Résumé

  • La Resolution 202101.596 a rendu inspectable une partie du travail comptable d’AFRINIC : le périmètre examiné, les catégories de preuves mobilisées, les exceptions déclarées, les volumes d’adresses concernés et les contrôles que l’organisation disait avoir adoptés ou renforcés.
  • Le rapport affirme avoir vérifié 2,824 préfixes IPv4 délégués à des membres entre 2005 et 2019. Ces résultats sont des constats institutionnels publiés par AFRINIC, non une reproduction indépendante de ses dossiers de travail ni un jugement sur chaque cas.
  • Une inscription WHOIS exacte sert la coordination, la joignabilité et l’enquête opérationnelle, mais elle ne peut pas authentifier à elle seule la chaîne d’autorisation qui l’a produite. La qualité du registre ne confère donc à son opérateur aucun pouvoir souverain, réglementaire, policier, punitif, confiscatoire ou juridictionnel.
  • La suite proportionnée n’est ni le secret ni la divulgation indiscriminée des dossiers sensibles. C’est un reçu d’exactitude versionné, assorti d’un périmètre d’assurance indépendant, d’un historique des corrections et d’une voie de contestation pour les parties affectées.

L3 — Le jour où le registre est devenu vérifiable

Un vote bref, une question immense

Le 20 janvier 2021, le Conseil d’AFRINIC a consigné la Resolution 202101.596 : il approuvait la publication de l’AFRINIC WHOIS Database Accuracy Report. L’acte institutionnel est étroit. Il ne tranche pas à lui seul la propriété d’une ressource, ne déclare personne coupable, ne prouve pas que chaque dossier examiné est complet et ne montre pas que le Conseil a recommencé l’examen de manière indépendante. Il autorise la mise à disposition d’un rapport.

Pourtant, dans l’économie d’un registre de numéros Internet, cette décision étroite compte beaucoup, car le document public rend contestables des affirmations qui, sinon, resteraient enfermées dans l’organisation.

Le point de départ n’est pas une fascination pour l’audit en tant que rituel administratif. C’est l’usage concret du WHOIS. Une inscription publique peut orienter un opérateur qui cherche un contact, un analyste qui examine l’historique d’un bloc, une équipe de sécurité qui essaie de comprendre une annonce ou une entreprise qui procède à une diligence raisonnable. Elle a donc une force pratique. Elle est l’un des lieux où le registre parle au monde.

Si cette parole est erronée, obsolète, modifiée sans trace ou insuffisamment reliée à l’autorisation qui la fonde, l’erreur ne reste pas confinée à une base de données : elle se transmet aux décisions de ceux qui s’y fient.

Mais cette utilité ne doit pas être confondue avec une vérité autoportante. L’inscription dit ce que l’administration du registre affirme à un moment donné. Elle ne peut pas, par sa seule présence, prouver que celui qui l’a créée disposait de l’autorisation requise, que chaque modification passée était régulière ou que le teneur de registre possède un titre souverain sur la réalité qu’il décrit. C’est ici que la publication du rapport prend son sens exact. Elle ne sanctifie pas la base ; elle permet de poser de meilleures questions sur la manière dont la base a été tenue.

L’exigence de précision n’est pas accessoire. L’unicité et l’exactitude de l’enregistrement font partie des conditions fondamentales du système des registres de numéros Internet. Sans unicité, la coordination se défait. Sans inscriptions fiables, les utilisateurs ne savent plus quelle déclaration administrative consulter ni comment suivre une modification autorisée. AFRINIC accomplit donc une tâche nécessaire lorsqu’elle maintient le WHOIS, rapproche ses systèmes, conserve des historiques et corrige des anomalies.

C’est précisément parce que cette tâche est nécessaire qu’elle doit être testable, et précisément parce qu’elle est bornée qu’elle ne peut servir de preuve générale de légitimité.

Les nombres que le rapport a exposés

Selon AFRINIC, l’examen a porté sur 2,824 préfixes IPv4 délégués à des membres détenteurs de ressources de 2005 à 2019. Neuf ne comportaient pas de numéro de ticket et étaient associés à des allocations Fiber Grid effectuées en 2012–2013. Parmi les 2,815 enregistrements accompagnés d’une référence de ticket, AFRINIC a indiqué que 2,800 contenaient une demande de ressources évaluée. Les incohérences concernant les 15 autres préfixes étaient, toujours selon le rapport, liées à des préfixes importés depuis d’autres registres dans le cadre d’un ancien projet de transfert d’enregistrements.

Ces nombres produisent deux effets simultanés. D’abord, ils empêchent une discussion purement abstraite. On peut demander ce que signifiait « vérifier » un préfixe, comment la population avait été constituée, ce qui comptait comme ticket, quels critères permettaient de qualifier une demande d’« évaluée » et comment les cas importés avaient été distingués. Ensuite, ils montrent pourquoi un faible nombre d’exceptions ne doit pas être lu trop vite comme une insignifiance. Un préfixe n’est pas une unité économique uniforme. Le nombre de dossiers et le volume d’adresses qu’ils recouvrent décrivent deux dimensions différentes du risque.

