Résumé

  • Le 15 juin 2003, quatre fonctions ont été attribuées à quatre pays : l’incorporation et l’administration à Maurice, la coordination et la mise en œuvre de la formation au Ghana, les opérations techniques et l’infrastructure en Afrique du Sud, la sauvegarde et la reprise après sinistre en Égypte. Le conseil d’administration a ensuite ratifié à l’unanimité cet accord.
  • Cette architecture séparait effectivement des lieux, des missions, certains personnels et plusieurs organismes de soutien. Elle maintenait cependant une seule personne morale mauricienne, un conseil d’administration, un directeur général, une hiérarchie interne et, à terme, une gestion administrative et financière commune.
  • Les archives décrivent un cœur applicatif et une base de données en Afrique du Sud, une réplication existante dans ce même pays, d’autres répliques projetées, une liaison avec le siège mauricien et une copie de reprise prévue en Égypte. Elles ne prouvent ni des accès privilégiés indépendants, ni une bascule testée, ni l’isolement contre une corruption logique ou une paralysie de la direction.
  • Le meilleur jugement n’est donc ni que la dispersion fut décorative, ni qu’elle assura à elle seule la continuité. Elle constitua une mesure d’anti-concentration réelle mais partielle, dont la solidité contractuelle et opérationnelle reste impossible à déterminer sans les cahiers des charges révisés, accords d’hébergement, matrices d’accès, plans de financement et preuves d’exercices qui manquent au dossier public.

Le 15 juin 2003, la future architecture d’AFRINIC a pris la forme d’une carte inhabituelle. L’administration et l’incorporation juridique iraient à Maurice. Le Ghana coordonnerait et mettrait en œuvre la formation. L’Afrique du Sud accueillerait les opérations techniques, le matériel et l’infrastructure. L’Égypte fournirait la sauvegarde et la reprise après sinistre. Ce partage répondait à un problème concret : éviter qu’une organisation régionale naissante, ses équipements, ses compétences et ses soutiens ne reposent entièrement sur un seul lieu.

Pourtant, le document de reconnaissance rédigé plus tard décrivait aussi AFRINIC comme une organisation gérée depuis un lieu unique à Maurice. Cette phrase n’annule pas la carte à quatre pays ; elle en révèle la limite structurante. Des activités pouvaient être distribuées tandis que la personne morale, le conseil, la direction, le financement et le pouvoir final restaient communs. Toute l’analyse tient dans cette différence entre l’endroit où une tâche est accomplie et l’endroit — ou l’organe — depuis lequel elle est autorisée, financée et contrôlée.

Les documents conservés permettent de tracer la géographie et une partie de l’organigramme. Ils ne livrent pas les instruments qui permettraient de savoir si chaque site pouvait continuer à agir lorsque le centre, un fournisseur, une liaison ou une clé administrative devenait indisponible. Le dessin est donc lisible ; le plan de contrôle l’est beaucoup moins. C’est précisément cette frontière qui détermine si l’on observe quatre véritables domaines de panne ou seulement quatre adresses reliées à un même centre de décision.

Une décision fonctionnelle, pas quatre délégations de pouvoir

Le compte rendu contemporain du conseil situe l’acte au 15 juin 2003, à Kampala, à l’occasion d’une réunion organisée avec AfNOG. Il fait état d’un accord sur quatre fonctions, puis d’une ratification unanime par le conseil annoncée quelques jours plus tard. Une présentation de transition de 2004 contient une mention erronée — « May 2203 », susceptible d’être lue comme mai 2003 — mais le compte rendu contemporain et la demande finale de reconnaissance concordent sur juin 2003. Il n’y a pas de raison documentaire de déplacer la date.

La première précision importante concerne l’objet de la répartition. Le lot mauricien comprenait un centre administratif, l’incorporation juridique, un responsable administratif et un secrétariat. Le lot ghanéen portait sur la coordination et la réalisation des formations d’AFRINIC. Le lot sud-africain réunissait le centre des opérations techniques, le matériel et les installations d’infrastructure. Le lot égyptien concernait la sauvegarde et la reprise après sinistre des opérations techniques. Les pays ne recevaient donc pas chacun une portion équivalente d’autorité.

Ils accueillaient des fonctions différentes, dont les effets sur la continuité n’étaient ni interchangeables ni symétriques.

