Résumé

  • D1, soumis le 10 avril 2012 sous l’identifiant AFPUB-2012-DNS-001-DRAFT-01, subordonnait une nouvelle délégation inverse à l’existence d’une affectation ou d’une sous-allocation enregistrée, mais protégeait catégoriquement du retrait les délégations approuvées avant une éventuelle ratification.
  • D2 doit être daté substantiellement du 30 novembre 2012 : l’index actuel des archives place certes les pages de D1 et de D2 sous le 23 avril, mais l’historique propre à la proposition indique que D2 a été soumis le lendemain d’AFRINIC-17, réunion qui discutait encore explicitement D1.
  • D2 a précisé que, pour une délégation inverse portant sur un /24, une seule affectation ou sous-allocation enregistrée dans ce /24 suffisait et que la totalité du /24 n’avait pas à être affectée. Ce seuil corrigeait une ambiguïté réelle, sans prouver pour autant que toutes les adresses ou tous les utilisateurs du bloc étaient correctement documentés.
  • D2 a ajouté un délai de douze mois à compter du rappel avant toute action possible. Ce délai constituait une amélioration procédurale, mais pas une procédure régulière complète : le texte ne précisait ni preuve de réception, ni validation de la correction, ni examen indépendant, ni exception de continuité.
  • D2 a simultanément supprimé la protection absolue accordée par D1 aux délégations existantes. Après douze mois, AFRINIC aurait pu retirer la délégation inverse de toute allocation d’un LIR, y compris celles que D1 aurait maintenues hors d’atteinte.
  • Ce retrait n’aurait été ni une révocation des ressources numériques ni un arrêt du routage BGP. Il aurait été la cessation d’un service de délégation dans la zone parente, susceptible néanmoins d’affecter la messagerie, la réputation réseau, le diagnostic et les opérations de clients.
  • AFRINIC demeure, dans cette analyse, un comptable privé et un coordinateur technique. Le contrôle d’une base de données et d’un service DNS ne lui confère aucune autorité souveraine, législative, réglementaire, policière, punitive, confiscatoire ou juridictionnelle ; la désactivation du DNS inverse ne peut donc jamais être justifiée comme une punition légitime.

Trois changements, deux directions

Le point de départ est concret. Dans D1, la section 3.1 refusait une nouvelle délégation inverse lorsque l’espace concerné ne comportait pas d’affectation ou de sous-allocation enregistrée. La section 3.2 prévoyait de contacter les LIR existants qui disposaient déjà du DNS inverse sans présenter les enregistrements demandés, au moyen notamment de MyAFRINIC et du courrier électronique, tout en laissant à l’équipe d’AFRINIC les détails d’exécution. La section 3.3 posait ensuite une limite décisive : les délégations approuvées avant la ratification ne seraient pas supprimées.

Pour l’existant, le rappel devait donc conduire à la correction du registre, non à la disparition du service.

D2 a modifié chacune de ces articulations. Premièrement, il a rendu le critère plus précis et moins exigeant qu’une lecture maximaliste de D1 : pour un /24, il suffisait qu’au moins une affectation ou sous-allocation soit enregistrée dans ce même /24. Le texte précisait que l’ensemble du /24 n’avait pas besoin d’être affecté. Deuxièmement, il a fixé un intervalle de douze mois entre le rappel et la première possibilité de retrait. Troisièmement, il a rendu ce retrait possible pour toute allocation de LIR une fois le délai écoulé, sans conserver l’immunité catégorique des anciennes délégations.

Ces mouvements ne se laissent pas résumer par les mots « plus strict » ou « plus souple ». D2 était plus souple sur la quantité de données nécessaire pour satisfaire le seuil d’une zone /24. Il était plus lent sur le calendrier. Mais il était plus large sur la population exposée au retrait. Là où D1 combinait une condition pour les nouvelles demandes avec un rappel sans retrait pour l’existant protégé, D2 transformait l’absence persistante d’un objet enregistré en point de départ d’une possible cessation de service, quelle que soit l’ancienneté de la délégation.

