Résumé

  • La consultation 2026.1, ouverte le 14 août jusqu’au 14 septembre, propose de faire de RDAP l’unique protocole d’annuaire standard d’ARIN après le retrait indépendant de Whois-RWS, RWhois et Whois sur le Port 43. Aucune date n’est encore définitive.
  • Whois-RWS reçoit 180 jours de communication, RWhois attend d’abord un outil de migration puis un délai de 365 jours, et le Port 43 conserve une fenêtre de deux ans en raison de son volume et de la diversité de ses utilisateurs.
  • RDAP est un standard Internet complet. Le point non résolu est la preuve de déploiement : quels indicateurs montreront que les logiciels, bases locales et chaînes d’enquête ont réellement migré, et qu’un retour reste possible ?

Le calendrier révèle trois objets différents

Dans l’annonce intégrale archivée hors du site d’ARIN, l’objectif tient en une phrase : maintenir à terme un seul service d’annuaire standardisé, RDAP. Les trois anciens accès fournissent la même famille d’informations, mais leur entretien multiplie les logiciels, l’infrastructure et la surface d’exposition.

Le choix technique est solide. Le STD 95 définit le transport HTTP, les services de sécurité, les requêtes uniformes, les réponses JSON et la découverte du serveur faisant autorité. Une automatisation n’a plus à interpréter un texte libre dont la forme varie.

Mais le tableau de retrait est plus intéressant que la destination. ARIN ne traite pas Whois-RWS, RWhois et le Port 43 comme trois copies interchangeables. Le premier voit ses appelants. Le deuxième fait vivre des données de réattribution chez des organisations clientes. Le troisième accueille des requêtes sans compte, venant aussi de chercheurs, d’équipes de sécurité et d’autorités publiques.

Un standard peut être prêt alors qu’un parc installé ne l’est pas. Aucun RFC ne recense le script oublié dans une tâche planifiée, la bibliothèque embarquée dans un produit ou l’analyste qui dépend d’une sortie concise. La consultation doit donc produire trois critères de sortie, et non une seule déclaration de maturité de RDAP.

Whois-RWS peut prévenir l’appelant actif

Pour l’API Whois-RWS, ARIN propose 180 jours d’accompagnement et une extinction au plus tôt le 1er juillet 2027. Les réponses pourront porter un avis de retrait ; les annonces et les contacts directs complèteront l’information. L’avantage est opérationnel : l’avertissement emprunte précisément le chemin qui doit changer.

Ce canal peut aussi mesurer sa propre décroissance. ARIN pourrait publier le volume agrégé de requêtes, le nombre de clients authentifiés lorsqu’il est connu, les erreurs persistantes et la part de trafic restant après chaque étape. Il n’est pas nécessaire d’exposer l’identité des utilisateurs pour montrer si l’usage ancien recule.

L’interface web doit être jugée séparément. Elle resterait disponible jusqu’à ce que RDAP offre les mêmes recherches, puis l’implémentation changerait derrière l’adresse connue avec un préavis minimal de 30 jours. Pour l’utilisateur occasionnel, le protocole pourrait ainsi changer sans modifier le geste.

Deux preuves sont donc nécessaires : les appelants de l’API ont migré ou obtenu une exception documentée ; les recherches réelles de l’interface ont une parité testée. Le simple écoulement de 180 jours ne démontre ni l’une ni l’autre.

RWhois attend le moyen de partir

Le plan RWhois commence avant le compte à rebours. ARIN doit d’abord recommander un serveur RDAP libre et livrer un outil capable de convertir les données RWhois. La période de 365 jours ne s’ouvrirait qu’après la disponibilité de cet outil, et le retrait n’aurait pas lieu avant le 1er janvier 2028.

Cette condition évite de consommer le délai pendant que les opérateurs attendent encore la solution. Elle donne aussi un objet vérifiable : un logiciel versionné peut être essayé sur des jeux représentatifs, produire une liste d’erreurs et être corrigé avant toute fermeture.

Publier un convertisseur ne suffit cependant pas. Il faut conserver la signification des réattributions, leur découvrabilité et la continuité des mises à jour. Les questions pratiques portent sur les renvois, les enregistrements refusés, la synchronisation pendant la coexistence et la récupération des données plus récentes si un retour devient nécessaire.

Un bilan public peut rester sobre : organisations connues et contactées, tests effectués, classes d’échecs, écarts de fonction et version stable datée. La confidentialité demeure ; la communauté obtient néanmoins la différence entre « outil disponible » et « service effectivement migré ».

Le Port 43 porte la longue traîne

Whois sur le Port 43 reçoit deux ans, avec un retrait au plus tôt le 1er janvier 2029. ARIN invoque un volume élevé et des usages chez les spécialistes de cybersécurité, les chercheurs, les forces de l’ordre et d’autres groupes extérieurs à sa clientèle directe.

Cette facilité d’accès rend l’inventaire difficile. Une commande occasionnelle ne crée pas de compte. Un éditeur peut intégrer une requête dans son produit. Un script d’enquête peut fonctionner pendant une décennie sans que son mainteneur apparaisse dans le registre. Le volume dit qu’un service travaille ; il ne dit ni combien de chaînes distinctes en dépendent ni lesquelles sont critiques.

Le débat NANOG rend la divergence concrète. Un opérateur décrit six maillons avant une extinction sûre : prévenir les développeurs, obtenir une version, la faire adopter par les distributions, atteindre les utilisateurs, fournir des outils équivalents et leur laisser le temps de se généraliser. Un autre explique que ses propres scripts RDAP sont plus simples, grâce à HTTPS, JSON et aux fichiers d’amorçage IANA.

Ces témoignages ne donnent pas une statistique du parc. Ils empêchent deux raccourcis : l’ancien protocole n’est pas nécessairement irremplaçable, et le nouveau standard n’est pas nécessairement partout déployé. Les résultats Port 43 devraient donc porter un avis lisible par machine, tandis qu’ARIN teste les clients courants, observe le trafic résiduel et recueille les dépendances sans solution.

Une date qualifiée doit devenir une décision vérifiable

Chaque échéance est formulée « au plus tôt ». Cette réserve n’a de valeur que si ARIN publie ce qui autorise la fermeture : capacité de remplacement, portée de la communication, tendance d’adoption, obstacles ouverts, autorité de décision, préavis, coexistence et retour arrière.

Le Bill of Rights of Uniqueness Coordination de Lu Heng pose la continuité opérationnelle comme limite à l’administration du registre. Cela ne condamne pas un vieux protocole à l’éternité. Cela exige que l’accès au relevé commun survive à sa modernisation.

Dans The Multi-Stakeholder Mirage, la transition commence par la visibilité, poursuit par la continuité et la protection coordonnée, puis seulement atteint une architecture plus mince. Une consultation rend les objections visibles ; elle ne remplace ni le test de migration ni la possibilité de revenir.

À la clôture de la recherche, les commentaires étaient ouverts. Aucun inventaire complet, seuil d’adoption, date d’outil RWhois, score de parité ou dispositif de retour n’était public. Un RDAP unique reste une destination cohérente. Sa crédibilité dépend désormais de trois sorties fermées par des preuves, pas par la seule durée écoulée.

Sources