Contrôle des changements de registre à l'AFRINIC

L'objet vulnérable n'est pas un discours électoral, un communiqué, un titre de procès ou un slogan de politique publique. C'est une ligne dans un registre. Un bloc IPv4 possède un nom de titulaire, un identifiant d'organisation, des coordonnées, des champs de statut, des références de mainteneur, une délégation DNS inversé, des conséquences de sécurité de routage, un historique de transfert, un statut de frais, un contexte de litige et une reconnaissance institutionnelle suffisante pour être traité par les acheteurs, les bailleurs, les prêteurs, les clients et les tribunaux comme le registre public actuel du contrôle.

La ligne peut sembler administrative. Elle ne l'est pas. Elle peut être modifiée, régularisée, gelée, transférée, certifiée, contestée, restaurée ou placée sous examen. Chaque verbe a une conséquence de marché.

Imaginez un /16 rare administré par AFRINIC qui est devenu une partie du bilan et de la base de clients d'un fournisseur d'hébergement. Un acheteur demande la chaîne de transfert. Un prêteur demande si l'enregistrement est propre. Un client demande si le routage continuera. Un bureau d'abus demande quel contact est responsable. Une équipe de routage demande si les ROA, les objets de route et les enregistrements DNS inversé survivront à un changement de contrôle d'entreprise. Un tribunal demande quel était le dernier état vérifié avant le début d'un litige.

L'agent de registre traitant le dossier voit un ticket, des documents, des identifiants de portail, un ancien enregistrement de titulaire, une histoire de propriété et une mise à jour proposée. La question économique est simple: qui peut toucher l'enregistrement, sous quelle autorité, avec quelles preuves, avec quelle seconde approbation, sous quelle déclaration de conflit, avec quelle trace publique et sous quel examen ultérieur? Si ces questions sont répondues par habitude, personnalité ou escalade privée, le registre a converti la confiance publique en un marché d'influence.

Si elles sont répondues par des contrôles, l'enregistrement peut rester utilisable même lorsque l'institution qui l'entoure est sous pression.

Voilà le cadre dans lequel le risque de corruption devient un risque d'infrastructure. Le danger n'est pas seulement un pot-de-vin grossier passé sur un bureau. C'est un initié du personnel qui sait quelles organisations dormantes ont des dossiers faibles. C'est un consultant ou un courtier qui sait quelle lacune procédurale peut être exploitée. C'est un allié du conseil qui peut pousser une interprétation politique qui change la valeur. C'est une liste de candidats qui peut hériter du contrôle après une élection faiblement vérifiée.

C'est une décision en période de séquestre prise pour la continuité mais manquant d'une chaîne d'autorité publique. C'est un transfert dont la paperasse est assez correcte pour passer mais pas assez transparente pour rassurer le marché. C'est une procuration qui apparaît à un bureau de vote ou dans un dossier de registre sans que le membre affecté comprenne comment elle est arrivée là.

AFRINIC importe parce que tous ces risques ne sont plus théoriques. Les reportages publics ont décrit des allégations de manipulation historique des enregistrements IPv4 africains, des efforts institutionnels ultérieurs pour réparer ou policer l'utilisation des ressources, un différend majeur avec Cloud Innovation, des procédures judiciaires à Maurice, des gels bancaires, une mise sous séquestre, des tentatives électorales échouées ou annulées, des disputes sur les procurations, des efforts pour reconstruire un conseil et des luttes continues sur l'autorité du registre. Certaines allégations sont des affirmations.

Certains sont des événements procéduraux rapportés. Certaines affaires ont été devant les tribunaux. D'autres restent contestées. La question du contrôle de la corruption n'exige pas de transformer chaque allégation en verdict. Elle exige de reconnaître qu'un registre détenant des enregistrements rares, précieux et opérationnellement intégrés ne peut pas compter sur la vertu institutionnelle.

L'économie institutionnelle est plus froide que la rhétorique. La rareté des IPv4 a transformé les enregistrements des registres en infrastructure de marché. Un registre qui peut modifier la reconnaissance, suspendre un transfert, accepter un signataire, certifier une assertion d'origine de route, publier ou retirer des données de contact, ou définir un état de litige se trouve à une porte entre les réseaux en fonctionnement et la valeur capitalistique. Si cette porte est opaque, les entités au marché ajoutent une prime de risque. Si la porte est vérifiable, séparée, à double contrôle et documentée, la prime diminue.

AFRINIC est donc un cas test pour une proposition plus large: les contrôles anti-corruption ne sont pas une simple administration autour du registre. Ils font partie du prix, de la liquidité et de la légitimité du marché des ressources numériques elles-mêmes.

L'enregistrement est le point d'entrée du risque de corruption

La corruption dans un registre se comprend mieux comme la conversion non autorisée du pouvoir discrétionnaire du registre en avantage privé. Cette définition est plus large que la corruption criminelle et plus étroite que le dysfonctionnement général. Elle demande quel pouvoir peut modifier l'état reconnu d'un enregistrement précieux, et si ce pouvoir peut être exercé sans une piste fiable.

Une personne qui peut déplacer un nom de titulaire, approuver un transfert, supprimer un litige, modifier l'autorité de contact, régulariser une incohérence ancienne ou retarder une transaction concurrente peut affecter la valeur même si aucun argent n'est vu changer de mains.

Cela sépare les contrôles des risques de corruption de trois problèmes institutionnels connexes dans l'histoire récente d'AFRINIC. La procédure régulière demande quel avis, quelles raisons, quel correctif et quel recours un titulaire devrait recevoir après une décision défavorable du registre. Le règlement des litiges demande quelle instance devrait trancher les revendications contestées et comment les recours devraient isoler le conflit. La continuité sous séquestre demande comment le registre continue de fonctionner lorsque la gouvernance ordinaire a échoué.

Les contrôles des risques de corruption posent une question préalable différente: comment l'institution empêche-t-elle que l'enregistrement, l'instance, l'élection et le filet de sécurité d'urgence soient discrètement tordus par des initiés ou des tiers organisés avant que quiconque n'atteigne un recours?

La réponse commence par les changements d'état. Un fichier de registre a de nombreux états. Un bloc peut être actif, réservé, sous examen, en transfert, litigieux, gelé, réclamé, retourné, certifié pour RPKI, délégué pour DNS inversé ou lié à une organisation et un ensemble de contacts particuliers. Chaque état devrait avoir une source d'autorité définie. Un reçu de paiement ne devrait pas autoriser un transfert. Une résolution du conseil ne devrait pas réécrire silencieusement un enregistrement technique. Un ticket du personnel ne devrait pas passer outre une contrainte judiciaire.

Une procuration ne devrait pas devenir un chèque en blanc pour des actions de registre sans rapport. Un mandat de conservation du séquestre ne devrait pas être étiré en une politique permanente d'allocation de valeur sans une piste d'autorité distincte.

Le contrôle des changements d'état est également le point de rencontre entre les preuves publiques et privées. Certains matériaux ne peuvent pas être exposés en totalité: documents d'identité, identifiants, communications juridiques privilégiées, preuves de sécurité, rapports d'abus et indicateurs de fraude peuvent nécessiter une expurgation. Pourtant, l'existence du contrôle peut être publique. Le marché n'a pas besoin de chaque scan de passeport.

Il a besoin de savoir que l'identité a été vérifiée par une personne indépendante du demandeur, que le membre du personnel n'avait pas de conflit enregistré, qu'une seconde approbation a été journalisée, que le changement a été horodaté, que l'état antérieur est récupérable, et qu'un changement contesté peut être isolé sans effacer les preuves.

Dans les associations ordinaires, de tels contrôles pourraient ressembler à de l'hygiène de gouvernance interne. Dans un registre post-épuisement, ils sont une infrastructure économique. Le titulaire d'un grand bloc IPv4 ne peut pas dire à un client ou un prêteur que l'enregistrement est sûr simplement parce qu'un registre dit qu'il agit avec intégrité. Le titulaire doit pouvoir compter sur un système dans lequel une modification inappropriée est difficile, détectable et réversible. Un registre qui ne peut pas fournir cette confiance devient une source de risque plutôt qu'un réducteur de risque.

L'histoire publique d'AFRINIC montre pourquoi cela importe. L'institution a été décrite comme sans conseil pendant de longues périodes, soumise à une mise sous séquestre, exposée à des litiges et contestée sur les élections et l'autorité des membres. Ces conditions ne prouvent pas la corruption dans un acte donné. Elles abaissent la tolérance du marché pour un pouvoir discrétionnaire non documenté.

