Le compteur RPKI d’ARIN a bondi de 27 %. Un compte hébergé sur sept n’a toujours aucun ROA.

Résumé

• ARIN comptait 9 673 organisations RPKI au 30 septembre 2026, soit 27 % de plus en un an ; environ un compte Hosted RPKI sur sept n’avait toujours aucun ROA.
• L’inscription ouvre le service. Un ROA signé désigne un ASN d’origine, un préfixe et une longueur maximale ; la couverture et la validation des routes viennent plus loin dans la chaîne.

Le compte est prêt. L’autorisation ne l’est pas.

Un tableau de bord peut afficher « inscrit » alors que l’Internet n’a reçu aucune instruction sur l’ASN autorisé à annoncer un préfixe. Voilà le petit accroc caché dans le beau chiffre de croissance d’ARIN.

Lors d’ARIN 58, le registre a annoncé 9 673 organisations inscrites au RPKI au 30 septembre, en hausse de 27 % sur un an. Puis il a ajouté l’information qui devrait accompagner le titre : environ une organisation sur sept utilisant Hosted RPKI n’avait créé aucun Route Origin Authorization. Le compteur des inscriptions tourne ; une part non négligeable du groupe hébergé n’a pas encore atteint l’étape qui donne au RPKI une autorisation à vérifier.

La progression est nette. Le rapport annuel 2025 d’ARIN comptait 8 140 organisations inscrites au 31 décembre ; 98 % utilisaient Hosted RPKI. Le rapport relevait 1 839 nouvelles inscriptions en 2025, davantage que chacune des années 2021 à 2024. En avril 2026, ARIN 57 affichait 8 403 organisations et indiquait qu’environ 15 % des organisations inscrites n’avaient aucun ROA. Fin septembre, le total atteignait 9 673.

Ces chiffres décrivent la croissance des comptes, pas la part des ressources annoncées dont les ROA autorisent les origines réelles. Les deux résumés d’ARIN ne nomment pas exactement le même dénominateur : « organisations inscrites » en avril, « organisations Hosted RPKI » en octobre. Le récapitulatif d’octobre ne donne ni le nombre exact de comptes sans ROA ni son dénominateur. « Environ une sur sept » ne permet pas de fabriquer un entier précis, et les deux instantanés ne dessinent pas une baisse mesurée.

Un ROA est une instruction, pas un badge

Le RPKI commence par un certificat de ressources. Dans le modèle Hosted, ARIN exploite l’autorité de certification ; le titulaire indique ses informations de routage dans ARIN Online. Le ROA précise trois éléments : un ASN d’origine, un préfixe IP et une longueur maximale. Il autorise cet ASN à annoncer ce bloc dans ces limites.

L’inscription n’effectue pas ce travail. Elle amène une organisation au tableau de bord et permet de demander un certificat. L’opérateur doit encore repérer les préfixes concernés, choisir le ou les ASN d’origine, définir la longueur maximale, relire les paramètres et soumettre le ROA. ARIN publie son dépôt toutes les cinq minutes. Son FAQ estime qu’il faut compter 30 à 60 minutes avant qu’un ROA nouvellement généré influence les décisions de routage dans l’écosystème.

Le modèle hébergé retire une tâche lourde : ARIN gère l’autorité et le dépôt. Il ne choisit pas l’origine de la route à la place de l’opérateur. Cette décision reste chez le réseau qui sait quel ASN doit annoncer quel préfixe. Un compte Hosted sans ROA est donc une inscription au service sans déclaration d’origine à publier.

Les validateurs interviennent ensuite. Un relying party récupère le dépôt, vérifie ses objets cryptographiques et transmet ces résultats à l’opérateur, qui peut les utiliser dans ses décisions de routage. Le système public agit sur les objets signés qu’il reçoit, pas sur le nombre de comptes qu’ARIN a ouverts.

Le dénominateur a une forme

« Une sur sept » alerte utilement, mais laisse plusieurs questions opérationnelles ouvertes. Combien d’adresses ces comptes détiennent-ils ? Combien de leurs préfixes sont annoncés ? Quelles ressources leur sont réellement attribuées par un fournisseur ?

Les règles d’éligibilité d’ARIN donnent un poids concret à ces questions. Hosted RPKI s’adresse aux titulaires directs de ressources. Un réseau aval ne peut pas simplement ajouter à son certificat les ressources qui lui ont été réattribuées ou réallouées ; son fournisseur amont doit soumettre les ROA pour lui. Un décompte d’organisations ne révèle donc pas si un compte sans ROA détient un bloc annoncé, une ressource inutilisée ou une attribution dont l’autorisation dépend du fournisseur.

ARIN publie déjà des mesures plus proches du résultat. En avril, il indiquait que les ROA couvraient 50 % des blocs IPv4 éligibles au RPKI dans sa région et que 54 % des blocs IPv4 enregistrés chez ARIN et visibles dans les annonces Internet étaient RPKI Valid. Ces pourcentages répondent à deux questions différentes : la couverture parmi les ressources éligibles, puis la validation parmi les annonces observées. C’est précisément pourquoi un seul chiffre d’inscription ne peut pas résumer l’adoption.

Le tableau le plus utile suivrait chaque marche après la création du compte : certificat émis, premier ROA créé, préfixe éligible couvert, préfixe annoncé validé. Chaque étape a son dénominateur ; chacune montre à quel endroit le travail s’arrête.

L’adoption commence après l’écran de bienvenue

Le FAQ d’ARIN qualifie le RPKI de service facultatif. Il précise aussi qu’un nombre croissant de fournisseurs exigent des ROA avant de finaliser un contrat commercial. L’organisation conserve un choix ; le calendrier de ce choix peut tout de même être fixé par la relation avec son fournisseur.

Le premier ROA ne clôt pas le travail. Les préfixes changent, les réseaux ajoutent des origines et les transferts déplacent les ressources. ARIN indique qu’un transfert retire de l’ancien certificat les ressources concernées et leurs ROA. Les certificats Hosted sont renouvelés automatiquement et les ROA le sont tous les 90 jours. L’automatisation prolonge une autorisation existante ; elle ne devine pas qu’un nouveau préfixe doit être autorisé ou qu’un ASN d’origine vient de changer.

La meilleure mesure d’adoption ne se limite donc pas au nombre de comptes. Elle relie les ressources éligibles annoncées aux ROA actuels qui correspondent à l’origine et à la longueur voulues par l’opérateur. Le total devrait publier son dénominateur, sa date d’observation et le traitement des ressources en aval. Sans ces indications, « adoption » compte les personnes entrées dans le hall, pas celles qui utilisent la salle.

ARIN a rendu la première étape assez simple pour attirer presque dix mille organisations. Son propre bilan pointe désormais la question produit suivante : combien de comptes franchissent l’étape du premier ROA, et quelle part de l’espace annoncé ces autorisations couvre-t-elle ? Cette réponse transformerait un record d’inscriptions en mesure opérationnelle — et offrirait au prochain bilan RPKI un chiffre plus intéressant à célébrer.

Sources primaires : bilan du deuxième jour d’ARIN 58 · bilan du deuxième jour d’ARIN 57 · rapport annuel 2025 d’ARIN · guide Hosted RPKI · guide des ROA · FAQ RPKI · présentation du RPKI chez ARIN.