Résumé

  • ARIN estime à environ 17 000 le nombre de réseaux historiques inscrits dans sa base et affirme qu’environ la moitié n’ont aucun Point of Contact, ou un POC qu’elle n’a pas pu vérifier.
  • Le même billet donne 11 % de contacts actuellement validés et 20 % supplémentaires de contacts incomplets, puis compare ces réseaux à des organisations sous accord, validées à 76 %.
  • Les chiffres ne sont pas démontrés faux. Leur publication ne précise toutefois ni la date d’arrêté, ni les effectifs exacts, ni le passage d’un réseau à une organisation ou à une fiche POC.
  • Une table agrégée et versionnée suffirait : aucune donnée personnelle, mais un dénominateur, une règle et un effectif pour chaque état.

Un message de sécurité qui ne peut pas encore être rejoué

Le billet d’ARIN du 5 août part d’un risque concret. Une fiche ancienne paraît abandonnée ; un fraudeur tente d’imiter l’organisation qui y figure, de prendre le contrôle de son Org ID ou de ses contacts, puis de convaincre un fournisseur de router les adresses. ARIN invite donc les détenteurs de ressources antérieures à sa création à entretenir leurs coordonnées.

L’intérêt du texte tient à ses ordres de grandeur. Sur environ 17 000 réseaux historiques, « about half » n’auraient aucun POC ou un POC qu’ARIN n’a pas pu vérifier. Seuls 11 % auraient un contact actuellement validé. Vingt pour cent supplémentaires auraient un contact incomplet.

ARIN met ensuite en regard les organisations dont les ressources sont couvertes par un accord : 76 % disposeraient d’un contact validé, aucune ne présenterait d’information de contact incomplète. L’organisation prend soin de dire que l’accord n’est pas la cause magique de cette différence ; ce qui compte, selon elle, est qu’une personne relise et actualise la fiche. Elle rappelle également qu’un détenteur historique peut corriger ses données sans signer un accord.

Le raisonnement opérationnel est solide : un interlocuteur joignable réduit la fragilité d’un dossier. Mais la publication reste impossible à rejouer. Elle ne donne pas l’heure ou la date de l’extraction, les tailles exactes des groupes, la méthode d’arrondi, ni un tableau faisant correspondre chaque statut à un nombre d’objets.

Réseau, organisation et POC ne sont pas la même ligne

Le premier dénominateur annoncé est constitué de réseaux. Le groupe de comparaison est constitué d’organisations. La règle de validation, elle, porte sur des fiches POC.

Cette différence n’est pas sémantique. Une organisation peut être associée à plusieurs réseaux. Un réseau peut recevoir des contacts inscrits directement sur la ressource et d’autres hérités de l’organisation. Un même POC peut servir plusieurs rôles ou plusieurs enregistrements. La documentation sur les POC distingue d’ailleurs les fonctions administratives, techniques, NOC et abuse.

ARIN emploie encore un autre vocabulaire dans son Data Accuracy Improvement Program. Une organisation est Complete si ses champs requis et au moins un POC contiennent les données demandées. Elle est Correct si l’organisation a été vérifiée et au moins un POC validé. Elle est Current si ces deux opérations ont eu lieu au cours des cinq dernières années.

Rien dans le billet du 5 août ne dit que les 11 % de réseaux historiques correspondent à ce test composé. Rien ne donne non plus le coefficient permettant de passer du nombre d’organisations sous accord au nombre de réseaux. Les méthodes internes peuvent être cohérentes ; le lecteur ne possède pas la clé publique qui les relie.

Les 31 % publiés ne baptisent pas les 69 % restants

L’expression « an additional 20 percent » indique que les contacts incomplets s’ajoutent aux 11 % validés. Si l’on applique ces deux taux à 17 000, on obtient environ 1 870 et 3 400 réseaux. Ce ne sont pas des effectifs ARIN : le total de départ est lui-même approximatif.

