Résumé

  • À la clôture du transfert, ARIN retire les ressources et les ROA associées du certificat cédant; les ROA des ressources restantes demeurent.
  • Le certificat du destinataire déjà inscrit s’élargit automatiquement, mais ses nouvelles ROA sont à créer par lui. Sinon, il doit d’abord s’inscrire.

Le registre peut transférer la capacité de signer avant que le nouveau titulaire n'ait signé sa déclaration de routage. C'est la division du travail que décrit ARIN pour les transferts couverts par RPKI. À la clôture, les ressources quittent le certificat du cédant avec les ROA qui leur sont associés. Le certificat du cédant est recalculé pour ce qui lui reste, et les ROA correspondants demeurent. Si le destinataire possède déjà un certificat ARIN, celui-ci est automatiquement élargi. Le nouveau ROA, lui, attend une décision du destinataire.

Le certificat et le ROA n'ont pas la même fonction. Le premier définit les ressources pour lesquelles une organisation peut formuler une assertion signée. Le second indique quel AS d'origine peut annoncer un préfixe, avec quelle longueur maximale. ARIN connaît la nouvelle inscription du bloc; il ne connaît pas, à travers le seul dossier de transfert, le plan de routage du nouveau détenteur. L'automate règle la capacité cryptographique. Il laisse à l'opérateur le choix du préfixe, de l'AS et du maxLength.

Le guide de bonnes pratiques d'ARIN publié en 2025 tranche la question de l'initiative. Un destinataire déjà inscrit à RPKI reçoit l'extension automatique de son certificat et doit créer les ROA des ressources nouvellement reçues. Celui qui n'utilise pas encore ce service doit s'y inscrire; le transfert ne l'y inscrit pas. La page technique d'ARIN ajoute que l'entrée de ressources dans un certificat existant ne modifie pas les ROA existants. La promesse « certificat mis à jour » a donc un périmètre précis.

Du côté du cédant, le traitement dépend de la part qui part. Lors d'un transfert partiel, les autorisations portant sur les ressources restantes sont conservées après le recalcul du certificat. Si l'organisation transfère toutes les ressources IP et tous les ASN couverts par son accord, le certificat est retiré et les ROA qui s'y réfèrent sont effacés du dépôt. L'ancien titulaire a ainsi une sortie nette; le nouveau doit construire son entrée de routage. Aucun formulaire de transfert ne peut décider à sa place quel réseau annoncera le bloc.

Le jour de la clôture, les deux organisations ont un calendrier opérationnel à tenir. Le cédant vérifie les ROA touchés; le destinataire prépare son accès RPKI et les origines qu'il entend autoriser. Une fois la ressource inscrite à son nom, il contrôle le certificat renouvelé puis publie ses propres ROA. ARIN lui demande également de revoir les objets IRR et le DNS inverse. Changer le nom du titulaire dans le registre n'achève pas toutes les déclarations qui entourent les adresses.

Les pages officielles décrivent cette séquence, sans attribuer une panne à un transfert précis. Une photographie datée du dépôt ROA et une observation de validation de route établiraient l'effet d'un cas concret. Le mécanisme général suffit à poser l'enjeu : ARIN ferme l'ancienne capacité et ouvre la nouvelle; le détenteur doit écrire l'autorisation de l'utiliser.

ARIN