Résumé

  • Au 30 septembre 2026, ARIN dénombrait 9 673 organisations inscrites au RPKI, contre 7 612 un an plus tôt. Parmi les organisations utilisant le service hébergé, environ une sur sept n’avait créé aucun ROA.
  • Une inscription et un certificat ne désignent pas l’AS autorisé à annoncer un préfixe. L’organisation détentrice doit produire cette autorisation signée, puis confronter le résultat aux routes observées.
  • Le même exposé donne 94 % de blocs IPv4 alloués admissibles au RPKI et 59,4 % de blocs IPv4 enregistrés, présents dans les annonces Internet, classés RPKI Valid. Les deux pourcentages portent sur des ensembles différents.

Que manque-t-il à une organisation déjà inscrite au RPKI pour que son trafic bénéficie d’une assertion d’origine ? Dans la présentation d’ARIN 58 sur la sécurité du routage, la réponse apparaît à côté de la courbe de croissance. Le total des organisations inscrites est passé de 7 612 au troisième trimestre 2025 à 9 673 au troisième trimestre 2026. Pourtant, ARIN situe à environ 1 195 le nombre d’organisations du service Hosted RPKI qui n’ont pas produit un seul ROA. Environ 8 300 en ont créé. Les données sont arrêtées au 30 septembre.

Cette juxtaposition n’autorise pas une règle de trois improvisée. Le chiffre de 9 673 concerne les inscriptions aux services RPKI d’ARIN. La proportion « une sur sept » concerne les organisations hébergées. ARIN propose également la délégation du service et la publication de dépôts pour des titulaires qui gardent le contrôle cryptographique. Les valeurs approximatives indiquées pour Hosted ne constituent donc pas une ventilation exacte des 9 673. La véritable fracture se situe ailleurs : ARIN sait compter les entrées dans son service et sait montrer qu’une part mesurable de ces entrées n’a encore donné lieu à aucune autorisation d’origine.

Un ROA n’est pas une icône verte accolée au compte du client. Le guide d’ARIN le décrit comme un objet signé qui précise quel numéro de système autonome peut être à l’origine d’un préfixe donné. Le titulaire choisit l’AS d’origine, le préfixe et la longueur maximale. Ces trois choix rapprochent le registre de la table de routage réelle. Le guide de bonnes pratiques montre le coût d’une longueur mal choisie : si un opérateur annonce des /24 mais n’autorise que l’agrégat /16 sans les couvrir, ces annonces plus spécifiques peuvent être classées Invalid. Une inscription réussie ne prend aucune de ces décisions.

Le service hébergé soulage pourtant beaucoup de travail. ARIN exploite l’autorité de certification, maintient le dépôt et publie les objets. Son comparatif des modalités de déploiement distingue ce modèle de la délégation, où le titulaire signe au moyen de sa propre autorité de certification, et du service de publication du dépôt. Le confort d’exploitation a un prix intellectuel simple : la machine d’ARIN peut publier une assertion, mais elle ne peut inventer à la place du titulaire l’AS qui doit annoncer le réseau. Un compte Hosted sans ROA est donc une situation opérationnelle identifiable, même si l’installation de la partie cryptographique a été achevée.

Cette séparation devrait modifier la manière dont un comité de direction lit un tableau de bord.

Le nombre d’inscrits mesure l’accès à la capacité. Le certificat établit un périmètre de ressources. Le ROA énonce une autorisation. Le dépôt rend l’objet disponible.

Un validateur compare cet objet aux annonces qu’il voit. Enfin, un réseau doit utiliser le résultat dans son propre chemin de décision. Aucun de ces reçus n’est interchangeable avec le précédent. La diapositive d’ARIN montre une progression nette au premier étage et une file d’attente au troisième.

Une autre diapositive donne deux pourcentages séduisants que l’on pourrait mal marier. ARIN indique que 94 % de ses blocs IPv4 alloués sont admissibles au RPKI parce qu’ils relèvent d’un accord avec le registre. Elle indique aussi que 59,4 % des blocs IPv4 qu’elle enregistre et qui apparaissent dans des annonces Internet sont RPKI Valid. L’admissibilité part de l’espace alloué; la validité citée part de l’espace annoncé. Soustraire 59,4 de 94 reviendrait à fabriquer un « déficit » à partir de dénominateurs qui ne se rencontrent pas.

Le graphique associe 1 646 millions d’adresses à l’allocation, 1 548 millions aux accords et 920 millions à la validité RPKI. Ce sont des étapes de contrôle, pas trois catégories de comptes clients.

ARIN ne publie pas, avec ses 1 195 organisations à zéro ROA, leur ancienneté dans cet état ni la liste des préfixes qu’elles annoncent. Ces éléments permettraient de distinguer une installation inachevée, une décision de ne rien autoriser et un compte sans route à couvrir. Le constat disponible reste assez précis pour changer la conversation.

La croissance du service ne prouve pas l’existence du document signé qui fait fonctionner la sécurité d’origine.

La page officielle d’ARIN 58 attribue cet exposé à Brad Gorman, directeur des services techniques aux clients. L’estimation vient du registre qui exploite le service, et non d’un classement commercial. Le travail d’un opérateur est maintenant de chercher le ROA voulu dans le dépôt, de vérifier le résultat de validation et de le rapprocher de sa route. Le travail d’un dirigeant est d’exiger ces preuves avant d’applaudir le compteur des inscriptions.