Lorsqu'une institution est sous stress, le risque de corruption augmente non seulement parce que les gens deviennent malhonnêtes, mais parce que les contrôles normaux deviennent plus faciles à contourner au nom de l'urgence, de la stratégie juridique, de la pression factionnelle ou de la survie institutionnelle.

La première discipline, donc, est de nommer l'objet. L'objet n'est pas la « confiance communautaire » dans l'abstrait. C'est la garde de l'autorité sur les enregistrements de numéros rares. Une fois l'objet nommé, la conception du contrôle devient moins théâtrale. Les questions pertinentes deviennent opérationnelles: qui avait la clé, qui a vérifié le dossier, qui a vu le conflit, qui a approuvé l'exception, qui a préservé l'état ancien, qui peut reconstruire le changement et qui peut le contester sans perte de continuité de service pendant que la contestation est entendue?

La rareté a rendu le pouvoir discrétionnaire précieux

Le modèle de registre pré-rareté était construit pour un monde de moindre valeur. Un registre Internet régional distribuait des numéros uniques, maintenait des données d'enregistrement et soutenait la coordination entre les réseaux. Le service importait, mais de nombreuses décisions pouvaient plausiblement être traitées comme administratives. L'épuisement des IPv4 a changé l'objet de l'administration. Les adresses sont devenues rares, tarifées, louées, échangées, financées et litigieuses. Le registre n'est pas devenu une banque, un cadastre ou un dépositaire de titres en droit.

Il a cependant commencé à exercer une autorité pratique sur les enregistrements que les marchés utilisent de manière similaire à une infrastructure de titre, de garde et de règlement.

L'analyse de l'Internet Governance Project en 2021 a capturé la pression économique. Elle a noté qu'AFRINIC détenait une petite part de l'espace IPv4 mondial, était arrivé tard dans le système RIR et, pendant une période, restait la région avec le pool libre le plus important disponible à des prix administratifs. Elle a également décrit le prix du marché de transfert passant d'environ 8 $ par adresse IPv4 en 2017 à environ 30 $ en 2021, rendant un /16 d'une valeur d'environ 2 millions de dollars à ce moment-là. Les prix bougent.

L'implication institutionnelle reste: une décision du personnel sur un bloc n'est plus un acte de classement à faible enjeu.

La rareté crée trois surfaces de corruption. La première est l'allocation et la récupération. Lorsque les ressources du pool libre sont rationnées, la personne qui peut déterminer le besoin, l'exhaustivité, l'éligibilité ou la conformité peut modifier qui reçoit de la valeur. La deuxième est le transfert et la régularisation. Lorsque les adresses peuvent se déplacer sur un marché secondaire, la personne qui peut accepter une chaîne d'autorité ou rejeter un dossier de transfert peut affecter le règlement. La troisième est l'application et le contrôle des états de litige.

Lorsqu'un bloc est accusé d'abus, de fraude ou d'autorité défectueuse, la personne qui peut geler, signaler, certifier ou désignaliser la ressource peut affecter le pouvoir de négociation.

Ces surfaces importent même si un registre insiste sur le fait que les ressources numériques ne sont pas une propriété ordinaire. Cette doctrine peut décrire la vision formelle du registre sur la relation de ressource. Elle n'efface pas la dépendance du marché. Les opérateurs paient encore pour les transactions, signent des baux, soutiennent des clients, transportent des routes, maintiennent des assertions de sécurité et valorisent la continuité. Le risque de corruption s'attache à cette dépendance.

Si un employé du registre, un membre du conseil, un consultant, un courtier ou un entité politiquement connecté peut influencer un enregistrement sans être exposé par des contrôles, le marché voit un gardien avec un pouvoir asymétrique.

Le matériel officiel n'est utile ici qu'à titre d'exposé factuel. AFRINIC est un RIR à but non lucratif enregistré à Maurice, servant l'Afrique et certaines parties de l'océan Indien. Ses documents publics identifient des fonctions telles que la gestion des IPv4, IPv6 et ASN, l'exploitation de Whois et RDAP, le soutien au DNS inversé, à l'IRR et au RPKI, et le traitement des demandes de ressources selon la politique. Le matériel d'épuisement décrit les phases d'atterrissage en douceur, l'évaluation par les hostmasters, l'examen par les pairs et les mécanismes d'approbation. Ces faits montrent le processus institutionnel.

Ils ne prouvent pas en eux-mêmes que le processus est suffisant pour un contrôle de la corruption de niveau actif.

Un processus de niveau actif traite le pouvoir discrétionnaire comme un coût à justifier. Un seul agent du personnel ne devrait pas être capable de déplacer un enregistrement de grande valeur d'un état pratique à un autre sans vérification indépendante. Une seule faction du conseil ne devrait pas être capable de modifier l'économie des transferts sans examen des conflits et analyse de la dépendance. Une seule stratégie juridique ne devrait pas contaminer la maintenance neutre des enregistrements. Une seule urgence sous séquestre ne devrait pas devenir un canal de capture silencieuse.

Plus la valeur de marché de la ressource est élevée, plus le registre doit séparer le jugement de l'exécution.

Ce n'est pas un appel à rendre le registre lent pour le plaisir. Les marchés rares ont besoin de rapidité. Un transfert qui prend des mois parce que chaque contrôle est manuel et discrétionnaire crée son propre risque de corruption: les entités commencent à chercher des raccourcis. Le meilleur modèle est objectif et rapide là où les preuves sont standard, plus lent et documenté là où les preuves sont contradictoires, et indépendamment révisable là où la décision affecte la valeur. Le risque de corruption diminue lorsque les entités connaissent le chemin et ne peuvent pas l'améliorer par un accès privé.

Le point explique également pourquoi le vieux langage de gouvernance semble maintenant insuffisant. L'« intendance » importait lorsque le risque central était le gaspillage d'un pool commun. Dans un marché rare, l'intendance doit inclure la garde, l'audit et la discipline de règlement. Le registre sert toujours une communauté, mais la communauté ne peut pas être protégée par la seule bonne volonté. Elle est protégée lorsque l'institution rend le pouvoir discrétionnaire précieux coûteux à abuser.

Le vol d'adresses rapporté était un avertissement de provenance

La pièce à conviction la plus directe du risque de corruption d'AFRINIC reste les reportages publics sur la manipulation historique présumée d'adresses. KrebsOnSecurity a rapporté en décembre 2019 que des accusations suivaient une enquête de plusieurs années du chercheur Ron Guilmette sur des blocs IPv4 africains qui semblaient être passés entre les mains d'entreprises de marketing Internet en dehors du contexte d'allocation original.

Le rapport décrivait des allégations selon lesquelles Ernest Byaruhanga, ancien coordinateur politique d'AFRINIC et membre précoce du personnel, exploitait secrètement ou était lié à des entreprises vendant des adresses rares, et que des enregistrements liés à des entités africaines dormantes ou disparues avaient été modifiés. Guilmette estimait la valeur marchande des ressources documentées à plus de 50 millions de dollars.

Ces déclarations exigent de la discipline. Un rapport, une allégation et une enquête ne sont pas la même chose qu'une constatation finale tranchée. Le dossier public pertinent comprend des allégations, des réponses, des conséquences en matière d'emploi, des enquêtes institutionnelles, des efforts de remédiation et des litiges ultérieurs autour de ressources récupérées ou contestées. Un article sur les contrôles des risques de corruption ne devrait pas convertir chaque allégation rapportée en fait prouvé.

Le point le plus fort est institutionnel: si les faits allégués pouvaient même sembler plausibles dans un environnement de registre, le système de provenance était déjà trop faible pour la valeur qu'il protégeait.

La provenance est l'histoire de comment l'enregistrement est devenu ce qu'il est. Pour un bloc IPv4 rare, la provenance devrait répondre à plusieurs questions sans folklore. Qui a reçu la ressource en premier? Sous quelle politique et quels documents? Quelle organisation existait alors? A-t-elle fusionné, dissous, changé de nom, vendu des actifs ou cessé ses activités? Qui avait l'autorité de demander des mises à jour? Quel membre du personnel a traité chaque changement important? La demande a-t-elle été examinée par des pairs? Les conflits ont-ils été vérifiés? Les anciens titulaires ou successeurs ont-ils été notifiés?

Le changement a-t-il été publié? Les indicateurs de litige ont-ils été préservés? Un examinateur ultérieur pourrait-il reconstruire la chaîne sans se fier à la mémoire de la personne qui a effectué le changement?

