Enregistrements de route IRR d'AFRINIC et fiabilité des modifications conséquentes

Le mainteneur du route-server a déjà vu ce genre de ticket. Un petit fournisseur d'accès veut qu'un nouveau préfixe soit accepté sur un point d'échange africain. L'e-mail est poli et urgent. Le client affirme que le préfixe appartient à une fondation universitaire qui a récemment déplacé son hébergement vers un centre de données local. La lettre d'autorisation est signée par un directeur financier dont le nom n'apparaît pas dans le contact du registre. Un objet de route existe, mais son AS d'origine pointe vers un ancien fournisseur de transit.

L'AS-SET fourni par le client se développe en deux réseaux en aval et un revendeur dont le mainteneur est détenu par une société de services gérés dans un autre pays. Le contact du registre répond depuis une boîte mail personnelle. Le client dit que le changement est routinier, car les paquets transitent déjà par une liaison de secours. L'outillage du route-server dit autre chose: accepter l'annonce et le point d'échange pourrait aider une route non autorisée à se propager; la refuser et un vrai réseau africain pourrait perdre un chemin moins coûteux vers l'accessibilité locale.

La même scène se reproduit, avec de petites variations, dans les départements de transit, les files d'attente d'intégration cloud, les équipes de routeurs gérés et les examens d'approvisionnement des entreprises. Personne dans ces salles ne devrait confondre un objet de route avec un titre de propriété. Personne ne devrait le traiter comme une autorisation d'origine de route cryptographique (Route Origin Authorisation). Pourtant, l'enregistrement peut encore décider si un préfixe entre dans un filtre, si une migration se termine cette semaine ou le mois prochain, et si un client est traité comme ordinaire ou exceptionnel.

Un opérateur doit savoir si un acheteur de transit peut annoncer un bloc. Un point d'échange doit savoir ce que ses route-serveurs doivent laisser passer. Un revendeur doit convaincre un amont que sa délégation client est réelle. Un réseau public a besoin de continuité lors d'un changement de prestataire. Un centre de données doit déplacer un client sans devenir le maillon faible d'un détournement. Dans chaque cas, une ancienne entrée textuelle dans un registre de routage Internet peut devenir un ticket pratique dans l'économie du routage.

Voilà l'importance des règles d'objet de route d'AFRINIC. Les entrées route et route6 RPSL sont des déclarations opérationnelles d'origine-préfixe: elles associent un préfixe IP à un système autonome sous une forme que les ingénieurs réseau et les logiciels de filtrage peuvent consommer. Elles ne sont pas un titre légal, ni une ordonnance judiciaire, ni un certificat d'adhésion, ni une assertion RPKI signée. Leur autorité est plus douce et plus institutionnelle.

Mais parce que les opérateurs, points d'échange, fournisseurs gérés, plateformes cloud et clients utilisent souvent les données IRR pour construire des filtres de préfixe et d'origine, ces enregistrements peuvent affecter si un préfixe est facile à rendre accessible. Dans une région où la rareté de l'IPv4 a rendu l'acceptation opérationnelle précieuse, une commodité de registre peut devenir un gardien de l'ombre si son objectif et ses règles de correction ne sont pas strictement délimités.

L'histoire institutionnelle récente d'AFRINIC donne au problème une force inhabituelle. Le registre a connu un stress juridique et de gouvernance de longue durée, des reportages publics sur des préoccupations de détournement d'IPv4, des périodes supervisées par les tribunaux, une mise sous séquestre, une élection 2025 annulée après des allégations d'irrégularités rapportées et une restauration ultérieure d'un conseil d'administration. Aucun de ces faits ne prouve qu'une déclaration de routage particulière est erronée.

Une élection difficile ne montre pas qu'un AS d'origine manque d'autorité; une bataille judiciaire ne montre pas qu'un mainteneur est compromis; un scandale d'adresses rapporté ne justifie pas de traiter chaque détenteur historique comme suspect. Mais le stress institutionnel change le coût de l'ambiguïté. Lorsque les canaux de correction sont lents, contestés ou mal documentés, les enregistrements opérationnels acquièrent plus de poids sur le marché. La réponse n'est pas de transformer chaque édition de routage en procès de propriété. Il s'agit de rendre l'autorité étroite, vérifiable, basée sur la notification et peu coûteuse à corriger.

Le petit fichier qui devient un billet d'embarquement

L'objet de route a commencé comme un moyen de décrire la politique de routage, pas comme un instrument de marché. En RPSL, la classe route spécifie une route inter-AS originaire d'un système autonome. Sa clé est le préfixe et l'AS d'origine. La classe route6 IPv6 remplit le même rôle pour IPv6, en utilisant les attributs route6 et origin comme clé. La forme est délibérément sobre. Elle répond à une question opérationnelle: si un réseau prétend que l'AS X origine du préfixe P, existe-t-il une entrée de registre le disant?

Cette réponse est importante car BGP est permissif. Un routeur qui reçoit une annonce ne sait pas intrinsèquement si l'AS annonceur a le droit d'originer le préfixe. Les opérateurs ajoutent donc des politiques. Ils peuvent rejeter l'espace non alloué, rejeter les routes trop spécifiques, rejeter les routes incompatibles avec les données RPKI, ou rejeter les routes absentes d'une liste autorisée dérivée d'IRR. Chaque vérification répond à une question différente. L'enregistrement IRR répond à une question étroite: quelqu'un ayant l'autorité pertinente a-t-il publié la déclaration d'origine-préfixe que mes outils attendent?

Dans un cadre à faible friction, ce fichier reste invisible. Un client demande à annoncer un préfixe. L'amont voit une entrée IRR propre, un enregistrement de détenteur de registre, un contact qui correspond à la demande, peut-être une ROA, et un AS-SET qui se développe comme prévu. L'approvisionnement ferme le ticket. Le client obtient le transit, l'amont enregistre le revenu, le route-server évite une erreur évidente, et personne n'a besoin d'une théorie de conception institutionnelle.

La friction commence lorsque les enregistrements divergent. Un préfixe peut être enregistré par une organisation, originaire d'une autre, maintenu par une troisième, délégué à un client et présenté à un route-server par une quatrième. Ce n'est pas nécessairement suspect. Les réseaux modernes sont superposés. Les détenteurs externalisent le routage. Les universités engagent des fournisseurs de services. Les agences publiques achètent la connectivité par contrats-cadres. Les centres de données annoncent l'espace client. Les revendeurs agrègent les clients derrière leurs propres ASN.

Les fournisseurs de sécurité gérés dirigent le trafic lors d'attaques. Un préfixe peut passer par plusieurs mains légitimes avant d'atteindre la personne demandant à un amont de l'accepter.

Les opérations superposées créent une charge documentaire. Le détenteur du registre peut contrôler les droits légaux ou contractuels. L'AS d'origine peut contrôler l'annonce BGP réelle. Le mainteneur peut contrôler l'édition IRR. Le client peut contrôler la relation commerciale. L'opérateur tiers peut contrôler l'acceptation. Si l'entrée est obsolète, ou si le mainteneur ne représente plus le détenteur, les outils de filtrage peuvent convertir de la paperasse ancienne en accessibilité présente. Si l'opérateur rejette la demande, il peut bloquer du trafic légitime. S'il l'accepte, il peut normaliser une chaîne d'autorité faible.

Le petit fichier devient un billet d'embarquement car les tiers peuvent le traiter plus facilement qu'ils ne peuvent traiter la réalité institutionnelle sous-jacente.