C’est précisément cette combinaison qui fait du redline un objet de gouvernance. Le seuil et le délai répondent à des préoccupations de proportionnalité. La disparition du maintien catégorique déplace, elle, le risque de l’institution vers l’opérateur et ses clients. AFRINIC n’aurait plus seulement tenu son registre et fixé les conditions objectives d’une nouvelle opération ; il aurait disposé d’un levier sur un service déjà en fonctionnement. La différence est institutionnelle avant d’être rhétorique.

La chronologie qui empêche de dater D2 au 23 avril

Le dossier d’archives présente une anomalie qu’il faut exposer, et non lisser. L’index actuel de l’année 2012 place les pages de D1 et de D2 sous une même étiquette du 23 avril. Prise isolément, cette présentation pourrait laisser croire que la deuxième version existait déjà avant AFRINIC-16. Elle entre toutefois en conflit avec la chronologie interne des documents.

D1 est identifié comme AFPUB-2012-DNS-001-DRAFT-01, attribué à Tim McGinnis et soumis le 10 avril 2012. Le rapport d’AFRINIC-16 montre que, le 18 mai, la discussion portait sur D1. Plus tard encore, le compte rendu d’AFRINIC-17 du 29 novembre continue d’employer l’identifiant de D1. Les participants y interrogent précisément la suffisance du seuil : une seule affectation devait-elle ouvrir l’accès au DNS inverse ? Fallait-il exprimer un pourcentage ? Le compte rendu constate l’absence de consensus et le renvoi de la proposition à la liste.

L’historique de la proposition situe ensuite la soumission de D2 au 30 novembre 2012. Cette date substantielle possède une cohérence que l’étiquette d’index du 23 avril n’a pas : elle place D2 après une réunion qui discutait encore D1 et dont les questions se retrouvent dans la nouvelle formulation par /24. Le 23 avril doit donc être conservé comme une étiquette actuelle de l’index, accompagnée de son conflit documentaire ; il ne doit pas être présenté comme la date de publication substantielle de D2. Pour l’analyse du changement de texte, la date de travail fiable est le 30 novembre 2012.

Cette correction n’autorise pas à inventer une cause technique à l’anomalie. Les sources disponibles ne disent pas pourquoi l’index affiche ce classement, et elles ne fournissent pas de note de changement authentifiée expliquant chaque modification. Elles permettent seulement d’établir que l’index et l’historique ne racontent pas la même séquence, puis de préférer la séquence corroborée par D1 à AFRINIC-17 et par l’historique propre à D2. La prudence consiste ici à montrer la contradiction, pas à produire une explication absente du dossier.

Ce que les réunions ont réellement mis sur la table

Le rapport d’AFRINIC-16 enregistre une préoccupation sur l’écart entre allocations et affectations enregistrées. L’auteur de la proposition y avance qu’une proportion proche de 40 % des fournisseurs d’accès n’aurait enregistré aucune affectation. Cette indication permet de comprendre le problème visé par D1, mais elle ne doit pas être convertie en statistique générale certifiée. Le compte rendu ne publie ni le jeu de données, ni le dénominateur, ni la date de mesure, ni la méthode. « Proche de 40 % » est donc une affirmation attribuée et approximative dans le compte rendu, non une mesure que l’on pourrait extrapoler.

Le même rapport reconnaît l’importance du DNS inverse et les conséquences possibles de son indisponibilité. Il relate également des questions sur l’efficacité de la proposition, la charge pour l’équipe et le recours à l’exploration du réseau. La réunion ne constate pas de consensus et renvoie le texte à la liste. Ces éléments prouvent qu’une tension était visible entre exactitude des enregistrements, faisabilité opérationnelle et continuité du service. Ils ne prouvent ni l’existence d’un mandat public, ni la représentativité politique des interventions, ni une délégation de souveraineté à AFRINIC.

AFRINIC-17 resserre la question. Au 29 novembre, le texte discuté reste D1. Une intervention demande en substance si une seule affectation enregistrée doit suffire, tandis qu’un soutien apparaît en faveur d’un seuil exprimé. Ce matériau explique pourquoi la règle plus précise de D2 mérite d’être lue comme une réponse à un défaut de conception immédiatement identifié. Il ne permet pas d’attribuer un motif unique à l’auteur, aux co-présidents ou à l’ensemble des participants. Il ne transforme pas non plus la discussion en vote législatif.

Les comptes rendus établissent les mots, les questions et l’absence de consensus ; ils ne créent pas une autorité publique.