La deuxième précision est chronologique. La désignation des pays précédait encore la finalisation de composantes décisives. L’annonce indiquait que des cahiers des charges révisés devaient être établis pour chaque fonction, afin que les hôtes retenus préparent des plans détaillés de mise en œuvre et finalisent le financement. Autrement dit, la décision fixait l’architecture générale avant que l’ensemble de ses obligations, moyens, échéances et conditions financières ne soit publiquement stabilisé. Présenter la carte de juin comme un dispositif contractuel déjà complet transformerait une orientation ratifiée en un résultat non démontré.

Il manque en outre la résolution signée, son éventuel numéro, le procès-verbal détaillé et le relevé individuel des votes. L’unanimité est attestée par l’annonce du conseil ; les modalités précises de cette unanimité ne le sont pas. Cette nuance ne retire rien à l’existence de la décision d’entreprise. Elle empêche seulement d’y ajouter des réserves, délégations ou conditions qui ne figurent pas dans les pièces disponibles.

Enfin, la répartition portait sur l’organisation d’un service privé de tenue de registres et de coordination. Elle ne conférait à aucun pays hôte une part de souveraineté sur les réseaux africains, pas plus qu’elle ne conférait à AFRINIC un pouvoir législatif ou territorial. Une fonction hébergée n’est pas une compétence publique déléguée. Un conseil unanime peut prendre une décision interne à la société ; il ne vote pas une loi continentale et ne représente pas, par ce seul acte, les peuples ou les États d’une région de service.

Ce qui était réellement dispersé

La décision avait néanmoins une teneur matérielle. Si toutes les fonctions avaient été installées dans le même immeuble et confiées au même environnement local, une panne de bâtiment, une interruption de soutien ou la perte d’un petit groupe de compétences auraient pu toucher simultanément l’administration, l’exploitation technique, la formation et la reprise. La division en quatre lots rendait ce cumul moins probable par conception. Elle multipliait les sites, les relations institutionnelles et les viviers de savoir-faire mobilisables pendant la création de l’organisation.

Maurice réunissait le siège, la personne morale et les fonctions administratives. Au stade décrit dans la demande finale, le directeur général, un assistant administratif et le responsable financier se trouvaient ou devaient se trouver au siège. L’Afrique du Sud accueillait le centre d’opérations techniques au CSIR ainsi que, pour la transition technique, un ingénieur et un hostmaster. Une présentation de juin 2004 signalait déjà le déplacement de personnels d’AFRINIC en Afrique du Sud. Ces éléments établissent une séparation physique entre l’équipe de siège et une petite équipe technique.

Ils n’établissent ni des employeurs différents, ni des chaînes de commandement autonomes, ni la capacité des techniciens à engager seuls l’organisation en situation d’urgence.

Le Ghana élargissait la dispersion dans un autre sens. La formation n’est pas une copie de la base de données et ne remplace pas un centre d’exploitation. Elle construit une capacité humaine : coordination des sessions, diffusion des pratiques et relation avec les équipes d’enregistrement. Dans la demande, cette fonction était associée à GH-NIC et se rattachait, dans l’organisation d’AFRINIC, au département couvrant communication, relations avec les membres et formation. Le choix ghanéen pouvait donc limiter la dépendance à l’égard du siège ou de personnels extérieurs pour la diffusion des compétences.

Mais aucun document conservé ne fournit l’accord d’hébergement correspondant, l’effectif permanent, les locaux, le budget, le pouvoir d’approuver les programmes ou des mesures de résultats. Le rôle prouvé est celui de coordination et de mise en œuvre ; il n’est ni une autorité de politique d’adressage ni une fonction de continuité technique.

L’Égypte apportait la dimension explicitement orientée vers la reprise. La demande associait le ministère égyptien chargé des communications à la réplication des données et à la reprise après sinistre, et indiquait que l’infrastructure devait être répliquée en Égypte pour la reprise et la sauvegarde hors site. Il s’agit d’une séparation géographique importante dans le dessin : une copie située dans un autre pays peut survivre à la destruction d’un équipement ou d’un site primaire. Mais la formulation prospective compte.