C'est pourquoi le sujet relève de l'économie institutionnelle plutôt que d'une annexe cléricale à BGP. Le coût d'un enregistrement flou n'est pas supporté uniquement par le registre. Il est supporté par le fournisseur d'accès qui perd un client, par le point d'échange qui doit faire une exception, par le centre de données qui ne peut pas terminer une migration, par le réseau public qui paie pour une revue manuelle, et par l'amont dont l'équipe de sécurité doit décider si elle peut faire confiance à un document qu'elle ne peut pas vérifier complètement. De bonnes règles réduisent les coûts de transaction.

Des règles faibles les déplacent vers l'extérieur, sur le marché, où ils apparaissent comme des retards, des primes de risque, des faveurs bilatérales et des décisions de filtrage incohérentes.

La déclaration étroite du RPSL et ses vastes conséquences

RPSL a été conçu pour que la politique de routage puisse être exprimée de manière structurée. La RFC 2622 décrit la classe route comme un moyen de spécifier une route inter-AS originaire d'un AS, avec le préfixe de route et l'AS d'origine formant la clé de la classe. La RFC 4012 a ensuite étendu RPSL pour des familles d'adresses supplémentaires et décrit route6 comme l'équivalent IPv6. Ces documents sont des ancres techniques, pas des manifestes commerciaux. Leur importance pour AFRINIC est qu'ils définissent l'étroitesse de l'entrée. Un objet route ou route6 n'est pas une déclaration générale sur qui possède une ressource.

C'est une déclaration d'origine-préfixe à l'intérieur d'un système de politique de routage.

Cette étroitesse est souvent perdue en pratique. Un ingénieur réseau sous pression temporelle demande « l'objet IRR » comme preuve qu'un client peut annoncer un préfixe. Le client produit l'entrée. L'entrée est traitée comme une preuve de légitimité car l'outil de filtrage la consomme. Si personne ne s'y oppose, la décision opérationnelle peut devenir un fait de marché. La route est acceptée, le trafic circule, les contrats sont exécutés et les réviseurs ultérieurs peuvent supposer que l'acceptation elle-même a prouvé l'autorité. L'enregistrement n'a pas changé de nature juridique. Sa fonction sociale a changé.

L'écart entre la nature juridique et la fonction opérationnelle est l'endroit où la réglementation importe. Si l'enregistrement est compris trop largement, il devient un substitut au titre. Quiconque peut le créer ou le préserver gagne un levier sur l'accessibilité. S'il est compris trop étroitement, les opérateurs peuvent l'ignorer et se rabattre sur des lettres privées, des exceptions ponctuelles et une confiance basée sur les relations. Aucun extrême n'est sain. L'entrée doit être traitée comme une déclaration opérationnelle structurée avec des limites connues et des exigences d'autorité connues.

La comparaison avec route6 aide car elle montre que le problème n'est pas seulement un vestige de la rareté de l'IPv4. Les réseaux IPv6 ont également besoin de déclarations d'origine-préfixe. Les points d'échange et les amonts construisent aussi des filtres pour IPv6. Mais la rareté de l'IPv4 augmente les enjeux car un seul préfixe IPv4 accepté peut porter une valeur marchande, un historique client et une difficulté de remplacement. Une entrée route6 obsolète peut créer un risque opérationnel; un objet de route IPv4 obsolète peut également affecter la liquidité et le pouvoir de négociation d'un actif rare.

Le problème est le même dans la forme et différent dans l'intensité.

Ces enregistrements diffèrent également des ROA. Une ROA fait partie du système RPKI et est validée via des certificats de ressources cryptographiques. Une entrée IRR dépend des règles de la base de données, de l'authentification du mainteneur, du choix de la source et de la confiance de l'opérateur. Comparer les deux n'est utile que si la comparaison reste disciplinée. Les ROA peuvent montrer qu'un détenteur de ressources a publié une autorisation d'origine cryptographiquement vérifiable dans le système de certificats.

Les objets de route peuvent montrer qu'une déclaration d'origine-préfixe existe dans un registre de routage selon les règles de mise à jour de ce registre. De nombreux opérateurs utilisent les deux. Aucun ne supprime le besoin de comprendre qui avait l'autorité de publier le signal pertinent.

La conséquence pratique est que la syntaxe seule ne peut pas régler les questions importantes. Qui peut créer l'entrée lorsque le détenteur de la ressource et l'AS d'origine diffèrent? Qui peut la supprimer lorsqu'une relation client prend fin? Que se passe-t-il lorsque deux sources ont des origines différentes pour le même préfixe? Que faire si un mainteneur est contrôlé par un prestataire externalisé qui ne représente plus le détenteur? Que faire si le détenteur est une université dont le contact du registre a pris sa retraite il y a des années?

Que faire si un syndic, un liquidateur, un administrateur sous contrôle judiciaire ou un organisme public revendique l'autorité? RPSL fournit la forme. Les règles institutionnelles déterminent si la forme reste fiable sur les vrais marchés.

Mainteneurs, identifiants et valeur de l'autorité d'édition

L'objet mntner est le centre silencieux du système. La RFC 2622 décrit les mainteneurs comme des entités autorisées à ajouter, supprimer et modifier des ensembles d'objets. Cela semble administratif. Dans un environnement dépendant du filtrage, l'autorité d'édition a une valeur économique. La partie qui peut créer, préserver ou supprimer une entrée d'origine-préfixe peut influencer si un préfixe apparaît dans les filtres. La partie qui peut contrôler un AS-SET peut influencer quels ASN clients sont inclus dans les listes autorisées générées récursivement.

La partie qui peut mettre à jour les champs de contact peut affecter qui reçoit les notifications. La partie qui peut authentifier les changements peut rendre une déclaration opérationnelle ordonnée même lorsque la relation commerciale sous-jacente est contestée.

L'authentification est nécessaire mais insuffisante. Un mot de passe, une clé, un certificat, une session de portail ou une étape à deux facteurs peut montrer que l'utilisateur contrôle l'identifiant du mainteneur. Cela ne montre pas en soi que l'utilisateur représente toujours le détenteur de la ressource, l'AS d'origine, le client ou la partie ayant la délégation actuelle. Un compte email professionnel peut rester valide après la fin d'un contrat. Un ancien prestataire de services gérés peut conserver les identifiants. Un revendeur peut avoir un accès d'édition pour un préfixe client mais pas l'autorité d'autoriser une nouvelle origine.

Un employé peut contrôler un mainteneur tout en manquant d'autorité d'entreprise. Des contrôles de connexion forts réduisent l'usurpation d'identité; ils ne règlent pas le mandat.

Pour AFRINIC, la distinction est précieuse car le stress institutionnel et la valeur du marché des adresses rendent l'autorité obsolète plus coûteuse. Si l'accès au mainteneur est laxiste, les entrées peuvent être créées trop facilement. Si l'accès au mainteneur est traité comme concluant, les anciens identifiants peuvent devenir des armes économiques. Si l'accès est trop difficile à récupérer, les détenteurs légitimes avec de mauvais dossiers historiques peuvent être verrouillés hors des fichiers mêmes que les amonts attendent d'eux qu'ils maintiennent. Le registre a donc besoin d'un modèle d'autorité qui sépare l'authentification du droit.

L'erreur la plus simple est de confondre l'autorité du mainteneur avec l'autorité du détenteur. Un mainteneur peut être attaché aux enregistrements du détenteur, mais la personne qui le contrôle peut être un sous-traitant, un ancien administrateur réseau ou un prestataire tiers. L'erreur opposée est d'ignorer l'autorité du mainteneur et d'exiger une preuve complète de détention du registre pour chaque modification mineure. Cela rendrait les opérations de routine trop lentes, en particulier pour les petits réseaux qui dépendent de services gérés. L'approche utile est hiérarchisée.

Les mises à jour de routine par un mainteneur stable et validé doivent être rapides. Les changements qui altèrent la signification marchande de l'entrée, comme une nouvelle AS d'origine, une suppression contestée ou une modification après récupération de compte, doivent déclencher des vérifications plus strictes.

