Résumé

  • La version 7 d’AFPUB-2018-GEN-001, soumise le 17 mai 2021, rendait obligatoire l’attribut abuse-c et conservait une séquence de validation pouvant aller jusqu’à deux périodes de quinze jours, avec contrôle au moins semestriel et revalidation déclenchable après une plainte.
  • Son apport le plus révélateur n’était pas une nouvelle ambition de lutte contre l’abus, mais une limite explicite : définir l’abus et en organiser l’escalade relevait de chaque participant, de ses procédures et du droit local, hors du champ d’AFRINIC.
  • Cette limite entrait pourtant en tension avec des objectifs portant sur les « mesures » et les « réponses ». Une preuve de livraison peut établir qu’un canal fonctionne ; elle ne peut établir ni la vérité d’une allégation, ni la responsabilité juridique, ni la suffisance d’une réaction.
  • Une solution proportionnée garderait une adresse de rôle obligatoire, des tests déterministes, une notification datée, au moins trente jours pour corriger et un nouveau test, sans faire dépendre d’un échec de contact le contrôle reconnu des ressources, le vote, le RPKI, le DNS inverse, les transferts, le routage ou l’assistance sans rapport avec ce contact.

La ligne de partage cachée dans une procédure de contact

La version 7 commence par un avantage dont il serait vain de nier l’importance. Quand une adresse IP ou un système autonome semble associé à un incident, celui qui cherche à prévenir l’opérateur ne devrait pas avoir à deviner quel formulaire, quelle personne ou quelle boîte générale recevra son message. Un attribut abuse-c uniforme, lisible par les outils habituels, réduit ce coût de recherche. Il peut faire apparaître les coordonnées périmées avant qu’un incident grave ne rende leur inutilité manifeste.

Pour un réseau africain qui échange avec des partenaires sur plusieurs continents, un contact de rôle stable vaut mieux qu’une adresse personnelle oubliée au départ d’un salarié.

Mais la proposition du 17 mai 2021 ne s’arrêtait pas à la publication d’un canal. Dans la section consacrée à la validation, elle conservait des objectifs selon lesquels le titulaire devait avoir lu la procédure, surveiller régulièrement la boîte, prendre des mesures et fournir une réponse aux signalements. Elle permettait aussi qu’un jeu supposé avec la procédure, une réponse dite incorrecte ou une absence de réponse soient signalés à AFRINIC et provoquent une revalidation du contact.

Quelques paragraphes plus loin, elle affirmait pourtant que l’abus n’était pas défini, parce qu’il se trouvait hors des actions d’AFRINIC, et que chaque participant devait le définir et l’escalader selon ses propres procédures et le droit local.

Cette juxtaposition est le cœur du texte. Elle ne se résout pas en donnant au registre le bénéfice d’un pouvoir implicite. Elle se résout en demandant ce que chaque observation peut réellement prouver.

Un défi de livraison peut constater qu’un message est accepté par un canal déclaré. Un rebond permanent peut constater qu’il ne l’est pas. Un accusé technique peut dater un passage. Ces faits sont reproductibles et étroitement liés à l’exactitude de l’annuaire. En revanche, le silence d’un destinataire ne prouve pas que le signalement était fondé. Une réponse jugée insatisfaisante par le plaignant ne prouve ni la responsabilité du titulaire des ressources, ni l’inefficacité de ses mesures, ni l’existence d’une obligation juridique de répondre d’une manière particulière.

Entre « le canal est joignable » et « le destinataire a correctement traité l’affaire », il y a des questions de preuve, de compétence, de droit applicable, de causalité et de procédure contradictoire.

AFRINIC est placé au premier endroit de cette chaîne, pas au second. C’est un teneur de registres et un coordinateur technique privé. Sa fonction commune légitime comprend l’unicité des numéros, l’exactitude des coordonnées, les mises à jour interopérables, la preuve objective du contrôle, les assertions de sécurité, certaines métadonnées de contestation et la continuité opérationnelle. Cette position ne lui confère aucun pouvoir législatif, administratif ou réglementaire, judiciaire, policier ou de poursuite, fiscal, ni militaire ou coercitif souverain. Elle lui permet d’entretenir un carnet d’adresses.

Elle ne lui permet pas de transformer ce carnet en dossier d’instruction.

