Resumen

  • AFRINIC informó que el 4 de febrero de 2026 su Consejo ratificó la Versión 7 de la actualización de la política de contactos de abuso. El texto obliga a que los objetos inetnum, inet6num y aut-num remitan a un abuse-c, permite la herencia desde un objeto padre en determinados casos y exige un buzón público, válido, supervisado y gestionado activamente. También prevé comprobaciones al crear o actualizar el dato, al menos una vez cada seis meses y cuando AFRINIC lo considere oportuno, además de una escalada a otros contactos del LIR tras un primer fallo.
  • El núcleo útil de la medida es estrecho: AFRINIC, como tenedor del registro, puede exigir el contacto, registrar su relación con el recurso, comprobar de forma objetiva que el buzón es alcanzable, notificar errores y facilitar su corrección. No tiene soberanía ni poder policial, punitivo o ejecutivo. La ratificación anunciada prueba que AFRINIC publicó un acto y un texto; no demuestra por sí sola la legitimidad general del Consejo, la implantación técnica, la eficacia frente al abuso ni la licitud de consecuencias adversas. Las decisiones de 2021 y 2022 sobre apelaciones fueron procesales y no resolvieron las objeciones de fondo.

Una decisión concreta, no una licencia general

La noticia institucional parece sencilla. AFRINIC publicó que el Consejo que reconoce como vigente ratificó, el 4 de febrero de 2026, la propuesta AFPUB-2018-GEN-001-DRAFT07. El índice vigente de propuestas la marca como ratificada, y el boletín de febrero volvió a atribuir al Consejo la ratificación tanto de esta actualización como de una propuesta separada sobre transferencias. Un comunicado posterior, fechado el 18 de febrero, sostuvo además que el Consejo estaba debidamente constituido, que se había restablecido el grupo de desarrollo de políticas y que la ratificación seguía un consenso documentado.

Esos materiales permiten afirmar con alta seguridad que AFRINIC comunicó el acto. No permiten convertir todas las afirmaciones institucionales que lo rodean en hechos ya juzgados por una autoridad independiente.

La precisión importa porque la palabra «ratificada» puede hacer demasiado trabajo. Puede designar un paso corporativo dentro del mecanismo que AFRINIC utiliza para adoptar políticas. No significa, sin más, que el sistema informático esté funcionando, que cada titular haya recibido aviso, que exista una fecha efectiva publicada, que las comprobaciones sean seguras o que el Consejo disponga de jurisdicción pública sobre quienes operan redes. Tampoco demuestra que la versión transmitida al Consejo coincida en cada punto con la publicada.

En el registro público examinado no aparece por separado la resolución, el acta de la reunión, el quorum, la votación ni un instrumento firmado que permita reconstruir el acto con ese grado de detalle. La comunicación institucional cierra una pregunta —qué dijo AFRINIC que ocurrió— y deja abiertas varias más.

Los estatutos sitúan la ratificación del Consejo después de la discusión y el acuerdo dentro del proceso regional de políticas. También contemplan una vía distinta para una adopción necesaria y urgente. AFRINIC presenta lo ocurrido el 4 de febrero como ratificación de propuestas con consenso documentado, no como ejercicio de aquella vía urgente. Esa arquitectura interna ayuda a identificar el tipo de acto que AFRINIC afirma haber realizado. No crea legislación, policía ni tribunales para Internet.

Una sociedad que mantiene un registro puede establecer las condiciones técnicas de ese registro dentro de relaciones definidas; no adquiere por ello la soberanía de los Estados, el mandato de los clientes ni el poder de determinar por sí sola qué conducta es ilícita.

Esta diferencia no es retórica. El registro de números de Internet es una infraestructura de coordinación: asocia recursos, titulares y contactos para que distintos actores puedan encontrar información común. Su fuerza práctica nace de que otros sistemas y organizaciones confían en esas entradas. Precisamente por esa dependencia, una etiqueta administrativa puede proyectar efectos muy superiores al dato que describe. Si la etiqueta dice únicamente «este buzón recibió la prueba técnica el día indicado», informa sobre el registro.

Si pasa a sugerir «este operador atiende correctamente el abuso» o «este titular merece una consecuencia», ha dejado de describir un dato verificable y ha empezado a juzgar una realidad que el registrador no controla.