Les règles de mainteneur sont aussi un moyen de répartir la responsabilité sans prétendre l'éliminer. Un enregistrement peut être erroné parce que le détenteur a fait une erreur, parce que le client a fourni de mauvaises informations, parce que l'AS d'origine a changé, parce qu'un sous-traitant n'a pas fait le ménage, parce que le processus du registre a permis une mise à jour non autorisée, ou parce qu'un autre IRR a copié une ancienne entrée. AFRINIC ne peut pas absorber chaque erreur opérationnelle dans l'économie du routage. Mais il peut exiger suffisamment d'attribution pour rendre les erreurs corrigeables.

Un journal des modifications doit montrer quel mainteneur a agi, sous quel compte authentifié, avec quelle base déclarée et avec quelle notification aux contacts affectés. Cette preuve réduit le coût des litiges ultérieurs.

Le poids d'une mauvaise pratique de mainteneur tombe de manière inégale. Les grands opérateurs peuvent affecter du personnel pour nettoyer les enregistrements sur plusieurs sources. Les petits FAI peuvent n'avoir qu'un seul ingénieur qui s'occupe également des pannes électriques, des achats, des escalades clients et de la sécurité. Une université peut ne pas savoir quel ancien sous-traitant détient un ancien mainteneur. Un réseau gouvernemental peut avoir besoin d'une chaîne de lettres formelle avant qu'un ingénieur puisse même demander une correction. Si les modifications dépendent de connaissances informelles, ces organisations paient plus.

Si le registre fournit un processus d'autorité clair et étroit, elles peuvent concurrencer avec moins de dépendance aux relations personnelles.

Cinq formes d'autorité que les opérateurs compressent souvent en une seule

Le litige qui parvient à un amont arrive rarement sous une forme juridique propre. Il arrive sous la forme d'une demande client. Le client peut dire « nous possédons ce préfixe » alors qu'il veut dire « notre fournisseur de services nous a dit que nous pouvons l'annoncer. » Il peut dire « AFRINIC a l'enregistrement » alors qu'il veut dire « il y a une entrée quelque part avec notre AS. » Il peut dire « le détenteur nous a autorisés » alors qu'il a une lettre d'une personne qui était autrefois le gestionnaire réseau du détenteur. L'opérateur doit traduire un langage imprécis en risque.

Un bon processus aide en séparant les formes d'autorité que les opérations compressent souvent.

La première forme est l'autorité du détenteur du registre. C'est l'organisation reconnue dans l'enregistrement du registre comme le détenteur ou l'attributaire de la ressource numérique. C'est le point de départ pour de nombreuses décisions, mais cela ne signifie pas que l'AS du détenteur doit toujours originer le préfixe. Les détenteurs délèguent le routage tout le temps. Une entreprise peut utiliser l'AS d'un opérateur. Une agence publique peut externaliser l'infrastructure. Une université peut laisser un réseau de recherche transporter le trafic. L'autorité du détenteur est fondamentale, mais elle n'est pas auto-exécutante en BGP.

La deuxième forme est l'autorité de l'AS d'origine. L'AS qui origine le préfixe doit être disposé et opérationnellement capable de l'annoncer. L'AS d'origine peut être un fournisseur de transit, un client, un centre de données, un réseau de contenu, un fournisseur de DDoS géré ou le détenteur lui-même. Son autorité peut découler d'un contrat, d'une relation client ou d'une délégation opérationnelle. Une entrée d'origine-préfixe n'a de sens que si la relation sous-jacente existe et si la partie qui la publie avait qualité pour faire cette déclaration.

La troisième forme est l'autorité du mainteneur. C'est la capacité de modifier l'enregistrement IRR. Elle est plus étroite que l'autorité du détenteur et l'autorité de l'AS d'origine, mais elle peut être plus immédiatement puissante car les filtres dépendent des données publiées. Un mainteneur peut appartenir au détenteur, au réseau d'origine, à un registre, à un sous-traitant ou à un arrangement historique. Le contrôle de celui-ci ne doit pas être confondu avec le droit complet de décider de l'avenir de la ressource.

La quatrième forme est la délégation client. Un client peut avoir une lettre, un contrat, une approbation de ticket ou un ordre de service qui lui permet d'acheminer un préfixe via un fournisseur spécifique. La délégation peut être large ou étroite, temporaire ou indéfinie, révocable ou liée à un service payant. L'amont ou le point d'échange doit savoir si elle couvre l'origine, la longueur de préfixe et la période demandées. Une lettre autorisant des « services de connectivité » peut ne pas autoriser la création d'un objet de route pour un AS différent trois ans plus tard.

La cinquième forme est l'acceptation par un tiers. Aucun registre ne peut forcer chaque opérateur ou point d'échange à accepter une route. Les opérateurs décident de leurs propres filtres. Ils peuvent utiliser les données liées à AFRINIC, d'autres IRR, RPKI, des exceptions manuelles et un historique de confiance privé. Leur acceptation n'est pas non plus un titre. C'est une décision opérationnelle. Mais assez d'acceptation crée une dépendance, et assez de rejet peut détruire l'utilisabilité pratique. C'est pourquoi les formes d'autorité précédentes doivent être lisibles par des tiers.

Lorsque ces formes s'alignent, le système est ennuyeux. Lorsqu'elles ne le font pas, la question n'est pas « qui possède le numéro Internet? » dans l'abstrait. C'est « quelle déclaration opérationnelle peut être publiée, par qui, avec quelle notification, dans quel but de routage, et comment peut-elle être corrigée si la chaîne d'autorité est erronée? » Ce cadrage maintient le rôle du registre étroit tout en répondant au fait économique que les filtres transforment les enregistrements en conditions d'accès.

Comment les données IRR deviennent des filtres chez les opérateurs et les points d'échange

La RFC 7454 décrit la logique opérationnelle clairement. Le filtrage de préfixes est un élément central des opérations BGP. Les informations IRR peuvent être utilisées pour construire, pour un AS voisin donné, une liste de préfixes originaires ou transités qui peuvent être acceptés. Un pair fournit un AS et peut-être un AS-SET; les outils développent l'AS-SET récursivement pour obtenir des numéros AS; l'opérateur consulte ensuite les préfixes associés et construit des listes de préfixes et d'origines autorisées.

La RFC avertit également que les registres ne sont pas toujours exacts, les objets varient dans le temps, la sélection de source est difficile et les filtres doivent être rafraîchis régulièrement. Elle recommande une publication et une maintenance appropriées des ressources dans l'IRR du RIR lorsque disponible.

C'est le pont entre la discipline de la base de données et le coût du marché. Une entrée liée à AFRINIC peut être consommée par la construction de filtres nocturnes d'un fournisseur de transit. La configuration du routeur du fournisseur peut ne pas connaître l'histoire derrière elle. Elle sait seulement si une paire préfixe-origine apparaît dans une source que le fournisseur a choisi de faire confiance. Si l'entrée est manquante, obsolète ou contestée, le client peut être rejeté automatiquement. Si elle est présente mais non autorisée, la route peut passer automatiquement.

La décision humaine a été déplacée en amont dans la curation des données.

L'automatisation est économiquement nécessaire. Un grand opérateur ne peut pas examiner manuellement chaque changement de route. Un route-server de point d'échange ne peut pas fonctionner en toute sécurité sur des promesses informelles. Un fournisseur géré ne peut pas traiter chaque nouveau client comme un dossier juridique sur mesure. Les filtres dérivés d'IRR rendent le marché moins cher en transformant les examens répétés en logiciel. Mais l'automatisation amplifie également les erreurs d'enregistrement. Une seule mauvaise entrée peut être tirée dans de nombreux filtres.

