Resumen

  • La Resolución 202101.596 hizo pública una revisión de exactitud y, con ello, convirtió una parte del trabajo contable de AFRINIC en una afirmación institucional que terceros podían examinar, discutir y volver a comprobar.
  • AFRINIC informó que revisó 2,824 prefijos IPv4 delegados a miembros de recursos entre 2005 y 2019. Las cifras, los métodos, los estados de remediación y los controles descritos son hallazgos atribuidos a AFRINIC, no una reproducción independiente de todos sus expedientes de trabajo.
  • La exactitud de WHOIS/RDAP es una función técnica legítima y necesaria. No demuestra soberanía, potestad regulatoria, capacidad punitiva, derecho a confiscar ni autoridad pública para resolver controversias.
  • La continuación proporcionada de aquella publicación no es exponer expedientes sensibles, sino emitir un recibo de exactitud versionado: población y fecha de corte, clases de evidencia, excepciones por cantidad y volumen de direcciones, responsables y fechas de los controles, alcance de verificación independiente, correcciones y una vía de impugnación.

L3 — El día en que el registro se volvió examinable

Una votación breve y una pregunta enorme

El acto institucional fue sencillo de describir. El 20 de enero de 2021, el Consejo de AFRINIC dejó constancia de la Resolución 202101.596, por la que aprobó la publicación del AFRINIC WHOIS Database Accuracy Report. La resolución demuestra que el Consejo autorizó que el informe saliera a la luz. El documento publicado, por su parte, muestra lo que AFRINIC dijo haber examinado, qué fuentes dijo haber utilizado, qué excepciones identificó, qué estados asignó a determinados bloques de direcciones y qué controles afirmó haber adoptado o reforzado. No hace falta convertir esa decisión en algo más grandioso para reconocer su importancia.

WHOIS es parte de la palabra pública de un registro. Cuando una entrada vincula un recurso numérico con una organización, unos datos de contacto o un historial administrativo, operadores, investigadores y otras partes pueden tratarla como una referencia útil. La entrada ayuda a localizar a quien debe responder, a contrastar una transferencia, a seguir un cambio o a entender quién figura como responsable administrativo. Precisamente porque esa palabra pública circula más allá de la oficina que la escribió, su exactitud no es un asunto interno menor.

Si el registro no puede explicar cómo sabe lo que afirma, la utilidad del directorio se debilita.

La publicación dio un paso en la dirección correcta: convirtió proposiciones antes encerradas en los sistemas y archivos de la institución en afirmaciones examinables. Un tercero podía leer qué población se había revisado, qué clases de documentos se habían consultado y cuántas anomalías se habían clasificado. También podía preguntar por qué se había elegido esa población, si las categorías se solapaban, cómo se habían comprobado los controles y qué había ocurrido con los casos pendientes. La posibilidad de formular esas preguntas es el valor inmediato de la transparencia.

Sin embargo, la publicación no eliminó la distancia entre una afirmación y su verificación independiente. El Consejo aprobó publicar; no consta en el material disponible que el Consejo volviera a ejecutar el examen, reprodujera todos sus resultados o emitiera una opinión externa de aseguramiento. El informe fue el relato retrospectivo de AFRINIC sobre una revisión de exactitud realizada dentro de su propio entorno institucional. Puede ser informativo, técnicamente serio y útil a la vez que sigue siendo autoelaborado. Esa combinación no es una contradicción. Es la razón por la que la atribución cuidadosa importa.

La población que AFRINIC dijo haber revisado

El informe afirmó haber comprobado 2,824 prefijos IPv4 delegados a miembros de recursos desde 2005 hasta 2019. Esa cifra define el universo declarado de una parte central del examen. Dentro de él, nueve prefijos carecían de número de ticket y estaban asociados con asignaciones de Fiber Grid realizadas en 2012–2013. De los 2,815 registros revisados que sí tenían referencia de ticket, AFRINIC informó que 2,800 contenían una solicitud de recursos evaluada. Las inconsistencias de los 15 restantes se referían, según el informe, a prefijos importados desde otros registros mediante un proyecto anterior de transferencia de registros.

Estas cifras son más valiosas cuando se mantienen separadas. Los nueve casos sin número de ticket dicen algo distinto de los 15 registros vinculados con una importación histórica. Los 2,800 expedientes con una solicitud evaluada muestran que, según AFRINIC, la gran mayoría de los registros con referencia de ticket contenían ese tipo de soporte. Pero la presencia de un ticket o de una solicitud no demuestra automáticamente que cada decisión fuera correcta, que cada documento fuera auténtico, que toda la cadena de cambios estuviera autorizada o que ningún dato relevante faltara.

Demuestra lo que el informe dice haber encontrado sobre la presencia y naturaleza de determinados rastros administrativos.