Les archives ne donnent ni date d’achèvement, ni emplacement précis, ni exploitant, ni inventaire, ni objectif de perte de données acceptable, ni délai de rétablissement, ni compte rendu d’essai. Elles prouvent une mission attribuée et une architecture déclarée, pas la capacité autonome et vérifiée d’exploiter le registre depuis l’Égypte.

La pluralité des soutiens constitue une autre forme d’anti-concentration. La demande associait l’administration mauricienne à l’association locale des fournisseurs d’accès et à un soutien ministériel ; l’exploitation technique sud-africaine au département des communications et au CSIR ; la reprise égyptienne au ministère compétent ; la formation ghanéenne à GH-NIC. Au démarrage, AFRINIC pouvait ainsi puiser dans plusieurs institutions existantes au lieu de financer immédiatement toutes les capacités sur fonds propres. Cela répartissait l’apport de locaux, de compétences et de soutien.

Cela multipliait aussi les interfaces à gérer : quatre relations peuvent éviter un fournisseur unique, tout en créant quatre ensembles de renouvellements, de responsabilités, de conditions de sortie et de dépendances.

La dispersion prouvée est donc substantielle mais précisément circonscrite. Elle concerne des missions, plusieurs installations, une partie du personnel et plusieurs contreparties d’incubation. Elle ne permet pas d’affirmer que les quatre pays disposaient chacun d’un centre complet, d’un budget autonome, d’administrateurs système indépendants ou d’un pouvoir de décision de dernier ressort. La carte réduisait le risque de tout installer au même endroit ; elle ne supprimait pas nécessairement le risque de tout autoriser depuis la même organisation.

Le centre d’entreprise demeurait unique

Sur le plan juridique, AFRINIC fut constituée en février 2004 comme une seule entité sans but lucratif à Maurice. Ce fait borne le raisonnement sans nécessiter de refaire l’histoire du choix mauricien. Les activités pouvaient se dérouler dans plusieurs pays, mais les contrats, engagements, emplois et responsabilités appartenaient en principe à une organisation unique, sous réserve des termes effectifs qui ne sont pas disponibles. Aucun élément n’indique la création de quatre sociétés sœurs capables de survivre séparément à la défaillance de l’une d’elles.

L’organigramme publié plaçait les membres au sommet, puis un conseil d’administration, puis un directeur exécutif chargé de la gestion quotidienne. Sous cette direction se trouvaient notamment les opérations techniques et les services d’enregistrement, les finances, l’administration et les ressources humaines, ainsi que la communication, les relations avec les membres et la formation. Les fonctions réparties sur la carte restaient donc des composantes d’AFRINIC.

Le centre ghanéen n’était pas une autorité de formation souveraine ; le site sud-africain n’était pas un registre distinct ; le rôle égyptien n’était pas un second conseil de continuité ; Maurice n’était pas le détenteur territorial des ressources numériques de l’Afrique.

La demande allait plus loin en déclarant que l’organisation était gérée depuis un seul emplacement à Maurice. Elle présentait parallèlement AFRINIC comme indépendante et autonome, dans ses opérations, par rapport aux organismes de soutien. Ces deux affirmations sont compatibles en théorie : une société peut exercer une direction unifiée tout en achetant ou recevant des services de plusieurs hôtes. Mais la seconde reste une déclaration de l’organisation demanderesse, non une vérification extérieure.

Pour apprécier l’autonomie réelle, il faudrait connaître les droits d’accès des hôtes, la propriété du matériel, les obligations de financement, les pouvoirs de résiliation, les droits de reprise et les moyens de déplacer les services.

Les finances suivaient la même logique de transition. Les soutiens locaux devaient couvrir une partie ou la totalité des coûts durant une période d’incubation de deux ans. Ensuite, AFRINIC prévoyait d’assumer la gestion administrative et financière de l’ensemble des quatre sites grâce à des revenus tirés des cotisations de ses membres. Ce schéma pouvait être sain : utiliser temporairement des ressources réparties pour lancer l’institution, puis ramener la responsabilité budgétaire sous une comptabilité unique. Il produisait également une convergence programmée.

Si le compte bancaire, les autorisations de dépense ou les revenus de l’unique personne morale étaient bloqués, l’existence de locaux dans quatre pays ne garantissait pas leur fonctionnement.