Les enregistrements dormants sont particulièrement dangereux. Un opérateur en activité remarque quand son préfixe est touché. Une société dissoute, une unité commerciale acquise, un contact obsolète ou une allocation inutilisée depuis longtemps peuvent ne pas le remarquer. L'initié qui connaît la population dormante dispose d'informations que le marché n'a pas. Si les contrôles des changements sont faibles, la même connaissance devient une opportunité économique. Le contrôle de la corruption n'est pas un communiqué de presse promettant un meilleur comportement.

C'est un système qui traite les enregistrements dormants, hérités et historiques comme des enregistrements à haut risque nécessitant une provenance renforcée avant tout changement d'état matériel.

Le vol rapporté montre également pourquoi l'anti-corruption ne peut pas signifier seulement une application plus forte contre les titulaires de ressources. Un registre sortant d'allégations de manipulation de dossiers peut être tenté de répondre en élargissant les audits des modèles commerciaux des membres, de la géographie d'utilisation ou de la pratique de location. Un certain examen est légitime là où une fraude ou une fausse autorité est suspectée. Pourtant, la réparation de la corruption ne doit pas devenir une licence générale pour une police commerciale discrétionnaire.

La maladie originale était un faible contrôle sur qui pouvait modifier l'enregistrement et sur quelles preuves. Le remède devrait être des contrôles de preuves plus forts, pas un nuage permanent sur le modèle opérationnel de chaque titulaire.

La conséquence de marché est claire. Un acheteur ou un prêteur considérant un bloc enregistré auprès d'AFRINIC doit demander si les anciens enregistrements sont propres, si les changements historiques peuvent être tracés et si la reconnaissance du titulaire actuel pourrait être contestée ultérieurement. Si la réponse est incertaine, le bloc porte une décote de provenance. Cette décote ne punit pas seulement les présumés contrevenants. Elle affecte les titulaires honnêtes, les petits réseaux et la réputation de la région en tant qu'environnement d'enregistrement fiable.

Les preuves publiques importent même lorsque des détails sensibles sont retenus. Un registre peut publier des catégories de remédiation: nombre de blocs historiques examinés, nombre placés en état de litige, nombre corrigés, nombre renvoyés devant un tribunal ou les forces de l'ordre, nombre restaurés aux anciens titulaires, nombre laissés inchangés après un examen indépendant, et les changements de contrôle adoptés pour prévenir la récurrence. De telles divulgations n'exposeraient pas de documents privés. Elles diraient au marché que le problème de provenance a été converti de rumeur en preuve gouvernée.

La leçon n'est pas qu'AFRINIC devrait rejuger chaque accusation historique en prose publique. La leçon est que la provenance est un actif préventif. Si la chaîne de transfert, l'examen des enregistrements dormants, le journal d'accès du personnel et le fichier d'autorité sont suffisamment solides, une allégation ultérieure a une place où atterrir. S'ils sont faibles, chaque allégation devient une attaque large contre l'intégrité du registre parce que personne ne peut facilement séparer un mauvais dossier d'une mauvaise institution.

La séparation des tâches transforme l'intégrité en système

La séparation des tâches est la plus ancienne leçon anti-corruption dans les systèmes administratifs: la personne qui reçoit une demande ne devrait pas seule l'approuver, l'exécuter, la rapprocher et dissimuler sa piste d'audit. Dans un registre, l'idée devrait être traitée avec le sérieux de l'infrastructure de règlement. Le membre du personnel qui aide un membre à compléter un dossier ne devrait pas être l'approbateur final d'un transfert de grande valeur. La personne qui enquête sur une fraude suspectée ne devrait pas être celle qui décide du recours commercial.

Le membre du conseil avec une préférence politique ne devrait pas diriger l'action du personnel dans un dossier de ressource en direct. Le séquestre ou le gestionnaire d'urgence ne devrait pas mélanger l'autorité de conservation avec le contrôle discrétionnaire du marché.

La raison est économique, pas seulement éthique. Chaque rôle combiné abaisse le coût de la capture. Si un seul agent peut interpréter la politique, valider les documents, approuver un changement d'état et supprimer la piste, un corrupteur ou un initié a besoin d'influencer une personne. Si des fonctions indépendantes sont requises, chacune avec des journaux et des mandats étroits, la corruption devient plus difficile et plus visible. Le marché tariffe cette différence. Un marché de transfert avec des contrôles séparés peut régler plus rapidement parce que les contreparties font confiance au processus.

Un marché avec des contrôles fusionnés exige des tampons juridiques, des indemnités et des retards.

Les processus existants d'AFRINIC contiennent déjà une certaine séparation limitée. Le matériel public d'épuisement décrit une évaluation par l'hostmaster, un examen par les pairs par un autre hostmaster et une approbation finale par un responsable des services d'enregistrement pour certaines demandes IPv4. C'est un fait utile.

Il devrait être étendu en une architecture complète de contrôle de la corruption pour toutes les actions à haute conséquence: allocation, transfert, réclamation, statut de litige, reconnaissance de l'autorité des membres, autorité de contact, modifications du DNS inversé, changements d'état du RPKI et restauration après une irrégularité historique.

La séparation requise comporte plusieurs couches. L'accueil vérifie l'exhaustivité et l'identité de base. L'examen des preuves évalue l'autorité d'entreprise, la chaîne de contrôle et le statut de la ressource. L'examen technique examine l'unicité, les effets adjacents au routage, le RPKI, le DNS inversé et les conséquences du service de publication. L'examen juridique ou politique évalue les contraintes formelles sans décider seul des questions factuelles. L'examen des conflits vérifie si le personnel, les membres du conseil, les consultants, les candidats, les courtiers ou les contreparties ont des intérêts dans le résultat.

L'exécution modifie l'enregistrement seulement après que les couches précédentes ont produit une décision enregistrée. L'audit examine un échantillon et tous les cas exceptionnels après coup.

La frontière conseil-personnel est critique. Un conseil devrait définir la politique, le budget et les règles de surveillance. Il ne devrait pas devenir un bureau d'escalade privé pour des dossiers de ressources particuliers. La tentation est évidente en crise: les directeurs reçoivent des plaintes, des arguments juridiques, du lobbying et des pressions politiques. Mais une fois que les directeurs peuvent orienter les changements d'enregistrement en direct, la politique du conseil entre dans le registre. C'est un risque de corruption même si chaque directeur agit de bonne foi.

Le contrôle est d'exiger que toute question de ressource visible par le conseil soit journalisée, routée vers le processus approprié du personnel et divulguée de manière agrégée ou, lorsque c'est matériel, avec suffisamment d'informations publiques pour montrer qu'aucun canal privé n'a modifié le résultat.

La frontière personnel-membre importe également. Un agent du personnel traitant des enregistrements de ressources devrait avoir des intérêts extérieurs déclarés, des limites de refroidissement avec les courtiers et consultants, un accès restreint aux enregistrements dormants, une utilisation surveillée des outils privilégiés et un congé ou une rotation obligatoire pour les fonctions sensibles. Rien de tout cela ne suppose la culpabilité. Cela suppose que la familiarité avec les points faibles du registre a une valeur économique.

Les reportages publics sur la manipulation historique de l'espace IPv4 africain ont rendu cette hypothèse incontournable.

La séparation protège également le personnel. Un employé de registre dans une institution très conflictuelle ne devrait pas être forcé de porter seul tout le risque d'une décision controversée. La double révision, les raisons écrites et les journaux de conflit distribuent la responsabilité et rendent les représailles plus difficiles. Le personnel qui peut pointer une chaîne basée sur des règles est moins exposé aux pressions des directeurs, des plaideurs, des courtiers, des gouvernements ou des groupes militants. Les bons contrôles ne sont donc pas anti-personnel. Ils sont anti-pression.

Le même principe devrait s'appliquer à la technologie. Les identifiants qui peuvent modifier les enregistrements du registre devraient être séparés des identifiants qui approuvent les exceptions de politique, publient des avis publics, gèrent le matériel RPKI, traitent les changements de DNS inversé ou modifient le statut de membre électoral. Un compte compromis ne devrait pas devenir un passe-partout. Un membre du personnel de confiance ne devrait pas devenir indispensable parce que personne d'autre ne peut vérifier ce que cette personne a fait.

La séparation des tâches est finalement un refus de laisser la confiance devenir un point de défaillance unique.

