Le tableau de conformité d’AFRINIC : rendre l’écart visible sans en faire une sanction

Résumé

• Le 16 novembre 2021, la discussion du projet a donné l’exemple révélateur d’une attribution IPv6 non annoncée publiquement mais utilisée légitimement à l’intérieur du réseau du membre : l’automatisation peut repérer un fait sans en connaître le sens.
• Draft 2 prévoyait des notifications automatiques, une remontée vers le personnel après trois mois sans résolution et la qualification de non-conformité persistante au-delà de trois violations confirmées en douze mois.
• Le texte ne définissait ni l’auteur de la confirmation, ni le niveau de preuve, ni la voie de contestation, ni l’effet d’une contestation ou d’une correction sur les horloges et le compteur.
• Un tableau privé peut réduire les coûts de vérification et accélérer les corrections ; il ne doit toutefois disposer d’aucun passage direct vers la publication, la suppression d’enregistrements NS, la rétention de service, la récupération de ressources, la révocation ou la clôture de l’adhésion.
• Toute contestation présentée à temps devrait suspendre les délais et exclure le signal du calcul de récurrence ; tout faux positif corrigé devrait disparaître des comptes défavorables.
• AFRINIC est un registre technique privé fondé sur l’adhésion, chargé de tenir et coordonner des données : ce rôle ne lui confère aucun pouvoir souverain, réglementaire, policier, de poursuite, punitif, confiscatoire ou juridictionnel de droit public.

L’annonce absente qui ne prouvait rien

Le 16 novembre 2021, dans la liste de discussion RPD, l’un des auteurs de la proposition a décrit un cas que les concepteurs de systèmes connaissent bien. Une attribution IPv6 existe dans les données qu’AFRINIC possède déjà, mais elle n’apparaît pas dans les annonces publiques de routage. Une vérification automatisée peut rapprocher ces deux éléments et faire surgir un drapeau : attribution enregistrée, annonce publique introuvable. À première vue, le constat paraît net. Il ne l’est pas.

Le membre peut utiliser cette attribution uniquement dans son réseau interne. L’absence d’annonce ne serait alors ni une faute cachée ni une preuve de non-utilisation, mais le résultat normal d’un choix d’architecture. La machine a correctement observé une absence dans un jeu de données ; elle n’a pas établi la signification contractuelle ou opérationnelle de cette absence. Selon l’échange officiel, l’explication du membre devait précisément permettre d’éclairer la situation. Le meilleur premier geste était donc une question privée, compréhensible et facile à traiter.

Le premier geste dangereux aurait consisté à laisser l’observation vieillir jusqu’à prendre la valeur d’une violation.

Cet exemple ne se situe pas à la marge de Draft 2. Il en révèle le problème central. Le projet AFPUB-2021-GEN-003-DRAFT02, version 2.0, a été soumis le 9 novembre 2021 par Jordi Palet Martinez, Frank Habicht, Mark Elkins et Haitham El Nakhal. Il proposait d’ajouter une section au manuel des politiques et d’afficher à chaque membre, dans un espace privé, son état de conformité au contrat de services d’enregistrement — le RSA — ainsi qu’aux politiques applicables aux ressources. Les vérifications devaient être périodiques et automatisées autant que possible.

La proposition voulait avertir le membre dès qu’une non-conformité était détectée, lui envoyer des rappels et saisir le personnel d’AFRINIC si le problème restait non résolu pendant trois mois.

Draft 2 ajoutait un second seuil. Plus de trois violations confirmées en douze mois devaient constituer une non-conformité persistante ; le déclencheur devait être remis à zéro après douze mois sans violation de politique. La combinaison importe davantage que chacun de ses éléments pris isolément. Une alerte n’était plus seulement un renseignement destiné à la personne capable de corriger une donnée. Elle se trouvait placée au voisinage d’une horloge et d’un compteur. Or le texte ne précisait pas le passage de l’alerte à la « violation confirmée ».

Dans cette lacune tient toute la différence entre une aide administrative et une mécanique de conséquence.

