Résumé

  • La résolution 201803.395 a ratifié une règle interne issue du processus d’élaboration des politiques d’AFRINIC ; elle n’a ni légiféré, ni transformé ce registre technique privé en autorité souveraine.
  • Le mot obligatoire de la règle — AFRINIC devait retirer l’attribut d’un serveur de noms reconnu durablement défaillant après des tentatives raisonnables de contact — a transféré au registre une responsabilité de preuve, de notification, de délai et de proportionnalité.
  • Les étapes observées entre mars 2018 et avril 2021 montrent que ratification, annonce, détection, mise en œuvre partielle et exécution complète furent des moments distincts. Les précautions ultérieures éclairent le devoir né du vote sans réécrire rétroactivement son contenu.
  • La garantie institutionnelle la plus juste n’est pas un pouvoir plus large : c’est un reçu d’exécution vérifiable, assorti d’un arrêt automatique en cas d’ambiguïté et d’une cloison étanche entre la maintenance du DNS inverse et tout autre différend d’entreprise.

L3 — Un vote, une récusation et une règle de suppression obligatoire

La scène d’ouverture est inhabituelle, mais elle appelle de la précision plutôt que du soupçon. Lorsque le Conseil d’administration d’AFRINIC poursuit sa réunion le 21 mars 2018, son président et son vice-président sont absents après avoir adressé par courrier électronique des avis annonçant leur retrait de leurs fonctions. L’avis juridique sur la portée contraignante de ces démarches n’est pas encore parvenu. Il faut néanmoins conduire la séance : un président ad hoc est donc désigné.

Dans ce cadre provisoire, le Conseil aborde une proposition intitulée « Lame Delegations in AFRINIC Reverse DNS », c’est-à-dire le traitement des délégations défaillantes dans le DNS inverse dont AFRINIC tient les données parentales.

Cette mise en scène institutionnelle compte parce qu’elle montre la banalité fragile d’un acte aux effets techniques durables. Il n’est pas nécessaire d’y lire une crise de légitimité, encore moins la preuve d’une manœuvre. Le procès-verbal permet d’établir une absence, une présidence temporaire et une délibération ; il ne permet pas d’imputer une influence indue. L’enjeu est ailleurs. Une résolution adoptée dans une salle de réunion, même sous une présidence ad hoc, peut charger des équipes techniques de modifier des enregistrements dont dépendent des opérateurs.

La brièveté du geste corporatif contraste avec la longueur de l’obligation opérationnelle qui en résulte.

Le traitement des conflits d’intérêts doit être restitué avec la même discipline. Un administrateur signale une possibilité de conflit parce que deux auteurs de la proposition sont des salariés d’AFRINIC et qu’il siège lui-même au Conseil. Le Conseil examine cette situation et conclut que, dans le cas consigné, elle ne constitue pas un conflit pour cet administrateur. Le directeur général se trouve dans une configuration différente : il déclare son double rôle de directeur général, donc de membre du personnel, et d’administrateur, puis se récuse lors du vote de ratification. Ces deux épisodes ne sont pas interchangeables.

L’un se termine par une conclusion d’absence de conflit pour l’administrateur concerné ; l’autre par une déclaration et une récusation du directeur général.

Cette distinction protège l’analyse contre deux raccourcis symétriques. Le premier consisterait à effacer la question sous prétexte que le Conseil a suivi une procédure. Le second consisterait à faire de la seule déclaration la preuve d’une capture, d’une collusion ou d’un vote vicié. Les éléments disponibles n’autorisent aucun de ces récits. Ils attestent que la question a été soulevée, discutée et traitée de deux manières selon les rôles.

Leur intérêt institutionnel est plus sobre : lorsque des salariés participent à la conception d’une règle que l’organisation devra appliquer, l’autorisation formelle et la séparation des responsabilités doivent être lisibles. La transparence sur les rôles ne remplace cependant jamais la qualité du dispositif d’exécution.

La résolution 201803.395 constate que la proposition a suivi le processus d’élaboration des politiques et qu’elle a été transmise par les coprésidents du groupe de travail. Le Conseil la ratifie, le directeur général ne prenant pas part au vote. C’est un acte relevant de l’article 3.4.4 du processus consolidé d’AFRINIC. Sa nature exacte importe. La ratification valide, dans l’ordre interne d’une société privée à but non lucratif fondée sur l’adhésion, un résultat issu de son processus de politique. Elle ne crée pas une loi publique.