Le double contrôle devrait couvrir chaque touche à haute conséquence

Le double contrôle est le frère pratique de la séparation des tâches. Il dit que certaines actions nécessitent deux approbations indépendantes ou plus avant exécution. Le modèle est courant dans les banques, la garde, les opérations de sécurité et les infrastructures critiques parce que certaines erreurs et abus sont trop coûteux pour un contrôle à clé unique. Un registre régional devrait appliquer le même principe aux actions qui modifient l'état reconnu des ressources numériques rares.

La liste des actions n'est pas difficile à définir.

Le double contrôle devrait couvrir les transferts, les étapes de réclamation ou de révocation, la restauration des ressources précédemment contestées, les modifications des enregistrements de titulaires d'organisations, l'acceptation d'un nouveau représentant autorisé, les modifications importantes de la délégation DNS inversé, les actions sur les certificats RPKI ou ROA avec conséquences de continuité, la publication d'un indicateur de litige, la suppression d'un indicateur de litige, les modifications des enregistrements dormants ou historiquement entachés, et toute exception au processus normal.

Si un changement peut affecter la valeur d'actif, la continuité client ou le pouvoir de négociation juridique, il ne devrait pas être un acte d'une seule personne.

Le double contrôle doit être indépendant, pas théâtral. Deux personnes dans la même ligne hiérarchique approuvant sous la pression du même gestionnaire peuvent ne pas suffire. Un véritable contrôle sépare les fonctions. Une personne vérifie les preuves. Une autre vérifie l'autorité et la conformité procédurale. Pour les actions les plus risquées, un troisième contrôle vérifie les conflits et confirme qu'aucune contrainte judiciaire, instruction du séquestre ou litige en cours n'exige la conservation du dernier état vérifié. Le but n'est pas de créer un labyrinthe de veto.

Le but est de garantir qu'un acteur corrompu ou sous pression ne peut pas modifier le registre seul.

Le contrôle devrait être visible dans les métadonnées même lorsque les détails sont privés. Un journal des modifications public ou accessible aux membres peut montrer qu'une action à haute conséquence a passé un double contrôle, qu'une vérification des conflits a été effectuée, qu'un ensemble de preuves expurgé existe, qu'un chemin de révision est disponible et que l'état antérieur est archivé. Le marché n'a pas besoin des noms personnels de chaque examinateur du personnel dans chaque cas. Il a besoin d'une assurance vérifiable que le changement n'était pas un acte à clé unique non documenté.

La gestion des exceptions est l'endroit où le double contrôle est le plus important. Les urgences sont un canal classique de corruption. Un compte compromis, une ordonnance judiciaire, une instruction du séquestre, une échéance électorale, un événement de sécurité ou une menace juridique peuvent tous justifier la rapidité. La rapidité peut être légitime. Elle peut aussi être exploitée. Le contrôle est une dérogation d'urgence qui exige une publication après action: quelle catégorie d'urgence, quelle action temporaire, quelle autorité, quand un examen indépendant a eu lieu, quel état a été préservé, et si l'action est devenue permanente.

Le secret d'urgence devrait expirer à moins qu'une raison judiciaire ou de sécurité n'exige une expurgation continue.

Le RPKI mérite une mention spéciale. Une autorisation d'origine de route ou un état de certificat est technique, mais sa gouvernance n'est pas seulement technique. Les changements peuvent affecter la façon dont les parties prenantes traitent les routes. Un registre devrait traiter les contrôles de continuité RPKI comme faisant partie de la conception anti-corruption car les services de sécurité peuvent devenir un levier s'ils sont mêlés à des litiges d'adhésion, des litiges de frais ou des désaccords commerciaux. Le double contrôle devrait empêcher quiconque d'utiliser un service de sécurité de routage comme outil d'application privé.

Les assertions de sécurité devraient être neutres, vérifiables et isolées des conflits institutionnels sans rapport.

Le DNS inversé, Whois et RDAP exigent également une réflexion de double contrôle. Ces services peuvent sembler moins dramatiques qu'un transfert de ressource, mais ils font partie de la confiance opérationnelle. Une mise à jour malveillante ou incorrecte des coordonnées peut rediriger la responsabilité. Un changement de DNS inversé peut affecter la réputation, la délivrabilité des courriels et les opérations de service. Un enregistrement Whois ou RDAP peut façonner le dossier de diligence raisonnable dans une transaction.

Les contrôles devraient s'adapter à la conséquence, mais le principe reste: plus un changement affecte la dépendance externe, moins il devrait dépendre d'un seul acteur.

L'histoire de la mise sous séquestre et des élections d'AFRINIC renforce l'argument. Lorsque la gouvernance ordinaire est contestée, le marché ne peut pas compter sur des hypothèses informelles sur qui est en charge. Le double contrôle devient un substitut à la légitimité établie. Il dit aux membres que, même si le conseil, le séquestre ou le processus judiciaire est contesté, les changements opérationnels du registre nécessitent toujours des preuves étroites et une approbation indépendante. C'est ainsi qu'un registre préserve la confiance pendant que l'institution qui l'entoure se bat.

La provenance des transferts est une infrastructure anti-corruption

Un transfert IPv4 est un événement de règlement économique. Cela peut s'appeler une mise à jour de registre, mais l'argent, les engagements clients, le traitement fiscal, les arrangements de dépôt fiduciaire et le routage futur dépendent tous de la reconnaissance de la mise à jour. Cela fait de la provenance des transferts le système anti-corruption du registre. Si la chaîne de transfert est claire, les tentatives d'acheter de l'influence ont moins de place pour fonctionner. Si la chaîne est opaque, l'accès privé devient précieux.

La provenance des transferts devrait commencer avant que la demande de transfert n'atteigne le registre. Le contrôle du vendeur doit être prouvé. L'identité et l'autorité de l'acheteur doivent être vérifiées. Le statut de la ressource doit être vérifié pour les litiges, les gels, les ordonnances judiciaires, les obligations impayées et les assertions de sécurité existantes. La chaîne de contrôle antérieur devrait être disponible, au moins sous forme expurgée là où les anciens enregistrements sont importants. Le registre devrait enregistrer quel type de preuve a satisfait à chaque exigence et si une exception a été accordée.

Un transfert propre n'est pas celui où tout le monde aime les parties. C'est celui où chaque changement d'état peut être reconstruit.

C'est là que la controverse d'AFRINIC sur l'utilisation hors région, la location et les restrictions de transfert croise les contrôles de corruption. Un registre qui utilise un large pouvoir discrétionnaire pour décider si un modèle commercial est acceptable crée une valeur de négociation privée autour du processus d'approbation. Les entités essaieront de savoir quel membre du personnel est sympathique, quelle faction du conseil importe, quel consultant peut interpréter la règle, quel argument politique aidera et quel retard peut être utilisé comme arme. Des critères de transfert objectifs réduisent cette surface de corruption.

Ils rendent le registre moins intéressant en tant que gardien.

Les critères objectifs ne signifient pas l'absence de contrôles. La prévention de la fraude devrait être stricte. Un document falsifié, un successeur fictif, un identifiant volé, un litige non divulgué ou une fausse identité devrait arrêter la transaction. Mais l'arrêt devrait être lié à des preuves, pas à un sentiment. Un dossier de transfert devrait échouer parce qu'un élément requis est manquant ou contradictoire, pas parce que le registre n'aime pas la location, craint la mobilité des actifs ou veut préserver le contrôle régional sur la valeur.

Lorsque la moralité commerciale fait partie du test d'approbation, le test d'approbation devient vulnérable au lobbying.

L'analyse de l'Internet Governance Project en 2021 sur le différend avec Cloud Innovation illustre le problème. Elle décrivait les préoccupations d'AFRINIC concernant l'utilisation enregistrée, l'utilisation réelle, les déclarations de besoin et les obligations de service régional, et elle décrivait également l'argument de Cloud Innovation selon lequel exiger une approbation pour les changements d'utilisation client ou de service pourrait faire du registre un planificateur central sur les réseaux opérationnels.

On n'a pas besoin d'adopter la position juridique entière de l'un ou l'autre côté pour voir la leçon sur le contrôle de la corruption. Si le pouvoir de transfert ou de contrôle d'utilisation du registre est ouvert, les acteurs privés se feront concurrence pour influencer ce pouvoir. Si le rôle du registre est étroit et fondé sur des preuves, l'influence a moins à acheter.