Ce que le tableau pouvait faire de bien

Il faut prendre au sérieux le meilleur argument en faveur du tableau. Les membres peuvent manquer une modification de politique, laisser vieillir un contact, ne pas voir une incohérence documentaire ou avoir besoin qu’un écart mesurable leur soit présenté sans détour. Les équipes d’AFRINIC, de leur côté, peuvent perdre du temps à reconstituer des dossiers, répéter les mêmes demandes et découvrir tardivement qu’une divergence simple aurait pu être résolue en quelques échanges. Un espace privé, nourri par les données existantes et visible seulement par le membre concerné, peut réduire ces frictions.

Le service serait utile s’il transformait un contrôle opaque en avis précis. Au lieu d’une mention générale de « non-conformité », chaque ligne pourrait indiquer la règle visée et sa version, la source de données, l’observation brute, la date du contrôle, le degré d’incertitude et l’action attendue. Le membre saurait alors s’il doit corriger un enregistrement, produire une pièce, expliquer un usage ou signaler que la règle a été mal appliquée. Le personnel disposerait du même historique. Les réponses ne se perdraient plus entre plusieurs canaux. Une correction pourrait être reliée au signal d’origine et clore proprement le dossier.

Cette conception respecte la promesse sobre d’un registre : rendre les informations plus exactes et les échanges plus auditables. Elle ne suppose pas que toute personne alertée est fautive. Elle part au contraire de l’idée que les données ont besoin de leurs détenteurs pour acquérir du sens. Le caractère privé du tableau, expressément indiqué dans la discussion du 16 novembre, est ici un avantage important. Il permet de corriger sans exposer prématurément le membre, sans transformer une question technique en réputation publique et sans faire d’une incertitude un spectacle.

Le cas de l’IPv6 interne démontre aussi que la qualité d’un tableau ne se mesure pas au nombre d’alertes produites. Un système peut détecter énormément de différences et apprendre très peu. Sa valeur vient de la précision du contexte, de la facilité de réponse et de sa capacité à se corriger. Un drapeau dont la raison est expliquée, que le membre peut contester et qu’un examinateur peut retirer enrichit le registre. Un drapeau simplement accumulé augmente le volume administratif tout en donnant une impression trompeuse de certitude.

Il n’est donc pas nécessaire de rejeter la visibilité pour refuser la sanction automatisée. Au contraire, mieux la frontière est dessinée, plus le tableau peut être utile. Les membres répondent plus volontiers à un dispositif dont les observations sont révisables et dont les erreurs n’auront pas de vie cachée. Le personnel peut concentrer son attention sur les écarts réellement persistants. La confiance vient moins d’un affichage rassurant que de la possibilité de comprendre, corriger et faire rectifier chaque état.

Une même interface, des faits de nature différente

Le mot « conformité » donne une apparence d’unité à des situations qui n’en ont pas. Une coordonnée obsolète, un paiement non reçu, un document soupçonné d’être frauduleux, une annonce de routage absente et une interprétation contestée d’une politique ne sont pas cinq mesures d’une même grandeur. Certaines vérifications sont presque mécaniques : une date est dépassée, une case est vide, une somme n’apparaît pas dans le système à un instant donné. D’autres exigent du contexte, une qualification contractuelle ou une compréhension de l’exploitation du réseau.

Les placer dans le même tableau peut être commode pour la navigation. Cela ne les rend pas commensurables. Draft 2 ne définissait d’ailleurs aucun score composite numérique. Il parlait d’états, de violations confirmées et de seuils. Pourtant, aux yeux du membre comme de l’administrateur, un ensemble de drapeaux assorti d’un compteur peut fonctionner comme un état comparable à un score : le nombre prend une force visuelle et institutionnelle que les éléments sous-jacents ne possèdent pas nécessairement.

Le risque naît quand l’interface compresse la provenance. « Un problème non résolu depuis quatre-vingt-dix jours » peut vouloir dire que le membre n’a jamais répondu. Il peut aussi vouloir dire que sa réponse est arrivée, mais n’a pas été traitée ; que les parties discutent du sens d’une clause ; que la source de données est incomplète ; que le contrôle ne correspond pas à l’usage réel ; ou que la correction a été faite sans être répercutée. Le temps écoulé ne tranche aucune de ces hypothèses. Il mesure seulement l’âge d’un état dans le système.

