Résumé

  • En 2012, AFRINIC a déclaré que ses membres pouvaient signer leurs zones de DNS inverse et transmettre les données DS nécessaires aux zones parentes en modifiant leurs objets domain dans WHOIS. Le rapport annuel atteste l’existence de cette voie, mais pas son jour d’ouverture propre, sa syntaxe précise, son mode d’authentification, ses contrôles internes ni son dispositif de retour arrière.
  • Un DS n’est pas une simple annotation administrative. Placé au point de délégation, il relie la clé publiée par une zone enfant à la chaîne d’authentification de la zone parente. Un DS exact permet cette continuité ; un DS erroné, périmé ou publié au mauvais moment peut amener un résolveur validant à rejeter des réponses que les serveurs DNS continuent pourtant de fournir.
  • La base WHOIS est donc devenue, pour cette opération particulière, une interface d’instruction cryptographique. La sûreté exigeait que l’identité du demandeur, son autorisation sur l’objet et la ressource, le contenu du DS, l’état de la zone enfant et le moment de publication forment une même chaîne de preuve vérifiable.
  • AFRINIC n’était, et n’est dans ce cadre, qu’un teneur de registre privé et un coordinateur technique. Le contrôle d’un point de passage indispensable ne lui confère aucun pouvoir souverain, réglementaire, policier, punitif, confiscatoire ou juridictionnel. Elle peut refuser une mise à jour techniquement défectueuse avec des motifs précis et une voie de correction ; elle ne peut utiliser la publication ou le retrait d’un DS comme levier dans un litige étranger à l’intégrité DNSSEC.
  • Le bon modèle est un service mince, déterministe et auditable : preuve de contrôle limitée à l’objet concerné, validation reproductible, notifications indépendantes, historique immuable, observation de la propagation, correction urgente et retour arrière. L’effet cryptographique élève l’exigence de tenue des registres ; il ne transforme pas le teneur de registre en gouvernant.