Une seule suppression peut retirer l'acceptation à travers de nombreux pairs. Une seule règle de sélection de source peut privilégier une version d'un litige par rapport à une autre sans que les parties affectées ne s'en rendent compte jusqu'à ce que le trafic échoue.

Les points d'échange exposent le problème de manière aiguë. Un route-server d'échange n'est pas simplement une relation bilatérale; c'est une commodité partagée pour de nombreux membres. Si le serveur accepte de mauvaises données, le risque se propage. S'il rejette trop agressivement, les petits membres perdent l'un des principaux avantages de rejoindre un échange: une connectivité multilatérale simple. De nombreux points d'échange africains existent pour réduire la dépendance au transit international coûteux et maintenir le trafic local local.

Une ambiguïté qui pourrait être une nuisance dans un grand marché européen peut être un coût matériel dans un écosystème plus petit où le peering local est encore en cours d'approfondissement.

Les fournisseurs de transit font face à une incitation différente. Ils veulent vendre des services, éviter les détournements et réduire le travail de support. Un enregistrement propre permet aux ventes et à l'approvisionnement de procéder. Un enregistrement désordonné crée un retard interne. Si le revenu du client est faible, le fournisseur peut refuser plutôt qu'enquêter. Ce refus est rationnel pour le fournisseur mais coûteux pour le marché. Le résultat est un biais en faveur des clients dont les données sont déjà en ordre, dont les ingénieurs connaissent le rituel, ou dont la marque est assez grande pour justifier une escalade manuelle.

L'économie du filtrage dépend donc de la qualité des données en amont. AFRINIC ne contrôle pas la politique de routage de chaque opérateur, mais il peut affecter le coût d'utilisation des enregistrements liés à AFRINIC. Si la création et la correction sont claires, les opérateurs peuvent se fier à la source avec moins d'exceptions. Si l'autorité est opaque, les opérateurs soit s'en méfient, soit l'utilisent avec un risque caché. Les deux résultats sont coûteux. La méfiance pousse les réseaux vers des preuves fragmentées et des exceptions bilatérales.

Une confiance excessive permet à des entrées obsolètes ou non autorisées de façonner l'accessibilité.

Récursion AS-SET et le pouvoir silencieux des listes déléguées

Les objets de route déclarent des paires préfixe-origine, mais les AS-SET décident souvent comment ces paires entrent dans les filtres à grande échelle. Un client de transit peut dire à un amont de construire des filtres à partir de AS-CUSTOMER. Cet ensemble peut contenir l'AS du client, les ASN des clients en aval et d'autres AS-SET. La récursion peut se poursuivre à travers les revendeurs et les réseaux gérés. Le résultat est une grande liste d'ASN dont les préfixes associés sont acceptés depuis le chemin du client. Le processus est efficace lorsque les ensembles sont organisés. Il est risqué lorsqu'ils deviennent obsolètes ou trop larges.

La pratique des AS-SET appartient à la même discussion car les deux instruments interagissent. Si un ensemble inclut un ASN en aval et que cet ASN a des objets de route pour plusieurs préfixes, le filtre d'un amont peut accepter ces préfixes depuis le chemin du client. Si la relation en aval a pris fin mais que l'ensemble n'a pas été mis à jour, le filtre peut continuer à autoriser l'acceptation. Si un revendeur ajoute un client sans preuve suffisante, l'amont peut accepter ce client indirectement.

Si un route-set inclut des préfixes par référence aux mainteneurs, le contrôle du mainteneur peut façonner quels préfixes apparaissent dans les listes dérivées.

Le risque n'est pas seulement le détournement malveillant. Les ensembles trop larges créent une exposition accidentelle. Une société de services gérés peut inclure tous les ASN clients dans un seul ensemble pour plus de commodité. Un centre de données peut oublier de retirer un locataire parti. Un petit FAI peut copier la structure recommandée d'un amont sans comprendre la récursion. Une université peut dépendre d'un réseau de recherche qui maintient des fichiers pour de nombreux campus. Le résultat du filtre semble technique, mais il reflète des choix concernant la délégation, la garde et le nettoyage.

Pour la région d'AFRINIC, les listes récursives peuvent imposer un coût de développement. De nombreux opérateurs dépendent de fournisseurs gérés car ils manquent de personnel pour maintenir chaque fichier de registre. C'est raisonnable. Mais la dépendance devient un verrouillage si le fournisseur contrôle l'AS-SET et les objets de route qui rendent les préfixes du client acceptables. Un petit FAI quittant un arrangement de transit géré peut découvrir que l'ancien fournisseur contrôle les enregistrements nécessaires au prochain fournisseur. Le litige peut ne pas concerner la propriété légale du préfixe.

Il peut concerner la capacité pratique de mettre à jour les données que les filtres consomment.

De bonnes règles doivent donc traiter les listes déléguées comme des instruments opérationnels révocables. La partie qui contrôle un AS-SET doit être identifiable. La base pour ajouter des ASN clients doit être documentée. Il doit y avoir un chemin simple pour qu'un détenteur de ressource ou un AS d'origine actuel conteste une inclusion obsolète. Il doit y avoir une notification avant la suppression si la suppression peut interrompre le service en cours, à moins qu'une raison de sécurité urgente ne justifie une action plus rapide. L'enregistrement doit distinguer le renouvellement client ordinaire d'une utilisation non autorisée suspectée.

Cette distinction empêche le nettoyage de devenir une arme.

La sélection de source complique les choses. Les opérateurs peuvent interroger plusieurs IRR et préférer certaines sources par rapport à d'autres. Une entrée propre liée à AFRINIC peut être remplacée en pratique par un enregistrement obsolète ailleurs si les outils de l'opérateur donnent la priorité à cette autre source. Inversement, une entrée obsolète liée à AFRINIC peut porter plus de crédibilité qu'un fichier tiers plus récent car elle semble plus proche de l'enregistrement de ressource. Cet article ne porte pas sur la fragmentation mondiale des IRR; l'accent est mis sur l'autorité et la correction liées à AFRINIC.

Néanmoins, les propres données d'AFRINIC doivent être suffisamment bonnes pour que les opérateurs aient une raison de les préférer. Des données erronées à l'apparence autoritaire sont pires que des données manifestement informelles car elles sont plus susceptibles d'être automatisées dans les filtres.

La récursion AS-SET est un multiplicateur. Elle multiplie la confiance lorsque les enregistrements sont propres. Elle multiplie les erreurs lorsque la délégation est obsolète. Elle élargit l'accès au marché pour les petits réseaux lorsqu'elle est bien gérée. Elle approfondit la dépendance aux intermédiaires lorsque la correction est difficile. AFRINIC ne peut pas traiter les fichiers d'origine-préfixe comme des entrées isolées si les mêmes décisions d'acceptation sont construites via des ensembles récursifs.

Enregistrements obsolètes et conflictuels comme taxes cachées

Le coût d'une mauvaise déclaration de routage apparaît rarement comme une ligne de facturation. Il apparaît comme une semaine de provisionnement retardé, un client perdu, un dimanche d'ingénieur passé à nettoyer les données du registre, un membre d'échange exclu d'un route-server, une migration d'entreprise reportée, un ticket de support traduit à travers trois organisations, une exception manuelle que plus tard personne ne se souvient, ou un prix plus élevé cité par un opérateur qui s'attend à des problèmes. Ces coûts sont réels même si le trafic finit par circuler.