Une architecture fiable doit donc commencer par classer les contrôles. L’observation objective — par exemple l’absence d’une valeur dans un registre déterminé à une heure donnée — doit rester distincte de l’inférence : « cette absence constitue une violation ». Les données doivent pouvoir être vérifiées indépendamment. La version de la règle doit être visible. L’incertitude doit être explicite. Si une appréciation est nécessaire, elle doit être identifiée comme telle et non habillée en sortie purement technique.

Cette distinction protège aussi AFRINIC. Un système qui prétend seulement signaler une différence peut être évalué sur la fidélité de ses données, la rapidité de ses notifications et la qualité de son historique. Un système qui qualifie automatiquement les conduites assume des questions autrement plus lourdes : interprétation du contrat, contradictoire, conflit d’intérêts, proportionnalité et continuité de service. L’automatisation n’abolit pas ces questions. Elle peut seulement les dissimuler derrière une ligne de couleur — couleur que le concept visuel de cet article évite justement de reproduire.

Le chaînon absent : qui confirme quoi ?

Le texte publié utilisait plusieurs états successifs : non-conformité détectée, problème non résolu, violation confirmée, non-conformité persistante et non-conformité contractuelle confirmée. Il ne fournissait pas une machine d’états complète expliquant comment passer de l’un à l’autre. Qui pouvait confirmer une violation ? Sur quel dossier ? Selon quel niveau de preuve ? Le membre pouvait-il contester un drapeau automatique par une voie définie ? Une contestation suspendait-elle le délai de trois mois ? Un faux positif corrigé était-il retiré rétroactivement du compteur de douze mois ? Aucun de ces points décisifs n’était défini.

Le mot « confirmé » ne peut pas tenir lieu de procédure. Il peut décrire le résultat d’une vérification indépendante et motivée ; il peut tout aussi bien masquer une simple validation interne du signal initial. Si le même contrôle produit le drapeau, reçoit la réponse, tranche l’interprétation et inscrit la violation au compteur, la confirmation ajoute un libellé, pas une garantie. Le besoin de séparation augmente lorsque l’état peut déboucher sur des mesures qui affectent les ressources, les services ou l’existence même de la relation de membre.

Une confirmation crédible exige au minimum une identité décisionnelle. Le dossier doit montrer qui a examiné l’affaire, si cette personne était distincte du contrôle initial, quelles pièces ont été considérées, quelle version de la règle a été appliquée et pourquoi la réponse du membre a été acceptée ou rejetée. L’examinateur doit pouvoir déclarer un conflit. La décision doit être motivée en termes compréhensibles, enregistrée avec sa date et susceptible d’être révisée. Sans cela, la confirmation ne vaut pas davantage que la persistance d’un champ dans une base de données.

Il faut également distinguer le défaut de réponse de la réponse contestataire. Un membre qui ignore plusieurs avis précis n’est pas dans la même position qu’un membre qui répond dans le délai, produit des éléments et soutient que le signal repose sur une prémisse erronée. Le second cas n’est pas « non résolu » au sens d’une inertie ; il est activement disputé. Faire courir la même horloge contre les deux comportements revient à pénaliser l’exercice même de la contestation.

Enfin, la correction doit avoir un effet substantiel. Si le membre démontre que l’attribution IPv6 était utilisée en interne, le drapeau fondé sur l’absence d’annonce publique ne doit pas rester comme une demi-faute dans l’historique. Il faut conserver la trace technique de l’événement pour l’audit, mais l’exclure de tout compte défavorable. L’auditabilité demande de ne rien effacer sans trace ; l’équité demande de ne pas transformer une trace d’erreur du système en trace de faute du membre. Ces deux exigences sont compatibles si l’historique distingue clairement l’observation, la réponse, la correction et la disposition finale.

Trois mois : quand l’âge d’un drapeau devient une force

Draft 2 prévoyait qu’une non-conformité détectée donne lieu à une notification automatique, puis à des rappels, avant que le personnel d’AFRINIC soit averti après trois mois sans résolution. Pris isolément, ce dernier geste peut sembler modeste. Une équipe humaine doit bien examiner les dossiers qui stagnent. Mais le terme « non résolu » devient dangereux si aucune règle n’indique que la contestation suspend l’horloge.