Une exception peu fréquente dans le décompte des dossiers peut rester substantielle par son volume, son historique ou la dépendance d’opérateurs qui la prennent pour donnée.

Le rapport a également décrit un éventail de matériaux utilisés lors de son examen ultérieur : dossiers internes de ressources, journaux et historique WHOIS, statistiques de délégation, tickets, données d’adhésion et demandes de ressources, DNS inverse, Internet Routing Registry, archives historiques externes, signalements publics et informations de lanceurs d’alerte. Cette liste est importante parce qu’elle révèle une surface de contrôle. Une base exacte n’est pas obtenue en regardant seulement sa photographie courante.

Il faut comparer des systèmes, suivre des modifications, rapprocher des demandes et des décisions, examiner des indices externes et être capable de traiter des informations qui contredisent l’enregistrement visible.

La variété des matériaux ne constitue cependant pas, à elle seule, une preuve de qualité. Savoir qu’une classe de documents a été consultée ne dit pas combien de documents l’ont été, comment une divergence a été résolue, quelle règle a prévalu ni si un tiers pourrait reproduire le raisonnement. La publication fournit une carte des sources possibles ; elle ne livre pas l’intégralité des itinéraires suivis dans chaque dossier. C’est un progrès de transparence, pas une assurance indépendante.

À novembre 2020, AFRINIC a rapporté plusieurs états de traitement : 1,060,864 adresses du pool récupérées et placées en quarantaine ; 1,310,720 adresses du pool encore à l’examen ; 467,968 adresses historiques dont des modifications non étayées avaient été annulées ; 394,496 adresses historiques regroupées à la demande de sociétés détentrices ; et 936,704 adresses historiques en litige dans l’attente d’une détermination de garde. Ces catégories doivent rester séparées. Leur juxtaposition montre l’étendue et la diversité du travail administratif déclaré ; elle ne permet pas de fabriquer un total unique de « récupération ».

Les statuts ne décrivent ni nécessairement les mêmes actes, ni la même situation juridique, ni la même étape de traitement.

Cette discipline de lecture est décisive. « Récupéré et mis en quarantaine » n’est pas « encore à l’examen ». « Modification annulée » n’est pas « garde définitivement jugée ». « Regroupé à la demande » n’est pas « saisi ». Transformer tous ces états en une seule mesure triomphale effacerait justement ce que la publication permet de voir : un registre travaille sur des catégories d’incertitude différentes, dont certaines restent ouvertes et certaines concernent des parties qui peuvent contester l’administration de leur dossier.

Une architecture de contrôle déclarée

AFRINIC a présenté plusieurs contrôles comme adoptés ou renforcés. Le rapport évoquait l’automatisation, la traçabilité des changements et des vérifications prévues autour de leur contrôle, ainsi qu’une revue finale par des responsables expérimentés des demandes de ressources et d’adhésion. Il mentionnait une politique contre la fraude et la corruption datée de juin 2019, puis une plateforme indépendante de signalement lancée en 2020. Il décrivait aussi un renforcement de la vérification des mises à jour portant sur les ressources historiques.

À la frontière entre systèmes, AFRINIC disait produire quotidiennement des signalements d’incohérences entre MyAFRINIC et le WHOIS, comparer les enregistrements avec les statistiques de délégation, recourir à l’authentification PGP, qualifier les accès par rôle et prévoir une escalade lorsque des changements dépassaient les privilèges ordinaires.

Pris ensemble, ces éléments dessinent une défense en profondeur : limiter qui peut agir, authentifier les opérations, faire relire certaines décisions, enregistrer ce qui change, comparer plusieurs représentations du même fait et offrir une voie de remontée lorsqu’une anomalie contourne le flux normal.

Le vocabulaire du rapport impose toutefois de ne pas projeter sur ces mesures plus qu’il n’établit. L’existence déclarée d’un contrôle ne prouve pas qu’il était absent auparavant. Une date de politique ne démontre pas que toutes les pratiques sont devenues effectives le même jour. Une revue finale ne garantit pas qu’aucune erreur ne la traverse. Une comparaison quotidienne ne montre pas que chaque alerte a été résolue correctement. Une authentification robuste ne prouve pas que toutes les actions historiques étaient autorisées.

Les éléments accessibles ici ne comportent pas de matrice indépendante avant-après qui relierait chaque faiblesse à un contrôle, à son propriétaire, à sa date effective, à son test et à ses exceptions ultérieures.

La bonne question n’est donc pas : « AFRINIC a-t-elle énuméré suffisamment de contrôles pour mériter la confiance ? » Elle est : « Quel risque précis chaque contrôle devait-il réduire, comment son fonctionnement pouvait-il être observé, et quelle preuve extérieure permettrait de savoir s’il avait réellement produit cet effet ? » Cette reformulation déplace l’examen de la promesse vers le fonctionnement. Elle respecte ce que le rapport rend public sans transformer l’auto-description en certificat.