Qué obliga a registrar la política

La Versión 7 reemplaza la dependencia del mecanismo IRT, cuya referencia era opcional y poco utilizada, por un atributo abuse-c obligatorio. Los objetos afectados son inetnum, para IPv4; inet6num, para IPv6; y aut-num, para sistemas autónomos. El contacto puede estar asociado directamente al objeto o heredarse de un objeto padre para objetos hijos cuando resulte apropiado. La síntesis de AFRINIC extiende el conjunto afectado a miembros con IPv4, IPv6 o ASN, titulares de recursos heredados y nuevos solicitantes. En el caso de estos últimos, el contacto entraría en el proceso de solicitud. El objetivo inmediato es que una búsqueda del recurso conduzca a un punto de recepción reconocible sin depender de que cada organización haya adoptado voluntariamente una estructura adicional.

El abuse-c remite a una persona o a un rol con al menos un buzón de abuso válido. El texto no se conforma con la existencia nominal de la dirección: exige que esté supervisada y gestionada activamente para recibir informes de abuso y seguridad. El buzón debe estar disponible sin restricciones mediante WHOIS, interfaces de programación y técnicas futuras. La publicación amplia reduce el coste de localizar al destinatario correcto, pero aumenta la exposición a correo no deseado, suplantación, acoso y campañas automatizadas. Por eso, un contacto basado en un rol, con datos personales mínimos y protección operativa, puede ofrecer mejor equilibrio que la exposición innecesaria de una persona concreta.

La política regula también la forma en que el buzón recibe mensajes. Indica que estos deben requerir la intervención del destinatario, que quien informa no debe verse obligado a completar un formulario y que el canal ha de aceptar registros, ejemplos, cabeceras u otros elementos relacionados. Esas condiciones buscan evitar direcciones que sólo devuelven una respuesta automática o que desvían al remitente a un circuito inaccesible. Sin embargo, mezclan dos preguntas distintas. La primera es objetiva: ¿puede entregarse un mensaje ordinario al buzón publicado?

La segunda es conductual: ¿qué debe hacer la organización al recibirlo y de qué manera debe organizar su proceso de respuesta? AFRINIC puede contestar legítimamente la primera en su calidad de tenedor del registro. La segunda pertenece al operador, a sus contratos, a la ley aplicable y, cuando proceda, a autoridades con competencia real.

La herencia desde objetos padre añade eficiencia y riesgo a la vez. Evita obligar a repetir el mismo contacto en miles de objetos hijos cuando una sola unidad operativa atiende todos los informes. Pero puede dirigir una alerta al titular del bloque superior aunque la operación efectiva esté delegada, subasignada o en manos de un cliente. Un nombre en el registro no prueba que esa entidad genere el tráfico, controle al usuario final o pueda ejecutar la solución solicitada. Un diseño riguroso debe distinguir al titular, al operador, al cliente descendente y al contacto delegado cuando esas funciones no coinciden.

La simplificación del directorio no puede borrar la complejidad de la cadena operativa.

La comprobación: calendario, escalada y discreción

El texto ratificado prevé validar el contacto al crearlo, al actualizarlo, de forma periódica al menos una vez cada seis meses y siempre que AFRINIC lo considere oportuno. La frecuencia mínima equivale a dos comprobaciones programadas en doce meses si el modelo se implanta sin cambios, pero no es una cifra observada ni un límite máximo. El mismo texto permite ajustar periodos y frecuencia mediante un arranque gradual comunicado y admite una implantación por fases. Por tanto, nadie puede deducir del documento cuántas pruebas se realizaron realmente en 2026, sobre qué cohortes, con qué software o bajo qué reglas de repetición.

Cuando una primera validación falla, la política contempla un periodo que no excede de quince días y después una escalada a otros contactos del LIR durante otro periodo de hasta quince días. La suma visual de ambos intervalos invita a hablar de treinta días, pero sería inexacto describirla como una cura legal automática y garantizada. Los plazos pueden estar sujetos a transición, la recepción efectiva de un aviso no está demostrada y la documentación pública no aclara cómo se tratan rebotes temporales, filtrado gris, cuarentenas, puertas de seguridad, respuestas fuera de oficina o fallos del proveedor de correo.

Dos ventanas máximas escritas no sustituyen un procedimiento publicado de entrega, repetición, prueba y corrección.