Un délai administratif ne mesure pas la vérité. Il mesure la vitesse d’un processus. Supposons qu’un membre réponde le dixième jour avec une explication détaillée. Le dossier attend ensuite une analyse interne pendant onze semaines. À l’échéance des trois mois, l’interface peut toujours afficher l’écart comme ouvert. Si la durée est interprétée comme une aggravation, le retard du décideur se retourne contre la partie qui a répondu. Une telle architecture crée une incitation perverse : plus le système tarde à traiter la contestation, plus son propre signal paraît sérieux.

Le mécanisme correct est simple à énoncer, même s’il demande de la discipline opérationnelle. Une contestation recevable et déposée à temps suspend le délai. L’état devient « contestation reçue, horloge suspendue », non « non-conformité vieillissante ». La suspension ne préjuge pas du résultat. Elle affirme seulement que le temps nécessaire à départager les interprétations ne doit pas produire lui-même un désavantage. Lorsque la décision motivée intervient, l’horloge peut reprendre pour une correction déterminée, ou le dossier peut être clos sans compte défavorable.

La preuve de notification compte également. Une alerte placée dans un portail n’est pas nécessairement une alerte reçue par la personne responsable. Le tableau devrait enregistrer le canal, le destinataire, la date et, lorsque cela est possible, l’accusé de réception. Si les coordonnées elles-mêmes sont en cause, la procédure doit prévoir une voie de contact de remplacement. Autrement, le système risque de faire vieillir un silence qu’il a lui-même contribué à produire.

Cette précision ne rend pas le dispositif indulgent envers l’inaction. Elle rend l’inaction démontrable. Un membre qui reçoit un avis exact, dont la remise est documentée, qui dispose d’une voie simple de réponse et qui ne répond pas pendant le délai prévu laisse une trace claire. La différence avec le modèle ambigu est capitale : le système ne déduit pas la culpabilité de l’âge d’un drapeau ; il documente chaque étape et permet à une personne compétente de décider ce que l’absence de réponse signifie dans le cadre applicable.

Plus de trois en douze mois : la récurrence sans définition

Le seuil propre à Draft 2 était plus structurant encore. Plus de trois violations confirmées sur une période de douze mois devaient conduire à traiter le membre comme étant en non-conformité persistante. Après douze mois sans violation de politique, le déclencheur devait être réinitialisé. Un compteur de récurrence peut répondre à une préoccupation légitime : distinguer l’incident isolé d’un comportement durable. Mais il n’est fiable que si chaque unité comptée a été établie selon une méthode robuste.

Quatre drapeaux similaires peuvent résulter d’une seule erreur de source répétée à quatre contrôles. Quatre lignes peuvent concerner un même problème propagé entre plusieurs champs. Une règle modifiée peut produire plusieurs alertes pendant que le membre adapte ses systèmes. Une interprétation unique, encore contestée, peut toucher plusieurs ressources. Sans règles d’individualisation et de regroupement, le compteur donne une fausse précision à la répétition technique d’un même désaccord.

La formule « plus de trois violations confirmées » suppose aussi que la confirmation précède le calcul. Ce n’est pas un détail grammatical. Si des observations provisoires entrent dans le total puis en sortent éventuellement après révision, le membre peut franchir le seuil pendant que sa contestation est encore pendante. Même si le compteur est corrigé plus tard, des décisions internes, des demandes documentaires ou une appréciation de risque peuvent déjà avoir été influencées. La rectification doit donc intervenir avant l’éligibilité au compte, non comme une réparation tardive.

Le redémarrage après douze mois sans violation soulève une autre question : à partir de quelle date mesure-t-on cette période ? La date de l’observation, de la notification, de la confirmation ou de la clôture ? Le projet ne le précisait pas. Chacune produit un résultat différent. Une machine d’états explicite devrait retenir une convention vérifiable et montrer au membre les événements qui ouvrent, suspendent et ferment la fenêtre. Elle devrait surtout exclure les drapeaux contestés à temps, les observations corrigées et les doublons provenant de la même cause.

La récurrence ne doit jamais devenir une manière de gagner par accumulation ce que chaque dossier ne peut établir seul. Trois incertitudes et une erreur ne font pas quatre violations. Quatre observations distinctes ne forment pas nécessairement une conduite persistante. Le compteur n’est défendable que s’il additionne des décisions finales, comparables, motivées et rendues après que le membre a pu répondre. Même alors, il ne crée pas par lui-même le pouvoir d’infliger une sanction ; il peut tout au plus signaler qu’un examen distinct est nécessaire.