Ce que la publication a changé — et ce qu’elle n’a pas changé

Avant toute publication, une institution peut dire qu’elle a examiné ses données, trouvé des anomalies et amélioré ses procédures. L’extérieur ne dispose alors que d’une affirmation générale. En donnant une population, des comptes d’exceptions, des volumes d’adresses, des classes de matériaux et une liste de contrôles, le rapport a créé des points d’ancrage. Une publication ultérieure peut reprendre le même périmètre. Un assureur indépendant peut demander les dossiers de travail qui correspondent à telle catégorie. Une partie affectée peut relever qu’un statut publié ne reflète pas son dossier.

Un observateur peut repérer qu’un nombre a été corrigé ou qu’une catégorie a changé de définition.

Cet avantage mérite d’être reconnu sans réserve : publier était meilleur que garder le résultat dans les bureaux de l’organisation. Une rétrospective institutionnelle peut être sérieuse, mobiliser des sources diverses et dévoiler des problèmes que l’entité aurait pu minimiser. Un registre responsable doit être capable de regarder en arrière, de documenter des exceptions et de dire ce qu’il change. Le fait que la majorité des enregistrements avec ticket aient, selon AFRINIC, contenu une demande évaluée n’annule pas les exceptions ; inversement, l’existence d’exceptions ne justifie pas de prétendre que tout le registre était faux.

La publication permet justement d’échapper à ces deux caricatures.

Elle ne change pourtant pas l’identité de celui qui parle. AFRINIC a examiné et publié le fonctionnement d’AFRINIC. Le Conseil a autorisé la publication d’un document produit dans le cadre institutionnel d’AFRINIC. Aucune de ces observations ne disqualifie le travail, mais elles déterminent sa portée.

Le rapport n’est pas l’opinion d’un organe judiciaire indépendant ; le vote n’est pas une réexécution des tests ; l’absence de chaque dossier confidentiel dans l’espace public n’est pas la preuve que ce dossier n’existe pas ; et une classification administrative ne fixe pas à elle seule la garde légitime ni la responsabilité pénale d’une personne.

La publication ne confère pas davantage de nouveaux pouvoirs au registre. AFRINIC reste une organisation privée de coordination technique et de tenue des inscriptions. Elle n’est ni un État ni un législateur. Elle n’est ni un régulateur public ni une force de police. Elle n’est ni procureur, ni autorité de punition, ni pouvoir de confiscation, ni tribunal. Elle peut corriger un enregistrement dans les limites de sa fonction et documenter le fondement administratif d’une modification. Elle ne peut tirer de la propreté de sa base une souveraineté que la base elle-même n’a jamais été capable de créer.

Le livre et celui qui le tient

La distinction proposée par Heng Lu entre le registre et son gardien éclaire le cœur du problème. La continuité du livre commun, l’unicité des inscriptions, la précision des contacts et la possibilité de suivre un changement sont des biens de coordination. Ils doivent survivre aux faiblesses, aux conflits ou même au remplacement de l’organisation qui les administre. Le besoin du livre ne prouve donc pas le droit permanent du gardien à se présenter comme source de toute réalité qu’il note.

Une inscription WHOIS ressemble, dans ce cadre, à une attestation administrative. Elle peut être très utile, suffisamment exacte pour de nombreux usages et soutenue par une histoire de changements. Mais elle décrit une relation telle que le registre la comprend ; elle n’engendre pas l’exploitation technique, le contrat, l’intérêt économique ou le droit sous-jacent. Quand l’entrée est contestée, il faut remonter à la chaîne d’autorisation et aux preuves pertinentes. Relire l’entrée plus fort ne résout pas le problème de son origine.

NRS contribue à ce cadrage en décrivant AFRINIC dans son environnement privé de registre et de membres et en défendant une coordination responsable. NRS n’a pas mené l’examen de 2021 et ne peut servir à confirmer les nombres du rapport. Sa contribution est ailleurs : rappeler que la coordination peut être nécessaire sans devenir souveraine, et que l’exigence de responsabilité augmente lorsque des acteurs privés gèrent une ressource commune dont dépendent des opérateurs.

BTW a, de son côté, analysé le WHOIS et RDAP comme un dossier public soumis à examen, tout en soulignant qu’un enregistrement ne peut authentifier sa propre chaîne d’autorité. Cette idée empêche deux erreurs opposées : considérer le WHOIS comme une fiction sans valeur, ou le traiter comme une preuve absolue. Le présent sujet ne consiste pas à reconstruire sur quinze ans l’histoire des dossiers d’allocation, des accès internes ou des avertissements institutionnels. Les faits historiques du rapport ne sont mobilisés que pour comprendre ce que la décision de publier a rendu visible.

Le résultat de cette première lecture est volontairement limité. Le vote du 20 janvier 2021 fut un acte utile de divulgation. Il a rendu le travail de tenue des inscriptions plus ouvert à la contradiction. Il n’a pas délivré un brevet de confiance à l’institution, et il n’a pas transformé une fonction comptable privée en pouvoir sur les entreprises, les biens ou les personnes. Pour aller plus loin, il faut examiner non seulement ce que la base affirme, mais la manière dont une affirmation devient vérifiable sans sacrifier les personnes et les systèmes que la confidentialité protège.