Résumé

  • Le rapport annuel 2025 d'AFRINIC annonce une empreinte physique plus petite et davantage de cloud et d'hybride; il cite aussi Bacula modernisé, des sauvegardes hors site sur AWS S3, une couverture des services critiques, des restaurations trimestrielles et l'automatisation par Ansible.
  • Une sauvegarde terminée, des objets lisibles, un instantané restauré, une application lancée et une opération réussie par un membre sont cinq preuves différentes. La disponibilité courante ne les remplace pas.
  • AFRINIC pourrait publier une carte sobre reliant chaque classe de service à ses objectifs, au scénario testé, aux contrôles d'intégrité, aux étapes dépendant d'un fournisseur et au dernier exercice dans un environnement indépendant, sans révéler de secret opérationnel.

La modernisation mérite d'abord son meilleur argument

Le rapport d'AFRINIC ne décrit pas un simple déménagement de serveurs. Il raconte une année de retrait des équipements en fin de vie, de remplacement de composants réseau et de stockage défaillants, d'installation de capacités de peering à 10 Gbit/s, d'extension du stockage de sauvegarde et de préparation de routes et de liaisons montantes redondantes. Les opérations citées couvrent Maurice, Johannesburg, Parklands, Mombasa et Isando. Certaines initiatives restent soumises aux délais et aux autorisations des fournisseurs.

Dans cet ensemble, la réduction de l'empreinte physique répond à une logique défendable. Un vieux serveur entretenu par habitude n'offre pas une autonomie particulière. Il ajoute une panne connue, une pièce rare et une procédure manuelle. Une copie hors site éloigne les données d'un incident local. Un modèle hybride permet de mobiliser des ressources sans reconstruire immédiatement une salle. Bacula et Ansible peuvent transformer un savoir détenu par quelques personnes en procédure répétable. Un test de restauration trimestriel apprend plus qu'un compteur de tâches de sauvegarde réussies.

Il faut conserver ces bénéfices au centre du raisonnement. La question n'est pas de choisir entre un cloud réputé dangereux et un centre de données réputé souverain. Elle est de savoir comment la preuve change. Une infrastructure possédée concentre le risque matériel et le contrôle physique. Une infrastructure distribuée déplace une partie du chemin vers des comptes, des rôles, des clés, des régions, des contrats et des files d'approbation. La surface immobilière diminue; le nombre de frontières que la reprise doit franchir peut augmenter.

Le rapport établit une direction et plusieurs moyens. Il n'établit pas l'inventaire reliant chaque service à ses données, l'objectif de point de reprise ou de délai, l'instantané choisi, la région de stockage, le modèle de compte, la garde des clés, la version effectivement restaurée, la destination du test, ses résultats détaillés ni un exercice de sortie. Cette absence n'est pas la preuve d'un défaut. C'est précisément l'espace dans lequel une information de contrôle peut devenir utile.

Restaurer des octets n'est pas restaurer une autorité

Le mot « restauration » encourage une confusion confortable. En réalité, une tâche de sauvegarde peut s'achever sans que son objet soit relu. Un objet peut être relu sans que l'instantané voulu soit reconstruit. L'instantané peut revenir sans que le schéma, les signatures ou les références passent leurs contrôles. L'application peut démarrer sans que son point d'accès réponde. Le point d'accès peut répondre sans qu'un membre réalise l'action protégée dont il a besoin. Même cette action réussie ne dit pas encore si les objectifs de perte de données et de délai ont été respectés.

Il existe enfin un neuvième état: le même service minimal et le même état faisant autorité peuvent-ils être rétablis dans un environnement contrôlé indépendamment du chemin habituel? Un test dans le compte, la région et le plan d'identité ordinaires mesure une compétence importante. Il ne mesure pas la capacité de continuer lorsque l'un de ces éléments est justement indisponible.

Pour un registre Internet régional, la différence est substantielle. Une page d'accueil ne remplace pas une modification authentifiée de ressources. Une base de données démarrée ne prouve pas la cohérence des objets, des délégations et des signatures consommés ailleurs. Une archive présente ne garantit ni que l'application comprend sa version, ni que le service respecte son objectif temporel. La fin de la reprise doit être définie du point de vue de l'usage, pas seulement de la machine.

Publier cette distinction n'oblige pas AFRINIC à exposer ses comptes, ses noms de compartiments, ses clés, ses sites précis ou ses procédures d'urgence. Un résultat de contrôle peut rester abstrait. On peut dire qu'une restauration a franchi une frontière de compte et que les contrôles de signature ont réussi sans livrer la topologie qui rend l'opération possible.

Le contrat public connaît déjà le tiers

L'Engagement de niveau de service public d'AFRINIC porte encore l'indication « Version 1, novembre 2015 ». Il couvre notamment l'enregistrement, le service aux membres, les bases de données, les services publics en ligne, le DNS inverse, la facturation et l'infrastructure. WHOIS, MyAFRINIC, les sites, l'IRR, le DNS, DNSSEC, le courrier et RPKI y figurent. Le texte annonce 99,8 % de disponibilité par service et pour le réseau, en excluant l'indisponibilité de fournisseurs tiers.

