Résumé

  • La suggestion ARIN 2011.17 réclame des limites par clé API: opérations autorisées, lecture ou écriture et POC représenté. Elle figure encore parmi les demandes ouvertes.
  • En avril 2012, ARIN évaluait l'ingénierie à environ 1 458 000 dollars; sa dernière note publique sur ce dossier date d'avril 2018.

Le problème tient dans une scène de travail ordinaire. Une équipe place une clé API dans un serveur chargé de tenir ses ressources à jour. Cette machine a besoin d'accomplir une tâche. Doit-elle pour autant hériter de tout ce que le compte ARIN Online de son propriétaire peut faire? Mike Joseph a posé cette question dès le 11 avril 2011, dans une proposition toujours affichée par ARIN.

Il demandait trois verrous distincts. Une clé devait pouvoir être limitée à certains actes RESTful ou modèles, à la lecture plutôt qu'à l'écriture selon l'opération, puis à un POC déterminé parmi ceux liés au compte. Joseph décrivait aussi la raison pratique: un secret déposé dans un système d'automatisation peut devenir visible à d'autres personnes que son titulaire. Le compte donne une identité; la clé restreinte donnerait à la machine un mandat plus court.

ARIN a d'abord promis une discussion avec la communauté. Puis le registre a chiffré, le 9 avril 2012, environ 1 458 000 dollars de travail d'ingénierie, auxquels s'ajoutait un important effort de communication et de documentation. Son commentaire évoquait aussi la complexité du code et le risque de dérouter les utilisateurs. En 2018, ARIN signalait que le sujet n'était pas au programme de travail de l'année et qu'une consultation sur les suggestions ouvertes aiderait à décider de la suite. La liste actuelle de l'ACSP garde 2011.17 dans la colonne Open. Le montant de 2012 décrit un devis de cette époque, pas le coût d'un chantier en 2026.

Le guide actuel des clés API détaille une autre logique. La clé identifie l'utilisateur, ne périme pas automatiquement et peut être désactivée. Une même clé sert à plusieurs interactions; plusieurs clés peuvent aider à suivre les requêtes localement. Le document cite notamment les enregistrements, le DNS, RPKI, le DNS inverse et des téléchargements restreints. Pour les appels REST, l'autorité du POC lié au compte reste nécessaire.

Aucun de ces éléments ne décrit dans ce guide un plafond d'opérations attaché à une clé particulière. Le registre n'a publié sur le ticket aucune décision postérieure à 2018; une spécification des droits par clé ou une décision de clôture changerait l'analyse. Aujourd'hui, la documentation dit comment reconnaître et révoquer une clé. La question de Joseph porte sur ce qu'elle peut faire entre ces deux moments.