Résumé

  • AFRINIC présente la septième version de sa politique sur le contact d’abus comme ratifiée le 4 février 2026. Le texte organise un enregistrement de contact, une validation, deux séquences de contact pouvant aller chacune jusqu’à quinze jours et une réévaluation à la suite d’un signalement. Ce dispositif ne prouve ni sa mise en œuvre effective, ni le manquement d’un membre, ni une résiliation.
  • La formule la plus lourde appartient à l’analyse d’impact du personnel : la non-conformité serait considérée comme une violation du contrat de services d’enregistrement et sa persistance may entail la révocation de ce contrat. Le conditionnel, l’attribution et l’enchaînement des instruments sont essentiels : la politique ne résilie rien à elle seule.
  • Le contrat public ajoute ses propres étapes. Une demande d’information ou de coopération doit être raisonnable ; une intention de résilier doit être notifiée par écrit ; le membre doit pouvoir exposer ses raisons ou remédier à la situation pendant trente jours ; AFRINIC doit ensuite apprécier sa réponse. Ce n’est qu’après une résiliation ou une expiration que le contrat décrit une révocation immédiate des ressources et l’arrêt des services.
  • La fonction légitime du registre est étroite : tenir un répertoire exact, vérifier objectivement la joignabilité, notifier une anomalie et faciliter sa correction. Un rebond, une absence de réponse ou un signalement tiers n’est pas en soi une constatation d’abus, un refus de coopération, une violation contractuelle ou une décision souveraine.
  • Le dossier public examiné ne donne ni date d’entrée en vigueur, ni procédure finale de validation, ni modèles de notification, ni statistiques, ni définition opérationnelle de la persistance, ni voie claire d’appel au fond, ni exemple vérifié d’une révocation fondée uniquement sur cette politique. Cette absence est une lacune documentaire, non la preuve qu’aucune communication privée n’existe.

Le véritable événement n’est pas la boîte aux lettres

L’événement paraît, à première vue, relever de l’hygiène administrative. AFRINIC, le registre régional qui tient les enregistrements de ressources Internet pour l’Afrique, veut qu’une personne signalant un incident sache où écrire. Une adresse électronique publiée mais abandonnée affaiblit un répertoire censé aider les réseaux à se contacter. Exiger un point d’entrée réel, vérifier qu’il reçoit des messages et permettre sa correction appartient au métier d’un teneur de registre.

Le risque institutionnel apparaît lorsque cette tâche modeste change de nature. Dans le compte rendu de la réunion AFRINIC-33, le personnel a relié la non-conformité à la politique au contrat de services d’enregistrement, ou RSA. Il a expliqué que la non-conformité serait considérée comme une violation de ce contrat, que le membre serait encouragé à y remédier et que la persistance may entail la révocation du RSA. Le choix du modal compte. « Peut entraîner » désigne une exposition possible, pas un résultat acquis. La phrase ne dit pas qu’un courriel rejeté résilie immédiatement un contrat. Elle ne dit pas qu’AFRINIC a déjà retiré des ressources à qui que ce soit sur cette seule base.

Le vrai sujet est donc la distance entre une observation technique et une conséquence institutionnelle extrême. Au départ, une donnée : un enregistrement de contact. Ensuite, un test : la boîte accepte-t-elle une sollicitation ? Puis une communication : le titulaire a-t-il reçu un avis et peut-il réparer l’anomalie ? Puis, éventuellement, une demande plus large : AFRINIC requiert-elle raisonnablement une information ou une coopération précise ?

Après seulement viennent l’interprétation du contrat, la caractérisation d’un manquement, l’autorité de décider, la notification d’une intention de résilier, la possibilité de répondre ou de corriger, la décision de résiliation et la conséquence que le contrat attache à cette décision. Enfin, dans un litige réel, le juge ou le régulateur compétent reste l’autorité souveraine capable de trancher la portée, l’opposabilité et l’équité de la procédure.

Raccourcir cette distance revient à transformer une mesure de joignabilité en juridiction générale. La base de données cesse alors de refléter un état opérationnel ; elle menace de le déterminer. C’est précisément la frontière que doit garder visible toute lecture sérieuse de la politique.

