Resumen

  • ARIN informó de 9.673 organizaciones inscritas en RPKI al 30 de septiembre de 2026, un 27 % más en un año; cerca de una de cada siete organizaciones Hosted aún no tenía ROA.
  • El alta da acceso al servicio. El ROA firmado declara un ASN de origen, un prefijo y su longitud máxima; la cobertura y validación de rutas llegan después.

La cuenta existe; la autorización, todavía no

Un panel puede marcar una organización como inscrita mientras Internet sigue sin recibir instrucciones sobre qué ASN puede anunciar cada prefijo. Esa pequeña distancia cabe dentro del gran número de crecimiento de ARIN.

En ARIN 58, el registro situó en 9.673 las organizaciones inscritas en RPKI al 30 de septiembre, un 27 % más que un año antes. Después añadió el dato que debería ir en el mismo titular: aproximadamente una de cada siete organizaciones de Hosted RPKI no había creado un Route Origin Authorization. El contador de altas avanza; una parte apreciable del grupo alojado aún no ha llegado al paso que da al RPKI una afirmación concreta sobre una ruta.

La serie de ARIN lleva años al alza. Su informe anual de 2025 registró 8.140 organizaciones al cierre de diciembre, de las cuales el 98 % usaba Hosted RPKI. En 2025 hubo 1.839 altas nuevas, más que en cualquiera de los años de la serie 2021–24. En abril de 2026, ARIN 57 informó de 8.403 organizaciones y calculó que cerca del 15 % de las inscritas aún no tenía ROA. En septiembre, el total llegó a 9.673.

Eso cuenta cuántas organizaciones entraron al servicio. No indica qué proporción de los recursos anunciados tiene una autorización que coincide con el origen que el operador usa de verdad. Además, los resúmenes de abril y octubre nombran denominadores distintos: «organizaciones inscritas» en abril y «organizaciones Hosted RPKI» en octubre. El resumen de octubre no da el numerador ni el denominador exactos de la fracción. “Una de cada siete” no permite inventar una cifra precisa, y las dos instantáneas no prueban una reducción.

El ROA no es una medalla de inscripción

El RPKI empieza con un certificado de recursos. En Hosted, ARIN opera la autoridad de certificación y la organización aporta sus datos de enrutamiento desde ARIN Online. El ROA concreta tres campos: ASN de origen, prefijo IP y longitud máxima. Autoriza a ese ASN a originar el bloque dentro de esos límites.

Inscribirse no completa esa tarea. El alta lleva a la organización al panel y permite pedir el certificado. Después, quien opera la red debe identificar los prefijos, seleccionar uno o más ASN de origen, fijar la longitud máxima, revisar los valores y enviar el ROA. ARIN publica su repositorio cada cinco minutos. Su FAQ indica que el efecto de un ROA recién generado sobre las decisiones de enrutamiento suele tardar entre 30 y 60 minutos en propagarse por el ecosistema.

Hosted quita de encima una tarea pesada: ARIN gestiona la autoridad y el repositorio. No decide qué ASN origina las rutas del cliente. Esa decisión pertenece a la red que sabe qué ASN debe anunciar cada prefijo. Por eso, una cuenta Hosted sin ROA es una inscripción al servicio sin una declaración de origen que publicar.

Luego actúan los validadores. Un relying party recoge y valida el repositorio; el operador puede incorporar esos datos validados a las decisiones de enrutamiento de sus routers. El sistema público trabaja con objetos firmados, no con el número de cuentas abiertas en un portal.

Las métricas tienen que respetar el denominador

“Una de cada siete” sirve como aviso, pero deja preguntas operativas sin responder. ¿Cuántas direcciones controlan esas organizaciones? ¿Cuántos de sus prefijos se anuncian? ¿Cuántos recursos dependen en realidad de un proveedor aguas arriba?

Las normas de elegibilidad de ARIN hacen que esas preguntas importen. Hosted RPKI está destinado a titulares directos de recursos. Una organización de nivel inferior no puede añadir sin más a su certificado las direcciones que su proveedor le reasignó o redistribuyó; el proveedor superior debe enviar el ROA en su nombre. Por tanto, el conteo de organizaciones no permite saber si una cuenta sin ROA controla un bloque anunciado, conserva recursos sin uso o depende de la autorización de su proveedor.

ARIN ya divulga indicadores más cercanos al resultado. En abril dijo que los ROA cubrían el 50 % de los bloques IPv4 elegibles para RPKI de su región y que el 54 % de los bloques IPv4 registrados en ARIN y visibles en anuncios de Internet eran RPKI Valid. Son porcentajes con preguntas distintas: uno mide la cobertura de recursos elegibles; el otro, la validación de anuncios observados. Un único total de altas no puede contar ambas historias.

Un panel de adopción más útil seguiría cada paso después del registro: certificado emitido, primer ROA creado, prefijo elegible cubierto, prefijo anunciado validado. Cada peldaño tiene su propio denominador y revela dónde se detiene el trabajo.

El trabajo empieza después de la pantalla de bienvenida

ARIN describe el RPKI como un servicio voluntario. También señala que cada vez más proveedores exigen ROA antes de cerrar un acuerdo comercial. La organización conserva la decisión de adoptarlo, aunque el calendario puede venir marcado por la relación con su proveedor.

El primer ROA tampoco termina el mantenimiento. Cambian los prefijos, aparecen nuevos orígenes y los recursos se transfieren. ARIN indica que una transferencia elimina del certificado anterior los recursos transferidos y sus ROA asociados. Los certificados Hosted se renuevan automáticamente y los ROA también, cada 90 días. La renovación conserva una autorización vigente; no adivina que hay que autorizar un prefijo nuevo o cambiar el ASN de origen.

La mejor medida de adopción no es solo cuántas organizaciones tienen cuenta. Es la proporción de recursos elegibles anunciados cuyos ROA actuales coinciden con el origen y la longitud de prefijo que pretende usar el operador. La cifra debe incluir denominador, fecha de observación y tratamiento de las asignaciones aguas abajo. De lo contrario, “adopción” cuenta las entradas por la puerta, no el trabajo que sucede dentro.

ARIN ha hecho bastante fácil el primer paso para atraer a casi diez mil organizaciones. Sus propios datos dejan planteada la siguiente pregunta de producto: ¿cuántas cuentas completan el primer ROA y qué parte del espacio anunciado queda cubierta por esas autorizaciones? Esa respuesta convertiría un récord de altas en una medida operativa y le daría al próximo informe de RPKI un número más interesante que celebrar.

Fuentes primarias: balance del segundo día de ARIN 58 · balance del segundo día de ARIN 57 · informe anual 2025 de ARIN · guía de Hosted RPKI · guía de ROA · preguntas frecuentes sobre RPKI · información de RPKI de ARIN.