La provenance des transferts devrait inclure des preuves négatives. Si un transfert est refusé, le refus devrait énoncer l'élément exact qui a échoué. Si un indicateur de litige est ajouté, la source du litige devrait être identifiée au niveau de la catégorie: ordonnance judiciaire, revendication d'autorité d'entreprise rivale, allégation de fraude, problème de frais impayés, barrière politique ou incohérence technique. Si un transfert est suspendu, le dernier état vérifié devrait rester public. Si un litige est ensuite résolu, le chemin de résolution devrait être enregistré. Les marchés peuvent tarifer un problème connu.

Ils décotent l'inconnu.

Les courtiers et les grands titulaires devraient être à l'intérieur de la conception du contrôle, pas à l'extérieur. Les courtiers réduisent les coûts de recherche, mais ils peuvent aussi devenir des canaux d'influence. Les grands titulaires fournissent des liquidités, mais leurs dossiers peuvent porter des histoires complexes. Le registre devrait exiger la divulgation du courtier lorsqu'un courtier agit pour une partie, devrait enregistrer si le courtier est payé par le vendeur, l'acheteur ou les deux, et devrait interdire les conflits du personnel et du conseil avec les courtiers. Une telle divulgation ne criminalise pas le courtage.

Elle traite le courtage comme un rôle économiquement important dans un marché rare.

La crédibilité future des transferts d'AFRINIC dépendra moins de la victoire de l'institution dans un argument narratif que de la capacité des contreparties ordinaires à conclure sans craindre un pouvoir discrétionnaire caché. Un acheteur ne devrait pas avoir besoin d'une carte politique du registre pour comprendre une transaction. Un vendeur ne devrait pas avoir besoin d'un initié pour savoir si un bloc peut être déplacé. Un prêteur ne devrait pas tarifer le risque qu'une objection non enregistrée n'apparaisse au dernier moment. La provenance des transferts est la façon dont le marché sépare la vérification légitime du gardiennage prédateur.

Les vérifications des conflits doivent être attachées aux décisions, pas aux slogans

Le langage de la communauté est trop faible pour contrôler le risque de corruption. Une communauté peut être sincère, capturée, apathique, fragmentée ou organisée par une minorité. Une vérification des conflits est plus froide. Elle demande qui a un intérêt dans la décision et si cet intérêt a été divulgué avant que le pouvoir ne soit exercé.

Dans un registre, les vérifications des conflits devraient couvrir le personnel, les directeurs, les candidats, les membres des comités, les séquestres, les consultants, les avocats agissant dans des rôles de gouvernance, les responsables des nominations, les fournisseurs électoraux, les courtiers et les grands titulaires de ressources lorsqu'ils participent à des décisions qui affectent la valeur.

La gouvernance des conflits d'intérêts est un sujet plus large. Le point sur le contrôle de la corruption ici est plus étroit: sans enregistrements des conflits liés aux décisions, les autres contrôles ne peuvent pas être fiables. Une approbation à double contrôle est plus faible si les deux approbateurs ont des relations non déclarées avec un courtier. Une décision de transfert est plus faible si un examinateur a un intérêt commercial dans le résultat. Une décision électorale est plus faible si les responsables des nominations ou les mandataires ont des liens non divulgués avec un plaideur ou une liste.

Une décision du séquestre est plus faible si les conseillers sont perçus comme alignés avec une faction. La confiance publique exige plus que des assurances de neutralité.

La divulgation des conflits doit être structurée. Une déclaration vague selon laquelle les responsables agiront dans l'intérêt de la communauté n'aide pas le marché. L'enregistrement devrait identifier les catégories: emploi, consultation, représentation juridique, service au conseil, soutien de campagne, intérêt de détention de ressource, commission de courtier, relation familiale, intérêt de litige, relation avec un fournisseur, plaidoyer public antérieur et exposition financière aux résultats de transfert. Tous les conflits divulgués ne disqualifient pas la personne. Une certaine expertise vient de la participation.

Le contrôle consiste à révéler l'intérêt, déterminer si la récusation est nécessaire et enregistrer la décision.

Les reportages sur les élections de 2025 d'AFRINIC montrent les enjeux pratiques. The Register a rapporté que le séquestre a nommé des avocats britanniques seniors à un comité de nomination en raison de préoccupations concernant une interférence potentielle. Des reportages ultérieurs ont décrit des questions soulevées autour de conflits potentiels dans le processus de nomination et un processus judiciaire autour des arrangements électoraux. Le même corpus de reportages décrivait des allégations entourant les procurations et la documentation des électeurs. Ce n'étaient pas seulement des controverses de campagne.

Le contrôle du conseil affecte les budgets, les statuts, les politiques, la gouvernance des ressources, la posture de litige et l'environnement du personnel dans lequel les enregistrements du registre sont maintenus. Les conflits électoraux deviennent donc des conflits de registre.

La distinction membre-droit ajoute une autre couche. Les reportages publics en 2025 décrivaient un débat sur les membres de ressources, les membres enregistrés en vertu du droit mauricien des sociétés et les droits en vertu des statuts d'AFRINIC. Si les droits de gouvernance sont juridiquement ambigus, les contrôles des conflits deviennent plus importants, pas moins. Une personne peut avoir un type d'adhésion, un autre type d'intérêt de ressource et un troisième type d'alignement politique ou commercial.

Un registre qui ne parvient pas à cartographier ces intérêts invite des affirmations ultérieures selon lesquelles les décisions étaient procéduralement pures uniquement parce que l'institution ignorait les intérêts qui comptaient.

Les vérifications des conflits devraient également s'appliquer aux processus politiques, mais la ligne devrait être modeste. Une politique de transfert, une règle de contact d'abus, une règle de portabilité ou un mécanisme de révocation peut déplacer une valeur significative. Les auteurs de politiques et les entités actifs peuvent avoir des raisons légitimes de participer tout en détenant des adresses, en courtage des transactions, en représentant des opérateurs ou en s'opposant à certains modèles commerciaux. La divulgation permet aux lecteurs d'évaluer l'argument.

Elle réduit également la probabilité que le langage politique devienne un instrument caché pour un avantage privé. Le contrôle n'est pas de grever chaque commentaire de liste de diffusion d'une cérémonie juridique. C'est de rendre les intérêts matériels visibles avant que les recommandations à haute conséquence ne deviennent une action institutionnelle.

La divulgation publique ne doit pas devenir un outil de harcèlement. Les adresses personnelles, les documents d'identité privés et les informations sensibles pour la sécurité peuvent être retenus. Mais l'intérêt économique ne devrait pas être secret. Un membre du conseil lié à un courtier peut divulguer la catégorie sans publier les relevés bancaires. Un membre du comité qui a représenté un plaideur peut divulguer ce fait. Un auteur de politique avec une exposition importante à la détention de ressources peut déclarer la tranche d'exposition. Le registre devrait concevoir la divulgation pour informer, pas pour punir.

Le point économique clé est que les conflits sont inévitables dans les petites communautés d'experts. Le problème n'est pas que les gens aient des intérêts. Le problème est l'intérêt caché combiné à un pouvoir discrétionnaire à haute conséquence. Un registre qui prétend que la vertu communautaire élimine les conflits est moins crédible qu'un registre qui suppose que les conflits existent et les gère ouvertement. Dans la gouvernance des adresses rares, le conflit déclaré est un coût. Le conflit caché est une prime de risque.

L'autorité électorale fait partie de la garde du registre

Il est tentant de traiter la mécanique électorale comme un théâtre constitutionnel séparé des opérations du registre. AFRINIC prouve que la séparation est fausse. Une élection du conseil détermine qui supervise les budgets, les dirigeants, la stratégie juridique, la ratification des politiques, l'appétit pour le risque, la formation des comités et la culture opérationnelle autour du registre. Si l'autorité d'un conseil est douteuse, chaque action ultérieure à haute conséquence du registre porte une décote de gouvernance.

Cette décote est un coût de risque de corruption avant même qu'aucun changement inapproprié d'enregistrement ne se produise.

Le cycle électoral de 2025 a fourni un problème de contrôle concret. The Register a rapporté qu'AFRINIC n'avait pas pu élire un conseil depuis 2022, qu'un séquestre avait organisé des élections, que le vote de juin 2025 avait été suspendu peu avant son achèvement en raison de préoccupations concernant les procurations ou les pouvoirs donnés aux délégués, et que le séquestre avait ensuite annulé l'élection après des préoccupations concernant la documentation des électeurs. ISPA South Africa aurait allégué que des représentants autorisés avaient trouvé des votes ou des procurations enregistrées de manière contestée.