También se abre una vía externa. Un tercero puede comunicar que un buzón no responde, responde selectivamente o presenta alguno de los fallos descritos, y esa comunicación puede provocar una nueva validación por AFRINIC. La idea tiene una lógica útil: quienes intentan emplear el directorio son a menudo los primeros en descubrir que el dato está obsoleto. Pero una alerta externa es una entrada de evidencia, no un veredicto. Puede provenir de un equipo de seguridad diligente, de una automatización defectuosa, de un rival comercial, de un actor que envía material insuficiente o de una campaña de hostigamiento.

Sin un umbral publicado, controles contra el abuso del canal y un historial auditable, la revalidación puede convertirse en una superficie de presión estratégica.

El problema central de la cláusula «cuando AFRINIC lo considere oportuno» no es que toda discreción sea ilegítima. Un rebote objetivo, una modificación del objeto o una señal técnica creíble justifican una comprobación extraordinaria. El problema es la falta de contorno visible. La discreción compatible con un registro requiere una lista pública de desencadenantes, límites de frecuencia, razones registradas, identidad verificable del emisor de la prueba, reintentos, notificación y acceso a corrección.

Sin esos elementos, el titular no sabe si el estado refleja un fallo técnico, una acusación externa, una interpretación del comportamiento o una decisión administrativa. La opacidad amplifica el poder del tenedor del registro sin añadir precisión al dato.

Una superficie que atraviesa varios sistemas

La evaluación de impacto del personal no describía un cambio menor en una columna. Anticipaba modificaciones en WHOIS, MyAFRINIC, el portal de gestión de recursos numéricos, las reglas de emisión y actualización de recursos, los formularios de subasignación y asignación y las herramientas de validación. Cada punto añade una posible fuente de divergencia. Un contacto puede existir en una interfaz y faltar en otra; una modificación puede aceptarse en el portal pero no propagarse al registro público; una herencia puede mostrarse de manera distinta según la consulta; una prueba puede dirigirse al valor anterior durante una transición.

La calidad depende de la consistencia entre estos sistemas, no sólo de la redacción de la política.

La superficie de control se reparte entre varios actores. El Consejo que AFRINIC presenta como vigente realizó el acto comunicado. El grupo de políticas y sus presidencias condujeron la discusión, los llamados de consenso y la última llamada. El personal tendría que convertir el texto en campos, formularios, avisos y comprobaciones. Los titulares mantienen los datos y reciben notificaciones. Los denunciantes y equipos de seguridad emplean el contacto y pueden activar una revalidación. Los terceros que consultan WHOIS u otras interfaces consumen el estado resultante. Ninguno de esos papeles equivale al otro.

El informante no es juez; el contacto no es confesión; el administrador del registro no es policía; el Consejo no es legislador soberano.

Una implantación responsable debe tratar cada transición como un evento demostrable. El alta del contacto debería conservar quién estaba autorizado para efectuarla. Cada cambio tendría fecha, valor anterior, valor nuevo y vía de autorización. Una validación mostraría qué propiedad se comprobó: resolución del dominio, aceptación SMTP, entrega, lectura humana o respuesta. Esas propiedades no son intercambiables. Un servidor puede aceptar un mensaje que luego clasifica como correo no deseado; una persona puede leerlo sin responder porque faltan datos; una respuesta puede existir sin conceder la solución reclamada.

Presentar todas estas situaciones bajo una única etiqueta de «válido» o «incumplidor» sería confundir la comodidad administrativa con la verdad.

La seguridad del propio mecanismo merece el mismo rigor. Una prueba periódica puede ser imitada por campañas de suplantación. Un enlace o token mal diseñado puede enseñar a los operadores a pulsar mensajes peligrosos. Una dirección pública puede recibir archivos maliciosos disfrazados de pruebas. La exigencia de aceptar cabeceras, registros y ejemplos tiene valor operativo, pero también obliga a separar el canal de ingestión de los sistemas sensibles. El documento público examinado no cierra la identidad del remitente, el diseño de tokens, los reintentos, las categorías de error ni las medidas contra la suplantación.

La ausencia no prueba que AFRINIC carezca de controles privados; significa que los usuarios no pueden evaluar todavía el modelo publicado.