Les deux pourcentages totalisent 31 %. Le reste n’est pas pour autant une catégorie unique. Le texte ne dit pas si un contact incomplet est aussi classé parmi les contacts non vérifiables, si l’absence et l’échec de validation sont comptés séparément, ou si certains dossiers attendent encore la fin du délai annuel.

Il serait donc abusif d’écrire que 89 % des réseaux historiques ont un POC invalide. Non validé aujourd’hui, incomplet, non vérifiable, invalide et absent ne décrivent pas le même état. Le chiffre « environ la moitié » ne vaut pas davantage 8 500 au réseau près.

La lacune n’est pas une contradiction arithmétique. C’est l’absence d’une classification close : assez de valeurs sont visibles pour tenter un calcul, mais pas assez de règles pour lui attribuer l’autorité d’ARIN.

La politique donne un sens précis à l’invalidité

La section 3.6 du NRPM impose une vérification annuelle des POC Admin, Tech, NOC et Abuse, qu’ils soient attachés à l’organisation ou à la ressource. Chaque contact dispose de soixante jours après notification pour confirmer que ses données sont correctes et complètes, ou pour les corriger.

Un POC invalide n’emporte pas l’invalidité de la ressource. Son accès à ARIN Online est limité au paiement et à la mise à jour des contacts. Une organisation qui ne compte aucun POC valide ne récupère les autres fonctions qu’après validation ou correction d’un contact Admin ou Tech. Pour une réallocation ou une réaffectation détaillée, l’organisation destinataire doit déjà avoir un POC validé.

Ce sont des conséquences réelles, mais bornées. Elles protègent l’autorité du compte et la qualité de la preuve publique. Elles ne constituent ni une révocation, ni une présomption d’abandon, ni une décision de routage. Une validation annuelle ne prouve pas non plus à elle seule le bénéficiaire économique, l’opérateur actuel ou le pouvoir de transférer.

Le rapport contrôlé ne remplace pas un agrégat public

ARIN décrit un rapport des ressources sans POC valide. Il inclut des réseaux et des ASN sans contact direct ou indirect via l’organisation, ou dont tous les contacts sont invalides. Cette définition montre qu’ARIN sait agréger les relations entre ressources, organisations et POC.

Le rapport n’est cependant pas le tableau manquant. Il mélange réseaux et ASN, tandis que le billet vise les réseaux historiques. Son accès dépend d’une demande approuvée au titre du Bulk Whois Acceptable Use Policy, et sa redistribution est interdite. Ce dispositif protège des données opérationnelles ; il ne fournit pas une série publique des catégories agrégées.

La bonne demande n’est donc pas de publier des courriels, des adresses postales ou des numéros de téléphone. Une fiche statistique peut rester entièrement impersonnelle. Elle indiquerait la date d’arrêté, l’unité, le nombre exact d’objets, les contacts directs ou hérités, la définition de chaque état, les chevauchements éventuels, le numérateur, le dénominateur et l’arrondi.

Une note de méthode pourrait ensuite relier — ou distinguer expressément — le billet, le rapport sans POC valide et les indicateurs Complete/Correct/Current. Dire que deux populations ne sont pas comparables est déjà une information de qualité.

La transparence utile est ici une petite comptabilité

Un registre régional n’a pas à devenir l’enquêteur universel des entreprises associées à chaque préfixe. Il doit maintenir une inscription unique, permettre à l’autorité légitime de la corriger et expliquer ce qu’un statut public permet de conclure.

Le tableau demandé reste dans cette fonction mince. Les détenteurs historiques verraient la nature exacte du retard. Les opérateurs distingueraient une absence de contact d’un échec de validation. Les chercheurs pourraient suivre les progrès sans accéder aux fiches individuelles. ARIN pourrait modifier une méthode tout en conservant la trace de l’ancienne.

Le billet a donné l’échelle et le motif d’agir. Une petite pièce comptable — datée, versionnée, agrégée — transformerait ces pourcentages mémorables en preuve institutionnelle durable.

Sources