Il faut aussi distinguer concentration et faute. Une direction commune n’est pas en elle-même suspecte. Elle peut rendre la responsabilité plus lisible : un conseil répond devant les membres, un directeur exécute, un budget consolide les dépenses, une seule organisation assure la cohérence des registres. Mais ce qui clarifie la responsabilité en temps normal peut devenir un domaine de panne en période de crise.

Les archives ne montrent aucune délégation d’urgence à un responsable de pays, aucun mécanisme de succession détaillé, aucune limite de signature et aucune voie de décision permettant de contourner l’incapacité du conseil ou du directeur général. On ne peut donc ni affirmer que ce risque était ignoré, ni prétendre qu’il était neutralisé.

Des copies réparties ne suffisent pas à répartir le contrôle

La topologie technique décrite vers mars 2005 est la partie la plus concrète du dispositif. Les applications centrales et la base de données étaient situées au centre informatique du CSIR, en Afrique du Sud. Une réplique existait chez UUNET à Johannesburg. Une autre réplique à équilibrage de charge était projetée auprès d’un autre fournisseur sud-africain ainsi qu’à Maurice, même si la grammaire du document ne permet pas de traiter tous ces éléments comme achevés. Une liaison privée virtuelle reliait le bureau de Port-Louis au cœur sud-africain.

Enfin, l’infrastructure devait être répliquée en Égypte, présentée comme le principal lieu de reprise après sinistre et de sauvegarde hors site.

Cette topologie réduisait certains risques évidents. Des serveurs redondants peuvent absorber la panne d’un composant. Une réplique dans un autre bâtiment peut survivre à un incident local. Une copie dans un autre pays peut préserver des données après une perturbation nationale. Une rotation des sauvegardes et plusieurs lieux de conservation sont préférables à un exemplaire unique. Les documents indiquent donc davantage qu’une simple liste de capitales : ils décrivent un cœur, des répliques, une liaison et une intention de reprise.

Mais la continuité dépend de ce que chaque copie permet de faire. Une réplique peut être lisible sans être promouvable comme base principale. Elle peut avoir besoin des mêmes administrateurs, du même logiciel, du même service d’identité ou des mêmes clés que le cœur. Elle peut reproduire instantanément une écriture erronée ou une corruption logique. Elle peut être intacte mais inutilisable si personne sur place n’a l’autorité contractuelle et technique de la mettre en service. Sans protocole de bascule, une copie est une réserve de données ; elle n’est pas nécessairement une capacité d’exploitation.

La réplique explicitement existante se trouvait elle aussi en Afrique du Sud. Elle séparait peut-être deux centres et deux fournisseurs, mais pas le risque au niveau du pays. La réplique mauricienne supplémentaire était décrite comme projetée. Le rôle égyptien relevait du futur dans la formulation disponible. Il est donc impossible de compter les sites comme s’ils avaient tous été simultanément prêts, alimentés, synchronisés et administrables. Les statuts doivent rester distincts : cœur existant, réplique sud-africaine déclarée, extensions projetées, reprise égyptienne attribuée et annoncée.

Les accès constituent la couche la plus opaque. La demande indiquait que seules les personnes autorisées pouvaient accéder à la base de données et à l’infrastructure. Elle déclarait également que des accords relatifs à la sécurité et aux procédures d’accès avaient été signés avec UUNET et le centre informatique du CSIR. Cela prouve qu’un dispositif d’autorisation et des instruments particuliers aux sites sud-africains étaient envisagés ou en place.

Cela ne révèle pas qui détenait les comptes maîtres, comment les secrets étaient répartis, si une double validation était requise, comment un accès d’urgence était ouvert, qui pouvait révoquer un administrateur, ni si les journaux résistaient à la compromission d’un même domaine.

La liaison entre Port-Louis et le cœur sud-africain soulève le même type de question. Sa présence montre une interconnexion opérationnelle ; son autonomie reste inconnue. Les pièces ne disent pas si plusieurs opérateurs de télécommunications étaient utilisés, si une voie de gestion hors bande existait, qui gardait les clés de la liaison, ni comment le site sud-africain fonctionnait lorsque le siège mauricien devenait injoignable. Le fait que les deux extrémités soient dans des pays différents ne suffit pas à démontrer qu’elles ne partageaient aucun fournisseur, aucun secret ou aucune décision centrale.