El largo trayecto hasta febrero de 2026

La política no apareció de repente. En mayo de 2011 el Consejo de AFRINIC ratificó un mecanismo anterior basado en un objeto IRT dedicado, pero la referencia en los objetos de recursos siguió siendo opcional. La primera versión de la actualización se presentó el 12 de agosto de 2018. En la reunión pública de junio de 2019 se discutieron la obligatoriedad, la transición desde IRT y las preguntas sobre validación. Las actas de la reunión siguiente, en noviembre de 2019, ya recogían el periodo de quince días, la escalada a otros contactos, la frecuencia semestral y dudas acerca de las consecuencias.

La Versión 7 se presentó el 17 de mayo de 2021 con aclaraciones y flexibilidad para una implantación gradual.

En 2021 el proceso registró un consenso, pero una apelación conservó objeciones sustantivas sobre duplicación, falta de definición de abuso, carga para los operadores, alcance y transformación del registrador en policía de la conducta. El 29 de noviembre de 2021, el comité correspondiente dejó sin efecto la apelación por razones de admisibilidad: consideró que el asunto no se había tratado primero con las presidencias o con el grupo y que quienes apoyaban la apelación no habían participado en las discusiones de la política. El comité dijo expresamente que no necesitaba entrar en el fondo.

Esa frase impide utilizar el desenlace como prueba de que las objeciones sustantivas fueron examinadas y rechazadas.

Otra apelación, en 2022, cuestionó la determinación de consenso durante una última llamada ampliada. El 13 de julio de ese año también fue apartada por no demostrarse un intento previo de resolver el asunto con las presidencias o el grupo. De nuevo, el comité declaró que no era necesario profundizar en el fondo. Puede existir cierre procesal sin resolución sustantiva. También puede existir una objeción persistente sin que eso pruebe que la política sea inválida.

La forma honesta de narrar el expediente es mantener ambas proposiciones: los recursos no prosperaron por requisitos procesales, y las cuestiones sobre el límite entre contacto y vigilancia operativa no recibieron una decisión de fondo en esos informes.

El 4 de febrero de 2026 llegó la ratificación comunicada. El índice de propuestas ofrece el estado «ratificada»; el resumen institucional explica a quiénes afectaría y el boletín confirma el anuncio. El comunicado del 18 de febrero aporta la posición de AFRINIC sobre la constitución del Consejo, la recuperación del proceso y el interés público. Nada de eso equivale a un acta independiente de despliegue.

Hasta el 10 de agosto de 2026, el material público examinado no cerraba una fecha efectiva separada, una circular de implantación, una versión de software en producción, estadísticas de cobertura, resultados de validación, tasa de falsos positivos, rendimiento de las correcciones, práctica de apoyo durante una incidencia ni una vía independiente de revisión operativa.

Los números explican el problema, no el resultado

La evaluación histórica del personal mostraba por qué un modelo voluntario podía producir un directorio incompleto. Contabilizaba 139.268 objetos inetnum, de los que 232 estaban protegidos por MNT-IRT: aproximadamente el 0,1666 %. Para inet6num, registraba 31.230 objetos y 33 con esa protección, alrededor del 0,1057 %. Para aut-num, eran 1.915 objetos y 32, aproximadamente el 1,6710 %. Son proporciones muy bajas, aunque no todas miden exactamente lo mismo que la nueva referencia abuse-c. Sirven como línea histórica del mecanismo anterior, no como medida del cumplimiento posterior a la ratificación.

La misma evaluación indicaba que 28 de 1.857 miembros de recursos habían adoptado el mecanismo anterior, cerca del 1,5078 %. También señalaba que 27 de 42 objetos IRT estaban referenciados, aproximadamente el 64,2857 %. La primera fracción es de miembros; la segunda, de objetos IRT ya creados. Mezclarlas produciría una conclusión falsa. Un alto porcentaje de referencias entre los pocos objetos IRT existentes no corrige la baja adopción entre miembros ni demuestra que los buzones respondieran.

A su vez, la baja adopción no prueba mala fe: un sistema opcional puede fallar por costes de transición, desconocimiento, complejidad o escaso valor percibido.