AFStar aurait allégué des procurations frauduleuses. Ces allégations exigent une prudence judiciaire. Ce ne sont pas toutes des constatations prouvées. Mais elles montrent pourquoi l'autorité électorale doit être auditée comme une transaction de registre.

Une procuration dans une élection de registre n'est pas simplement une commodité de vote. Elle peut décider qui contrôle le conseil qui contrôle l'institution qui contrôle le registre. Elle devrait donc avoir une chaîne de provenance: identité de l'émetteur, autorité du signataire, portée, date, conditions de révocation, méthode de vérification, canal de soumission, agent récepteur, vérification des conflits, notification au membre, période de contestation et acceptation finale. Si un membre apprend seulement au bureau de vote qu'une autre personne prétend voter en son nom, le contrôle a déjà échoué économiquement.

Le vote peut encore être examiné, mais la confiance a été endommagée.

Les registres des membres sont tout aussi importants. Un registre peut avoir des membres de ressources, des membres enregistrés en vertu du droit des sociétés, des membres votants, des contacts de comptes et des contacts techniques. Ces catégories ne devraient pas se brouiller lorsque le contrôle est contesté. Le dossier public autour d'AFRINIC a inclus une controverse sur le statut de Cloud Innovation dans les registres d'entreprise mauriciens et des clarifications ou litiges ultérieurs sur ce que ce statut signifiait. La leçon n'est pas que la théorie juridique d'une partie devrait prévaloir dans toutes les circonstances.

C'est que le statut de membre est une surface de contrôle et doit être concilié entre les registres d'entreprise, les statuts, les comptes de ressources, les règles de vote et les ordonnances judiciaires.

Les contrôles anti-corruption des élections devraient refléter les contrôles des ressources. Aucun agent unique ne devrait accepter des procurations illimitées sans vérification indépendante. Aucune délégation groupée de dernière minute ne devrait être traitée comme routinière. Chaque procuration devrait déclencher un avis direct au présumé émetteur via un canal vérifié. Les membres devraient disposer d'une fenêtre de contestation claire.

Les responsables électoraux devraient publier des statistiques agrégées sur les procurations: combien déposées, combien rejetées, combien contestées, combien retirées, combien détenues par le même représentant et quel plafond a été appliqué. Là où le secret est nécessaire pour les bulletins de vote, la vérification de l'autorité peut encore être transparente de manière agrégée.

La sollicitation d'identifiants est un autre risque. The Register a rapporté que l'Association des fournisseurs de services Internet d'Afrique du Sud a averti les membres de protéger leurs identifiants AFRINIC car des entités obtenant les identifiants de plusieurs membres pourraient manipuler les votes. AFRINIC avait également averti les membres de sollicitations pour accéder aux identifiants. Le contrôle des identifiants n'est pas une note de bas de page de support utilisateur. Un identifiant de registre peut devenir un instrument de gouvernance.

L'accès au portail des membres, l'identité de vote, l'autorité de contact et les permissions de modification des ressources doivent être segmentés de sorte qu'un seul identifiant compromis ne devienne pas un pouvoir institutionnel total.

La légitimité du conseil ne résout pas le risque de corruption par elle-même, mais une autorité du conseil illégitime ou douteuse le magnifie. Un conseil propre peut encore prendre de mauvaises décisions. Un conseil contesté peut prendre de bonnes décisions opérationnelles que le marché décote. L'objectif de contrôle n'est pas de garantir que tout le monde aime le résultat.

C'est de rendre la chaîne de l'autorité des membres à l'autorité du conseil suffisamment reconstructible pour que les perdants ne puissent pas plausiblement prétendre à une manipulation invisible et que les gagnants ne puissent pas plausiblement utiliser la victoire comme un bouclier contre l'audit.

Pour AFRINIC, ce n'est pas une leçon de gouvernance abstraite. Le rétablissement du registre dépend de la capacité à convaincre les titulaires de ressources que l'institution peut distinguer un vote valide d'une instruction falsifiée ou non autorisée, un membre valide d'un membre mal classé, et un acte valide du conseil d'un acte factionnel. La même discipline utilisée pour protéger le registre doit protéger l'organe qui contrôle le registre.

La mise sous séquestre concentre l'autorité et nécessite donc plus de contrôles

La mise sous séquestre est souvent décrite comme un filet de sécurité d'urgence. Dans le cas d'AFRINIC, la division des faillites de la Cour suprême de Maurice a nommé un séquestre après une paralysie de la gouvernance. Les déclarations publiques de la Number Resource Organization décrivaient le rôle du séquestre comme le maintien du statu quo des actifs d'AFRINIC, la préservation de la valeur de l'entreprise, la supervision du processus électoral, la facilitation d'un conseil approprié et le soutien à la continuité opérationnelle. Ce tableau factuel est important.

Pourtant, la mise sous séquestre n'est pas automatiquement un remède anti-corruption. Elle remplace un problème d'autorité par une autorité temporaire plus concentrée. Cette concentration doit être contrôlée.

La fonction légitime du séquestre est la préservation. Le registre devrait continuer à servir les membres, maintenir les services techniques, protéger les actifs, organiser la restauration de la gouvernance et éviter une dérive institutionnelle irréversible pendant que la structure de gouvernance ordinaire est réparée. Le risque de corruption apparaît lorsque la préservation devient un canal pour un pouvoir discrétionnaire politique, un avantage factionnel, une pression des créanciers, une ingénierie électorale ou une réallocation silencieuse du contrôle. Un séquestre peut être honnête et être encore trop responsabilisé.

Les contrôles ne devraient pas dépendre de la lecture du caractère.

Les contrôles en période de séquestre devraient commencer par une carte publique du mandat. Que peut faire le séquestre seul? Qu'est-ce qui nécessite une approbation judiciaire? Qu'est-ce qui nécessite une consultation des membres? Qu'est-ce qui doit être préservé dans le dernier état vérifié? Quelles décisions sont temporaires et expirent lorsqu'un conseil est restauré? Quels conflits ont été déclarés par les conseillers? Quels changements aux enregistrements du registre sont des opérations ordinaires et quels changements sont exceptionnels? Sans une telle carte, chaque acte du séquestre porte une prime d'ambiguïté évitable.

Les controverses électorales montrent pourquoi cela importe. Le séquestre devait faire avancer l'institution vers la reconstitution du conseil. Cette tâche nécessitait des règles de nomination, des décisions d'éligibilité, une mécanique de vote, une sélection de fournisseur et le traitement des procurations. Chaque étape pouvait affecter qui contrôlerait plus tard le registre. Un séquestre ne peut pas éviter de faire des choix. La question anti-corruption est de savoir si les choix sont documentés, contestables et séparés de l'influence privée.

Une élection échouée n'est pas seulement un retard; elle enseigne au marché que le filet de sécurité d'urgence peut lui-même devenir une surface de contrôle contestée.

La continuité opérationnelle nécessite également une mise en périmètre. Les enregistrements de ressources, les services de publication, le RPKI, le DNS inversé, Whois, RDAP, l'IRR et le support ordinaire des membres devraient rester sous des procédures opérationnelles documentées à moins qu'un tribunal ou une urgence vérifiée n'exige un changement. La stratégie juridique dans un litige majeur ne devrait pas influencer silencieusement le traitement des enregistrements de membres sans rapport.

Un séquestre gérant la survie institutionnelle ne devrait pas permettre au registre d'utiliser les interfaces de service de routine comme points de pression contre les plaideurs ou les critiques à moins qu'une base juridique spécifique n'existe et ne soit enregistrée.

Les contrôles financiers importent également. L'Internet Governance Project a décrit comment le gel des comptes bancaires en 2021 a menacé les opérations d'AFRINIC avant que le bien-fondé des réclamations sous-jacentes ne soit résolu. Les difficultés financières peuvent créer un risque de corruption car les fournisseurs, les avocats, les créanciers et les alliés institutionnels gagnent en influence. Le financement d'urgence, le soutien d'autres RIR, les budgets juridiques et les contrats avec les fournisseurs devraient donc comporter des contrôles de divulgation et d'approbation.

La question n'est pas de savoir si le soutien extérieur est mauvais. La question est de savoir si l'argent crée une influence sur la politique du registre, la posture de litige ou le traitement des ressources.