Du constat privé à l’exposition publique

Draft 2 ne s’arrêtait pas à l’affichage. Le texte indiquait que des éléments suggérant une absence persistante de conformité pouvaient conduire AFRINIC à ouvrir une enquête plus exhaustive et à prendre d’autres mesures conformément au RSA. Il disait que certaines non-conformités contractuelles confirmées — notamment des transferts non autorisés, le non-paiement ou la fraude documentaire — entraîneraient la révocation des services et la clôture du membre. La répétition ou la poursuite d’une non-conformité au RSA ou aux politiques pouvait mener à la rétention de services et à la révocation de ressources.

La séquence proposée comprenait d’abord une prise de contact et une tentative de rectification. Pour les ressources demeurées non résolues, elle prévoyait ensuite une inscription sur une page publique de récupération pendant une durée pouvant aller jusqu’à trois mois. Après deux mois de publication sans résolution, les enregistrements NS concernés devaient être sauvegardés puis supprimés, avec une restauration possible après prise de contact et résolution. Après trois mois sur la page publique, les ressources devaient être récupérées et les enregistrements du détenteur retirés de la base d’AFRINIC.

Le Board pouvait, après évaluation du personnel, prolonger le délai pour une infrastructure stratégique essentielle ou dans des circonstances exceptionnelles telles qu’une catastrophe naturelle ou l’instabilité politique.

Il faut lire ces dispositions comme ce qu’elles étaient : le contenu d’une proposition, non la preuve d’une ratification, d’une entrée en vigueur ou d’une mise en œuvre. Le dossier disponible n’établit aucun tableau individuel, aucune violation effectivement confirmée, aucune publication de ressource, aucune suppression NS, aucune récupération, aucune révocation, aucune clôture et aucun dommage concret causé par Draft 2. Cette réserve factuelle n’affaiblit pas l’analyse de conception. Elle empêche simplement de transformer un risque institutionnel en récit d’événements qui ne sont pas prouvés.

La publication et la suppression de données NS ne sont pas des rappels plus fermes. Ce sont des actes d’une autre catégorie. Un avis privé cherche à améliorer l’information du destinataire. Une page publique modifie son exposition. Une suppression d’enregistrement agit sur une composante technique. La rétention de service, la récupération d’une ressource et la clôture de l’adhésion touchent à la continuité opérationnelle et à la relation contractuelle. Plus la mesure est lourde, moins il est acceptable qu’elle hérite silencieusement de la qualification produite par un tableau.

L’analyse de LARUS sur la manière dont l’incertitude de gouvernance atteint les opérateurs aide à comprendre le canal, sans prouver que Draft 2 ait causé un incident particulier. La documentation supplémentaire consomme du temps. L’attente retarde la planification. Une incertitude sur les enregistrements ou les services oblige une organisation à prévoir des solutions de continuité. Ces coûts apparaissent avant même toute coupure. Ils sont d’autant plus difficiles à contenir que la sortie du registre régional n’est pas une option pratique comparable au changement d’un fournisseur ordinaire.

C’est pourquoi le tableau doit comporter un pare-feu institutionnel, pas seulement un bouton de révision. Aucun état qu’il contient ne devrait pouvoir écrire directement vers une page publique, la suppression d’un enregistrement, la rétention d’un service, la récupération d’une ressource, la révocation ou la clôture. Si une question contractuelle grave subsiste, elle doit quitter le circuit de notation implicite et entrer dans un processus compétent, distinct et indépendant, avec maintien de la continuité pendant l’examen. Le tableau peut transmettre un dossier ; il ne peut être le dossier, le verdict et l’action à la fois.

La recommandation qui dessinait une issue

Le matériel officiel de la réunion AFRINIC-34 contenait une recommandation particulièrement éclairante : limiter la proposition à une meilleure visibilité de la conformité pour AFRINIC et le membre détenteur de ressources, tout en laissant la gestion contractuelle en dehors du tableau. Cette recommandation ne prouve pas qu’un tel découpage ait été adopté. Elle montre en revanche qu’une séparation fonctionnelle avait été identifiée dans l’évaluation même du projet.