En la reunión de 2021 se mencionaron 1.738 miembros de recursos con ASN como conjunto esperado para proporcionar contactos. Ese valor no puede restarse de los 1.857 de la evaluación anterior ni convertirse en tendencia, porque proceden de fechas, categorías y contextos diferentes. Mucho menos puede utilizarse como denominador actual en 2026. La disciplina numérica obliga a conservar la fecha y la población de cada cifra. No hay en el material examinado un total actual reconciliado de objetos o miembros, ni una medida posterior a febrero que permita saber qué porcentaje posee un abuse-c, cuántos contactos superaron la prueba o cuántos errores se corrigieron.

La afirmación de impacto financiero nulo que figura en la evaluación tampoco verifica que la medida sea gratuita. Cambiar sistemas, capacitar personal, mantener buzones humanos, filtrar correo, clasificar informes de múltiples jurisdicciones, coordinar clientes y atender comprobaciones periódicas tiene costes fijos y variables. Para una gran red pueden repartirse entre equipos existentes; para un operador pequeño pueden concentrarse en pocas personas. AFRINIC también asumiría costes de desarrollo, soporte, seguridad y tratamiento de disputas.

La ausencia de una estimación pública no autoriza a inventar una cifra, pero sí impide presentar el coste como resuelto.

El mejor argumento a favor de una regla exigente

El argumento contrario más sólido empieza con la experiencia de una víctima o de un equipo de respuesta que sólo dispone de una dirección IP. Sin un contacto uniforme, público y actualizado, debe buscar nombres, intermediarios o formularios, enviar mensajes a destinatarios equivocados y perder tiempo mientras continúa un incidente. La adopción históricamente baja del modelo IRT sugiere que la voluntariedad no produjo una cobertura útil.

Exigir un campo estándar, comprobarlo periódicamente y asegurar que lo atienda una persona podría reducir el coste de búsqueda, acelerar la coordinación y evitar que la propia AFRINIC reciba consultas que corresponden al operador. Los titulares se benefician del sistema común de numeración y mantener un canal alcanzable parece una obligación operativa modesta.

Ese argumento merece ser aceptado en su núcleo. Un análisis que negara el valor de la localización sería débil y confundiría el rechazo a la expansión de poder con una defensa de registros inexactos. La obligación de publicar un contacto asociado al recurso cabe dentro de la función registral. También cabe una prueba objetiva de entrega, una notificación al titular y un mecanismo para corregir una dirección caducada. La intervención humana puede recomendarse como buena práctica y ser necesaria dentro de la organización para que el canal resulte útil.

El registrador, sin embargo, no necesita juzgar la calidad de la investigación o la respuesta para saber si su entrada es verdadera y alcanzable.

La frontera aparece cuando el beneficio de localización se utiliza para justificar afirmaciones más amplias. Que un buzón acepte mensajes no demuestra que el destinatario sea responsable del tráfico. Que un informe no reciba respuesta no demuestra que haya sido ignorado: puede carecer de datos, duplicar otro caso, pedir una acción ilegal o dirigirse al actor equivocado. Que una organización utilice un formulario no vuelve inalcanzable su contacto si existe una ruta eficaz y accesible, aunque la política prohíba imponer ese paso al denunciante.

Y que AFRINIC pueda revalidar un dato no le permite determinar el resultado correcto de la gestión de abuso. El argumento favorable sostiene la capa fina; no legitima automáticamente la capa gruesa.

El test de la capa fina

La regla adecuada puede formularse como una serie de preguntas sobre verdad registral. ¿Existe un contacto unido al objeto correcto? ¿La persona o el rol están autorizados para mantenerlo? ¿La dirección acepta un mensaje de prueba ordinario? ¿La comprobación tiene fecha, identidad verificable y resultado comprensible? ¿El titular recibe aviso antes de que un fallo temporal se convierta en estado adverso? ¿Puede corregir el dato mediante un canal que sigue disponible durante la incidencia? ¿Existe una revisión humana cuando la automatización no distingue entre rebote permanente y protección temporal?

Todo ello mejora el registro sin decidir quién tiene razón en una controversia sobre tráfico.

AFRINIC puede exigir, registrar y corregir el contacto; también puede probar su alcanzabilidad objetiva. Debe limitar la descripción del resultado a lo que la prueba demuestra. «Entrega SMTP aceptada» es una afirmación técnica. «Confirmación recibida por el rol autorizado» es otra. «Operador diligente» no se deriva de ninguna de las dos. «Informe de abuso válido» tampoco. El lenguaje del estado debe evitar que terceros, mercados o empleados internos confundan una medición estrecha con una certificación amplia. La fecha de la prueba, su alcance y sus límites son tan importantes como la marca de aprobado o fallido.

