Résumé

  • La page miroir du service AfPIF d’AFRINIC annonçait à Kigali des consultations de trente minutes consacrées notamment à BPKI, à la 2FA, aux données WHOIS, aux dossiers ouverts, au RPKI et au représentant désigné.
  • Constater qu’une personne correspond à un document ne prouve ni son mandat pour l’organisation, ni l’étendue de ce mandat, ni l’approbation de la demande, ni l’état finalement enregistré.
  • Chaque dossier achevé ou reporté devrait produire un reçu privé reliant preuve, rôle, acte demandé, décision, état avant/après, notification et recours ; le bilan public peut rester agrégé.

Une permanence de service, pas seulement un stand

L’AfPIF 2026 s’est tenu du 17 au 20 août au Kigali Marriott Hotel. Dans ce cadre, AFRINIC ne s’est pas contenté d’annoncer une présentation. L’organisation proposait de réserver par Brella, de convenir d’un créneau par courriel ou de se présenter sur place. Elle prévoyait aussi une solution à distance.

La liste des sujets montre la nature opérationnelle de l’offre : mise en place de RPKI et de ROA, rectification des données WHOIS et du registre, préparation d’un déploiement IPv6, adhésion, confirmation du Designated Representative et avancement de tickets existants. AFRINIC indiquait que ses ingénieurs travailleraient sur les ressources du membre avec un accès direct, réservé au personnel, au back-end du registre.

Pour BPKI et la 2FA, la présence physique devait permettre de terminer des contrôles d’identité qui prennent parfois plusieurs jours par correspondance. La préparation recommandée associait identifiant d’organisation, adresse électronique déjà enregistrée, pièce d’identité publique lorsque nécessaire, coordonnées du représentant, numéros de ticket et inventaire des données jugées inexactes.

Le bénéfice est évident : réunir la bonne personne et l’équipe compétente peut lever un blocage ancien. Mais l’efficacité du rendez-vous ne dit pas encore ce qui a été prouvé ni ce qui a été modifié.

Le même entretien porte quatre décisions différentes

Il faut d’abord relier la personne réelle au document présenté. Il faut ensuite établir la qualité dans laquelle elle intervient : salarié, dirigeant, contact technique, représentant désigné ou conseil. Vient alors l’autorisation d’accomplir l’acte précis. Enfin seulement apparaît le résultat système : acceptation, refus ou report, puis éventuelle modification du compte ou du registre.

Ces quatre couches ne s’emboîtent pas automatiquement. Une pièce authentique n’est pas une procuration générale. Le statut de Designated Representative n’ouvre pas nécessairement tous les objets du registre. Une demande correctement autorisée peut dépendre d’une validation supplémentaire. Une mise à jour de compte n’implique pas toujours une modification visible de WHOIS.

La formulation relative à l’accès au back-end doit donc rester précise. C’est le personnel d’AFRINIC qui dispose de cet accès pour travailler avec le membre. La table de conférence ne devient pas une console du registre et la présence du demandeur ne remplace pas le contrôle d’autorisation.

La norme d’identité aide à séparer les objets

Le NIST SP 800-63A n’est pas une règle juridique imposée à AFRINIC. Il fournit toutefois une grille utile : résolution de l’identité, validation des preuves, vérification de la personne, puis association d’un authentificateur à un compte. Il reconnaît aussi qu’un même individu peut agir pour lui-même dans un contexte et comme représentant d’une entreprise dans un autre.

Cette distinction est essentielle pour un registre. Le même être humain peut apparaître comme utilisateur du portail, contact de facturation, contact technique, mandataire d’une personne morale ou conseiller extérieur. L’identité répond à « qui est là ? » ; le rôle et le mandat répondent à « que peut faire cette personne pour cette organisation ? ».

Les recommandations du NIST sur les comptes demandent aussi de conserver les étapes de vérification, le type et l’émetteur des preuves ainsi que les méthodes de validation. Elles prévoient la validation des changements d’attributs essentiels, l’information du titulaire après mise à jour et un moyen de signaler un accès non autorisé. AFRINIC peut reprendre cette architecture de preuve sans copier le cadre institutionnel américain.

Un reçu détaillé peut rester confidentiel

Le reçu remis au membre devrait d’abord nommer le dossier, l’identifiant d’organisation, la classe d’objet concernée et le rôle invoqué. Il peut enregistrer la catégorie de preuve et son autorité émettrice sans reproduire le document. S’ajoutent la méthode, l’heure, le rôle de l’agent, l’acte exact demandé et sa base d’autorité.

La seconde moitié établit le passage au système : empreinte protégée de l’état antérieur, approbation et éventuel double contrôle, statut de l’écriture, horodatage, référence à l’état résultant et notification adressée par un canal déjà validé. Un dossier reporté doit préciser le fait manquant, le responsable et la prochaine étape. Le reçu se termine par la voie de correction, le signalement de compromission et la classe de conservation ou de suppression des données personnelles.

Le public n’a pas besoin de voir ces éléments privés. Un bilan agrégé peut distinguer rendez-vous tenus, vérifications achevées, liaisons d’authentificateurs, modifications du registre, dossiers reportés et notifications envoyées. Le schéma du reçu peut être public, pas les pièces, les ressources ni le contenu des tickets.

Aucune source examinée n’établit qu’un participant a utilisé le dispositif, qu’une écriture a eu lieu ou qu’AFRINIC ne possède pas de journal interne. La page annonçait une capacité et un résultat attendu. La proposition de reçu est donc un garde-fou prospectif, non le constat d’une faute.

L’exactitude justifie l’intervention, pas un pouvoir général

La Déclaration des droits de la coordination de l’unicité de Heng Lu demande que le registre reflète la réalité opérationnelle, juridique et économique. Elle limite la couche commune à l’unicité, à la preuve de contrôle, à l’exactitude, aux assertions de sécurité, aux transferts, à l’auditabilité et aux voies de remplacement.

Corriger un contact périmé ou rattacher le bon authentificateur au bon compte entre dans cette mission étroite. En revanche, la vérification d’un fait ne doit pas devenir une enquête indéfinie sur l’activité du membre. Le reçu fixe la frontière : fait vérifié, rôle reconnu, acte autorisé, résultat enregistré.

Kigali a rapproché le service des opérateurs. Pour que cette proximité reste sûre, la rencontre doit demeurer l’entrée d’un processus contrôlé, jamais sa propre source d’autorité. Le membre reçoit la preuve privée ; le public obtient des statistiques de processus ; les documents personnels restent protégés.

Sources

  • Miroir textuel indépendant de la page AFRINIC consacrée à l’AfPIF 2026
  • AfPIF, site de l’édition 2026 à Kigali
  • NIST, Digital Identity Guidelines: Enrollment and Identity Proofing et Subscriber Accounts
  • Heng Lu, The Bill of Rights of Uniqueness Coordination