L'obsolescence est la taxe la plus courante. Un préfixe qui provenait autrefois de l'AS A provient maintenant de l'AS B, mais l'ancien enregistrement demeure. Certains outils peuvent accepter les deux. Certains opérateurs peuvent voir un conflit et rejeter la demande. Certains peuvent demander une suppression que le client actuel ne peut pas effectuer car le mainteneur appartient à l'ancien fournisseur. La situation peut être inoffensive dans l'intention mais coûteuse en temps.

L'obsolescence est particulièrement coûteuse dans les marchés avec des contraintes de personnel car la personne qui connaissait l'arrangement original peut avoir quitté des années plus tôt.

Les doublons créent un autre coût. Si le même préfixe apparaît avec des origines différentes, les opérateurs doivent décider si la situation reflète un routage multi-origine légitime, une migration par étapes, une ingénierie du trafic, une erreur ou une utilisation non autorisée. Les arrangements multi-origine existent, et des règles de suppression trop rigides peuvent les briser. Mais les doublons sans contexte forcent les tiers à deviner. Un registre qui les permet doit rendre la raison et l'autorité suffisamment visibles pour que les opérateurs puissent interpréter le résultat.

Les conflits entre sources créent un coût plus subtil. Une entrée liée à AFRINIC peut montrer une origine; un IRR commercial peut en montrer une autre; un route-set peut inclure un préfixe par référence; une ROA RPKI peut pointer vers une troisième origine ou être absente. Les outils de l'opérateur peuvent être configurés pour faire confiance à une source pour certains clients et à une autre source pour d'autres. Le client ne vit pas cela comme un pluralisme élégant. Il vit un retard arbitraire. On lui dit de réparer « IRR » sans savoir quel fichier compte.

Les entrées non autorisées sont le cas le plus grave car elles externalisent le risque. Une partie qui peut publier une déclaration d'origine-préfixe plausible peut convaincre certains réseaux d'accepter une route avant que le détenteur ne s'en aperçoive. Même si aucun trafic n'est volé, l'enregistrement peut polluer les filtres, créer un travail de nettoyage ultérieur et réduire la confiance dans la source du registre. Dans un environnement IPv4 rare, il peut également soutenir des modèles commerciaux qui dépendent d'un contrôle apparent.

Un acheteur, un locataire, un client ou un fournisseur d'hébergement peut se fier à l'entrée comme faisant partie d'un dossier de vérification préalable. Lorsque l'enregistrement est corrigé, la chaîne de dépendance se brise.

La taxe cachée frappe particulièrement les réseaux africains qui tentent de réduire les coûts de connectivité. Le peering local et le transit régional réduisent la dépendance vis-à-vis des chemins internationaux longs. Mais le peering nécessite la confiance. Si les enregistrements d'un petit opérateur sont désordonnés, un route-server peut le rejeter ou les pairs peuvent éviter les sessions bilatérales. Si les préfixes clients d'un centre de données sont difficiles à valider, le centre de données peut utiliser un amont plus cher prêt à gérer des exceptions.

Si les réseaux du secteur public ne peuvent pas nettoyer les anciens fichiers, ils peuvent rester liés à des fournisseurs en place plus longtemps que la politique d'approvisionnement ne le prévoyait.

Le point n'est pas que chaque entrée obsolète est un scandale. Les registres et les opérateurs maintiennent des données imparfaites partout. Le point est que le coût de l'imperfection augmente lorsque les enregistrements deviennent des intrants d'admission pour une connectivité rare et précieuse. Dans cet environnement, le règlement d'AFRINIC est un outil de réduction des coûts. Il abaisse le coût ordinaire de dire oui aux routes africaines légitimes.

Les utilisateurs qui paient quand l'ambiguïté persiste

Les petits FAI paient en premier car ils manquent de poids de négociation. Un grand opérateur peut persuader un amont de créer une exception temporaire. Un petit FAI est plus susceptible de se faire dire de revenir lorsque ses objets seront propres. Cela peut sembler juste, mais cela peut renforcer la position des opérateurs en place. Le petit FAI peut être le réseau apportant le service à une ville secondaire, une zone rurale ou une communauté d'affaires spécialisée.

Si ses enregistrements de préfixes sont hérités via un revendeur, un ancien sous-traitant ou une délégation client, il peut faire face à des semaines de retard avant qu'un fournisseur n'accepte son annonce. Un problème réseau devient un problème de capital: les revenus sont retardés tandis que les coûts fixes continuent.

Les revendeurs paient différemment. Leur activité dépend de l'assemblage de connectivité, d'adresses, d'hébergement et de support dans un package que les clients peuvent acheter sans devenir experts en routage. Un revendeur avec une mauvaise discipline d'enregistrement devient un risque pour tous les amonts. Un revendeur soumis à des règles de correction arbitraires devient commercialement fragile. L'objectif politique ne doit pas être de stigmatiser le revente. Il doit être de rendre la délégation visible.

Si le revendeur est autorisé à acheminer le préfixe d'un client via un AS nommé pour un objectif défini, l'entrée doit en dire assez pour que les opérateurs comprennent ce fait. Si la délégation prend fin, le nettoyage doit être prévisible.

Les centres de données paient par la friction de migration. Un client emménageant dans un centre de données peut apporter son propre espace d'adressage et s'attendre à ce que l'installation l'annonce. Si l'entrée existante nomme encore un ancien AS de transit, le centre de données ne peut pas simplement demander aux routeurs de se conformer. Il a besoin d'un alignement du registre, d'une autorisation client, peut-être d'un nouvel objet de route, peut-être d'un AS-SET mis à jour, peut-être d'une ROA et parfois de la suppression de données obsolètes. La proposition de valeur du centre de données est la rapidité et la fiabilité.

Des données IRR ambiguës transforment l'intégration en enquête.

Les détenteurs historiques d'entreprise paient car leur histoire est souvent administrative désordonnée. Une entreprise peut avoir reçu de l'espace dans le cadre d'anciens arrangements, avoir fusionné plusieurs fois, avoir externalisé les opérations réseau et conservé des adresses qui soutiennent toujours l'accès à distance, les systèmes industriels ou les services orientés clients. La personne qui peut signer un contrat peut ne pas connaître le mainteneur. La personne qui connaît le mainteneur peut ne pas être autorisée à signer.

Si les règles de correction sont trop rigides, les détenteurs légitimes peuvent être incapables de moderniser les enregistrements. Si les règles sont trop laxistes, l'espace historique devient une cible pour des revendications opportunistes. Une preuve proportionnée est la seule réponse réalisable.

Les universités paient car les réseaux académiques mélangent souvent autonomie et dépendance. Une université peut avoir de l'espace historique, une relation avec un réseau national de recherche, des départements informatiques de campus, des fournisseurs d'hébergement externes, des laboratoires financés par des subventions et d'anciens contacts. Un objet de route peut avoir été créé par un ancien fournisseur pour un projet de recherche qui s'est terminé il y a longtemps. Lorsque l'université veut déplacer le trafic vers un nouveau fournisseur, il peut lui être demandé de réparer un enregistrement dont personne ne se souvient.

L'intérêt public n'est pas servi en forçant ces institutions à choisir entre un laxisme dangereux et une paperasserie impossible. Il est servi par des chemins documentés vers l'autorité qui peuvent gérer la continuité institutionnelle.

Les réseaux du secteur public paient car leurs chaînes d'autorité sont formelles et lentes. Les ministères, municipalités, systèmes de santé et agences peuvent dépendre de sous-traitants tout en conservant une responsabilité publique. Une modification de routage peut nécessiter une lettre, un dossier d'approvisionnement ou un fonctionnaire désigné. Si un sous-traitant contrôle le mainteneur, l'agence peut avoir une dépendance pratique vis-à-vis d'un intermédiaire privé. Si le registre insiste sur une seule forme de preuve, l'agence peut échouer malgré un contrôle légitime. S'il accepte n'importe quelle lettre, il invite aux abus.