Ce partage des rôles aurait préservé le bénéfice le plus tangible. Le membre aurait reçu un espace privé pour comprendre les écarts, actualiser ses données et répondre. AFRINIC aurait bénéficié d’une vue plus ordonnée des dossiers nécessitant une clarification. Les différends de qualification et les conséquences prévues au contrat n’auraient pas été confondus avec l’interface qui produit les observations. La proposition aurait pu être jugée sur sa capacité à fournir un service d’information exact plutôt que sur sa prétention à porter tout le poids d’un mécanisme de conformité.

L’objection la plus sérieuse est que cette séparation rendrait le tableau inoffensif face aux manquements répétés. Si aucune conséquence ne peut partir de l’outil, pourquoi les membres répondraient-ils ? La réponse n’est pas de rendre le signal automatiquement punitif. Elle est de rendre l’avis précis, traçable et utilisable dans un processus séparé. Un historique fiable des notifications, réponses, corrections et décisions humaines constitue une meilleure base pour traiter un différend qu’un nombre dont la composition reste incertaine.

La séparation n’interdit pas toute gestion contractuelle. Elle interdit au tableau de la préjuger. AFRINIC peut documenter une question relevant du RSA, inviter le membre à la résoudre et, si le désaccord persiste, transmettre les éléments à la procédure compétente. Ce qui doit être refusé, c’est la conversion automatique d’un statut administratif en justification d’une mesure lourde. La différence est celle qui sépare un dossier bien tenu d’une peine produite par le dossier lui-même.

Le pouvoir étroit du registre

NRS décrit AFRINIC comme une organisation à but non lucratif fondée sur l’adhésion à Maurice, dont la fonction centrale concerne l’administration des ressources numériques d’Internet. Cette forme institutionnelle détermine la bonne mesure de ses actes. AFRINIC peut tenir des enregistrements uniques, exacts et auditables ; coordonner les modifications nécessaires ; maintenir des contacts utiles ; soutenir l’interopérabilité et la continuité ; et avertir précisément un membre d’une différence corrigeable. Ce sont des tâches indispensables, mais étroites.

AFRINIC n’est ni un souverain, ni un législateur, ni un régulateur, ni une police, ni un ministère public, ni une autorité punitive ou confiscatoire, ni une juridiction de droit public. Le consensus d’une réunion ne fabrique pas ces pouvoirs. La participation répétée à un processus privé ne les fabrique pas davantage. Le Board ne transforme pas un état de base de données en jugement par l’exercice de sa seule discrétion.

Lu Heng formule la frontière en distinguant l’administration du registre de la punition. Un registre doit pouvoir corriger son carnet d’adresses, demander des informations utiles et exécuter des coordinations limitées. Il ne doit pas utiliser la dépendance à ce carnet pour punir des conduites. Cette distinction n’est pas un plaidoyer pour des données négligées. C’est une exigence de qualité institutionnelle : plus les données sont importantes pour la continuité du réseau, moins leur gardien doit les convertir en levier général de coercition.

Le problème n’est donc pas de savoir si un membre a toujours raison. Il est de savoir qui peut trancher un désaccord et sur quel fondement. Une fraude documentaire démontrée, un défaut de paiement constaté et une interprétation controversée d’une politique ne demandent pas les mêmes preuves ni le même décideur. Le tableau peut aider à rassembler les faits. Il ne peut pas, du fait de sa commodité, absorber toutes les compétences qui manquent entre l’observation et la conséquence.

Cette limite protège l’écosystème contre un glissement discret. Au début, le tableau montre une information. Puis un délai mesure son ancienneté. Un compteur agrège les occurrences. Le total devient une étiquette de persistance. L’étiquette justifie un examen renforcé. Enfin, parce que toutes les étapes sont rangées dans le même environnement, la conséquence semble être la suite naturelle de la donnée. Pourtant, chaque flèche suppose un choix institutionnel. Les rendre visibles oblige à demander quelle autorité existe réellement à chaque étape.

Une machine d’états qui respecte la contestation

Une alternative sûre ne demande pas de renoncer à l’automatisation. Elle demande de l’utiliser là où elle est forte : comparer des champs, horodater, conserver les versions, acheminer des avis et signaler les dossiers en attente. Elle doit se retirer là où la signification est contestée. Le modèle pourrait comporter les états suivants, chacun assorti de conditions d’entrée et de sortie publiques pour le membre concerné.

