Résumé

  • La prop-172 définirait plusieurs formes d’abus liés aux adresses IP sans créer de nouveau mécanisme de contrôle, de signalement ou de sanction.
  • Le détenteur de ressources conserverait la première appréciation lorsqu’il a été averti et peut agir; le texte précise qu’APNIC n’a pas le pouvoir de juger l’abus.
  • La réunion APNIC 62 du 10 septembre doit rendre cette limite durable: un vocabulaire aujourd’hui, une décision distincte pour toute obligation ou tout recours futur.

Une même adresse IP peut apparaître dans des situations qui n’ont ni le même auteur ni la même signification. Une route peut avoir été détournée délibérément; une page d’hameçonnage peut provenir du client d’un hébergeur; une mauvaise configuration peut avoir été repérée puis corrigée sans délai. L’adresse situe une infrastructure. Elle ne démontre pas à elle seule l’intention, la connaissance, la capacité d’intervention, la juridiction, la preuve recevable ou le remède approprié.

C’est cette séparation que la prop-172-v001 doit préserver. Publiée le 10 août et inscrite à l’Open Policy Meeting d’APNIC 62, elle propose d’insérer la notion d’«abus Internet par le biais d’adresses IP» dans un document de politique encore à déterminer. Les dispositions relatives aux objets IRT ne sont évoquées que comme emplacement possible. Le billet de préparation d’APNIC présente le texte comme une définition partagée, non comme un nouveau dispositif d’exécution.

Une liste de conduites ne tranche pas un dossier

La version 1 mentionne l’hébergement de logiciels malveillants ou d’infrastructures de commande de botnets, l’émission ou la réflexion de trafic DDoS, les détournements BGP délibérés ou gravement négligents, l’acquisition ou la sous-allocation frauduleuse de ressources, ainsi que les infrastructures utilisées pour l’hameçonnage, les escroqueries ou l’usurpation.

Elle protège aussi des situations différentes. Une erreur opérationnelle de bonne foi, identifiée et rapidement corrigée, ne constitue pas un abus. L’acte illicite d’un client ou d’un salarié n’est pas automatiquement imputé au détenteur s’il est traité rapidement après notification. Un retard isolé ou une réponse imparfaite ne suffisent pas. La conservation des dossiers est recommandée, mais demeure facultative.

Le détenteur juge en premier ressort si le signalement entre dans la définition, à condition que l’auteur du signalement ait une base légitime et que le détenteur soit en mesure d’agir. Une intervention raisonnable fondée sur un avis étayé bénéficie d’une protection de bonne foi; elle n’étend pas, à elle seule, le devoir de surveillance et ne vaut pas reconnaissance de responsabilité.

Puis vient la phrase essentielle: APNIC n’a pas le pouvoir de juger si un cas constitue un abus. Elle doit servir de règle de lecture pour le reste du texte.

L’ambiguïté se concentre dans «rendre responsable»

La phrase suivante affirme qu’APNIC conserve sa responsabilité existante de demander aux détenteurs de répondre aux abus et de les traiter. Dans le même temps, la proposition nie créer une nouvelle obligation, un nouveau rapport, une procédure de conformité ou un pouvoir de contrainte.

Ces affirmations ne sont compatibles que si la responsabilité d’APNIC reste cantonnée à ses fonctions actuelles de registre et de contacts, sans appréciation du fond d’une plainte. Le texte ne désigne pas l’arbitre d’un désaccord après la première décision du détenteur. Il ne fixe ni niveau de preuve, ni définition de «rapidement», ni seuil pour une série de non-réponses, ni règle pour les conflits de droit.

L’auteur de la proposition soutient que l’absence de définition rend l’exécution presque impossible et favorise l’hébergement à l’épreuve des plaintes. Il affirme également qu’aucun autre RIR n’a adopté une définition comparable. Dans ce dossier de sources, ce sont des affirmations du proposant, non des conclusions vérifiées de manière indépendante. L’étude d’impact publiée par le Secrétariat d’APNIC le 26 août ne prévoit aucun impact direct sur le registre et avertit que déterminer l’existence d’un abus ou l’adéquation d’une réponse dépasserait la validation actuelle des contacts IRT.

Une définition peut réduire les malentendus. Elle peut aider un opérateur à distinguer une erreur corrigée d’un comportement délibéré, sans transformer APNIC en enquêteur de contenus. Mais les termes «sans limitation», les catégories proches des contenus et les références à l’illégalité exerceront une pression interprétative. Ce risque ne prouve pas un élargissement déjà réalisé; il justifie une limite écrite maintenant.

Sources