Cette distinction protège l’analyse de deux erreurs symétriques. La première consisterait à ignorer les discussions et à traiter les changements comme arbitraires. Les questions consignées donnent un contexte direct au seuil par /24. La seconde consisterait à présenter ce contexte comme une instruction démocratique contraignante. Un groupe de travail et des co-présidents organisent une procédure privée de coordination. Cette procédure peut éclairer, améliorer ou arrêter un projet, mais elle n’est ni un parlement ni une source de souveraineté.

Une lacune du registre n’est pas un verdict sur le réseau

Le mécanisme commence par un état limité : AFRINIC voit une allocation et une délégation inverse, mais sa base ne montre pas l’affectation ou la sous-allocation attendue sous l’espace concerné. Ce constat peut établir une divergence dans le grand livre. Il peut justifier une demande précise de correction et, pour une nouvelle opération, une vérification objective des informations nécessaires. Il ne dit pas, à lui seul, ce qui se passe dans le réseau.

L’absence d’un objet dans la base ne prouve pas que les adresses ne sont pas utilisées. Elle ne prouve ni abandon, ni abus, ni illégalité, ni perte de contrôle. Elle ne permet pas de conclure que l’opérateur n’a aucun client, que la délégation inverse est trompeuse ou que le titulaire a perdu tout intérêt légitime à la continuité. Les registres décrivent des faits administratifs selon leurs propres schémas ; ils ne remplacent pas le monde qu’ils décrivent.

D2 a réduit le risque d’une exigence excessive en indiquant qu’une seule affectation ou sous-allocation par /24 suffisait. C’est une amélioration importante parce qu’elle évite de confondre l’existence d’un enregistrement pertinent avec la documentation exhaustive de chaque adresse. Mais ce seuil demeure un test de présence dans une base. Il ne certifie pas la complétude de l’usage, l’identité de chaque utilisateur ou l’exactitude de toutes les données du /24. Il établit une condition administrative minimale pour le service envisagé par le projet.

Cette nature minimale rend la voie de correction d’autant plus importante. Si la divergence est administrative, la réponse proportionnée est d’identifier l’objet manquant, d’indiquer comment l’enregistrer, de vérifier la correction et de résoudre les désaccords factuels. Le retrait d’un service actif ne devrait pas devenir un raccourci permettant au comptable d’éviter ce travail. Plus le dommage potentiel se situe en aval de la base, plus la précision en amont doit être forte.

Le DNS inverse est un service borné, mais pas insignifiant

Une délégation inverse relie le registre et la hiérarchie DNS à la capacité d’un opérateur de publier des informations de nommage pour l’espace d’adresses concerné. Dans le mécanisme décrit par D2, AFRINIC agit sur la délégation de la zone parente qu’il administre. Si cette délégation est retirée, le réseau peut continuer à annoncer ses préfixes par BGP et l’allocation n’est pas, de ce seul fait, révoquée. La ressource numérique n’est pas confisquée ; le routage n’est pas nécessairement arrêté.

Cette séparation technique ne rend pourtant pas le retrait anodin. Le rapport d’AFRINIC-16 reconnaissait déjà l’importance du rDNS et les conséquences de son indisponibilité. Les sources de continuité et d’analyse opérationnelle du dossier indiquent les canaux pertinents : acceptation ou réputation de la messagerie, outils de diagnostic, pratiques de sécurité et flux de travail de clients peuvent dépendre d’un DNS inverse fonctionnel. Une panne de ce plan de nommage peut ainsi dégrader des services même lorsque les paquets continuent de circuler.

Il faut maintenir ensemble ces deux propositions. Dire que la désactivation du rDNS n’arrête pas automatiquement BGP empêche de la décrire faussement comme une saisie d’adresses ou une fermeture du réseau. Dire qu’elle peut affecter des opérations réelles empêche de la réduire à un simple nettoyage sans coût. Le levier est limité par sa couche technique, mais il demeure conséquent par ses dépendances.