La formulation hors champ de la version 7 doit donc gouverner la lecture des autres clauses. « Prendre des mesures » ne peut devenir un examen du contenu de ces mesures. « Fournir une réponse » ne peut signifier fournir la réponse qu’AFRINIC ou le plaignant estime correcte. Et une plainte pour réponse incorrecte ne peut ouvrir qu’une question limitée : le canal déclaré fonctionne-t-il encore ? Si elle ouvre une appréciation des mérites, le registre change de métier sans obtenir pour autant la compétence, les garanties ni la légitimité d’une autorité publique.

Cette distinction protège aussi les plaignants. Une apparence de traitement institutionnel peut être trompeuse. Si un signalement concerne une fraude, une menace, une atteinte à des données ou une autre conduite potentiellement illicite, la décision pertinente appartient aux autorités compétentes et aux juridictions prévues par le droit applicable. Faire croire qu’une revalidation de boîte mail tranche l’affaire détourne l’attention du lieu où les preuves peuvent être exigées, contestées et appréciées.

Une bonne donnée de contact facilite l’acheminement d’un signalement ; elle ne remplace pas l’instance capable de lui donner une suite juridique.

Le changement entre les versions 6 et 7 confirme que la question était devenue visible. La version précédente contenait déjà l’architecture obligatoire, la succession de deux périodes maximales de quinze jours, la cadence semestrielle, les objectifs de mesures et de réponse ainsi que la revalidation après plainte. La version 7 a conservé cette base. Elle a surtout déplacé et formalisé la latitude de fréquence dans une section 8.7, développé l’explication d’un démarrage progressif et ajouté la clarification expresse sur la définition et l’escalade de l’abus. Ce n’était donc pas un remplacement du mécanisme par un simple test technique.

C’était l’ajout d’une limite claire autour d’un mécanisme dont certaines formulations demeuraient plus larges.

La section 8.7 mérite une attention particulière. Elle autorisait AFRINIC à modifier, une fois par an, les périodes ou la fréquence de validation selon ses procédures internes, ses effectifs, les données recueillies, le besoin de démarrer lentement et le suivi de l’exactitude, en communiquant ses raisons. Les informations additionnelles donnaient l’exemple d’un premier passage étalé sur douze à vingt-quatre mois, peut-être avec une validation la première année puis une montée possible vers des contrôles trimestriels. Cette souplesse pouvait réduire le choc d’exécution.

Elle créait aussi un levier de cadence : plus le contrôle est fréquent, plus les coûts de réponse, les risques d’erreur et le pouvoir pratique du gestionnaire augmentent.

Le bon critère n’est pas de savoir si une fréquence plus forte paraît zélée. Il est de savoir si elle demeure prévisible, motivée et proportionnée au fait observé. Une adresse qui vient d’être créée, une modification substantielle ou un rebond confirmé justifient un test. Une vérification annuelle prévisible peut entretenir la qualité. Une succession variable de défis, ou des revalidations alimentées par des désaccords sur le fond des plaintes, transforme en revanche l’exactitude en pression procédurale.

Les effets deviennent plus graves si le défaut de contact se propage vers d’autres dépendances. Les sections opératoires de la version 7 n’énonçaient pas elles-mêmes une sanction. Les informations additionnelles renvoyaient de façon générale aux conséquences prévues dans le contrat d’enregistrement. Des textes d’impact distinctement présentés comme ceux du personnel et du conseil juridique évoquaient une assistance réservée aux membres conformes et une possible révocation contractuelle après non-conformité persistante.

Ce sont des interprétations ou des effets projetés de l’institution, non la preuve qu’une sanction figurait dans le dispositif opératoire du 17 mai 2021, et encore moins qu’elle fut appliquée à quiconque.

La prudence d’attribution n’est pas une formalité. Elle empêche que des conséquences hypothétiques soient racontées comme des événements. Les éléments disponibles ne démontrent pas qu’un membre a été validé, bloqué, privé de vote, sanctionné, révoqué ou lésé sous cette version. Ils ne démontrent pas davantage qu’AFRINIC a tranché une plainte particulière. Ils permettent d’analyser une architecture et ses risques, pas d’inventer un contentieux.

La meilleure lecture de la version 7 tient donc dans une phrase : rendre un canal visible et vérifiable est une coordination utile ; décider si le destinataire a bien répondu est une adjudication. Le texte a trouvé les mots pour reconnaître la frontière, mais il n’a pas entièrement ramené ses tests de mesures et de réponse de ce côté-ci de la ligne.