Résumé

  • AFRINIC indique que son Board a ratifié, le 4 février 2026, la version 7 de l’« Abuse Contact Policy Update », distincte de la politique de transfert adoptée le même jour.
  • Le texte rend obligatoire une adresse surveillée par une personne et ne se limite pas à sa délivrabilité : le destinataire doit intervenir, recevoir les pièces du signalement et répondre aux cas d’abus.
  • Le contrôle intervient lors de la création, de la modification, au moins tous les six mois et chaque fois qu’AFRINIC le juge opportun. Une plainte portant sur l’absence ou l’insuffisance d’une réponse peut déclencher une nouvelle validation.
  • L’étude d’impact publiée avec la proposition réserve le support aux membres conformes et précise qu’une non-conformité persistante peut entraîner la révocation du RSA. Le dossier ne montre pas qu’une telle sanction a déjà été appliquée.
  • L’enjeu n’est pas de contester l’utilité d’un contact joignable, mais d’empêcher qu’un défaut corrigeable de répertoire devienne, sans examen indépendant, un risque pour le contrat et la continuité du réseau.

Deux délais de quinze jours, puis quel recours ?

Le mécanisme paraît d’abord modeste. Un message de validation est envoyé. Le titulaire dispose d’une période initiale qui ne doit pas dépasser quinze jours. En cas d’échec, AFRINIC passe par d’autres contacts du LIR et ouvre une nouvelle période, elle aussi plafonnée à quinze jours.

Ces délais figurent dans une règle que l’organisation présente comme un effort opérationnel minimal. Pourtant, le vrai poids du dispositif ne se mesure pas au nombre de jours. Il tient à la question que le registre est autorisé à trancher une fois le chronomètre lancé.

Vérifier qu’une adresse accepte un courriel relève naturellement de la qualité du WHOIS ou du RDAP. La version 7 exige davantage. Chaque objet inetnum, inet6num ou aut-num distribué par AFRINIC doit renvoyer vers un contact abuse-c comportant au moins une boîte valide, surveillée et activement gérée. Les messages reçus doivent appeler une intervention humaine, ne peuvent obliger le plaignant à remplir un formulaire et doivent permettre la réception de journaux, d’exemples ou d’en-têtes.

La validation doit en outre confirmer que le titulaire a lu la procédure, surveille régulièrement la boîte, prend des mesures et répond aux signalements. On n’est plus seulement devant un champ de répertoire. On évalue une conduite opérationnelle.

Une compétence large sur un objet qu’AFRINIC refuse de définir

La contradiction apparaît dans le texte lui-même. La proposition explique qu’elle ne définit pas l’« abus », parce que cette définition ne relève pas d’AFRINIC et varie selon les acteurs, les procédures internes et les règles locales. Cette prudence est fondée : spam, hameçonnage, droit d’auteur, contenu illicite, scan de sécurité et serveur compromis ne posent ni les mêmes faits ni les mêmes obligations.

Mais la même politique permet de signaler à AFRINIC une boîte qui ne répond pas, qui ne répond qu’aux messages du registre ou qui apporte une réponse jugée incorrecte. Le signalement déclenche une nouvelle validation. Ainsi, l’institution ne définit pas le fond de l’abus, tout en se réservant un rôle sur la qualité de la réaction à cet abus.

Ce n’est pas la preuve d’une sanction arbitraire. Aucun membre précis n’est accusé dans ce dossier et aucun retrait fondé sur cette règle n’y est documenté. C’est un problème de frontière. Pour décider qu’une réponse est incorrecte, il faut nécessairement adopter un critère sur ce qui devait être fait, alors même que le texte place cette matière hors du mandat du registre.

Le pouvoir temporel est tout aussi ouvert. AFRINIC contrôle à la création et à la mise à jour, au moins une fois tous les six mois, mais aussi « whenever AFRINIC sees fit ». L’organisation peut réviser chaque année les périodes et la fréquence, à condition de communiquer ses raisons. La souplesse peut faciliter une mise en œuvre progressive ; elle supprime aussi un plafond objectif contre les contrôles ciblés ou répétés.

Le point le plus lourd se trouve dans l’étude d’impact

La proposition ne détaille pas elle-même les conséquences de la non-conformité. Elle renvoie au Registration Service Agreement. L’étude d’impact du personnel donne la suite.

Elle indique que le support, y compris le service d’assistance et les demandes de ressources, ne devrait être fourni qu’aux membres conformes. Sa section juridique ajoute que la non-conformité constitue une violation du RSA, que le membre doit être encouragé à remédier au défaut et qu’une persistance peut entraîner la révocation du contrat.

Cette gradation peut sembler raisonnable tant que l’on reste au premier échelon. Corriger un contact périmé est normal. Le dernier échelon change la nature du risque : le RSA est la base contractuelle de la relation entre le membre et le registre. Sa disparition peut toucher la reconnaissance des ressources et la continuité des services.