Les réseaux publics ont besoin de catégories de preuves qui reconnaissent les statuts, nominations, instruments d'approvisionnement et obligations de continuité sans exposer des détails internes sensibles au dossier public.

Ces groupes ne sont pas des exemples décoratifs. Ils sont le marché. Les règles d'objet de route d'AFRINIC réduisent soit leurs coûts opérationnels, soit les augmentent. Les débats sur les ressources rares se concentrent souvent sur les grands détenteurs d'adresses et les litiges de grande valeur, mais la valeur économique quotidienne d'une pratique IRR solide est plus petite et plus largement distribuée: moins de tickets, un peering plus rapide, des migrations plus propres, une moindre dépendance aux opérateurs en place et moins de besoin d'intervention personnelle.

Stress institutionnel et prix de la correction

Le système d'objets de route d'AFRINIC ne peut pas être analysé comme si l'institution avait connu une décennie tranquille. Les reportages publics depuis 2019 ont décrit de sérieuses préoccupations concernant le détournement d'IPv4 et l'abus des enregistrements de registre. Des litiges juridiques distincts ont placé le registre sous une pression intense, y compris une implication judiciaire, des épisodes de gel d'actifs, une discontinuité du conseil d'administration et une mise sous séquestre.

En 2025, un processus électoral du conseil a été annulé après des préoccupations d'irrégularités rapportées, y compris des allégations autour des votes et des procurations; une élection ultérieure a restauré un conseil. Les reportages publics ultérieurs ont décrit des efforts continus pour reconstruire une gestion et une planification ordinaires tandis que la pression des litiges restait.

Ces faits doivent être utilisés avec parcimonie. Ils ne prouvent pas qu'un objet de route particulier est invalide. Ils ne signifient pas que le personnel d'AFRINIC ne peut pas opérer les services techniques. Ils ne justifient pas que des acteurs externes traitent les enregistrements liés à AFRINIC comme coupables jusqu'à preuve d'innocence. La leçon est plus étroite: les chemins de correction importent davantage lorsque la confiance institutionnelle a été stressée. Si une déclaration de routage est erronée, qui peut la corriger? Si deux parties sont en désaccord, qui reçoit la notification?

Si un mainteneur est compromis ou obsolète, comment l'autorité est-elle restaurée? Si une période de direction nommée par un tribunal ou restaurée par le conseil change qui peut agir pour le registre, comment les enregistrements techniques sont-ils isolés des turbulences institutionnelles?

Le prix de la correction a trois composantes. La première est le temps. Un préfixe qui ne peut pas être accepté aujourd'hui peut perdre un client aujourd'hui. La deuxième est l'incertitude. Si les parties ne peuvent pas prédire quelles preuves le registre acceptera, elles collectent trop de documents, engagent des intermédiaires ou abandonnent le changement. La troisième est la légitimité. Si la partie perdante ne peut pas voir pourquoi une entrée a été créée, supprimée ou préservée, elle peut déplacer le litige vers une accusation publique ou un procès. Des règles de correction transparentes réduisent ces trois coûts.

Le stress change aussi les incitations. Lorsqu'un registre est sous critique, il peut éviter les corrections décisives de peur d'être accusé de prendre parti. Le retard semble sûr en interne, mais il externalise le coût vers les opérateurs. La tentation opposée est de surcorriger, en utilisant le besoin de réparer les anciens enregistrements comme justification pour un contrôle discrétionnaire large. Cela peut sembler une force, mais cela peut transformer les modifications de routage de routine en événements politiques. AFRINIC n'a besoin ni de paralysie ni de contrôle théâtral.

Il a besoin de procédures étroites qui sont assez ennuyeuses pour survivre à la critique.

L'histoire du détournement d'adresses est pertinente car elle montre que les défaillances de l'intégrité des enregistrements peuvent avoir de grandes conséquences. La bonne réponse n'est pas une présomption permanente de mauvaise foi. C'est un meilleur contrôle d'accès, des journaux plus solides, une séparation des tâches, des vérifications d'autorité documentées, une escalade pour les changements à haut risque et des étiquettes publiques claires pour le statut des enregistrements. Un registre qui a connu un abus d'enregistrement doit devenir plus précis, pas plus vague.

L'épisode électoral de 2025 est pertinent pour une raison similaire. Les allégations autour du vote institutionnel ne décident pas de l'autorité de routage. Mais elles rappellent aux entités du marché que les processus de gouvernance peuvent être contestés. Si la légitimité est en cours de reconstruction, les systèmes techniques de correction doivent exiger moins de confiance personnelle. Un détenteur ne devrait pas avoir besoin de savoir quelle faction, quel dirigeant ou quel initié appeler. Un point d'échange ne devrait pas avoir à deviner si une demande de suppression reflète une correction légitime ou un point de pression institutionnel.

L'enregistrement lui-même doit montrer la catégorie de processus, le statut de notification et la base de l'action.

Cela importe car les litiges de routage peuvent devenir des proxies pour des conflits plus larges. Une lutte sur l'utilisation des ressources, la location, le contrôle client, la succession d'entreprise ou la conformité politique peut se manifester comme une demande de création ou de suppression d'une entrée. Le registre doit résister aux tentatives des deux parties de transformer un fichier d'origine-préfixe en une décision finale sur tout. Sa question doit rester opérationnelle: les preuves justifient-elles la publication, le maintien, l'annotation ou la suppression de cette déclaration à des fins de routage?

La suppression est une gouvernance, pas une tâche ménagère

La création attire le plus l'attention car une nouvelle entrée peut permettre l'accessibilité. La suppression mérite une attention égale car la suppression peut désactiver l'acceptation. Un enregistrement obsolète ne devrait pas vivre éternellement simplement parce que la suppression est risquée. Mais une suppression sans notification peut interrompre un service réel. Le problème est de distinguer le nettoyage de la perturbation.

Il existe plusieurs scénarios de suppression. Le plus facile est le nettoyage non contesté: le détenteur ou le mainteneur autorisé actuel supprime une entrée que tout le monde reconnaît comme obsolète. Le deuxième est le changement de fournisseur: un ancien AS d'origine demeure après le départ d'un client. Le troisième est la délégation contestée: un client dit qu'il a toujours l'autorité; le détenteur dit que non. Le quatrième est la création non autorisée suspectée: le fichier semble avoir été fait sans qualité.

Le cinquième est la correction institutionnelle: le registre découvre que les données historiques ou le lien du mainteneur sont erronés. Chaque scénario nécessite une norme différente.

Le changement de fournisseur devrait généralement être basé sur la notification et limité dans le temps. Si un enregistrement nomme l'ancien fournisseur comme origine, la suppression peut être nécessaire. Mais une suppression immédiate peut nuire au trafic si la migration est progressive ou si l'ancien fournisseur assure encore un service de secours. Le registre ou le processus du mainteneur devrait permettre une période de guérison définie, avec des notifications au détenteur, à l'AS d'origine, aux mainteneurs concernés et aux contacts publiés. Si aucune partie ne s'y oppose avec des preuves, la suppression procède.

Si une partie s'y oppose, l'entrée peut nécessiter une annotation ou un statut temporaire pendant que la question étroite de routage est examinée.

La création non autorisée suspectée peut justifier une action plus rapide, mais la norme doit être explicite. Le registre devrait demander si l'entrée a été créée par un mainteneur avec une autorité reconnue, si le détenteur ou l'opérateur délégué a été notifié, si l'AS d'origine confirme la relation, s'il existe une ROA correspondante ou contraire, si la route est active, et si une suppression immédiate créerait des dommages collatéraux disproportionnés. Une action d'urgence peut être nécessaire, mais elle doit être enregistrée, examinée et limitée dans le temps.

