirmaciones distintas: legalidad no equivale a proporcionalidad, y una evaluación previa no demuestra que una sanción se ejecutara.

Su valor aquí consiste en revelar la distancia potencial entre el defecto —un dato de contacto— y las consecuencias —funciones corporativas o registrales más amplias— que rodeaba la discusión antes de Draft 3.

Fue en ese contexto donde la tercera versión introdujo su aclaración esencial: la validación del contacto registrado debía separarse del modo en que un operador trataba sustantivamente una denuncia. No hace falta exagerar el cambio para reconocer su importancia. Draft 3 no creó un tribunal mejor; identificó que el tribunal no pertenecía a esa prueba. Tampoco basta con describirlo como una mejora editorial. En una infraestructura que concentra datos y servicios de coordinación, la separación entre comprobar el canal y juzgar el caso determina qué clase de poder puede ejercerse.

Seis verbos que no significan lo mismo

La confusión comienza cuando «responder» se usa para describir operaciones diferentes. Una política precisa debería distinguir al menos seis etapas.

Entrega significa que el sistema de correo aceptó un mensaje para el destino declarado, o que la prueba técnica no produjo un rechazo definitivo. Es una señal útil, pero estrecha. Puede fallar por un problema temporal del proveedor, una avería de DNS, una regla antispam o una cuota saturada. También puede tener éxito aunque nadie responsable lea el mensaje.

Control autenticado significa que una persona autorizada para mantener el registro puede completar un desafío o confirmar el canal. Es más fuerte que la mera entrega porque enlaza el buzón con el titular registral. Aun así, no demuestra quién operaba la dirección IP, el servicio o el equipo al que se refiere una queja en el momento relevante.

Acuse significa que el destinatario confirma la recepción. Puede ser automático o humano. Reduce la incertidumbre del remitente, pero no certifica que los adjuntos sean legibles, que los datos permitan investigar ni que el incidente se haya reproducido. Un acuse es una promesa de entrada al proceso, no el resultado del proceso.

Clasificación o triaje significa que una función operativa identifica el tipo de informe, elimina duplicados, estima urgencia, verifica que la información mínima esté presente y lo asigna al equipo que posee los registros pertinentes. Esta etapa puede requerir distinguir un escaneo automatizado de una intrusión, una suplantación de una atribución fiable o un cliente alojado de la red que lo conecta. El registro regional no posee necesariamente esos datos.

Remediación significa que la parte competente adopta una medida: preservar registros, aislar un sistema, avisar a un cliente, corregir una configuración, rechazar la alegación o solicitar más información. La medida adecuada depende de hechos que rara vez caben en la telemetría de una prueba de buzón. Incluso una intervención correcta puede no ser visible al denunciante si divulgarla compromete una investigación, datos personales o la seguridad de la red.

Adjudicación significa decidir hechos controvertidos, atribuir responsabilidad, determinar deberes y, si procede, imponer o confirmar una consecuencia. Es una función cualitativamente diferente. Requiere reglas sobre competencia, prueba, contradicción, motivación, recurso y proporcionalidad. Un desafío de correo no contiene ninguna de esas garantías.

La aportación de Draft 3 puede leerse como un rechazo a que esas seis etapas colapsen en una única columna llamada «válido». Un contacto puede ser entregable y estar autenticado, pero recibir un informe incompleto. Puede acusar recibo y necesitar semanas para correlacionar registros. Puede remediar un problema sin aceptar la descripción jurídica del denunciante. También puede ser temporalmente inaccesible aunque el equipo opere con diligencia. Ninguna de esas combinaciones autoriza a deducir culpabilidad de una señal diseñada para otra cosa.

Qué sabía el registro y qué no sabía

Una prueba de contacto produce evidencia sobre el trayecto de la prueba. Sabe la dirección utilizada, la hora de envío, la respuesta del servidor, quizá la finalización de un token y la identidad registral de quien actualizó el campo. No sabe por sí sola si una dirección fuente fue falsificada, si un cliente controlaba el sistema, si el comportamiento violaba una ley o contrato, ni si una medida silenciosa fue adecuada. La fuerza probatoria termina donde termina el diseño del test.

Esta limitación protege también al denunciante. Si AFRINIC tratara un acuse como prueba de remediación, una organización podría superar la validación con una respuesta automática y seguir ignorando informes útiles. El contacto estaría técnicamente abierto pero operativamente vacío. Draft 3 no debe interpretarse como una invitación a fingir que todo buzón entregable sirve. Su lección es más exigente: hay que mejorar la información sobre la accesibilidad sin falsificar certeza sobre la sustancia.

Los actores ocupan posiciones diferentes. Los titulares de recursos y sus contactos autenticados son responsables de mantener datos alcanzables. Los operadores de red y sus mesas de abuso pueden acceder a registros, clientes, configuraciones y personal de respuesta. Los denunciantes y las redes afectadas necesitan una ruta que no termine en silencio. Los usuarios y clientes aguas abajo pueden sufrir tanto por un abuso no tratado como por una atribución errónea o una interrupción excesiva.

El personal de AFRINIC puede ejecutar una comprobación coherente del registro, pero no adquiere conocimiento fáctico de todas esas capas por enviar un mensaje.

La incertidumbre del expediente debe permanecer visible. No hay constancia aquí de un incidente de abuso específico, de un actor malicioso, de una selección arbitraria para validar, de una interrupción causada por Draft 3 ni de una pérdida financiera mensurable. Tampoco se ha demostrado que el tercer borrador alcanzara consenso o fuera utilizado contra un miembro. El análisis puede explicar cómo funcionaría una extralimitación y qué costes podría crear; no puede presentar esos mecanismos previsibles como sucesos ocurridos en 2019.

El futuro no reescribe el borrador

La familia de la propuesta continuó. El registro posterior de AFRINIC identifica una séptima versión fechada el 17 de mayo de 2021. Mucho después, la vista de políticas ratificadas sitúa la ratificación de Draft 7 el 4 de febrero de 2026. Esos hitos sirven para ubicar la trayectoria de la propuesta, no para completar retrospectivamente las casillas que faltan en 2019.

Una versión posterior puede contener soluciones, remedios o formulaciones que la tercera no contenía. Importarlas hacia atrás produciría un documento imaginario. Del mismo modo, la ratificación de Draft 7 no convierte a Draft 3 en norma vigente seis años y ocho meses antes. En este ensayo, los hechos de 2021 y 2026 cumplen una sola función: mostrar que la familia tuvo una vida posterior y recordar que las versiones son unidades documentales distintas.

Por ello, el objeto de estudio sigue siendo estrecho: la publicación de Draft 3 y su separación entre validación y tratamiento. No es una historia general del contacto de abuso, ni de todas las revisiones de la propuesta, ni de la futura escalada contractual, ni de la ratificación final. Mantener ese perímetro permite apreciar la decisión conceptual sin atribuirle efectos que pertenecen a otro texto o a otro momento.