Le premier état serait « différence observée ». Il contiendrait l’identité du contrôle, la clause exacte du RSA ou de la politique et sa version, la source, l’heure, l’observable brut et la distinction entre vérification objective et interprétation. Il ne porterait aucune conclusion sur la faute. Le deuxième serait « avis remis », avec le canal, le destinataire et la preuve de remise. Le troisième serait « réponse du membre attendue », avec un délai clair et une possibilité visible de demander une clarification.

Si le membre conteste à temps, le dossier passerait à « contestation reçue — horloge suspendue ». Le compteur de récurrence l’ignorerait entièrement. L’étape suivante serait « examen humain en cours ». Le nom ou la fonction de l’examinateur, son indépendance par rapport au contrôle initial, sa déclaration de conflit et les éléments versés au dossier seraient consignés. Une décision motivée conduirait soit à « correction — aucun compte défavorable », soit à « défaut de registre vérifié — rectification ouverte ».

Dans le premier cas, la trace de l’erreur subsisterait pour l’audit, mais le drapeau ne pourrait jamais revenir dans un total de violations. Dans le second, le membre recevrait une demande précise, réalisable et liée à la règle appliquée. La résolution clôturerait l’état. Si une question contractuelle ou juridique demeurait contestée, elle passerait à « processus externe ou indépendant en attente — continuité préservée ». Le tableau cesserait alors d’être décisionnaire.

Ce modèle rend possible une récurrence honnête. Seules des décisions finales, comparables et non corrigées pourraient éventuellement être considérées dans une analyse séparée. Le système devrait montrer pourquoi deux événements sont distincts, éviter de compter plusieurs manifestations de la même cause et afficher la période pertinente. Une contestation pendante ne pourrait pas franchir le seuil par simple vieillissement. Une correction ferait disparaître tout effet adverse, pas seulement la couleur de la ligne.

Le pare-feu final serait technique autant qu’institutionnel. Les permissions du tableau interdiraient toute écriture directe vers les mécanismes de publication, de DNS, de service, de récupération, de révocation ou de clôture. Un export de dossier pourrait alimenter une procédure autorisée, mais seulement avec son historique complet, y compris les réponses favorables au membre, les incertitudes et les corrections. Le design empêcherait ainsi qu’une intégration logicielle transforme progressivement une aide à la décision en décideur.

Le contre-exemple de l’IPv6, repris jusqu’au bout

Revenons au signal du 16 novembre. Le contrôle ne trouve pas d’annonce publique pour l’attribution IPv6. Dans un système prudent, la ligne indique la source de routage consultée, l’heure et la seule observation qu’elle permet : aucune annonce publique trouvée. Elle précise que l’usage interne est une explication possible. Elle demande au membre de confirmer l’usage ou de corriger les données pertinentes.

Le membre répond qu’il utilise l’attribution à l’intérieur de son propre réseau et fournit l’élément approprié. L’horloge s’arrête dès la réception. Un examinateur vérifie que la politique applicable n’impose pas l’annonce publique dans ce cas. Si l’explication tient, l’état devient « observation expliquée », puis « résolu ». Il n’existe aucune violation à compter. Le tableau a accompli une tâche utile : une ambiguïté a été rendue visible, documentée et close.

Imaginons au contraire que l’absence d’annonce corresponde à un défaut précis de données et que le membre le reconnaisse. L’outil peut indiquer la correction attendue et suivre sa réalisation. Là encore, son rôle est clair. Si la correction intervient, le registre gagne en exactitude. Si elle n’intervient pas malgré des avis effectivement reçus, un humain peut constituer un dossier montrant la règle, l’observation, les échanges et l’inaction. Ce dossier est plus probant qu’une alerte vieillie sans contexte.

Enfin, si les parties ne s’accordent pas sur l’interprétation, le tableau doit conserver la mention de la contestation et suspendre ses effets. Il ne doit ni convertir le désaccord en violation au quatre-vingt-onzième jour, ni le laisser rejoindre trois autres états contestés pour franchir le seuil annuel. La question part vers une instance compétente et indépendante, tandis que le dernier état vérifié du registre est maintenu pour protéger la continuité. Le résultat pourra ensuite revenir dans l’historique avec ses motifs.