Ce que la politique ajoute — et ce qu’elle n’établit pas

La septième version du texte prévoit qu’un attribut de contact d’abus soit associé à trois types d’objets de ressources : les numéros de système autonome et les enregistrements d’adresses IPv4 et IPv6. Un objet enfant peut, dans certaines conditions, hériter du contact de son parent. L’adresse doit renvoyer vers une personne ou un rôle comportant au moins une boîte de réception valide, surveillée et activement gérée. Le contact doit être accessible par les interfaces publiques du registre.

Ces éléments décrivent le point de départ du mécanisme ; ils ne constituent pas la thèse de cette enquête. L’obligation générale d’enregistrer ce contact est une question distincte, tout comme le périmètre des trois classes d’objets, les conditions de publication publique ou la cadence semestrielle. Ici, ce qui importe est le passage ultérieur, celui qui relie une donnée de répertoire à un risque contractuel.

Le texte prévoit une validation à la création du contact, lors de sa mise à jour, périodiquement au moins une fois tous les six mois et lorsque le registre estime devoir la déclencher. Mais cette liste de moments n’est pas la preuve d’un système déployé. Au 10 août 2026, les documents publics examinés ne précisent pas une date effective, une version de logiciel, un domaine d’expédition, un protocole anti-hameçonnage, une méthode de preuve de réception ou un classement des erreurs. La règle existe dans le texte ; son exploitation en production demeure non documentée dans le dossier public consulté.

Le personnel a décrit une première période de validation ne dépassant pas quinze jours. En cas d’échec, AFRINIC contacterait d’autres coordonnées du registre local et ouvrirait une nouvelle période ne dépassant pas quinze jours. Ces deux fenêtres sont importantes, mais elles ne doivent pas être additionnées comme si elles formaient un délai juridique unique de trente jours. La première paire appartient au traitement du contact et à la correction du répertoire. Le délai de trente jours du RSA intervient dans une autre séquence, après une intention écrite de résilier. Les déclencheurs, les acteurs et les conséquences diffèrent.

De même, le texte permet à un tiers de signaler une boîte qui ne répond pas, répond de manière sélective ou paraît autrement non conforme. Un tel signal peut justifier une nouvelle vérification. Il ne fait pas du déclarant un juge. Il ne démontre ni l’origine du trafic contesté, ni le contrôle du titulaire sur un utilisateur en aval, ni la qualité des preuves, ni l’obligation de donner à chaque plaignant la réponse qu’il espère.

Une adresse peut être joignable tout en rejetant un dossier inutilisable ; elle peut être momentanément inaccessible sans avoir été abandonnée ; elle peut accuser réception sans accepter l’interprétation juridique du déclarant.

La politique elle-même indique que ses conséquences ne sont pas énoncées dans le détail parce qu’elles figureraient de façon générique dans le RSA. Cette construction commande une lecture en deux temps. Le texte de politique définit un devoir de contact et un processus de validation. Le contrat contient des obligations et des remèdes plus larges. Les confondre serait lire dans la première des conséquences qui appartiennent au second, puis traiter une interprétation du personnel comme si elle était déjà une décision appliquée à un membre déterminé.

Onze marches, pas un interrupteur

Le mécanisme peut être compris comme un escalier de onze marches. À chacune correspond une question de fait ou d’autorité que la marche suivante ne peut présumer.

Première marche : l’enregistrement. Le titulaire renseigne ou hérite un contact d’abus. L’acte établit où envoyer un message. Il ne détermine pas si un abus a eu lieu, qui en répond ou quelle mesure serait licite.

Deuxième marche : les propriétés de la boîte. Validité, surveillance et gestion active sont trois notions différentes. La validité peut viser la capacité de livraison. La surveillance suppose une organisation humaine ou automatisée. La gestion active renvoie à une pratique, mais le dossier public ne donne pas encore un test final permettant d’en apprécier uniformément la qualité. Aucune de ces notions ne transforme l’opérateur de la boîte en représentant habilité à engager toute l’entreprise sur le fond d’un litige.