La regla cruza la frontera cuando evalúa la sustancia de la respuesta, prescribe qué investigación debe realizarse, decide qué pruebas bastan, ordena una medida contra un cliente o interpreta el derecho aplicable. La gestión de una alerta puede involucrar contratos de alojamiento, privacidad, conservación de datos, atribución técnica y leyes de varios países. El operador conoce su arquitectura y su relación con clientes; las autoridades públicas y los tribunales poseen las competencias que les otorgue la ley. AFRINIC no recibe esas competencias por albergar un campo en WHOIS ni por conseguir consenso dentro de su propio proceso.

La misma frontera rige para la comunidad. La participación abierta puede generar conocimiento y acuerdos técnicos valiosos, pero los asistentes a una lista o reunión no se convierten en un soberano regional. No representan automáticamente a cada empresa, usuario o Estado afectado. El Consejo puede cumplir una función corporativa acotada en el proceso de AFRINIC; el título de Consejo no añade jurisdicción ejecutiva. El registro es evidencia y coordinación al servicio de la realidad operativa. No es el autor de la legitimidad de esa realidad.

Cómo se transmite el impacto

Cuando el diseño se mantiene en la capa fina, el mecanismo de impacto es directo. Un investigador encuentra el recurso, obtiene el contacto correcto y envía un informe con los datos necesarios. El operador reduce el tiempo de clasificación porque el mensaje llega al equipo adecuado. AFRINIC recibe menos consultas desviadas. El titular detecta antes una dirección obsoleta. El beneficio se mide mediante cobertura, entregabilidad, tiempo de corrección y proporción de estados revocados tras revisión. Estas métricas hablan de calidad del directorio sin pretender contar delitos evitados ni atribuir a AFRINIC el resultado de cada caso.

Cuando el diseño se vuelve opaco o conductual, el mismo canal produce otra cadena. Un proveedor de correo sufre una interrupción, un filtro rechaza la prueba o un tercero formula una queja. El sistema marca un fallo cuyo significado no está claro. El personal puede tratarlo como señal de cumplimiento y no como incidencia de datos. Otros procesos pueden consumir la etiqueta y retrasar soporte o una operación administrativa. Clientes, socios o compradores pueden interpretar el estado como riesgo sobre los recursos.

Un problema corregible de correo se convierte así en fricción contractual, gasto de personal, incertidumbre para transacciones y preocupación por la continuidad. No se ha demostrado una pérdida cuantificada concreta, pero la vía de transmisión existe por la dependencia del registro.

La publicación irrestricta tiene su propio intercambio. Reduce barreras para los informantes legítimos y para herramientas que automatizan la localización. A la vez, hace que la dirección sea cosechable, expone al equipo a phishing y permite que un atacante estudie tiempos de respuesta. Si luego la falta de respuesta activa una comprobación, el atacante obtiene además una palanca barata para consumir capacidad. El diseño debe favorecer buzones de rol, limitar datos personales, autenticar las pruebas y diferenciar el ruido de una señal técnica. La transparencia del directorio no exige transparencia de los detalles sensibles de cada denuncia.

La economía del contacto tampoco termina en el buzón. Una empresa debe asignar responsables, asegurar cobertura durante vacaciones, conservar el acceso tras cambios de personal, clasificar jurisdicciones, distinguir recursos propios y delegados y documentar correcciones. El modelo de NRS sitúa la exactitud del contacto dentro de una auditoría más amplia de recursos: titularidad, cuentas, rutas, documentación y controles. Esa perspectiva es operativa, no una concesión de soberanía al registrador.

Un operador responsable puede mantener sus datos y actuar ante informes suficientemente detallados sin aceptar la obligación imposible de vigilar a cada usuario o ejercer policía universal sobre contenidos.

La investigación de LARUS aporta el otro extremo de la cadena: los errores o actos discrecionales en la capa registral pueden propagarse hacia el valor del activo, la continuidad del servicio y la dependencia del cliente. Esa observación no prueba que la validación de abuse-c haya causado una pérdida específica. Sí explica por qué la reversibilidad debe diseñarse antes de ampliar el uso de la etiqueta. Los análisis de BTW sobre economía del contacto, registros públicos y transformación de quejas en castigo delimitan riesgos adyacentes; aquí el objeto es más estrecho: el acto del 4 de febrero y la interfaz exacta entre dato, prueba y conducta.