La mise sous séquestre devrait préserver les preuves pour la gouvernance ultérieure. Un conseil restauré devrait hériter d'un enregistrement clair de ce que le séquestre a changé, pourquoi il l'a changé, ce qui reste temporaire, quels litiges sont en cours, quels contrôles ont été contournés sous autorité d'urgence et quels engagements lient l'institution. Si le conseil reçoit seulement des résultats sans preuves, il peut ratifier une capture cachée sans le savoir. S'il reçoit un journal de passation complet, il peut distinguer les décisions de continuité des choix politiques.

L'ère du séquestre d'AFRINIC enseigne donc une leçon anti-corruption spécifique. La gouvernance d'urgence n'est pas un substitut aux contrôles. C'est une raison de les intensifier. Un registre sous séquestre doit prouver non seulement que les services continuent, mais que la continuité n'a pas été achetée en déplaçant l'autorité décisive dans un endroit où les membres ordinaires, les tribunaux, le personnel et les marchés ne peuvent pas voir comment le registre est protégé.

Les preuves publiques réduisent la prime d'opacité

L'opacité a un prix. Sur le marché IPv4, ce prix apparaît sous forme de transferts retardés, de garanties plus larges, de retenues de dépôt plus importantes, de blocs décotés, de réserves de litige, de diligence raisonnable dupliquée, de réticence à prêter contre des entreprises dépendant des adresses et de préoccupations des clients sur la continuité. Le registre peut expérimenter l'opacité comme une flexibilité. Le marché l'expérimente comme une incertitude. Si l'incertitude est attachée à un actif rare, elle devient une prime.

Les preuves publiques abaissent cette prime en rendant les catégories de risque lisibles. Elles n'exigent pas une transparence totale. Un registre mature peut publier suffisamment pour soutenir la confiance tout en protégeant les informations sensibles. Pour chaque action à haute conséquence, il peut enregistrer l'état modifié, la catégorie d'autorité, la catégorie de preuve, le chemin de contrôle, le statut de conflit, la disponibilité de la révision, la préservation de l'état antérieur et l'effet public.

Un journal des modifications expurgé peut être plus précieux qu'une longue déclaration institutionnelle car il permet aux contreparties de vérifier le processus plutôt que d'absorber un récit.

Le dossier public d'AFRINIC contient plusieurs exemples où des lacunes de preuves étaient elles-mêmes coûteuses. Les reportages sur la manipulation d'adresses en 2019 ont soulevé des questions sur la façon dont les enregistrements historiques avaient changé. Le différend avec Cloud Innovation a soulevé des questions sur la base et la portée de l'examen des ressources. L'annulation électorale de 2025 a soulevé des questions sur les procurations et les conclusions d'enquête. Les lettres de l'ICANN rapportées dans la couverture publique ont pressé pour la transparence autour de l'intégrité électorale.

Des reportages ultérieurs sur les pétitions de liquidation et l'intervention gouvernementale ont soulevé des questions sur la possibilité de traiter la gouvernance des ressources numériques comme un problème d'actif de l'entité corporative. Dans chaque cas, le marché avait besoin de plus qu'une posture. Il avait besoin de limites de preuves.

Les preuves publiques devraient classer les affirmations par statut. Allégation, enquête, ordonnance provisoire, jugement final, décision du registre, décision du séquestre, ratification politique, plainte d'un membre et reportage médiatique sont des choses différentes. Un registre qui les brouille invite à la méfiance. Un critique qui les brouille fait de même. Le contrôle de la corruption exige des étiquettes disciplinées car la conséquence de valeur d'une affirmation dépend de son statut procédural. Une ressource sous allégation n'est pas la même chose qu'une ressource jugée détournée.

Une procuration contestée n'est pas la même chose qu'une falsification prouvée. Un communiqué du séquestre n'est pas la même chose qu'une ordonnance judiciaire définitive.

Le journal des modifications publiques devrait également distinguer la correction d'enregistrement de l'application. Si le registre corrige un contact obsolète, c'est une action de maintenance du registre. S'il gèle un transfert parce qu'un signataire est contesté, c'est un isolement de litige. S'il révoque des ressources en raison d'une rupture contractuelle, c'est une application. S'il met à jour le RPKI ou le DNS inversé parce que le titulaire l'a demandé sous autorité vérifiée, c'est une opération de service. Mélanger ces catégories transforme chaque changement en une punition possible et chaque punition en un possible acte administratif.

La corruption prospère là où les catégories s'estompent.

Les points de vigilance sont concrets: approbations exceptionnelles inexpliquées, autorité de procuration concentrée, relations de courtier non divulguées, accès du personnel à des enregistrements dormants de grande valeur, interprétations politiques rétroactives, actions d'urgence qui n'expirent jamais, indicateurs de litige supprimés sans raisons, changements de RPKI ou de DNS inversé liés à des conflits sans rapport, et décisions du conseil prises alors que l'autorité des membres est contestée. Ce ne sont pas des slogans. Ce sont les endroits où l'avantage privé peut entrer dans un dossier public.

Les preuves publiques disciplinent également les organes officiels et les critiques. Un registre qui publie des preuves de contrôle ne peut pas facilement se cacher derrière la « communauté » ou la « stabilité ». Un plaideur ou un entité au marché ne peut pas facilement prétendre à la persécution là où le chemin de preuve est étroit, cohérent et indépendamment révisable. Les organes de coordination, les gouvernements et les groupes industriels ne peuvent pas soutenir ou condamner une action de manière responsable sans s'engager dans le dossier. Le débat devient moins théâtral parce que les preuves sont organisées.

Pour AFRINIC, un régime de preuves publiques serait une sortie de l'épuisement narratif. L'institution a été décrite à travers trop d'histoires totalisantes: registre corrompu, registre victime, registre capturé, registre en rétablissement, registre litigieux, symbole de souveraineté africaine, coquille de droit privé, comptable technique. Aucune de ces histoires ne peut soutenir seule la confiance du marché. Les preuves le peuvent. Le registre n'a pas besoin que tout le monde s'accorde sur sa vertu. Il a besoin que suffisamment de personnes vérifient que le pouvoir important est contraint.

Une norme pratique de contrôle pour les registres de numéros rares

La norme dont AFRINIC a besoin n'est pas une vague promesse de transparence. C'est une architecture anti-corruption spécifique au registre liée aux conséquences économiques de la rareté des IPv4. La conception devrait partir d'une règle simple: toute action qui peut changer la confiance de marché, juridique ou opérationnelle attachée à une ressource numérique nécessite une piste de preuve, des fonctions séparées, un double contrôle, un examen des conflits, une préservation de l'état antérieur et un chemin de révision. Les actions à moindre risque peuvent être plus légères.

Les actions à haute conséquence doivent être traitées comme un règlement d'infrastructure.

Le premier élément est un registre des actions à haute conséquence. Il devrait définir les actions qui déclenchent des contrôles renforcés: allocation à partir du pool rare, approbation ou refus de transfert, réclamation de ressource, publication ou suppression d'état de litige, changement de nom de titulaire, reconnaissance de successeur, activation d'enregistrement dormant, changements de matériel RPKI, changements de matériel DNS inversé, acceptation de documents d'autorité large, acceptation de procuration électorale, dérogation d'urgence et toute action impliquant un plaideur ou un agent en conflit.

La définition devrait être publique pour que les membres sachent quand les contrôles renforcés s'appliquent.

Le deuxième élément est une matrice d'autorité. Elle devrait cartographier qui peut approuver quoi: hostmasters, responsables de l'enregistrement, examinateurs juridiques, personnel de sécurité, dirigeants, séquestre, conseil, tribunal et examinateur indépendant. La matrice devrait interdire l'implication du conseil ou du séquestre dans les dossiers de ressources ordinaires sauf par des canaux enregistrés et définis. Elle devrait interdire au personnel d'exécuter une action qu'il a seul approuvée.

Elle devrait exiger une escalade lorsqu'une partie est un directeur, un candidat, un courtier, un plaideur majeur, un contractant ou une entité apparentée.

Le troisième élément est la classification des preuves. Le registre devrait identifier quelles preuves soutiennent quelle affirmation: existence de l'entreprise, autorité du signataire, chaîne de titre ou de contrôle, relation de successeur, statut de frais, statut de ressource, contrainte judiciaire, revendication de litige, indicateur de fraude, autorité de vote des membres, autorité de procuration, continuité technique et état de sécurité. Les preuves peuvent être privées, mais la catégorie devrait être enregistrée.

Cela aide les contreparties à comprendre si une décision est fondée sur des faits, du droit, une politique, une contrainte technique ou une allégation non résolue.