Troisième marche : le déclenchement d’une validation. Un test à la création, à la modification, durant un cycle périodique ou à l’initiative du registre est un acte administratif. Pour être fiable, il faut savoir qui l’envoie, à quelle adresse, avec quelle authentification et comment une livraison ou un échec est consigné. Ces détails restent ouverts dans le dossier public.

Quatrième marche : la première fenêtre de quinze jours. Le personnel décrit un délai maximal, mais le point de départ n’est pas publiquement fermé. Est-ce l’envoi, la livraison, l’ouverture ou la première réponse authentifiée ? Que se passe-t-il lors d’une panne, d’un changement de personnel, d’un filtre antispam ou d’une fusion d’entreprise ? Sans ces règles, un délai numérique donne une apparence de précision supérieure à la précision réelle du processus.

Cinquième marche : le contact de remplacement. Après un échec, d’autres coordonnées du registre local doivent être sollicitées et une deuxième fenêtre de quinze jours s’ouvre. Cette étape reconnaît implicitement qu’une boîte isolée peut défaillir sans que l’organisation ait décidé de se soustraire. Elle est une possibilité de contact et de correction, non un verdict.

Sixième marche : le signalement et la nouvelle validation. Un plaignant peut fournir une alerte. AFRINIC peut revalider et, selon le texte, intervenir entre les parties. Mais le signalement demeure une allégation opérationnelle. Il faut distinguer le rebond pur, l’absence d’accusé de réception, la lenteur, le refus de pièces jointes, le recours obligatoire à un formulaire, la réponse jugée insuffisante et le désaccord sur le fond. Ces états ne sont pas interchangeables.

Septième marche : la qualification de persistance. Le personnel emploie l’expression « non-conformité persistante », sans que les sources publiques vérifiées n’en fixent le nombre d’échecs, la durée, le niveau de preuve, l’intention requise ou l’instance de réexamen. Un indicateur persistant ne peut être importé d’un autre projet. En particulier, le projet distinct de tableau de bord de conformité discuté en 2026 possède sa propre logique et ses propres états ; il ne fournit pas par défaut la définition manquante pour cette politique ratifiée sur le contact d’abus.

Huitième marche : le pont vers le RSA. Le contrat permet à AFRINIC de demander les informations, l’assistance et la coopération raisonnablement nécessaires à la fourniture de ses services, y compris dans le cadre d’un contrôle d’utilisation. Il engage aussi le membre à utiliser les services conformément aux politiques, au mandat du registre et au droit applicable. Encore faut-il identifier la demande exacte, prouver sa réception, établir qu’elle était raisonnable, montrer que la politique était applicable et distinguer la non-réponse à cette demande d’un simple résultat de test. Un rebond n’est pas textuellement identique à un refus de coopération.

Neuvième marche : le constat de manquement et l’intention de résilier. Il faut un acteur corporatif valablement habilité, une base contractuelle précise, des motifs et une notification écrite. L’annonce de ratification par ce qu’AFRINIC présente comme son conseil ne tranche pas définitivement l’autorité de cet organe dans tout acte ultérieur. Elle prouve ce qu’AFRINIC a annoncé, pas une investiture souveraine ni un pouvoir sans limite.

Dixième marche : le délai contractuel et la décision. Le RSA décrit une invitation à exposer les raisons de ne pas résilier ou à prendre des mesures correctives. Il accorde trente jours au membre pour répondre, puis demande à AFRINIC d’apprécier les motifs ou la correction. Cette procédure ne se confond pas avec les deux périodes de validation. Elle ne devient pas superflue parce que plusieurs courriels ont précédé l’intention de résilier.

Onzième marche : la conséquence postérieure et le contrôle souverain. Le contrat public dit qu’après résiliation ou expiration les ressources allouées ou attribuées sont immédiatement révoquées et les services cessent selon la clause. Décrire cette exposition contractuelle ne signifie ni qu’elle a été appliquée au titre de la politique, ni qu’elle serait opposable dans toute affaire, ni qu’AFRINIC posséderait un titre souverain sur les ressources. Dans un différend concret, un tribunal mauricien ou un régulateur compétent peut examiner la compétence, les droits contractuels, l’équité, les mesures provisoires et les remèdes. Le registre ne peut s’approprier cette souveraineté par anticipation.