NRS soutient qu’AFRINIC concentre ce pouvoir pratique tout en acceptant une responsabilité contractuelle qui peut tomber à 100 dollars. LARUS met également en regard les conséquences d’une résiliation et la faible exposition du registre. Ce sont des analyses attribuées à NRS et LARUS, pas une décision judiciaire ni la preuve qu’AFRINIC a utilisé la version 7 contre un opérateur.

La bonne question porte sur l’architecture : pourquoi une boîte défectueuse doit-elle pouvoir migrer d’un drapeau de qualité des données vers la survie du contrat, alors que le dossier public ne décrit ni organe indépendant, ni sursis automatique, ni maintien garanti des services essentiels pendant le recours ?

Le faible taux d’adoption n’autorise pas n’importe quel remède

L’étude historique montre un vrai problème de déploiement. À son point de mesure, 28 membres sur 1 857 avaient adopté l’ancien mécanisme. Seuls 232 objets inetnum sur 139 268, 33 inet6num sur 31 230 et 32 aut-num sur 1 915 étaient protégés par MNT-IRT.

Ces chiffres anciens ne décrivent pas la situation actuelle. Ils montrent toutefois pourquoi AFRINIC voulait un format obligatoire. Ils ne démontrent pas que la réponse proportionnée consiste à relier la faible adoption à la révocation. Une norme peu utilisée peut révéler une mauvaise incitation, un outil trop compliqué, des données héritées ou l’absence de bénéfice visible pour le membre. Elle ne prouve pas une mauvaise foi généralisée.

Une réforme sérieuse aurait publié un plan de correction : migration assistée, contacts multiples, statistiques de délivrabilité, erreurs de validation, délais de résolution et limites des sanctions. La version ratifiée laisse au contraire le calendrier d’implémentation aux priorités opérationnelles d’AFRINIC. Le dossier ne permet donc pas d’affirmer que le dispositif est aujourd’hui entièrement actif.

Les recours n’ont pas tranché le fond

Deux épisodes procéduraux éclairent la manière dont le consensus est invoqué. En 2021 puis en 2022, des recours ont contesté la confirmation du consensus autour de la version 7. Les deux décisions les ont écartés pour des raisons de recevabilité et ont expressément refusé d’examiner le fond.

La requête de 2022 soutenait notamment que l’abus varie selon les juridictions, que le mécanisme existant suffisait, que l’obligation de répondre alourdissait les coûts et qu’AFRINIC dépassait son rôle de tenue de registre. Ce sont les arguments des requérants. Leur rejet procédural ne les transforme pas en faits, mais il ne les réfute pas non plus sur le fond.

AFRINIC peut donc dire que son processus interne a conduit à la ratification. Elle ne peut pas déduire de ces seules décisions que l’étendue du pouvoir a été soumise à un jugement au fond.

Une ratification dans une autorité encore contestée

La page officielle affirme que le Board a ratifié la politique le 4 février après le « rétablissement de structures de gouvernance fonctionnelles ». Ce document prouve l’acte et la version institutionnelle de sa légitimité.

Le 12 mars, AFRINIC déclarait aussi que les administrateurs élus en septembre 2025 avaient repris leurs fonctions, que le receiver nommé par la Cour attendait toujours sa décharge formelle et que des procédures demandaient l’invalidation de ces nominations. L’article ne tranche pas ces litiges et ne qualifie pas le Board d’illégal. Il constate qu’une règle à conséquences fortes a été adoptée dans un environnement d’autorité que les propres communications d’AFRINIC décrivaient comme non définitivement clos.

Cette situation impose davantage de retenue. Le vocabulaire de « communauté », de « cybersécurité », de « stewardship » ou de « stabilité » ne remplace ni l’autorisation, ni la proportionnalité, ni le recours. Un service régional n’est pas un souverain, et un registre exact n’a pas besoin d’un pouvoir indéfini sur la conduite de ses membres.

La ligne de séparation à publier avant toute sanction

Une politique limitée pourrait conserver l’essentiel : une adresse joignable, une vérification objective, un statut de validation et une période de correction. Elle devrait autoriser plusieurs canaux, y compris des formulaires authentifiés, annoncer les déclencheurs et la fréquence maximale, et publier les faux positifs ainsi que les corrections.

Pendant la mise en conformité, le membre devrait garder l’accès au tableau de bord, au support, au WHOIS/RDAP, au reverse DNS, au RPKI et aux opérations nécessaires pour réparer le contact. Un échec persistant pourrait être signalé comme défaut de données. Une résiliation ou une révocation exigerait un motif grave distinct, des raisons écrites, un examen indépendant et un sursis protégeant le dernier état vérifié.

AFRINIC a ratifié une règle utile par son noyau et dangereuse par sa queue contractuelle. Le dossier ne prouve ni illégalité ni sanction réelle. Il prouve que le chemin existe désormais dans les textes. C’est avant sa première utilisation contestée que les membres doivent exiger les garde-fous.

Pour l’analyse de fond sur l’avis, le délai de correction, le recours et la continuité, voir la recherche distincte de BTW : les décisions défavorables d’AFRINIC soumises à notification, correction et recours.

Sources