Les sources ne quantifient ni le nombre de zones qui auraient été touchées, ni le nombre de clients, ni la perte financière, ni une panne déterminée. L’analyse ne doit donc inventer aucun bilan. Elle peut en revanche décrire le mécanisme de risque : une divergence de registre déclenche une communication ; l’absence de correction visible pendant douze mois rend possible un retrait de délégation ; ce retrait rompt la résolution inverse sous la zone parente ; des systèmes dépendants peuvent alors refuser, dégrader ou compliquer certaines opérations.

C’est une chaîne de possibilité fondée sur le contrôle technique, pas la preuve qu’un dommage précis s’est produit.

L’argument le plus fort en faveur de D2

La défense la plus solide de D2 ne consiste pas à prétendre qu’AFRINIC possédait un pouvoir disciplinaire. Elle consiste à dire que le registre devait pouvoir aligner le service qu’il opérait avec les données publiques dont ce service dépendait, et que D2 avait rendu cette opération plus mesurée. Une seule affectation par /24 évitait de demander la documentation intégrale du bloc. Douze mois donnaient beaucoup de temps à un LIR pour corriger une omission. La possibilité finale de retrait donnait au rappel une conséquence et empêchait que les divergences restent indéfiniment sans réponse.

Cet argument identifie deux améliorations réelles. Un seuil explicite réduit l’ambiguïté et limite la discrétion. Un délai long réduit le risque d’une interruption immédiate à la suite d’une détection ou d’une notification. En comparaison de D1, D2 fournit donc une condition plus lisible et un calendrier plus prévisible. Il serait inexact de nier ces gains sous prétexte que le dispositif reste incomplet.

L’argument conserve aussi une force pratique : un registre ne peut pas être condamné à publier des informations sans aucun lien avec les données qu’il tient. Il peut demander des enregistrements exacts, vérifier l’autorité d’un demandeur pour une modification et soumettre les nouvelles délégations à des règles techniques objectives. La continuité ne signifie pas que toute erreur doit être figée ou que tout service doit être accordé sans condition.

Mais cette défense ne répond pas à l’élargissement produit par la suppression de la clause de D1. D1 aurait maintenu les anciennes délégations tout en demandant la correction. D2 exposait ces mêmes délégations à une action après douze mois. Le projet échangeait ainsi une protection absolue contre un délai, mais sans construire entre les deux un dispositif capable de distinguer le silence, la notification perdue, la correction mal validée, l’erreur de base et le désaccord sérieux. Le temps seul ne transforme pas une hypothèse administrative en fait établi.

Douze mois ne constituent pas, à eux seuls, une procédure régulière

Le délai de D2 mérite d’être reconnu pour ce qu’il est : un frein temporel. Il repousse le premier moment où le retrait devient possible et donne un horizon visible au destinataire du rappel. Il ne mérite pas le nom de procédure régulière complète. Le texte publié ne précise pas comment AFRINIC devait prouver que le message avait atteint une personne habilitée. Il ne décrit pas une répétition obligatoire du rappel, une confirmation de réception ou une procédure lorsque les coordonnées sont elles-mêmes obsolètes.

Il ne détaille pas davantage le contenu nécessaire de la notification. Une voie proportionnée devrait indiquer l’allocation, le /24 et l’objet manquant, distinguer une absence d’enregistrement d’une donnée jugée insuffisante, puis fournir un moyen vérifiable de corriger. D2 n’expose pas de protocole de validation permettant au LIR de savoir que le remède a été accepté avant l’échéance. Il ne prévoit pas un examen indépendant lorsque l’opérateur conteste le constat ou lorsque l’équipe a commis une erreur.

Enfin, il ne formule pas d’exception destinée à préserver la continuité d’un réseau ou de clients dépendants pendant la résolution d’un cas. Une durée de douze mois peut réduire l’urgence moyenne, mais elle ne répond pas au cas où le rappel n’arrive pas, où une correction est en cours au dernier jour, ou où la délégation soutient des fonctions sensibles. La proportionnalité ne réside pas seulement dans la longueur d’un calendrier ; elle réside dans la qualité de la preuve, du remède, du contrôle et de la protection contre les dommages collatéraux.

Le mot « peut » dans la faculté de retrait appelle la même vigilance. Une discrétion peut éviter un automatisme aveugle, mais, sans critères publiés, elle peut aussi rendre les résultats moins prévisibles. Les sources ne décrivent ni l’évaluation que l’équipe aurait menée ni les éléments qui auraient conduit à retirer ou maintenir le service. Il serait donc aussi imprudent de présenter cette faculté comme une protection que de prétendre qu’elle imposait nécessairement une coupure automatique.