Cinco contrafácticos para evaluar la medida

El primer contrafáctico es mantener el modelo IRT voluntario anterior a 2026. Evitaría una obligación nueva y reduciría el riesgo de que AFRINIC ampliara su papel. Pero las cifras históricas indican una cobertura extremadamente baja. Quien buscara un contacto seguiría soportando costes y demoras, y muchos objetos no conducirían a un canal dedicado. Este escenario demuestra que no basta con pedir buenas prácticas. La crítica a la capa gruesa debe ofrecer una alternativa capaz de producir un directorio útil.

El segundo es una regla fina de directorio. Cada objeto inetnum, inet6num y aut-num apuntaría a un contacto que pueda recibir mensajes ordinarios. AFRINIC comprobaría la entrega al crear el dato, cuando el titular lo modifica, ante un rebote objetivo y en un ciclo anual predecible. Un fallo generaría aviso, reintentos, acceso a corrección y una marca limitada a calidad de datos. Este diseño conserva casi todo el beneficio de búsqueda y reduce el riesgo de que una incidencia técnica se interprete como evaluación del comportamiento.

El tercero es la regla amplia aplicada sin especificación pública. AFRINIC evaluaría supervisión y respuesta, realizaría pruebas cuando lo estimara oportuno y recibiría acusaciones externas sin explicar umbrales ni remedios. El resultado probable sería una mezcla de estados: algunos describirían buzones inexistentes; otros, retrasos; otros, decisiones legítimas de no contestar; otros, campañas de ruido. Al no separar categorías, el sistema ofrecería una apariencia de precisión superior a su base probatoria. Esa es la forma en que una herramienta de calidad se convierte en jurisdicción administrativa de hecho.

El cuarto es un modelo consciente de los roles. El registro distinguiría, cuando fuera necesario, titular, operador, cliente descendente y contacto delegado. Permitiría varios contactos y rutas de escalada sin convertir la publicación en admisión de responsabilidad. Una denuncia sobre una subasignación podría llegar a quien tiene capacidad técnica para actuar, mientras el titular conservaría un canal de supervisión. La complejidad adicional tendría costes, pero reduciría informes mal dirigidos y evitaría atribuir todo el tráfico al primer nombre que aparece en la jerarquía.

El quinto combina comprobación objetiva con medición pública. AFRINIC publicaría las categorías de prueba, reintentos, tiempos de corrección, marcas anuladas, cobertura por clase de objeto y cohortes de implantación fechadas. Los contenidos sensibles de denuncias quedarían protegidos. Así, el público podría saber si la ratificación mejoró la precisión sin inferir que cada buzón validado resuelve el abuso. Los operadores podrían impugnar una medición errónea con evidencia reproducible.

Este contrafáctico es el más exigente para el propio registrador porque convierte su desempeño en algo observable, pero precisamente por eso alinea poder con responsabilidad.

Derechos de aviso, corrección y revisión

Una política de datos no es justa sólo porque el campo sea técnicamente útil. Debe definir quién puede crearlo, modificarlo y heredarlo; cómo se notifica cada prueba; qué ocurre cuando el titular no recibe el aviso; y cómo se restaura un dato marcado por error. La corrección debe permanecer disponible incluso cuando el contacto bajo examen ha fallado. Bloquear el canal de soporte necesario para arreglar el propio fallo produciría una trampa administrativa. La documentación pública debería identificar contactos alternativos, pasos de autenticación y plazos de respuesta de AFRINIC.

Los falsos positivos no son excepciones exóticas. Un dominio puede cambiar de proveedor; el correo puede sufrir una caída; una política antispam puede bloquear al emisor; la organización puede rotar personal; el mensaje puede incluir un adjunto sospechoso; una pasarela puede aceptar y luego poner en cuarentena. La validación debe distinguir fallo permanente, fallo temporal, identidad dudosa y ausencia de respuesta. También debe registrar cuándo una marca se anula y cuánto tiempo permaneció visible. Sin ese historial, no puede medirse el daño de una clasificación errónea ni mejorarse el sistema.

