Resumen

  • La validación automatizada anual de abuse-c (RIPE-705, implementación de la propuesta 2017-02) comprueba sintaxis, DNS y configuración del servidor de correo, pero no envía mensajes ni prueba si alguien lee los informes de abuso.
  • La propuesta de política 2019-04, que habría exigido que el buzón recibiera realmente mensajes, fue retirada el 8 de septiembre de 2020 tras oposiciones basadas en costes; el 92,5 % de las direcciones pasaba el chequeo automatizado existente.
  • Estudios independientes (USENIX Security 2016, ICIR/Li et al.; WEIS 2017, Cetin et al.) midieron que el 85,9 %–92,8 % de los contactos de abuso listados no respondió, incluso con direcciones entregables.
  • El recurso final documentado — cierre y baja del registro por abuse-c inválido — nunca se ha aplicado públicamente; en 2025 hubo 2.320 investigaciones de validación y 86.959 direcciones validadas, y los cierres documentados fueron mayoritariamente por impago (172).

Un control diseñado para medir la entrega

RIPE-563 (2012) introdujo el atributo obligatorio abuse-c y exigió que los objetos role tuvieran un único atributo abuse-mailbox, pero no preveía ninguna validación de esa información (RIPE-563). La propuesta 2017-02, aceptada el 1 de junio de 2018 e implementada el 10 de octubre de 2019 como RIPE-705, obligó al RIPE NCC a validar el atributo al menos una vez al año. La validación es automatizada y técnica: comprueba sintaxis, registros DNS y configuración del servidor de correo. No envía correos y no requiere ninguna acción del contacto de abuso (RIPE-705; propuesta 2017-02).

El propio análisis de impacto de 2017-02 estimó que entre el 10 % y el 25 % de las aproximadamente 70.000 direcciones abuse-mailbox del registro podrían ser incorrectas o inactivas, y documentó más de 1.000 informes externos resueltos en cinco años sin que nunca se activara el cierre. Durante el despliegue, unos 9.500 contactos se actualizaron de unos 67.000 revisados (aproximadamente el 14 %), y en RIPE 79 el RIPE NCC reportó un 93 % de aprobación en la validación automatizada (RIPE Labs; RIPE 79).

Lo que la validación no prueba

Ninguna de estas métricas mide la respuesta humana. La propia orientación publicada del RIPE NCC declara que no puede obligar a un operador a responder a informes de abuso: las quejas se dirigen al buzón abuse-c y la obligación de responder recae en el operador (RIPE NCC abuse support; abuse-c information).

La única evidencia no operadora del resultado funcional proviene de estudios académicos: el análisis de notificaciones de vulnerabilidad de USENIX Security 2016 (ICIR, Li et al.) y el estudio WEIS 2017 de Cetin et al. midieron que el 85,9 %–92,8 % de los contactos listados en registros y WHOIS no respondió en absoluto (USENIX Security 2016; WEIS 2017).

El intento fallido de medir la función

La propuesta 2019-04 habría exigido que el abuse-mailbox recibiera realmente mensajes (automáticos o manuales) y prohibió forzar a los remitentes a través de formularios web. Fue retirada el 8 de septiembre de 2020 al no alcanzar consenso; el apelación del proponente fue admitido el 26 de octubre de 2020. El 92,5 % de las direcciones pasaba el chequeo automatizado existente, y el RIPE NCC estimó que la carga adicional rondaría diez veces los niveles actuales (propuesta 2019-04; anuncio de retirada; archivo anti-abuse-wg; propuestas archivadas).

La oposición fue explícitamente de costes: Nick Hilliard y Erik Bais comentaron que el esfuerzo y el coste superaban los beneficios alegados, y no se recibió ningún mensaje de apoyo durante la revisión. Esta es la decisión colectiva documentada: preferir el cumplimiento barato — una dirección entregable — a comprobar que alguien recibe el mensaje.

El recurso final que nunca se ha aplicado

El registro anual de 2025 del RIPE NCC muestra 2.320 investigaciones de validación de abuse-c y 86.959 direcciones de correo validadas, mientras que los cierres de miembros documentados en ese periodo fueron abrumadoramente por impago (172) y ninguno por abuse-c inválido (informes anuales; RIPE-855). El procedimiento de cierre y baja, revisado el 7 de mayo de 2026 en RIPE-858, movió las notificaciones de ejecución al correo electrónico y eliminó los recordatorios postales (RIPE-858).

Tres capas que deben distinguirse

El régimen de contactos de abuso de la región RIPE solo se lee correctamente distinguiendo tres capas. El diseño del control: la validación anual automatizada prueba únicamente la entregabilidad. El ejercicio del control: en 2025, 2.320 investigaciones y 86.959 direcciones validadas, sin cierres por abuse-c. El resultado funcional: el 85,9 %–92,8 % de no respuesta medido de forma independiente. La rendición de cuentas recae en la brecha entre el ejercicio y el resultado, y en la elección colectiva de 2020, no en ninguna intención atribuible.