Le quatrième élément est une journalisation inviolable et des résumés publics des modifications. Un registre devrait maintenir des journaux internes durables pour toutes les actions à haute conséquence et publier des résumés expurgés pour les changements ayant un impact sur le marché. Le résumé ne devrait pas révéler de données personnelles sensibles. Il devrait révéler suffisamment pour montrer que l'action était autorisée, examinée et récupérable. Un tribunal, un auditeur ou un examinateur indépendant ultérieur devrait pouvoir reconstruire le chemin de la demande à l'exécution.

Le cinquième élément est la gestion des conflits au niveau du dossier. Le personnel, les directeurs, les candidats, les membres des comités, les responsables électoraux, les consultants et les fournisseurs devraient déposer des déclarations de conflit périodiques, mais le contrôle décisif est la vérification avant une décision spécifique. Les récusations et les non-récusations devraient être enregistrées. Les relations avec les courtiers, le plaidoyer rémunéré, les intérêts de litige et l'exposition à la détention de ressources devraient être traités comme matériels. L'objectif n'est pas d'expulser tous ceux qui ont de l'expertise.

C'est de garantir que l'expertise ne devienne pas une influence cachée.

Le sixième élément est un audit indépendant. Un registre peut s'auditer lui-même pour les opérations, mais l'audit des risques de corruption devrait inclure un examen externe des échantillons et de tous les cas exceptionnels. L'audit devrait tester si les contrôles ont été suivis, si les exceptions étaient justifiées, si les conflits ont été déclarés, si les enregistrements dormants ont été protégés, si les refus de transfert correspondaient aux critères publiés, si les documents d'autorité électorale ont été vérifiés et si les changements en période de séquestre sont restés dans le mandat.

Les conclusions devraient être publiques de manière agrégée avec des mesures correctives spécifiques là où nécessaire.

Le septième élément est l'isolement des litiges. Lorsque les preuves sont contradictoires, le registre devrait préserver le dernier état opérationnel vérifié, publier une catégorie de litige le cas échéant, empêcher les modifications conflictuelles et orienter l'affaire vers une décision indépendante. Il devrait éviter de convertir les litiges non résolus en révocation, redistribution ou perturbation du service de sécurité. L'isolement des litiges est un outil anti-corruption car il prive les acteurs privés du prix immédiat de changer l'état pendant que les preuves restent contestées.

Cette norme ne rendrait pas AFRINIC parfait. Aucun système de contrôle ne le peut. Elle rendrait l'influence inappropriée plus difficile à cacher et plus facile à tarifer. Elle protégerait également l'application légitime du registre. Si un bloc était véritablement détourné, une piste de preuve solide soutiendrait la correction. Si un transfert était légitime, des contrôles objectifs empêcheraient les opposants de le défaire par insinuation. L'anti-corruption fonctionne mieux lorsqu'elle protège l'institution et le membre l'un de l'autre.

La norme devrait également être proportionnée. Toute erreur de contact n'a pas besoin d'un auditeur externe. Toute petite demande de support n'a pas besoin d'un journal au niveau du conseil. La charge de contrôle devrait augmenter avec la conséquence: volume d'adresses rares, historique dormant, autorité contestée, règlement de transfert, effet de sécurité de routage, impact électoral, contexte de litige ou dérogation d'urgence. Un contrôle proportionné est plus rapide qu'un contrôle discrétionnaire car le chemin est connu à l'avance.

Il est également plus juste car la même catégorie de risque reçoit la même discipline indépendamment de l'identité politique du demandeur.

La légitimité se situe à la frontière entre registre et gardien

La question institutionnelle plus profonde est de savoir où les contrôles des risques de corruption d'AFRINIC devraient tracer la frontière entre registre et gardien. Un registre protège l'unicité, enregistre le contrôle, publie les coordonnées et les données de sécurité, préserve l'histoire, signale les litiges et exécute des changements objectifs lorsque les preuves sont suffisantes. Un gardien décide quels modèles commerciaux, coalitions politiques, régions, factions ou stratégies de marché méritent le privilège de la reconnaissance. Le premier rôle peut être contrôlé.

Le second invite à l'influence car il convertit le pouvoir discrétionnaire moral et politique en pouvoir économique.

La crise d'AFRINIC montre à quelle vitesse la frontière peut se déplacer. Les allégations historiques de manipulation des enregistrements ont créé un besoin légitime de réparation de la provenance. La rareté des IPv4 a créé un besoin légitime d'enregistrements d'allocation et de transfert minutieux. Les litiges ont créé un besoin légitime de préservation. La mise sous séquestre a créé un besoin légitime de continuité. Les difficultés électorales ont créé un besoin légitime de vérification de l'autorité. Chaque besoin légitime peut être répondu par un contrôle étroit.

Chacun peut également devenir un argument pour un pouvoir discrétionnaire institutionnel plus large. Le risque de corruption réside dans le glissement de l'un à l'autre.

Un registre qui veut la légitimité devrait choisir des contrôles ennuyeux plutôt qu'un pouvoir discrétionnaire héroïque. Il devrait rendre difficile pour le personnel de modifier seul les enregistrements dormants. Il devrait rendre l'approbation des transferts suffisamment objective pour que les courtiers ne puissent pas vendre de l'influence. Il devrait rendre les vérifications des conflits suffisamment routinières pour que le langage communautaire ne puisse pas cacher l'intérêt privé. Il devrait rendre l'autorité électorale suffisamment vérifiable pour que la légitimité du conseil ne dépende pas des applaudissements.

Il devrait rendre les actions en période de séquestre suffisamment limitées pour que la continuité d'urgence ne devienne pas une capture silencieuse. Il devrait rendre les preuves publiques suffisamment claires pour que les déclarations officielles et les affirmations adverses puissent être testées contre le même dossier.

La récompense économique est la liquidité. Un enregistrement de registre propre, vérifiable et étroitement gouverné permet aux IPv4 de se déplacer vers une utilisation de plus grande valeur avec moins de décotes. Il permet aux prêteurs, acheteurs, bailleurs et clients de distinguer les défauts réels du brouillard institutionnel. Il permet aux titulaires honnêtes de monétiser ou d'exploiter des ressources sans craindre qu'un défi caché n'apparaisse après que la valeur a été engagée. Il permet aux tribunaux de préserver le statu quo car le statu quo peut être identifié.

Il permet à AFRINIC de continuer en tant que registre utile plutôt que gardien contesté.

Le coût de l'opacité est l'inverse. Si un marché croit qu'un fichier de registre peut être modifié par un accès privé, retardé par une pression factionnelle, gelé par un large pouvoir discrétionnaire, certifié par une autorité peu claire ou gouverné par un conseil dont le mandat est contesté, il n'attendra pas une réponse philosophique sur la propriété. Il ajoutera une décote. Cette décote retombera sur les opérateurs africains, les contreparties utilisant l'espace enregistré par AFRINIC, les clients dépendant de ces réseaux et l'institution elle-même. Le risque de corruption devient un impôt sur la légitimité du registre.

Le jugement final est institutionnel plutôt que moral. AFRINIC n'a pas besoin de contrôles anti-corruption parce que l'Afrique est uniquement corrompue, parce qu'un plaideur est uniquement vertueux ou parce que les organes de coordination sont uniquement suspects. Il en a besoin parce qu'un registre IPv4 rare est une infrastructure de marché, et toute institution qui contrôle un tel registre doit contraindre les personnes qui peuvent y toucher.

Les pistes d'audit, la séparation des tâches, le double contrôle, la provenance des transferts, les journaux des modifications, les registres de conflits, la garde de l'autorité et les preuves publiques ne sont pas des réformes optionnelles à la marge. Ils sont le mécanisme par lequel un registre privé gagne la confiance pour rester un point de référence public.

À la frontière registre/gardien, la légitimité n'est pas produite en disant que le registre sert la communauté. Elle est produite en rendant chaque touche importante sur l'enregistrement responsable devant des preuves. La liquidité des IPv4 dépend de cette discipline. La continuité des opérateurs en dépend car les réseaux en direct ne peuvent pas être des dommages collatéraux dans une lutte institutionnelle opaque. La légitimité du registre en dépend car la croyance partagée s'effondre lorsque l'enregistrement semble privément orientable.

L'économie des adresses rares a déjà rendu la leçon visible: un registre peut être petit, privé et utile si son pouvoir est étroit et vérifiable. S'il devient un gardien opaque sur la valeur, le risque de corruption n'est plus un problème interne. C'est le prix du marché.