Résumé

  • Le cahier des charges de 2023 d'auDA ne teste un changement dans la composition ou le contrôle d'un candidat à l'exploitation du registre qu'entre le dépôt de l'offre et l'exécution de l'accord de services de registre, et même alors seulement en permettant à auDA d'autoriser une substitution sur demande écrite conjointe.
  • Les pages d'auDA nomment l'exploitant sous contrat Identity Digital Australia Pty Ltd, anciennement Afilias Australia Pty Ltd, avec un terme courant ouvert le 1er juillet 2024. L'accord exécuté qui porterait un consentement postérieur à la signature n'est pas public : le dossier public s'arrête précisément là où le contrat commence.

Un nom de domaine en .au se résout parce qu'un contrat le prévoit. Ce contrat n'est pas publié. Ce qui est publié, c'est un règlement de procédure d'appel d'offres, et une phrase y indique jusqu'où l'autorité australienne des noms de domaine entend examiner l'identité corporative de l'entreprise qui exploite son registre national : du dépôt de l'offre à la signature, puis plus rien.

Le registre, autrement dit la base qui recense quels noms en .au existent et qui les détient, conditionne les certificats, le courrier électronique et le routage de millions d'utilisateurs. Cette phrase les concerne donc directement. Elle éclaire aussi la position de Cloud Registry Pty Ltd, société australienne de plateformes de registre, inscrite dans le répertoire de BTW comme registre établi en Australie et qui plaide publiquement, depuis des années, pour une mise en concurrence ouverte d'un rôle attribué derrière une porte fermée (fiche du répertoire Réservé au Cercle stratégique).

Ce que le dossier d'auDA dit de l'exploitant du .au

auDA, l'administration du domaine .au, énonce clairement que son registre est exploité par Identity Digital Australia, qu'elle décrit comme l'exploitant du registre .au et comme un tiers sous contrat avec elle pour fournir les services de registre — désigné après un appel d'offres mondial en 2017, puis reconduit après un nouvel appel d'offres mondial en 2023 (auDA sur le registre .au).

La page consacrée à l'appel d'offres de 2023 fournit le calendrier : le candidat retenu a été annoncé le 27 août 2023, et le terme du nouvel accord de services de registre commence le 1er juillet 2024 (projet d'appel d'offres 2023). Cette même page, comme le communiqué d'auDA, désigne la contrepartie sous le nom d'Identity Digital Australia Pty Ltd, anciennement Afilias Australia Pty Ltd (communiqué de reconduction).

Deux noms, une seule et même personne morale du point de vue des pages publiques d'auDA. Prenons cette mention pour ce qu'elle est : une donnée sur la dénomination, rien de plus. Les opérations de restructuration qui ont produit ce changement de nom ne sont établies par aucune des sources examinées ici, et il serait abusif d'y lire une quelconque cession.

Le test de contrôle, dans ses propres termes

La clause 7.2(a) du cahier des charges de 2023 mérite d'être lue en entier plutôt que résumée. Son champ d'application est borné par des mots qui ne laissent aucune place à l'interprétation : « following the submission of the Tender and prior to the execution of a resultant Registry Services Agreement ». Autrement dit, entre le dépôt de l'offre et l'exécution de l'accord.

Dans cette fenêtre, la clause vise un événement qui altère substantiellement la composition ou le contrôle du candidat, ou son activité. Si un tel événement survient, auDA « may allow » — peut autoriser — la substitution du candidat par une autre personne morale, sur demande écrite conjointe de l'entité sortante et de l'entité entrante (Registry Operator Procurement 2023).

Trois observations suffisent. Le test est borné dans le temps : il s'éteint à la signature. Il est discrétionnaire : aucune substitution n'est autorisée automatiquement. Et il est déclenché par une demande : personne n'est tenu de signaler spontanément une situation sur laquelle auDA n'a pas été interrogée. Le même document précise qu'auDA entend contracter avec une personne morale unique — l'intuition juste au moment de signer, et un guide sans valeur pour la troisième année du terme.

Pourquoi une fenêtre préalable à la signature ne convient pas à un terme de registre

Les termes de registre sont longs par construction. Les événements qui reconfigurent un exploitant de registre tombent rarement dans les semaines qui séparent une offre d'une attribution. Ils arrivent après une intégration, après une acquisition, après qu'un groupe a réorganisé ses participations à l'autre bout du monde.

Le changement de nom est le cas doux, celui que l'on voit. Prenons le cas plus dur : rien ne bouge dans l'immatriculation de l'entité australienne, mais l'entité qui la contrôle change. Au regard du règlement publié, cet événement n'a aucun logement procédural — aucun seuil de consentement publié, aucune obligation de notification publiée, aucun pouvoir publié permettant à auDA d'exiger une substitution en cours de terme.

Ce silence ne prouve pas qu'il existe un trou dans l'accord exécuté. L'accord de services de registre ne figure pas parmi les documents examinés pour ce briefing, et rien ici n'indique ce qu'il prévoit en cas de changement ultérieur dans l'actionnariat ou le contrôle de l'exploitant. Il peut être strict. Il peut être muet. Le problème, c'est que bureaux d'enregistrement, titulaires de noms et chercheurs ne peuvent pas savoir lequel des deux.

Le registre des absents : Cloud Registry Pty Ltd

Cloud Registry Pty Ltd est le cas de contrôle utile précisément parce qu'elle n'est jamais entrée. Le répertoire de BTW la recense comme registre établi en Australie, avec l'alias cloudregistry.net, un indice de confiance de 0,85 et une limite de preuve étonnamment explicite : deux références de domaine, un site public et trois références publiques à l'appui, les lacunes étant consignées comme aucune donnée ASN et aucun contact (fiche du répertoire Réservé au Cercle stratégique). Ces lacunes décrivent ce que la fiche contient. Elles n'établissent pas que la société n'annonce aucune ressource réseau ni ne publie aucun contact.

Aucun document examiné ici ne montre Cloud Registry Pty Ltd soumissionnant lors des procédures de 2017 ou de 2023. Ce que le dossier soutient est plus étroit et plus mordant : une société australienne de plateformes de registre existe, le contrat du .au se trouve chez un exploitant différent et consolidé à l'international, et le test publié du contrôle de cet exploitant a déjà expiré.

Ce que le dossier ne répond pas

Trois questions restent ouvertes, et ce sont celles qu'un comité des risques d'un bureau d'enregistrement poserait réellement. L'accord exécuté exige-t-il le consentement d'auDA en cas de changement de contrôle de l'exploitant ? Si oui, à quel seuil et avec quel recours ? Et sinon, par quel mécanisme l'entité exploitante d'un domaine national pourrait-elle changer de mains sans décision publique ?

La présence d'une clause de substitution avant exécution dans un cahier des charges n'établit pas qu'aucune disposition de contrôle postérieure à l'exécution n'existe ailleurs. Énoncer cette limite une fois, avec précision, est la manière honnête de terminer la phrase.

L'horloge : 1er juillet 2024 et la prochaine décision

Le terme courant a ouvert le 1er juillet 2024. La prochaine procédure est le moment où ce règlement sera réécrit, et la clause 7.2(a) figure parmi les corrections les moins coûteuses du document. Étendre le test de contrôle à tout le terme. Rendre la notification obligatoire plutôt que dépendante d'une demande. Publier l'accord exécuté, ou au minimum la clause qui détermine qui peut détenir la contrepartie.

C'est une modification modeste d'un document qui existe déjà. Tant que personne ne la fait, la seule réponse publiée à la question « qui contrôle le registre .au » est un nom — et un nom n'est pas un test de contrôle.