Tampoco conviene interpretar el número pequeño de excepciones como una medida completa de materialidad. Un prefijo no es una unidad económica uniforme. Dos excepciones pueden involucrar volúmenes de direcciones muy diferentes, y una anomalía aparentemente aislada puede plantear una cuestión de control más importante que muchos registros rutinarios. La cantidad de expedientes responde a la pregunta «¿cuántos?», pero no sustituye la pregunta «¿cuánto espacio de direcciones estaba expuesto?» ni la pregunta «¿qué tipo de fallo permitía cada excepción?». Un informe de exactitud útil necesita las tres dimensiones: frecuencia, volumen y mecanismo.

El propio conjunto de fuentes que AFRINIC dijo utilizar indica que el examen no podía reducirse a mirar una sola pantalla. El informe mencionó archivos internos de recursos, registros e historial de WHOIS, estadísticas delegadas, tickets, datos de membresía y solicitudes de recursos, DNS inverso, el Internet Routing Registry, registros históricos externos, informes públicos e información de denunciantes.

Esta enumeración describe una labor de conciliación: comparar lo que decía un sistema con lo que conservaba otro, reconstruir cambios a partir de rastros distintos y buscar divergencias entre la afirmación pública y sus soportes administrativos.

La amplitud de clases de evidencia es un punto a favor de la revisabilidad. Permite entender, al menos en términos generales, de dónde podían salir las conclusiones. No equivale, sin embargo, a la publicación de cada procedimiento, cada expediente ni cada decisión tomada ante una contradicción. El material disponible no reproduce de forma independiente todos los papeles de trabajo ni la evidencia completa de cada caso. Por eso, la formulación rigurosa no es «se probó que todo el registro era exacto», sino «AFRINIC informó de una revisión con esta población, estas fuentes y estos resultados».

Direcciones bajo estados diferentes

La revisión también presentó cifras ponderadas por volumen de direcciones. A noviembre de 2020, AFRINIC comunicó 1,060,864 direcciones del pool recuperadas y puestas en cuarentena; 1,310,720 direcciones del pool bajo revisión; 467,968 direcciones legacy cuyas modificaciones no sustentadas se habían revertido; 394,496 direcciones legacy consolidadas a petición de sociedades holding; y 936,704 direcciones legacy en disputa, pendientes de una determinación sobre su custodia.

Estas cantidades no deben sumarse para producir un supuesto total de recuperación. Las etiquetas describen estados administrativos distintos y el informe no establece aquí que todas sean categorías mutuamente excluyentes y aditivas. «Recuperadas y en cuarentena» no significa lo mismo que «bajo revisión». Revertir una modificación no sustentada no es idéntico a consolidar registros a solicitud de una sociedad holding. Y un bloque en disputa pendiente de determinar su custodia no puede tratarse como si una decisión definitiva ya hubiera resuelto quién tiene derecho sobre él.

La presentación separada de los estados ayuda a ver por qué la exactitud de la base no es un interruptor binario. Un registro puede identificar una divergencia antes de saber cuál es la corrección apropiada. Puede revertir un cambio administrativo sin resolver todas las pretensiones jurídicas asociadas. Puede aislar recursos mientras investiga, o conservar una anotación provisional para no representar como terminado un conflicto abierto. La calidad del libro depende no solo de llegar a un dato final, sino de expresar con honestidad el grado de certeza y el estado del caso.

Esa distinción es especialmente importante en los 936,704 registros de direcciones legacy que AFRINIC describió como disputados y pendientes de una determinación sobre custodia. El informe podía exponer que existía una controversia administrativa y que el dato no debía presentarse como pacífico. No podía, por sí solo, actuar como sentencia final sobre custodia. Tampoco este análisis dispone de base para asignar responsabilidad penal individual o determinar el titular lícito de cada recurso. Esas cuestiones quedan fuera de lo que puede demostrar una revisión de base de datos.

El volumen ofrece una visión más operativa que el mero conteo, pero sigue necesitando contexto. Una cantidad grande bajo revisión no demuestra que todas esas direcciones sufrieran el mismo problema ni que produjeran un daño medible. Una cantidad recuperada y puesta en cuarentena no demuestra por sí misma un efecto sobre precios, transacciones o continuidad. El material disponible no atribuye a la Resolución 202101.596 ningún apagón, pérdida económica, cambio de precio, resultado de transacción ni recuperación operativa concreta. El peso económico se entiende como un mecanismo de exposición, no como un balance de daños probados.

Por qué le importa a quien opera una red

La exactitud registral parece una función de oficina hasta que una red necesita apoyarse en ella. Los registros fiables influyen en la posibilidad de contactar con la parte pertinente durante un incidente, realizar diligencia debida, comprobar antecedentes de una transferencia, evaluar una afirmación de seguridad, planificar capital y sostener continuidad. LARUS aporta precisamente este ángulo: la opacidad y el riesgo registral pueden transmitirse a las cargas de planificación, seguridad y respuesta de los operadores.

Esa relación causal general no permite adjudicar un daño específico a esta resolución, pero explica por qué el libro merece escrutinio público.