Le mot « raisonnable » est une charnière, non un décor

La clause de coopération du RSA mérite une attention particulière, car elle peut être le pont le plus plausible entre une anomalie de contact et une conséquence contractuelle. Elle prévoit qu’un membre fournisse des informations, une assistance et une coopération raisonnablement requises pour la fourniture des services. Elle énumère des conséquences possibles en cas de refus : retrait ou suspension de services, effet sur de futures attributions, fermeture du registre local et résiliation de l’accord.

La force de cet argument est réelle. Un registre qui ne peut jamais obtenir de coordonnées à jour ne peut pas tenir un répertoire digne de confiance. Un membre ayant signé un RSA ne peut traiter toute demande comme facultative. Après deux tentatives de contact correctement adressées, l’absence répétée de toute correction peut justifier une escalade administrative plus formelle.

Mais « raisonnablement requise » n’est pas une formule vide. Elle impose de préciser l’objet de la demande et son rapport avec le service. Demander de confirmer ou de remplacer une adresse manifestement invalide est différent d’exiger un jugement sur chaque accusation reçue. Demander une preuve d’autorisation d’un contact est différent d’imposer la divulgation de données d’un client. Demander un accusé de réception est différent d’exiger une mesure contre un utilisateur. Plus AFRINIC s’éloigne de la qualité objective de son répertoire, plus elle doit démontrer la source et la limite de sa demande.

Le raisonnement inverse serait circulaire : la politique appellerait « conforme » ce que le registre souhaite obtenir ; le contrat imposerait le respect des politiques ; l’échec deviendrait donc un manquement ; le manquement justifierait la résiliation ; la résiliation produirait la révocation. Une telle boucle supprime le besoin de prouver que la demande était raisonnable et que la conséquence suivait du contrat applicable. Or ces deux points sont précisément ceux qui doivent rester contestables.

La coopération doit aussi rester possible. Si un contact est erroné, le titulaire a besoin d’un accès et d’une assistance suffisants pour le corriger. Suspendre les outils nécessaires au remède parce que la donnée à réparer est défaillante créerait un piège : le membre ne pourrait obtenir le service requis pour redevenir conforme. Une procédure proportionnée préserve donc la fonction corrective du registre pendant toute période de régularisation.

Pourquoi un signalement n’est pas une décision

Le meilleur argument en faveur du dispositif est simple. Une boîte injoignable peut externaliser des coûts. Les victimes présumées, les équipes de sécurité et les opérateurs en amont perdent du temps. Une adresse qui répond seulement à certains interlocuteurs peut rendre le répertoire trompeur. Une validation uniforme, accompagnée de contacts de secours, peut être plus équitable que des interventions improvisées par le personnel. Un titulaire a, en outre, accepté des obligations générales de politique et de coopération.

Cet argument défend la joignabilité. Il ne suffit pas à défendre le saut punitif.

Le registre ne sait pas, par le seul état de la boîte, si le message concernait un spam, un logiciel malveillant, une violation de droit d’auteur, une tentative d’extorsion, un scan automatisé, un contenu prétendument diffamatoire ou un différend contractuel. Ces situations relèvent de faits, de droits et de juridictions différents. Un opérateur de transit peut ne pas contrôler directement l’utilisateur en cause. Un détenteur de ressources peut imposer un formulaire pour réduire le bruit. Une entreprise peut refuser une pièce jointe pour des raisons de sécurité.

Une adresse peut recevoir le message tout en contestant la compétence du déclarant.

Voilà pourquoi le déclarant fournit un signal, pas une preuve concluante. Son message peut justifier un routage vers le bon interlocuteur ou un test renouvelé. Il ne confère pas à AFRINIC la compétence d’une police, d’un parquet et d’un tribunal réunis. La fonction du registre est de publier la porte d’entrée, non de décider de tout ce qui se passe derrière cette porte.