La revisión independiente adquiere importancia cuando una decisión deja de ser puramente mecánica. Si el desacuerdo trata de si un buzón existe, una nueva prueba puede resolverlo. Si trata de si una respuesta fue suficiente o una denuncia merecía acción, ya se está entrando en conducta y fondo. AFRINIC debería retirar esa evaluación de su función registral, no crear un tribunal interno para legitimar la expansión. Donde persista un error de datos, el titular necesita una persona revisora separada del sistema que generó la marca, un expediente comprensible y una decisión reversible.

Los terceros también tienen derechos e intereses. Un informante legítimo necesita un canal que no le obligue a recorrer barreras artificiales y que admita evidencia técnica. Pero no adquiere derecho a una respuesta concreta, a conocer datos privados de clientes ni a utilizar el registro para forzar una decisión. El equilibrio correcto permite la entrega y confirma, cuando sea seguro, que el dato registral funciona. La investigación sustantiva continúa en los ámbitos del operador, sus proveedores, las partes afectadas y las autoridades competentes.

Lo que aún no se sabe

Falta el documento del Consejo que permitiría ver la resolución, el quorum, el voto y el texto exacto sometido a ratificación. Falta una fecha efectiva publicada y una circular que explique fases, población inicial y transición desde IRT. Falta identificar las versiones implantadas de WHOIS, MyAFRINIC y el portal de recursos. Falta conocer el método de validación: emisor, tokens, reintentos, categorías de rebote, frecuencia extraordinaria y protección frente a suplantación. Estas son ausencias acotadas al material público examinado; no prueban que no exista un documento privado, retirado, no indexado o posterior.

Tampoco se conocen los denominadores actuales, la cobertura posterior a la ratificación, el porcentaje de pruebas superadas, el tiempo de corrección, la tasa de falsos positivos ni el número de marcas anuladas. No existe aquí base para decir que la política redujo incidentes, aceleró respuestas o elevó la calidad. El éxito debería formularse primero en términos que AFRINIC sí puede medir legítimamente: objetos con contacto, entrega técnica, antigüedad del dato, corrección y consistencia entre interfaces. Afirmaciones sobre reducción de abuso requerirían una metodología distinta, controles y atribución que no ofrece un simple registro.

Permanecen abiertas la gestión de informes externos, las defensas contra el acoso, la minimización de datos personales, el soporte durante una corrección y la ruta de revisión. También se desconoce cómo distinguirá AFRINIC entre entrega, lectura humana, respuesta y resultado adecuado. Mientras esas categorías no estén publicadas, una afirmación de «validación» debe interpretarse con cautela. El fondo relativo al RSA y a una eventual revocación queda fuera de este análisis.

La conclusión pública

La ratificación anunciada el 4 de febrero es defendible en la medida en que hace más verdadero y localizable el directorio de AFRINIC. El problema que intenta resolver existe; la baja adopción histórica del mecanismo opcional explica por qué una obligación mínima puede ser necesaria. El Consejo podía realizar el acto corporativo acotado que AFRINIC le atribuye dentro de su mecanismo. Esa condición no convierte el acto en ley pública ni demuestra que todas las objeciones fueran resueltas. El expediente de apelaciones, correctamente leído, muestra cierres procesales sin examen del fondo.

El límite práctico puede expresarse sin ambigüedad. AFRINIC es tenedor del registro. Puede exigir un abuse-c, conservar la relación entre el contacto y el recurso, publicarla, comprobar que un mensaje ordinario llega, avisar de un error, repetir la prueba y facilitar una corrección. Puede publicar métricas sobre esas tareas. No posee soberanía ni poder policial, punitivo o ejecutivo. No puede convertir el silencio ante una denuncia en culpabilidad, prescribir la investigación del operador ni usar el título de Consejo, la retórica comunitaria o el estado de una base de datos para fabricar una autoridad que no le pertenece.

La prueba decisiva para la implantación futura será sencilla: cada campo y cada acción de validación deben mejorar la verdad del registro sin gobernar la red que el registro describe. Si AFRINIC publica el método, limita la discreción, conserva el historial, mide los errores y garantiza corrección, el contacto obligatorio puede convertirse en infraestructura útil. Si mezcla entregabilidad, conducta y mérito bajo una sola etiqueta, habrá transformado una solución de directorio en un problema de legitimidad.