Imaginemos, sin convertir el ejemplo en un hecho del caso, qué exige una entrada útil en una situación de urgencia. Un operador encuentra un prefijo implicado en un evento técnico y busca una vía de contacto. La anotación pública puede ayudar a orientar la comunicación. Si el dato está desactualizado, si su historial es opaco o si no hay forma de saber qué cambio lo produjo, la investigación consume más tiempo y confianza. Si el registro conserva trazabilidad, marca disputas y ofrece un proceso de corrección, la entrada puede seguir siendo útil aun cuando no resuelva por sí sola la realidad jurídica o económica subyacente.

El estándar técnico recogido por el IETF sitúa la unicidad y la exactitud del registro entre los requisitos centrales del sistema de registros de números de Internet. La coordinación requiere que los identificadores no se administren como si pudieran duplicarse sin consecuencias y que los datos registrales reflejen de forma suficientemente fiable las asignaciones administrativas. Eso justifica una capa común delgada: mantener unicidad, conservar registros, hacer revisables los cambios autorizados y sostener servicios públicos compatibles como WHOIS y RDAP.

BTW ha subrayado la naturaleza de WHOIS/RDAP como registro público revisable y, en su análisis anterior de los archivos de asignación, el límite decisivo: una entrada puede ser evidencia sin autenticar la autoridad que la escribió. Este artículo no reconstruye aquella cronología ni vuelve a narrar sus nodos de control. Toma solo la pregunta que pertenece a la decisión de publicar: ¿qué mejora cuando el guardián del registro muestra cómo examinó su exactitud, y qué continúa sin demostrar?

La respuesta empieza por reconocer una mejora real. Una institución que enumera población, fuentes, excepciones, volúmenes y medidas correctivas ofrece más superficie de contraste que una institución que pide confianza sin exponer nada. Los miembros, operadores y observadores pueden discutir definiciones, pedir aclaraciones y comparar versiones futuras. El informe deja de ser una afirmación oral efímera y se convierte en un punto de referencia que puede ser corregido o superado.

Pero la respuesta termina donde debe: esa mejora no certifica todos los demás atributos del operador. La publicación no demuestra que AFRINIC sea infalible, que todos los afectados aceptaran sus conclusiones o que cada control funcionara después sin excepción. Tampoco convierte su dependencia técnica en poder público. La competencia contable merece reconocimiento precisamente porque es una función delimitada, verificable y útil. Inflarla debilitaría la misma lógica de rendición de cuentas que la publicación hizo posible.

Transparencia sin espectáculo

El caso benigno más fuerte a favor de la forma agregada del informe no es una concesión menor. Los expedientes podían contener datos personales, credenciales, información de seguridad, identidades de denunciantes, materiales de litigios, alegaciones laborales y detalles de investigaciones en curso. Publicar cada documento o cada pista habría podido exponer a reclamantes, comprometer sistemas, revelar controles o perjudicar disputas vivas. Una política responsable de transparencia no obliga a elegir entre silencio total y exhibición indiscriminada.

Por eso, una revisión retrospectiva agregada puede ser un instrumento legítimo. Puede revelar la población, los tipos de evidencia, las familias de excepción, los estados de remediación y los controles sin entregar los elementos que necesitan protección. Incluso una revisión autoelaborada es materialmente mejor que la ausencia de una explicación pública. En este caso, además, las cifras mostraron un archivo de tickets ampliamente poblado junto con un conjunto reducido de excepciones que no debía descartarse por su número.

La privacidad, sin embargo, no exige que el lector acepte una caja negra. Entre publicar nombres, credenciales y expedientes completos, por un lado, y publicar solo una conclusión institucional, por otro, existe un amplio terreno de rendición de cuentas. Es posible dar identificadores anónimos de casos, explicar la taxonomía, mostrar cuántas direcciones abarca cada estado, fechar la aplicación de un control, indicar si una cifra fue corregida y describir qué revisó una parte independiente. Se puede proteger el contenido sensible mientras se hace examinable el método.

La Resolución 202101.596 importa porque eligió moverse desde el silencio hacia ese terreno intermedio. No consta cuánto examinó confidencialmente el Consejo más allá de la resolución pública, y no sería válido inferir que no hubo otros documentos solo porque no forman parte del registro disponible. Lo verificable es el acto de publicación y el contenido que AFRINIC decidió exponer. Esa base basta para valorar la decisión como un avance de transparencia, pero no para presentarla como una certificación universal.

La diferencia entre avance y absolución institucional debe permanecer visible. Una organización puede hacer algo correcto sin que ese acto borre preguntas sobre otras materias. Puede revelar resultados útiles sin que su autoría deje de ser relevante. Puede proteger expedientes legítimamente sin quedar exenta de explicar sus procedimientos. En la gobernanza registral, la madurez consiste en sostener esas verdades simultáneamente: valorar la apertura, pedir verificación y evitar que una mejora delimitada se convierta en propaganda sobre autoridad ilimitada.