Il précise qu'AFRINIC ne peut fournir d'engagement sur ces fournisseurs, tout en cherchant à refléter ses propres obligations dans ses relations commerciales lorsque des services essentiels en dépendent. Rien ne permet d'en déduire une défaillance contractuelle. La clause révèle toutefois une frontière de mesure. Si une reprise attend une autorisation externe, le chronomètre public continue-t-il à tourner? Si l'indisponibilité est classée comme tierce, le membre voit-il le même résultat que l'indicateur?

Le rapport annuel indique que les services critiques ont généralement dépassé 99,7 % de disponibilité en 2025. Lors de la capture, la page d'état présentait comme opérationnels WHOIS Database, MyAFRINIC Portal, AFRINIC Web Sites, Mailing Lists, New Member Registration Portal, DNS Services, RPKI Systems et Other Systems; les composants racines ne contenaient pas de résumé métrique. Ces constats ne se contredisent pas. Ils répondent simplement à d'autres questions. La disponibilité annuelle mesure une période; le voyant vert décrit l'instant; l'exercice de reprise teste la transition d'une panne vers un service accepté.

S3 introduit des conditions, pas un verdict

La documentation d'AWS permet de comprendre ce que signifie la responsabilité partagée sans supposer la configuration d'AFRINIC. AWS exploite la couche d'infrastructure de S3. Le client reste responsable de la résilience de ses données, notamment de ses choix de sauvegarde, de versionnement et de réplication.

Les fonctions documentées peuvent fournir des sauvegardes continues ou périodiques, une restauration à un instant donné et un accès direct aux données. Le parcours AWS Backup pour S3 exige le versionnement. Les autorisations, les listes de contrôle d'accès, l'état de versionnement de la destination, la région et les clés de chiffrement peuvent modifier le résultat. Des objets peuvent être ignorés si un nom ou un identifiant de version existe déjà. Une restauration dans le compartiment d'origine est non destructive et n'écrase pas uniformément l'existant.

Cela ne prouve pas qu'AFRINIC utilise AWS Backup, S3 Versioning, la réplication, plusieurs régions, un modèle IAM particulier ou une architecture de clés donnée. Cela montre pourquoi la phrase « restauration S3 réussie » a besoin d'un type. A-t-on relu des objets, reconstruit une application, validé une action fonctionnelle ou exercé une sortie? Les quatre résultats sont positifs, mais ils ne sont pas substituables.

Une carte de contrôle, pas un plan d'attaque

Une publication utile pourrait tenir en quelques lignes par service. La ligne nommerait le composant et sa classe de données faisant autorité, les objectifs de point et de délai de reprise, puis un identifiant non sensible de l'exercice, sa date de référence, une empreinte d'intégrité et la classe de conservation.

Elle séparerait les étapes contrôlées par AFRINIC de celles contrôlées par un fournisseur. Le scénario et la classe de destination diraient si une frontière de compte, de région ou de prestataire a été franchie. La garde des permissions et des clés serait exprimée comme classe de contrôle, jamais comme secret. Les résultats distingueraient complétude, schéma, signature, intégrité référentielle, démarrage, réponse publique et acceptation par un utilisateur.

Trois temps rendraient le résultat lisible: début, service techniquement utilisable, restauration fonctionnellement acceptée. Les objets ignorés, exceptions, approbations en attente, responsables et échéances resteraient visibles jusqu'à correction. Le dernier exercice dans un environnement indépendant indiquerait si la stratégie de sortie a été pratiquée, sans révéler l'environnement lui-même.

Le contrôle public ne garantit pas que la reprise réussira demain. Il peut être incomplet ou vieillir. Son mérite est de rendre les affirmations comparables et les questions stables. Un échec documenté et corrigé peut renforcer le dispositif; un test dont la définition change à chaque rapport ne le peut pas.

Les limites de l'enquête

Les documents consultés ne signalent ni panne, ni restauration échouée, ni sauvegarde manquante, ni violation, ni perte de données chez AFRINIC. Ils ne disent pas que S3 contient tous les services critiques ou toutes les données d'autorité. Ils ne prouvent ni verrouillage actuel, ni incapacité à quitter AWS, ni défaut du chiffre annuel de 99,7 %. Une dépendance à un fournisseur n'est pas une défaillance du fournisseur.

L'enjeu est préventif. AFRINIC a publié des éléments sérieux: retrait d'actifs obsolètes, stockage hors site, automatisation, exercices trimestriels et formalisation de la continuité par département. La prochaine amélioration consiste à relier ces éléments à la fin réelle du service. Une empreinte physique plus petite devient alors non seulement moins coûteuse, mais plus démontrable.

Sources