Résumé

  • L’archive APNIC du 29 août, de 5 h à 6 h UTC, recense 3 643 500 requêtes WHOIS réparties entre 5 681 ASN d’origine.
  • La ligne de l’ASN 38661 porte 1 412 212 requêtes, toutes classées inetnum, et une seule IP source distincte : 38,75976396322218 % du total, soit 38,76 % après arrondi.
  • Le fichier ne livre ni l’adresse, ni les objets interrogés, ni les réponses, erreurs, répétitions, limitations, volumes, délais ou effets sur le service. Il ne permet pas d’accuser un acteur ou de qualifier le trafic d’abus.
  • Une ligne de résultats agrégés — réponses servies, erreurs, limitations, bandes de latence et d’octets, méthode de dédoublonnage, version des seuils et état d’impact — rendrait le chiffre interprétable sans dévoiler les usagers.

Ce que le fichier sait vraiment

La force de cette observation tient moins à sa taille qu’à sa traçabilité. APNIC conserve les relevés horaires dans une archive mensuelle et publie un fichier MD5 à côté de chaque JSON compressé. Pour le relevé de 5 h, l’empreinte annoncée, 949909ac7a74f9b609e8f2c894fa7020, est aussi celle obtenue en recalculant le fichier capturé. Le document couvre un intervalle UTC semi-ouvert : 5 h inclus, 6 h exclu.

Dans l’objet WHOIS, le dénominateur vaut 3 643 500 requêtes. La ligne 38661 en compte 1 412 212, toutes dans la catégorie inetnum, avec distinct_source_ip_count égal à un. Le quotient donne 38,75976396322218 %. Ce résultat n’est donc ni une estimation ni une impression tirée d’un graphique.

C’est une réussite concrète de prop-167. La proposition devait rendre visible l’utilisation de WHOIS et RDAP par heure, service, ASN d’origine, type de requête et nombre d’IP sources. APNIC la donne comme mise en œuvre depuis le 30 juin. Le relevé du 29 août transforme une concentration autrefois réservée aux journaux internes en observation publique reproductible.

Mais la ligne ne sait qu’une chose : combien d’entrées ont été classées dans un compartiment. Elle ignore ce qu’elles ont produit.

Une adresse publique ne désigne pas un responsable

Une IP source peut être le point de sortie d’un NAT, d’un mandataire, d’un service mutualisé, d’un collecteur ou de plusieurs tâches. À l’inverse, une même tâche peut se répartir sur plusieurs adresses. APNIC ne publie ici ni IP, ni compte authentifié, ni identifiant d’application. « Une IP » n’équivaut donc ni à une personne, ni à un client, ni à un outil.

L’ASN est lui aussi un attribut de classement, pas une signature d’intention. La présence d’une adresse dans un réseau ne prouve pas que le titulaire de l’ASN a commandé l’activité, exploité le programme ou reçu les données. Le registre localise une origine telle que l’observation l’a attribuée ; il ne distribue pas la responsabilité juridique ou opérationnelle.

Enfin, le volume ne tranche pas entre les scénarios. Une synchronisation autorisée, un travail de recherche, un cache mal réglé, une boucle de nouvelles tentatives et une charge nuisible pourraient tous produire un grand compteur. Le relevé ne dit pas lequel s’est produit. Les citer sert à montrer l’ambiguïté, pas à désigner une explication gagnante.

Le numérateur a besoin d’un résultat

Pour interpréter la concentration, il faudrait d’abord connaître la répartition des réponses. Combien de requêtes ont reçu une réponse exploitable ? Combien se sont terminées par une erreur du client, une erreur du serveur ou une limitation explicite ? Un million de réponses utiles et un million de tentatives répétées après échec ont le même numérateur, mais pas la même signification.

Des bandes agrégées de taille de réponse et de latence éclaireraient ensuite le travail réellement servi. Une méthode publique de dédoublonnage pourrait préciser à quelle distance temporelle deux requêtes identiques sont considérées comme des reprises, sans révéler les objets demandés.

Le troisième élément est l’état du contrôle. Si une politique de seuil s’est appliquée, sa version et le nombre d’actions devraient accompagner la ligne. Si rien n’a été limité, un zéro le dit clairement. Le simple aspect impressionnant du nombre ne justifie pas d’inventer une intervention.

Enfin, un état d’impact — aucun observé, dégradation observée, en cours d’examen ou non mesuré — séparerait le comportement d’une source de la santé du service commun. Comme toute conclusion provisoire, il devrait être daté et rectifiable.

Publier un reçu, pas fabriquer une liste noire

APNIC pourrait prolonger le schéma existant par un reçu de résultats respectueux de la vie privée. Pour chaque intervalle, il conserverait l’heure, le service, l’ASN, les types et le nombre d’IP distinctes, puis ajouterait les réponses servies, erreurs et limitations agrégées ; des bandes de volume et de délai ; la méthode de regroupement des reprises ; la version de la politique applicable ; l’état d’impact ; et, si nécessaire, un lien de correction.

Ce dispositif ne fixerait aucun quota et n’ordonnerait aucun blocage. Il ne donnerait pas à une statistique une fonction disciplinaire. Il permettrait de distinguer une demande efficace d’un client défaillant, d’une mesure de protection ou d’une pression sur le service.

Le registre resterait ainsi dans son rôle le plus défendable : conserver des faits précis, auditables et corrigibles. Les opérateurs pourraient ajuster volontairement leurs tâches lorsqu’une boucle de reprise ou un défaut de cache devient visible. Toute éventuelle discussion de politique commencerait ensuite par les résultats observés, non par un soupçon attaché à un ASN.

Prop-167 a donc répondu à sa première question : oui, l’utilisation peut être publiée de façon régulière et vérifiable. Le relevé pose maintenant la suivante : que signifie une requête comptée ? Pour l’heure considérée, APNIC prouve 1 412 212 entrées inetnum associées à une IP dans un compartiment ASN. Rien de plus. Préserver cette limite protège à la fois la valeur du chiffre et les acteurs qu’il ne permet pas d’identifier.

Sources