La distinction essentielle est ainsi celle qui sépare redondance matérielle et indépendance de contrôle. Les archives donnent des raisons de croire que la panne d’un serveur ou d’un local pouvait être mieux absorbée qu’avec une installation unique. Elles n’établissent pas qu’une compromission des identifiants, une erreur répliquée, une incapacité du directeur, une interruption budgétaire ou un conflit contractuel pouvait être isolé. Un domaine de panne réel se mesure par la faculté de continuer avec d’autres données valides, d’autres clés, d’autres personnes, une autre liaison, un financement disponible et une autorité licite.

Aucun contour national ne remplace ces preuves.

Les contrats manquants fixent le plafond de l’analyse

Le dossier comporte une tension qu’il faut conserver plutôt que résoudre par supposition. Dans une partie, la demande affirme qu’un accord d’incubation avait été conclu avec trois organismes de soutien. Elle énumère ensuite quatre relations fonctionnelles liées aux quatre pays et indique que des accords formels devaient bientôt être signés avec chacun. Ailleurs, elle précise que des accords de sécurité et de procédure d’accès avaient déjà été signés avec UUNET et le centre informatique du CSIR. Ces formulations peuvent viser des instruments différents.

Elles peuvent aussi refléter un regroupement de certaines parties ou une rédaction imparfaite. Les documents disponibles ne permettent pas de trancher.

Cette ambiguïté est décisive parce qu’un accord d’hébergement n’est pas une formalité périphérique. Il définit potentiellement qui paie l’électricité et la connectivité, qui possède les équipements, qui porte la responsabilité en cas d’incident, quel droit régit la relation, qui peut entrer dans le local, comment le service est renouvelé, déplacé ou interrompu, et quelles aides sont dues lors d’une sortie. Tant que les accords-cadres ne sont pas accessibles, il est impossible de déterminer si la dispersion rendait les services portables ou les attachait durablement à leurs hôtes.

Les cahiers des charges révisés et les plans détaillés de mise en œuvre manquent également. On ignore donc les critères d’achèvement de chaque lot, les calendriers, les niveaux de service, la répartition précise des coûts et les dépendances entre les quatre sites. Les inventaires de matériel et les titres de propriété ne sont pas disponibles. Les contrats de travail, les délégations locales et les plans de succession ne le sont pas davantage. L’absence de ces pièces n’établit pas qu’elles n’ont jamais existé, qu’elles étaient mauvaises ou qu’elles ont été violées.

Elle établit seulement une limite d’audit : on ne peut pas attribuer au dispositif des propriétés qui exigeraient leur lecture.

La reprise après sinistre est soumise à la même discipline. Il n’existe ici aucun objectif chiffré de délai de rétablissement ou de perte de données, aucun calendrier de sauvegarde, aucune durée de rétention, aucune preuve d’immutabilité, aucun résultat de restauration, aucun exercice de perte de pays et aucun historique d’incident permettant d’évaluer la performance. Il serait abusif d’en conclure qu’aucune reprise n’était possible. Il serait tout aussi abusif d’écrire que le modèle avait fait ses preuves.

La seule formulation soutenable est plus exigeante : le dossier atteste un dessin de réplication et de sauvegarde, mais pas une continuité indépendante et testée.

Le meilleur argument en faveur d’un centre unique

Une lecture équitable doit prendre au sérieux les contraintes d’une institution jeune couvrant une région immense. Créer quatre personnes morales, quatre trésoreries, quatre directions et quatre bases concurrentes aurait augmenté les coûts, fragmenté la responsabilité et rendu plus difficile la conservation d’un registre cohérent. Les fondateurs pouvaient raisonnablement chercher une autre combinaison : un propriétaire organisationnel identifiable, une chaîne de décision commune et un système de données unifié, mais des compétences et des installations réparties selon les avantages disponibles dans plusieurs pays.

Dans ce modèle, Maurice fournissait la forme sociale et le siège ; l’Afrique du Sud, un environnement technique et des personnels ; le Ghana, un point d’appui pour la formation ; l’Égypte, un lieu éloigné pour la sauvegarde et la reprise. Des institutions existantes pouvaient supporter une partie des coûts pendant l’incubation, à un moment où les cotisations ne finançaient pas encore seules l’ensemble. Puis AFRINIC reprendrait la gestion administrative et financière.