Elle n’investit ni le Conseil, ni le groupe de travail, ni le personnel d’une juridiction réglementaire générale. Elle autorise et oblige l’organisation à accomplir une tâche déterminée dans le service de registre qu’elle administre.

Le besoin d’autorisation interne était d’ailleurs au cœur de la justification présentée lors d’AFRINIC-27. Le raisonnement consigné était que le personnel ne pouvait pas modifier comme il convenait des données WHOIS créées par les membres sans une politique explicite. C’est une question réelle de discipline organisationnelle. Un teneur de registre ne devrait pas altérer à sa guise les données confiées par ses membres. Une politique adoptée par le processus prévu peut rendre l’intervention prévisible et soumettre les équipes à une règle commune.

Mais une autorisation de modifier une fiche au sein d’un registre privé ne se métamorphose pas, par son seul caractère explicite, en compétence souveraine. Elle répond à la question « qui, dans l’organisation, peut entretenir cette donnée et selon quelle décision ? », non à la question « qui peut gouverner ou punir les acteurs du réseau ? ».

Le texte ratifié portait un verbe contraignant. Une fois qu’un serveur de noms avait été déterminé comme défaillant pour une délégation DNS inverse faisant autorité du côté parent, et après des tentatives raisonnables pour joindre le titulaire, AFRINIC devait retirer l’attribut correspondant de l’objet de domaine. La règle imposait aussi l’ajout d’une remarque permettant d’identifier la défaillance. Si tous les serveurs de noms d’un objet étaient défaillants et devaient donc tous être retirés, l’objet de domaine inverse lui-même devait être supprimé.

Enfin, les enregistrements relatifs aux délégations défaillantes devaient être archivés pendant une durée raisonnable.

Ces conséquences demandent d’être séparées avec soin. Retirer un attribut de serveur de noms n’est pas la même chose que supprimer l’objet de domaine devenu dépourvu de tout serveur. Dans le premier cas, la délégation peut conserver une autre branche fonctionnelle. Dans le second, la représentation parentale entière du domaine inverse disparaît parce qu’aucun serveur déclaré ne demeure. Et aucune de ces opérations n’équivaut au retrait d’une allocation d’adresses IP, à la confiscation d’un titre, à la suppression d’une annonce de routage ou à une intervention dans le DNS direct.

La politique agit sur un segment précis du registre : les données de délégation parentale du DNS inverse.

Le texte obligatoire fixait donc le résultat, mais non la totalité de la méthode probatoire. Il comportait une ligne directrice d’exécution à titre d’exemple, expressément distincte de la politique elle-même. La recette détaillée — nombre de tests, lieux d’observation, intervalle entre les essais, destinataires des avis, preuve de livraison, durée exacte de correction et traitement des résultats contradictoires — restait à concevoir dans la mise en œuvre. C’est ici que se situe le véritable poids de la ratification.

En acceptant « doit retirer » sans figer simultanément toutes les conditions permettant de conclure sans erreur, le Conseil a remis au personnel non pas une simple tâche mécanique, mais une responsabilité de jugement encadré.

Cette responsabilité était d’autant plus importante que le processus consolidé distinguait la ratification de l’adoption et de la mise en œuvre. L’article 3.4.5 prévoyait l’annonce à la communauté d’une date d’adoption et indiquait que la mise en œuvre devait intervenir dans les six mois suivant la dernière période d’appel à commentaires, sauf dérogation. Il exigeait également que les procédures d’exécution soient documentées et accessibles au public. Ce dernier point empêche de reléguer la méthode au rang de détail invisible.

Lorsqu’une règle peut aboutir au retrait d’une donnée de délégation, la procédure qui transforme une observation en modification fait partie de la responsabilité publique du service, même si l’organisation demeure juridiquement privée.

Le 28 mars, AFRINIC annonce que le Conseil a ratifié la proposition le 21 mars, se réfère à l’article 3.4.4, déclare que les étapes et le processus nécessaires à une mise en œuvre immédiate vont commencer et promet d’informer la communauté une fois celle-ci achevée. L’expression « mise en œuvre immédiate » ne doit pas être détachée du reste de la phrase. Elle annonce le commencement des travaux nécessaires, non la preuve que les suppressions étaient déjà opérationnelles le jour du vote ou celui du communiqué. Elle ne fixe ni méthode de mesure, ni calendrier d’avis, ni date de retrait.