Ce contre-factuel n’accorde pas un veto permanent au membre. Une contestation doit être suffisamment précise et présentée à temps ; l’examen doit aboutir ; les demandes de correction décidées doivent avoir un calendrier. Mais il empêche qu’un pouvoir naisse d’un défaut de traitement. Le membre ne peut pas bloquer éternellement le dossier par un mot vide, et le registre ne peut pas gagner automatiquement parce que son propre délai s’est écoulé.

Ce que le dossier procédural permet — et ne permet pas — de dire

La page officielle a ensuite enregistré un consensus approximatif à AFRINIC-34 le 18 novembre 2021, une période de dernier appel du 8 décembre 2021 au 5 janvier 2022, puis l’annonce d’un consensus et l’envoi d’un rapport de ratification au Board le 14 janvier 2022. Elle a aussi enregistré le dépôt d’un appel ce même 14 janvier et son retrait le 9 août 2022. Ces entrées établissent qu’un processus ultérieur a eu lieu et que la détermination de consensus a été contestée.

Elles n’établissent pas que le Board a ratifié Draft 2, que le texte est entré en vigueur ou qu’un tableau a été mis en œuvre. Le fait qu’un rapport ait été envoyé n’est pas le fait d’une ratification. Le retrait d’un appel ne transforme pas à lui seul la proposition en règle opérationnelle. Les motifs et le fond de cet appel relèvent d’une autre analyse ; les importer ici détournerait l’attention du défaut propre à Draft 2.

Cette discipline de preuve est la même que celle demandée au tableau. Une entrée officielle prouve ce qu’elle enregistre : une soumission, une évaluation, une étape procédurale. Elle ne prouve pas automatiquement toutes les conclusions institutionnelles que l’on pourrait souhaiter en tirer. Le statut de la source ne dispense pas de distinguer l’acte observé de sa signification. Dans les deux cas, l’exactitude commence par une description étroite.

Il serait tout aussi incorrect d’affirmer que Draft 2 a provoqué une coupure ou imposé une mesure à un membre. Aucun événement de ce genre n’est établi par le dossier. L’enjeu est celui d’un mécanisme proposé et de ses garanties manquantes, non celui d’un bilan de sanctions. Cette distinction permet de critiquer avec précision sans construire un procès d’intention.

Garder le registre dans son rôle

Draft 2 partait d’une intuition juste : un membre ne peut corriger que ce qu’il peut voir. Un avis rapide, privé et documenté peut améliorer les données, réduire le travail répétitif et faire apparaître tôt un désaccord. Son défaut décisif était de ne pas verrouiller la frontière après cette première fonction. Le délai de trois mois et le seuil de plus de trois violations confirmées en douze mois rendaient indispensable une définition de la confirmation, de la contestation, de la suspension et de la correction. Cette définition manquait.

Le meilleur tableau n’est donc pas celui qui produit le plus de rouge, le plus de rappels ou la qualification la plus sévère. C’est celui qui réduit le coût de la vérité. Il montre l’observable, admet l’incertitude, facilite la réponse, conserve les versions et corrige son propre dossier. Sa réussite se mesure au nombre d’écarts compris et résolus, non au nombre de membres qu’il fait franchir à un seuil.

Lorsque l’enjeu dépasse la tenue des données, l’outil doit céder la place. Une contestation suspend les horloges et les comptes. Une erreur corrigée ne laisse aucun poids défavorable. Une appréciation humaine est motivée et séparée du contrôle initial. Une conséquence sévère exige une autorité indépendante compétente et des protections de continuité. Entre le tableau et toute action publique ou opérationnelle se trouve un mur, non une intégration pratique.

C’est la limite cohérente avec la nature d’AFRINIC. Un registre privé peut être un excellent teneur de livres techniques et un coordinateur précieux. Il ne devient pas souverain parce que ses données sont indispensables, ni tribunal parce qu’un statut reste affiché, ni autorité punitive parce qu’un compteur dépasse trois. La visibilité sert le réseau lorsqu’elle ouvre une conversation vérifiable. Elle le menace lorsqu’elle transforme le désaccord non tranché en puissance d’agir.