Le vocabulaire d’« enforcement » ne crée aucun pouvoir

Les documents d’AFRINIC emploient un vocabulaire de mécanisme d’« enforcement ». Ce terme prouve la manière dont la proposition se présentait ; il ne prouve pas l’existence d’une autorité légale d’exécution. Une institution privée ne peut pas produire sa propre souveraineté en donnant un nom plus fort à une fonction technique.

AFRINIC est ici un comptable privé et un coordinateur technique, constitué comme registre régional à but non lucratif et fondé sur des membres. Sa tâche pertinente consiste à tenir des enregistrements, coordonner l’unicité des ressources numériques et exploiter des services associés. Ce rôle permet des règles étroites sur la qualité des données et l’administration technique. Il ne fait d’AFRINIC ni un État, ni un législateur, ni un régulateur, ni une police, ni un procureur, ni un organisme de punition, ni un confiscateur, ni un juge.

La différence est plus qu’une question de titre. Un pouvoir public de sanction suppose une source d’autorité extérieure à l’outil contrôlé, des limites juridiques et des garanties adaptées. Un registre privé dispose de leviers parce que les opérateurs dépendent de sa base et de certains services. Cette dépendance matérielle explique sa capacité d’action ; elle ne légitime pas l’usage du levier comme châtiment. Le retrait du DNS inverse ne peut donc être qualifié ni de peine, ni d’amende, ni de sanction légitime. Dans D2, il s’agissait au maximum du retrait proposé d’un service exploité par le registre.

Cette qualification ne dispense pas d’évaluer les conséquences. Au contraire, elle les place au bon endroit. Si le service est retiré pour obtenir la correction d’une base, les coûts éventuels sont supportés par le réseau et ses clients, alors que l’objectif immédiat appartient au registre. Une conception légitime doit donc réduire cette externalisation, préférer la correction vérifiée et protéger la continuité. Lorsqu’une véritable violation du droit exige une punition ou une décision sur les droits d’une personne, cette fonction appartient aux tribunaux ou régulateurs souverains compétents, non au comptable de la base.

Le sens institutionnel du redline

La lecture la plus exacte de D2 est donc double. D’un côté, le texte apprend de la discussion : il établit un seuil par /24 et ajoute une année de délai. Il transforme une exigence vague en condition minimale plus objective et offre un temps de correction substantiel. De l’autre, il abandonne l’idée de D1 selon laquelle les anciennes délégations ne seraient pas supprimées. Il substitue à cette garantie un pouvoir discrétionnaire plus large, activable après le même délai.

Cette évolution révèle un choix de répartition du risque. Avec le maintien de D1, AFRINIC aurait supporté le coût de poursuivre la correction du registre sans pouvoir retirer le service existant. Avec D2, le LIR et les utilisateurs en aval auraient supporté le risque d’une perte de rDNS si la divergence persistait dans la base. La précision du seuil diminue le nombre de cas susceptibles d’échouer sur une exigence trop étendue ; la disparition de la protection augmente en même temps la catégorie des délégations exposées. Les deux effets doivent rester visibles.

Le test doctrinal est simple : la règle améliore-t-elle le grand livre sans employer la continuité de réseaux actifs comme levier ? D2 répond mieux à la première moitié que D1 grâce à son seuil. Il répond mieux à l’urgence grâce à son délai. Il ne répond pas suffisamment à la seconde moitié, car il permet encore de faire peser une conséquence opérationnelle sur un service vivant sans détailler les garanties nécessaires pour exclure l’erreur, assurer la correction et protéger les dépendances.

Ce constat ne personnalise aucune faute. Les sources établissent l’auteur, les textes et des échanges attribués ; elles ne révèlent aucun motif privé et ne justifient aucune accusation contre Tim McGinnis, l’équipe, les co-présidents ou les participants. Le problème est celui de l’architecture institutionnelle : lorsqu’un même acteur tient le registre, détecte la divergence, envoie le rappel, apprécie la correction et contrôle le service menacé, l’absence de contrôle indépendant devient une propriété du mécanisme, quelle que soit la bonne foi des personnes.