Resumen

  • El RFC 9323 define una lista firmada de huellas digitales que permite a quien posee recursos acreditar la autoría de una relación de archivos u otros objetos digitales.
  • RIPE NCC contempló el soporte por API en 2024, marcó el trabajo “en pausa” en su informe anual y todavía lo presenta como condicionado en el plan del cuarto trimestre de 2026.

El RSC ya tiene casi cuatro años de norma. La API que debía llevarlo al trabajo cotidiano sigue esperando turno en la agenda.

Una RPKI Signed Checklist reúne huellas digitales de objetos y las firma con un conjunto concreto de recursos de Internet. Al validar la firma, el receptor comprueba que el titular de esos recursos produjo la lista. El RFC 9323 apunta a usos como verificar recursos durante una incorporación Bring Your Own IP o una interconexión física entre redes.

El RSC responde una pregunta concreta: ¿el titular de estos recursos de Internet produjo esta lista de huellas? Para una incorporación BYOIP o una interconexión física, la red receptora obtiene una prueba portable que puede integrar en las verificaciones de esa operación.

El estándar tampoco prescribe cómo transportar el RSC. No se publica en el repositorio global de RPKI y el RFC deja el canal en manos de quienes lo implementen. Puede viajar por una web, correo firmado u otro medio. Una API puede ordenar su creación y gestión; no es el estándar ni la única vía imaginable.

El calendario de RIPE NCC cuenta el resto. El plan de actividad de 2024 proponía implementar primero RSC y BGPSec por API y después incorporarlos al panel RPKI. El informe anual de ese año marcó el compromiso como “en pausa” y situó RSC, BGPSec y ASPA en el plan de 2025.

En el plan RPKI del cuarto trimestre de 2026, el soporte RSC por API sigue como “previsto”. La línea lo condiciona a la capacidad del equipo y al progreso de otras dos tareas: claves de API con OpenID Connect y trabajo de cumplimiento, que incluye una auditoría ISO 27001 para toda la organización y una nueva auditoría SOC 2 Tipo II. El panel puede llegar después si hay demanda. No hay trimestre de entrega ni una causa única atribuida al retraso.

La distancia está entre un formato terminado y un servicio listo para encajar en el trabajo de los operadores. Los documentos públicos no cuentan cuántos RSC se usan por otras vías; sí muestran que el RFC y la agenda del servicio avanzan con relojes distintos.

Para una incorporación BYOIP o una interconexión, conviene mantener visibles las pruebas y verificaciones mientras la API siga “prevista”. Una futura interfaz podrá ahorrar pasos. La firma seguirá diciendo lo que dice: quién controla los recursos indicados, no quién es la empresa en todo sentido comercial.

El RFC ya está escrito. La agenda todavía tiene que encontrarle hueco, interfaz y horas de equipo.

Fuentes