La délégation contestée est plus difficile car la modification peut devenir un levier dans un litige commercial. Un détenteur peut vouloir couper un revendeur. Un revendeur peut dire que les clients en dépendent. Un fournisseur peut réclamer des factures impayées. Un client peut pointer vers un contrat. Le registre ne devrait pas devenir un collecteur de dettes ou un arbitre commercial.

Il devrait demander seulement ce qui est nécessaire pour la déclaration de routage: qui peut autoriser cette origine pour ce préfixe maintenant, quelles preuves soutiennent cette affirmation, quelle notification a été donnée, et quelle période de transition protège les utilisateurs innocents si l'enregistrement actuel est retiré?

Les normes de suppression doivent également traiter les doublons. Si deux entrées existent pour le même préfixe avec des origines différentes, la réponse n'est pas toujours d'en supprimer une. Le routage multi-origine, l'anycast, la migration par étapes et l'atténuation des DDoS peuvent être légitimes. La question est de savoir si les raisons sont documentées et si les détenteurs et origines ont l'autorité. Un doublon sans explication doit déclencher un examen; un doublon avec une autorité claire et actuelle peut être acceptable.

Traiter la suppression comme un acte politique a un avantage supplémentaire: cela réduit l'incitation à créer de l'encombrement défensif. Si les opérateurs craignent que les entrées puissent être supprimées de manière imprévisible, ils peuvent créer des doublons dans plusieurs sources, préserver d'anciens membres d'AS-SET ou résister au nettoyage. Si la suppression est prévisible, ils ont moins de raisons de maintenir des revendications redondantes. Des procédures propres produisent des données plus propres.

Règles de preuve pour une commodité sur laquelle les marchés comptent

Le bon modèle de preuve pour les objets de route devrait être étroit dans son objectif et large dans les preuves acceptées. Étroit dans son objectif signifie que le registre demande seulement si un objet route ou route6 devrait exister en tant que déclaration opérationnelle d'origine-préfixe.

Large dans les preuves signifie que différents acteurs peuvent montrer l'autorité de différentes manières: enregistrements de détenteur de registre, documents d'autorité d'entreprise, instruments du secteur public, lettres de clients, confirmations de fournisseurs, historique de routage, enregistrements de tickets, journaux de mainteneurs, ROA, BGP observé, entrées antérieures et documents judiciaires ou d'insolvabilité le cas échéant.

Les preuves doivent être étiquetées par distribution. Certains faits peuvent être publics: l'existence de l'entrée, l'AS d'origine, le mainteneur, les horodatages, le statut et peut-être une catégorie de raison telle que autorisé par le détenteur, délégué par le client, confirmé par le fournisseur, migration, multi-origine ou en cours d'examen. Certains documents doivent rester non publics: contrats, pièces d'identité, tickets internes, rapports de sécurité, lettres gouvernementales, matériel de récupération de compte et détails sensibles des clients. La transparence publique n'exige pas de déverser des fichiers privés dans un registre.

Elle exige une structure visible suffisante pour que les opérateurs comprennent le statut.

Le registre doit également distinguer la force de la preuve de la décision finale. Une confirmation du détenteur actuel plus une confirmation de l'AS d'origine peut être suffisamment forte pour créer une entrée. Cela ne prouve pas que chaque relation commerciale derrière la route est incontestable. Une ordonnance judiciaire peut déterminer qui peut agir pour une entreprise, mais le registre doit toujours mapper cette ordonnance à une modification de routage. Le BGP observé peut montrer qu'une route est active, mais cela ne prouve pas que la route est autorisée.

Une ROA peut soutenir la revendication d'origine, mais RPKI reste un comparateur et un signal de support ici, pas le centre de la décision.

La notification fait partie de la preuve. Avant de créer une entrée qui change l'origine acceptée pour un préfixe, le processus doit notifier les contacts du détenteur, les mainteneurs existants, l'AS d'origine proposé et toute origine actuelle visible dans les objets existants lorsque c'est faisable. Avant de supprimer, il doit notifier les mêmes parties affectées à moins que des conditions d'urgence ne justifient une action immédiate. La notification transforme la surprise en processus. Elle donne aux parties légitimes une chance de corriger les enregistrements et donne au registre un enregistrement de qui n'a pas répondu.

Les périodes de guérison doivent être calibrées en fonction du risque. Un nettoyage de routine d'enregistrement obsolète peut permettre plusieurs jours ouvrables ou une fenêtre opérationnelle définie. Un détournement suspecté peut nécessiter une suspension temporaire immédiate suivie d'un examen rapide. Un cas de continuité du secteur public ou universitaire peut avoir besoin de plus de temps car les chaînes d'autorité sont plus lentes.

La période de guérison ne doit pas devenir un moyen de maintenir des mauvaises entrées en vie indéfiniment; l'urgence ne doit pas devenir un moyen de contourner l'examen dans les litiges commerciaux ordinaires.

Les journaux d'audit doivent être infalsifiables et utilisables. Le marché n'a pas besoin de voir des documents privés, mais le registre doit préserver qui a demandé le changement, quel mainteneur l'a authentifié, quels contacts ont été notifiés, quelle catégorie de preuve a été acceptée, qui a approuvé l'escalade, ce qui a été modifié et quand. Si AFRINIC fait face plus tard à des critiques ou à une demande judiciaire, le journal doit montrer le processus sans reconstruire la mémoire à partir des boîtes de réception. Pour un registre se remettant d'un stress institutionnel, ce type d'enregistrement n'est pas un luxe bureaucratique.

C'est une infrastructure de légitimité.

Le modèle doit éviter les exigences universelles. Un petit FAI peut ne pas avoir de procès-verbaux formels du conseil pour une mise à jour de routine. Un ministère peut exiger des lettres formelles. Une université peut prouver la continuité par d'anciennes allocations, des enregistrements réseau et des déclarations de responsables institutionnels. Un centre de données peut avoir une lettre de client et un historique de tickets. Un revendeur peut avoir une autorisation client et une confirmation en amont. Le registre doit exiger des preuves proportionnées au risque de l'action et au préjudice causé par le retard.

Continuité, correction d'urgence et examen sous stress

Le travail sur les objets de route doit continuer lorsque l'institution n'est pas calme. L'expérience d'AFRINIC montre pourquoi. Les services techniques ne peuvent pas attendre que chaque litige de gouvernance se règle. Les opérateurs ont besoin des données du registre, des entrées IRR, du DNS inverse, des mises à jour de contact et des services de support de routage pour continuer à fonctionner pendant les litiges, la mise sous séquestre, la transition du conseil ou le changement de direction.

Le plan de continuité doit donc identifier les opérations d'objets de route comme une fonction technique protégée, pas comme un pion dans un conflit institutionnel.

La continuité commence par la séparation des rôles. Les personnes qui administrent les modifications IRR doivent avoir une autorité claire selon des procédures documentées. Les modifications à haut risque doivent nécessiter un examen par plus d'un rôle. Les modifications d'urgence doivent être enregistrées et examinées ultérieurement. La direction institutionnelle doit définir la politique, mais les corrections individuelles ne doivent pas dépendre de l'approbation personnelle des directeurs à moins qu'un cas ne soulève vraiment des exceptions politiques ou juridiques.

Plus le processus est routinier, moins l'autorité d'édition devient un prix dans le conflit de gouvernance.

La correction d'urgence est encore nécessaire. Si une entrée non autorisée est utilisée pour soutenir un détournement actif ou un mauvais routage grave, attendre une période de guérison normale peut être irresponsable. Mais le pouvoir d'urgence a besoin de limites. Il doit être limité au préjudice de routage, à la création non autorisée, à l'accès compromis au mainteneur, au déni clair du détenteur, au conflit avec des preuves actuelles plus fortes ou au risque immédiat pour des tiers.

