Resumen

  • ARIN contó 9.673 organizaciones registradas para RPKI a 30 de septiembre de 2026, frente a 7.612 un año antes. En Hosted RPKI, aproximadamente 1.195 organizaciones aún no habían creado ningún ROA.
  • El registro en el servicio y el certificado de recursos dejan pendiente la declaración firmada del prefijo, el AS de origen y la longitud máxima. Después hay que comprobar el objeto publicado frente a las rutas observadas.
  • Las cifras del 94% de bloques IPv4 asignados aptos para RPKI y del 59,4% de bloques registrados anunciados como RPKI Valid usan universos distintos; restarlas fabricaría una brecha falsa.

ARIN podía abrir casi diez mil puertas a RPKI. Nadie dentro del edificio estaba obligado a rellenar por arte de magia el documento que autoriza una ruta. La presentación de seguridad del enrutamiento de ARIN 58 lo mostró sin necesidad de buscar entre notas al pie: 9.673 organizaciones registradas al final del tercer trimestre de 2026, un 27% más que las 7.612 del mismo trimestre anterior. A la derecha, cerca de 8.300 organizaciones de Hosted RPKI con ROA y alrededor de 1.195 sin ninguno. ARIN resumió ese segundo grupo como aproximadamente uno de cada siete usuarios alojados. Fecha de los datos: 30 de septiembre.

El primer número no es el denominador automático del segundo. ARIN habla de todas las organizaciones registradas para RPKI al presentar las 9.673. La fracción de una entre siete se refiere específicamente a Hosted RPKI. Existen también otras formas de operar y publicar certificados. Además, las dos cifras aproximadas de Hosted no suman exactamente el total de registros. Quien convierta 1.195 entre 9.673 en una tasa de incumplimiento para toda la base habrá escrito una estadística que ARIN no publicó.

La noticia concreta es más útil: hay una población medible que ya pasó por la puerta del servicio y sigue sin emitir la autorización de origen que le da contenido.

Un ROA es un objeto firmado que asocia un prefijo IP con el número de sistema autónomo autorizado para originarlo. Así lo define la guía de ARIN, que enumera el AS de origen, el prefijo y su longitud máxima como componentes de la solicitud. No es un formulario ornamental. En su guía de buenas prácticas, ARIN advierte que autorizar solo un agregado /16 puede dejar como Invalid anuncios más específicos /24 que el operador está enviando. El dato que decide el resultado está en la relación entre lo firmado y la ruta en circulación.

El alojamiento simplifica el trabajo criptográfico. ARIN ejecuta la autoridad de certificación, mantiene el repositorio y publica objetos para los clientes de Hosted RPKI. La descripción oficial de los modelos también explica la modalidad delegada, en la que el titular conserva el control de la firma, y el servicio de publicación de repositorios. En el modelo alojado, esa comodidad no le da a ARIN conocimiento sobre qué AS debe originar cada prefijo en la red del cliente. La entidad que controla el recurso tiene que tomar la decisión. Por eso un certificado emitido y una lista vacía de ROA pueden coexistir sin contradicción técnica, aunque sí producen una contradicción en el discurso de avance si se cuentan como el mismo logro.

La cadena completa tiene más eslabones. Primero, el recurso debe ser elegible y quedar cubierto por el certificado. Luego el titular se registra. Después prepara y firma el ROA. El repositorio lo publica, un validador lo recoge y compara la autorización con los anuncios BGP que ve. Al final, cada red decide cómo incorpora ese resultado a su operación. Una cifra de inscripción mide el segundo paso; ni afirma que el tercero haya sucedido ni demuestra qué hizo un router. Para unos 1.195 usuarios alojados, la propia diapositiva de ARIN dice que el tercer paso aún no existía.

Otro gráfico del mismo archivo exige igual cuidado. ARIN dice que el 94% de los bloques IPv4 que asignó son elegibles para RPKI porque están cubiertos por un acuerdo con el registro. A continuación informa que el 59,4% de los bloques IPv4 registrados por ARIN que aparecen en anuncios de Internet son RPKI Valid. El primer porcentaje usa bloques asignados; el segundo se refiere a bloques anunciados. Las barras de 1.646 millones de direcciones asignadas, 1.548 millones bajo acuerdo y 920 millones válidas sitúan las etapas, pero no convierten a las organizaciones en tres cajas mutuamente excluyentes.

La resta entre 94 y 59,4 no tiene interpretación operativa directa.

Falta una tabla que indique cuánto tiempo lleva cada organización alojada sin ROA, qué prefijos anuncia y por qué decidió no crear el objeto. Esa tabla permitiría separar cuentas recién abiertas, titulares sin rutas que cubrir y despliegues atascados. La ausencia de esa explicación no borra la separación que ARIN sí midió. Un registro RPKI puede crecer con rapidez mientras una parte de sus usuarios no produce todavía la afirmación firmada que el mecanismo necesita.

El programa oficial de ARIN 58 identifica a Brad Gorman como ponente de esta actualización. ARIN presentó sus propias cuentas, no una estimación comercial ajena. A la dirección de una red le corresponde pedir la prueba del ROA publicado, del resultado del validador y de la ruta observada antes de colocar el dato de «registrados» en la casilla de protección. El mostrador del registro puede trabajar a toda velocidad; el AS de origen no se firma solo.