Une séparation robuste aurait au moins plusieurs états explicites : livraison impossible ; aucune confirmation dans un délai défini ; confirmation reçue ; problème technique temporaire ; contact contesté ; réponse sur le fond en litige ; données sciemment fausses établies par des preuves distinctes. Chaque état appelle un remède différent. La correction d’une adresse convient au premier. Une relance convient au deuxième. Une enquête indépendante peut convenir à une falsification documentée. Aucun ne permet, seul, d’effacer la reconnaissance de ressources en exploitation.

Le contrat ne transforme pas le registre en État

Le RSA est un instrument important. Il peut lier les parties qui l’ont effectivement signé, selon la version applicable et le droit qui le gouverne. Le site des accords indique que la version anglaise publiée est la seule version juridiquement contraignante parmi les versions mises à disposition ; l’accord exécuté d’un membre particulier peut néanmoins poser des questions propres que seul un conseil examinant le document réel pourrait résoudre.

Un contrat privé ne produit toutefois pas une souveraineté générale. Il ne transforme pas le territoire de service d’AFRINIC en peuple politique. Il ne transforme pas les participants à une liste de diffusion en législateurs de tous les détenteurs. Il ne rend pas le registre propriétaire du monde opérationnel qu’il décrit. Il crée des obligations entre parties, dans les limites du droit, de l’autorité corporative et des procédures prévues.

Cette distinction est spécialement importante parce que la conséquence est asymétrique. AFRINIC tient l’enregistrement institutionnel. Le détenteur, lui, supporte les équipements, les relations clients, le routage, les règles de pare-feu, les listes de contrôle d’accès, le DNS, la réputation des adresses, les contrats commerciaux et le financement. Si la reconnaissance du registre est retirée, la conséquence peut se propager à des clients, des prêteurs et des contreparties qui ne sont pas à l’origine du défaut allégué. Le dossier ne permet pas de chiffrer ces pertes dans le cadre de cette politique.

Il suffit de constater leur mécanisme possible : la décision se concentre au registre tandis que l’exposition opérationnelle se répartit ailleurs.

Cette asymétrie impose une discipline inverse. Plus la conséquence potentielle est lourde, moins un raccourci probatoire est acceptable. La capacité technique de modifier une base ne crée pas le droit de priver un opérateur de reconnaissance. La dépendance des réseaux au registre ne prouve pas un mandat. Le contrat ne peut être lu comme une délégation implicite de pouvoir législatif ou judiciaire.

Ratification, consensus et autorité annoncée

La chronologie permet de séparer les actes. Le RSA public date du 27 novembre 2017. La première version de la mise à jour de la politique sur le contact d’abus est entrée dans le processus en août 2018. La septième version a été soumise en mai 2021, puis discutée à AFRINIC-33 en juin. Elle a traversé une période de dernier appel, prolongée jusqu’en janvier 2022. Les coprésidents du groupe de travail ont ensuite annoncé un consensus.

Un recours a contesté cette détermination. En juillet 2022, le comité d’appel l’a écarté comme irrecevable, faute d’une tentative préalable de résolution conforme à la procédure. Il a expressément jugé inutile d’examiner le fond. Cette issue ne valide donc ni les critères de contact, ni le pont contractuel, ni une éventuelle révocation. Une irrecevabilité ferme une voie procédurale particulière ; elle n’est pas une décision sur le bien-fondé du mécanisme.

AFRINIC présente ensuite le 4 février 2026 comme la date à laquelle son conseil a ratifié la politique. L’index actuel conserve cette qualification. Ce sont des faits sur la position publique d’AFRINIC. Ils n’autorisent pas à écrire que l’autorité du conseil ainsi annoncé aurait été souverainement ou définitivement établie. Une société privée peut accomplir un acte interne et le publier ; la validité de l’autorité, si elle est contestée dans une affaire concrète, relève de son ordre corporatif et des institutions compétentes.