Il doit produire un statut temporaire, une notification aux parties affectées, un délai d'examen court et un chemin pour restaurer l'entrée si la constatation d'urgence était erronée.

L'examen doit être suffisamment indépendant pour compter et suffisamment étroit pour être rapide. Le premier examen peut être une escalade interne par un personnel non impliqué dans le changement original. Un deuxième examen peut impliquer un panel technique ou de litige défini pour les cas difficiles. L'examen ne doit pas décider de toutes les questions de propriété, de contrat ou de politique. Il doit décider si l'action sur l'objet de route correspondait à la norme publiée.

Si les parties ont besoin d'un tribunal ou d'un arbitre pour des droits plus larges, le processus de routage peut préserver ou annoter le statut opérationnel pendant que ces droits sont testés ailleurs.

Le langage de l'appel doit être prudent. Si chaque modification devient susceptible d'appel comme s'il s'agissait d'une révocation de ressource, le système se figera. Si aucune modification ne peut être examinée, l'autorité d'édition devient trop puissante. Le terrain d'entente est l'examen opérationnel: la notification a-t-elle été donnée, la catégorie de preuve était-elle appropriée, l'action d'urgence était-elle justifiée, la période de guérison était-elle raisonnable, la décision a-t-elle été enregistrée, et de nouvelles preuves nécessitent-elles une correction?

C'est suffisant pour discipliner le processus sans le convertir en tribunal de la propriété.

La continuité nécessite également une communication externe. AFRINIC devrait publier des métriques agrégées: combien de créations d'objets de route, de suppressions, de corrections contestées, d'actions d'urgence et d'examens ont eu lieu; délai moyen de réalisation; combien ont été résolus par notification; combien ont impliqué des mainteneurs obsolètes; combien ont impliqué des questions d'autorité du secteur public, académique ou historique. Les rapports agrégés réduisent les rumeurs sans exposer les fichiers privés. Ils permettent également aux opérateurs de chiffrer la fiabilité de la source.

Un registre qui rapporte la performance de correction est plus facile à faire confiance qu'un registre qui demande la confiance en silence.

Pendant le stress institutionnel, ces mécanismes font plus que garder les routeurs propres. Ils réduisent la récompense économique de la capture de l'institution. Si l'autorité d'édition est étroite, enregistrée, révisable et protégée par la continuité, alors gagner de l'influence sur le registre est moins utile comme moyen d'affecter l'accès au marché. C'est un avantage de gouvernance d'une règle technique. Des procédures étroites peuvent réduire les enjeux politiques.

Un marché moins cher pour l'accessibilité

Le meilleur système d'objets de route n'est pas celui avec le langage d'application le plus dramatique. C'est celui qui rend le routage légitime ordinaire bon marché. Un petit FAI devrait pouvoir faire accepter un préfixe valide sans connaître les habitudes privées de chaque fournisseur de transit. Un centre de données devrait pouvoir migrer un client sans mendier des exceptions. Une université devrait pouvoir réparer une entrée obsolète sans prouver toute son histoire institutionnelle en public. Une agence publique devrait pouvoir déléguer le routage sans abandonner le contrôle pratique à un sous-traitant.

Un opérateur devrait pouvoir construire des filtres sans se demander si la source qu'il utilise est une loterie.

Pour AFRINIC, la conception doit commencer par l'objectif. Les objets route et route6 existent pour soutenir la publication et le filtrage des politiques de routage. Ils ne doivent pas être traités comme un titre légal, un substitut à RPKI, une preuve de vertu commerciale, un outil de sanction pour des litiges non liés ou une licence large pour opérer. Leur pouvoir vient de leur utilité. Leur danger vient du même endroit. Parce qu'ils sont utiles, les marchés comptent sur eux. Parce que les marchés comptent sur eux, des règles faibles peuvent les transformer en portails cachés.

La conception doit ensuite définir l'autorité. La confirmation du détenteur du registre, la confirmation de l'AS d'origine, l'authentification du mainteneur, la délégation client et l'acceptation par un tiers sont distinctes. Le processus doit dire quelles combinaisons sont suffisantes pour la création, la modification, la suppression et la correction d'urgence. Il ne doit pas prétendre qu'un seul identifiant répond à toutes les questions. Il ne doit pas laisser un mainteneur obsolète vaincre un détenteur actuel.

Il ne doit pas laisser un détenteur perturber une route déléguée actuelle sans notification là où des utilisateurs innocents en dépendent. Il ne doit pas laisser un AS d'origine préserver un enregistrement après la fin de l'autorité.

Viennent ensuite les preuves. Les étiquettes publiques doivent indiquer aux opérateurs si une entrée est ordinaire, déléguée, multi-origine, sous notification, en cours d'examen ou corrigée d'urgence. Les preuves non publiques doivent être préservées sans exposer les détails sensibles. Les journaux d'audit doivent rendre possible une reconstruction ultérieure. Les périodes de guérison doivent donner aux vraies parties le temps de répondre. La suppression doit être aussi disciplinée que la création. L'action d'urgence doit être possible mais limitée.

Enfin, la continuité. Le système doit continuer à fonctionner à travers les turbulences juridiques et institutionnelles.

La restauration du conseil d'AFRINIC importe, mais la gouvernance restaurée sera jugée sur le marché par de petits faits opérationnels: si les tickets se ferment de manière prévisible, si les entrées obsolètes peuvent être corrigées, si les entrées contestées sont étiquetées plutôt que cachées, si les modifications d'urgence sont examinées, si les opérateurs peuvent voir les performances agrégées, et si le registre résiste à l'utilisation des enregistrements de routage comme proxies pour des combats institutionnels plus larges.

Ce n'est pas un plaidoyer pour le laxisme. Une pratique faible des objets de route peut soutenir les détournements, l'acceptation obsolète, la dépendance vis-à-vis des anciens fournisseurs et une économie grise d'autorité apparente. Ce n'est pas non plus un plaidoyer pour le maximalisme du registre. Un contrôle trop large peut verrouiller les réseaux légitimes hors de l'accessibilité, augmenter le coût du changement de fournisseur et convertir une base de données technique en une porte de marché discrétionnaire.

La discipline est plus étroite: rendre la déclaration opérationnelle correcte facile à publier, rendre la mauvaise facile à contester, et rendre chaque modification conséquente suffisamment visible pour être digne de confiance.

Le mainteneur du route-server au début de l'histoire n'a pas besoin d'une théorie de la propriété. Elle a besoin d'une raison fiable pour accepter ou rejeter le préfixe. Le client n'a pas besoin d'un sermon sur la conception institutionnelle. Il a besoin d'un chemin pour prouver l'autorité sans perdre la semaine. Le détenteur n'a pas besoin que sa ressource rare devienne un otage d'anciens identifiants. L'AS d'origine n'a pas besoin que chaque modification de routage soit contestée en justice. Le point d'échange n'a pas besoin d'absorber l'ambiguïté du registre dans son propre risque.

Une pratique solide des objets de route d'AFRINIC sert tous ces acteurs en abaissant le coût de l'accessibilité.

L'économie est simple. Un objet de route est une déclaration opérationnelle modeste. Dans un marché piloté par les filtres, des déclarations modestes peuvent devenir des billets d'admission. Si AFRINIC maintient leur objectif étroit, l'autorité vérifiable, les preuves étiquetées, les chemins de correction rapides et l'examen crédible, les objets de route réduiront le coût de l'interconnexion africaine. S'il les laisse devenir obsolètes, opaques ou discrétionnaires, ils augmenteront le prix de chaque réseau qui doit s'expliquer avant que les paquets ne puissent circuler.