Cette centralisation n’était pas nécessairement l’ennemie de l’anti-concentration : elle pouvait être la condition d’une comptabilité unique, d’une responsabilité claire et de décisions cohérentes entre sites.

Cet argument prouve que la carte ne doit pas être réduite à un symbole. De vraies fonctions et de vrais environnements étaient séparés. Il montre aussi pourquoi « davantage de centres » n’est pas automatiquement préférable : quatre autorités autonomes auraient pu produire des ordres contradictoires, des dossiers incompatibles et des revendications nationales sur un service régional qui ne relève d’aucune souveraineté de ce type. En revanche, l’argument d’efficacité ne répond pas aux questions de survie.

Une chaîne cohérente peut être une chaîne unique ; une base unifiée peut propager une erreur ; une trésorerie claire peut être bloquée ; un directeur responsable peut devenir indisponible. L’efficacité en situation normale et la résilience en situation extrême sont deux propriétés différentes.

Le test utile : qui peut agir après la rupture ?

Pour un opérateur, le vrai test ne consiste pas à compter les drapeaux sur une carte. Il consiste à demander, pour chaque rupture : quelles données restent valides, qui possède les identifiants nécessaires, quelle personne peut prendre la décision, quel contrat continue de produire ses effets et quel budget peut payer le service ? Si le cœur sud-africain est indisponible, une copie peut-elle être promue ailleurs sans son administrateur habituel ? Si le siège mauricien ne peut plus autoriser une dépense, les sites ont-ils une délégation limitée mais suffisante ? Si un hôte résilie, le matériel et les données sont-ils portables ?

Si une écriture corrompue est répliquée, existe-t-il une copie isolée et vérifiable ?

Les enjeux ne doivent pas être dramatisés au-delà de ce que fait un registre. Une panne d’un serveur d’AFRINIC ne signifie pas mécaniquement que les paquets cessent aussitôt de circuler. Les réseaux exploitent leurs propres infrastructures. Mais ils dépendent d’une coordination fiable, de dossiers exacts et de procédures prévisibles. Une indisponibilité prolongée, des données incohérentes ou des décisions impossibles à exécuter peuvent affecter les détenteurs de ressources, les équipes opérationnelles et les tiers qui se fient aux informations du registre.

La continuité administrative n’est pas le routage lui-même ; elle en constitue néanmoins un environnement de confiance important.

Cette dépendance donne une portée particulière à la limite institutionnelle. AFRINIC est un teneur de livres et un coordinateur privé : sa fonction légitime consiste à préserver l’unicité, l’exactitude, la continuité et la prévisibilité des enregistrements. Une inscription ne crée pas un titre de propriété souverain. Un siège ne crée pas une juridiction continentale. Une infrastructure hébergée ne donne pas au pays hôte le pouvoir de punir un opérateur. Ni la dispersion de 2003 ni sa ratification ne fondent un pouvoir de police, de poursuite, de confiscation ou de réglementation publique.

La charte de NRS éclaire ce besoin de responsabilité, de décentralisation et de possibilités de sortie depuis le côté des membres, mais NRS n’exploite ni le registre ni ses systèmes de continuité. L’analyse de LARUS apporte le point de vue des opérateurs sur la manière dont une décision de gouvernance peut se transmettre à l’infrastructure, sans faire de LARUS un participant au dispositif de 2003. Les recherches antérieures de BTW aident à ne pas confondre choix d’un hôte, incorporation et reconnaissance, sans déplacer ici l’analyse vers Maurice seul.

Ces perspectives complètent les archives institutionnelles ; elles ne remplacent ni les accords manquants ni les preuves techniques.

Le bilan doit donc rester double. La décision de juin 2003 a bien réduit la concentration des fonctions, des sites et de certains soutiens. Elle a distribué des capacités de lancement et prévu une réplication au-delà du cœur. Mais elle n’a pas créé quatre autorités autonomes, et les éléments accessibles laissent converger ou demeurer inconnus les chemins les plus importants : personne morale, conseil, direction, finances, délégations, identifiants privilégiés, contrôle des données, contrats de sortie et reprise testée. La carte était une mesure d’anti-concentration. Elle n’était pas, à elle seule, la preuve d’une continuité indépendante.