La participation au groupe de travail a une utilité : elle rassemble de l’expérience, met au jour des coûts techniques, améliore un texte et produit des normes internes. Elle ne crée pas, par le seul consensus des présents, un pouvoir public sur les entreprises absentes. Un participant est une partie prenante ; il n’est pas nécessairement le mandant du détenteur qui assumera la perte. Une salle de politique peut conseiller et coordonner. Elle ne devient pas un parlement parce que son processus est ouvert.

Ce que les sources ne permettent pas d’affirmer

La précision des textes ne doit pas masquer l’étendue des inconnues. Aucune source publique examinée ne fixe la date exacte d’entrée en production du mécanisme après la ratification annoncée. Aucune ne livre une procédure finale réunissant l’identité de l’expéditeur, la preuve de livraison, le déclenchement des horloges, les interruptions, les prolongations, les erreurs temporaires ou la protection contre l’hameçonnage.

Il manque aussi une taxonomie de l’échec. Le rebond permanent, le rejet temporaire, le filtrage, l’absence d’accusé, une réponse tardive, une réponse jugée insuffisante, un désaccord de fond et une falsification délibérée sont des réalités différentes. On ne sait pas quel nombre d’échecs, sur quelle période et selon quel standard, devient « persistant ». On ne sait pas qui valide cette caractérisation, ni quel acteur corporatif pourrait autoriser une intention de résilier dans la configuration institutionnelle actuelle.

La voie de recours au fond reste également obscure. Le texte public du RSA paraît penser l’appel d’un registre d’attribution vers un registre parent. Son adaptation à une constatation portant sur un contact d’abus ou à la résiliation d’un RSA par AFRINIC n’est pas résolue dans les documents étudiés. Le recours de 2022 ne comble pas cette lacune, puisqu’il concernait la procédure d’élaboration de la politique et n’a pas atteint le fond.

Enfin, aucune source publique vérifiée ne montre qu’un RSA ou des ressources numériques ont effectivement été révoqués uniquement à cause d’une non-conformité persistante à ce dispositif. Cette formulation doit rester étroite. Elle signifie qu’aucun cas n’a été identifié dans le corpus examiné avant la date de publication. Elle ne garantit pas qu’aucun avis privé n’a jamais été envoyé, et elle ne permet surtout pas de raconter une révocation comme un événement accompli.

La règle proportionnée

Le noyau utile de la politique tient en peu de mots : une ressource enregistrée doit renvoyer vers un contact électronique capable de recevoir des signalements ordinaires ; AFRINIC peut tester objectivement cette capacité ; une anomalie appelle une notification, une possibilité réaliste de correction et un état de validation exact.

Tout le reste doit être séparé. Le registre ne devrait pas évaluer la substance, la rapidité ou l’issue de la gestion d’un signalement, sauf si une obligation juridique distincte et compétente l’exige. Il devrait maintenir l’accès nécessaire à la correction. Il devrait conserver le dernier détenteur vérifié, les informations de routage et les services opérationnels pertinents pendant qu’un problème curable ou contesté est traité. Il devrait isoler le différend au champ concerné au lieu de contaminer la reconnaissance de l’actif.

Une barrière de révocation est la traduction institutionnelle de cette limite. L’échec d’un contact, même répété, ne devrait jamais suffire à retirer ou à dégrader la reconnaissance des ressources. Une action irréversible devrait dépendre d’une base distincte et étroite : ordre contraignant d’une juridiction, décision indépendante, fraude établie touchant le registre, revendication en double, abandon explicite ou urgence de sécurité propre à l’intégrité du registre. Ce ne sont pas les faits de cette enquête ; ce sont les catégories qui empêchent un défaut de répertoire de devenir un raccourci vers la perte d’un actif.

AFRINIC peut corriger le livre. Elle peut demander une donnée exacte. Elle peut signaler qu’un contact n’a pas été validé. Elle peut aider le membre à rétablir sa joignabilité. Elle ne peut transformer une dépendance administrative en autorité de punir. La reconnaissance d’un numéro n’est pas une récompense de bonne conduite ; c’est la vérité opérationnelle que le registre est chargé de rendre lisible.