Confondre l’élan annoncé avec l’état effectif du système effacerait précisément la période pendant laquelle les garanties devaient être construites.

La chronologie ultérieure rend cette distinction visible. Le 22 août 2018, la version 1.2 du manuel consolidé intègre la règle à sa section 10.7. Le 28 septembre, une revue de mise en œuvre indique que la détection fonctionne, mais que la suppression n’a pas commencé. Elle fait état de 19 613 enregistrements défaillants répartis entre 530 membres. Ces chiffres mesurent l’ampleur potentielle du travail ; ils ne prouvent ni 19 613 retraits, ni 19 613 erreurs, ni autant d’incidents.

Ils montrent surtout qu’une décision apparemment ciblée pouvait toucher un ensemble assez vaste pour que la méthode de confirmation et de contact ait des conséquences industrielles.

En octobre 2018, AFRINIC décrit un dispositif de balayage mensuel, de vérifications répétées pendant trente jours, de notifications adressées aux contacts administratifs, techniques et de zone, puis de retrait automatique au terme du délai si la condition persiste. Le 29 novembre, l’organisation qualifie encore l’exécution de partielle. Elle indique vouloir s’assurer de l’absence de faux positifs, transmet aux contacts les informations relatives aux serveurs détectés et précise qu’aucune action n’a encore été prise par AFRINIC sur ces données.

Cette retenue constitue un fait important, mais sa portée doit rester exacte : elle signale que le risque d’une détection erronée était pris au sérieux ; elle ne démontre pas qu’un faux positif avait effectivement causé une suppression ou une panne.

AFRINIC dira plus tard que la mise en œuvre complète est intervenue le 29 avril 2021. Le dispositif alors décrit repose sur des tests quotidiens effectués depuis trois lieux, des avis aux jours 3, 10, 17 et 24, une remarque placée sur l’objet au jour 11 et un retrait au jour 30 si l’état défaillant persiste. Cette séquence détaillée fournit un point d’observation précieux sur ce que l’organisation a finalement considéré comme nécessaire. Mais elle ne doit pas être transportée artificiellement en mars 2018.

Les trois lieux, les jours d’avis et le jour de la remarque ne faisaient pas, sur les éléments disponibles, partie des conditions déjà arrêtées par la résolution. Ils constituent une réponse opérationnelle ultérieure au devoir que le mot « doit » avait fait naître.

La lecture institutionnelle de cette suite de dates est donc exigeante sans être accusatoire. Le Conseil n’avait pas besoin de se prendre pour un législateur afin de produire un effet sérieux. Il lui suffisait d’accepter une obligation de maintenance dont l’exécution pouvait changer une délégation parentale. Son devoir consistait dès lors à faire correspondre la force de la conséquence à la solidité de la preuve. Plus le texte rendait le retrait obligatoire après constat et contact, plus l’organisation devait rendre le constat reproductible, le contact démontrable et le temps de correction significatif.

La résolution n’est pas l’achèvement de cette architecture ; elle en est le point de départ responsable.

Cette conclusion permet aussi de résister à une tentation fréquente dans l’étude des institutions techniques : juger un vote uniquement à son intention déclarée. L’intention d’assainir des données obsolètes peut être légitime. Elle ne dit pourtant pas comment une mesure est effectuée depuis plusieurs réseaux, comment une incohérence est interprétée, comment un courriel non livré est traité ou comment un opérateur prouve qu’il vient de réparer. Entre la norme et le geste se trouve une chaîne de décisions. Le 21 mars, le Conseil a accepté d’être comptable de cette chaîne, même si chaque maillon devait ensuite être fabriqué par le personnel.

Il faut enfin mesurer ce que la scène des conflits d’intérêts apporte réellement à cette responsabilité. La récusation du directeur général réduit une confusion de rôles au moment du vote ; elle ne résout pas les choix futurs de mesure et de retrait. La conclusion du Conseil à propos de l’autre administrateur clôt le point tel qu’il est consigné ; elle ne dispense pas de publier la procédure. Autrement dit, la bonne gouvernance du vote et la fiabilité du service se complètent sans se substituer l’une à l’autre. Un procès-verbal soigneux ne garantit pas un test exact. Un test exact ne corrige pas un processus opaque.

La ratification ne devient légitime dans la durée que si l’autorisation, la méthode et chaque action particulière restent traçables.