Résumé

  • Un transfert IPv4 contient au moins trois événements juridiquement et opérationnellement distincts: les parties forment et concluent un accord commercial; le RIR responsable modifie la position d'enregistrement faisant autorité; et les réseaux originaient, acceptent et propagent les routes des préfixes transférés. Chaque événement a son propre acteur, preuve, horodatage et condition d'échec.
  • Un contrat de vente peut allouer le prix, le risque, les garanties et les obligations de clôture, mais il ne peut pas à lui seul réécrire les registres d'un RIR ou contraindre un fournisseur en amont à transporter une route. Une entrée de registre peut identifier le détenteur reconnu, mais elle ne prouve pas le paiement, toutes les obligations contractuelles ou la joignabilité globale. Les observations BGP prouvent que certains réseaux ont vu une annonce, pas que l'annonceur a acheté le bloc ou que chaque condition du registre a été satisfaite.
  • Le rôle propre du registre dans le transfert est étroit mais important: authentifier les parties, vérifier que la partie offrante contrôle la position enregistrée, détecter les revendications conflictuelles ou les verrous applicables, préserver l'unicité, mettre à jour l'enregistrement, coordonner un changement inter-RIR et publier un état de complétion clair. Il ne devrait pas devenir fixateur de prix, courtier, tribunal commercial, planificateur de réseau ou garant de la routabilité.
  • RPKI affine plutôt qu'il n'efface la séparation. Une ROA exprime l'autorisation d'un détenteur d'adresse pour un AS d'origine; les opérateurs décident toujours localement si et comment utiliser les résultats de validation. Le séquencement du transfert nécessite donc une gestion « make-before-break » pour les autorisations de routage sans prétendre qu'une ROA valide est un acte de vente ou une commande BGP.
  • Une conception de complétion crédible utilise trois horodatages et trois reçus, plus un enregistrement d'exception pour les litiges. La clôture commerciale, la complétion du registre et la première utilisation opérationnelle stable doivent être réconciliables sans être confondues. Cela permet aux acheteurs, vendeurs, prêteurs, courtiers et opérateurs de localiser les retards et d'attribuer les responsabilités avec précision.
  • Number Resource Society oriente vers un avenir plus discipliné en préconisant des preuves portables, des transitions d'état déterministes, une revue limitée et une finalité claire de la part des registres reconnus, sans contrôle discrétionnaire sur le prix, le financement, le calendrier de déploiement ou les choix de routage qui ne menacent pas l'unicité ou l'intégrité de l'enregistrement.

Trois horloges tournent dans la même salle de clôture

Imaginez qu'un acheteur a accepté d'acquérir un bloc d'adresses IPv4 auprès d'un vendeur. Les parties ont négocié un prix, effectué une diligence, signé des documents et placé l'argent auprès d'un agent de séquestre. Le vendeur a ouvert une demande de transfert. L'acheteur l'a reconnue. Le RIR examine l'autorité et l'éligibilité. Les ingénieurs de l'acheteur et de ses fournisseurs amont préparent les filtres de route, le DNS inverse, les avis de géolocalisation, les contacts d'abus et les autorisations d'origine.

Tout le monde peut utiliser le mot « transfert » pour ce qui se passe. Ils ne décrivent pas un seul acte.

L'équipe commerciale entend un marché par lequel le vendeur promet de livrer une position d'enregistrement convenue et l'acheteur promet de payer. Le RIR entend un changement contrôlé dans l'organisation associée à une ressource numérique dans ses registres faisant autorité. L'équipe réseau entend un ensemble de changements opérationnels grâce auxquels les paquets peuvent atteindre les adresses sous la topologie prévue de l'acheteur. Ces actes peuvent se produire le même jour, mais la simultanéité ne fusionne pas leur caractère juridique ou technique.

La distinction importe surtout en cas d'échec. Si le registre refuse la demande, y a-t-il encore un contrat? Habituellement, il peut y avoir un accord contraire soumis à une condition non remplie, mais la réponse dépend de ses termes et de la loi applicable. Si le registre approuve le changement mais que l'acheteur ne peut pas obtenir un transit utilisable, la ressource a-t-elle été transférée? L'événement d'enregistrement peut être complet même si le déploiement opérationnel ne l'est pas. Si des routes apparaissent depuis l'ASN de l'acheteur avant que l'enregistrement ne change, une vente a-t-elle eu lieu? Pas nécessairement.

Le vendeur peut avoir autorisé une utilisation temporaire, fourni une lettre d'autorisation ou arrangé une migration progressive.

Un champ de statut unique ne peut pas répondre à ces trois questions. Ni une seule institution ne devrait essayer. Les preuves doivent être séparées car chaque événement protège un intérêt différent. La preuve contractuelle protège le marché. La preuve du registre protège l'unicité et le contrôle reconnu. La preuve de routage protège la confiance opérationnelle. Un marché sain a besoin des trois, connectés mais non confondus.

L'événement un est le marché entre vendeur et acheteur

Le premier événement est commercial. Ses faits essentiels sont l'identité et l'autorité des parties, les préfixes spécifiés, le prix ou autre contrepartie, les obligations attachées à la clôture, la répartition des frais et taxes, le traitement d'une approbation échouée, et les recours si une partie ne performe pas. Un courtier peut introduire les parties et coordonner les documents. Un agent de séquestre peut détenir les fonds. Les avocats peuvent définir les déclarations relatives à l'autorité, les litiges, l'utilisation antérieure, l'historique des abus, l'exposition aux sanctions ou l'état des enregistrements connexes.

Le marché peut être signé avant que l'une ou l'autre partie ne demande à un registre d'agir. Il peut aussi être conditionnel. De nombreux accords sensés distinguent la signature de la clôture: la signature crée des obligations, tandis que la clôture n'a lieu qu'après la réalisation de conditions identifiées. L'approbation du registre peut être une telle condition. La libération du paiement peut dépendre de la preuve que l'enregistrement a changé. Une retenue peut rester jusqu'à ce que le nettoyage technique ou l'assistance convenue soit terminé.

Rien de tout cela n'exige que le RIR juge chaque terme commercial. Un registre a besoin de suffisamment de preuves pour savoir que des représentants autorisés du détenteur reconnu et du destinataire prévu demandent un changement. Il n'a pas besoin du prix, de la marge de financement de l'acheteur, de la commission du courtier, de la clause de litige du séquestre ou du calendrier complet des garanties des parties simplement pour préserver un état d'enregistrement unique et exact.

Le formulaire de transfert publié par RIPE NCC illustre la distinction avec une clarté inhabituelle. Son formulaire stipule que les parties offrante et recevante conviennent de transférer l'enregistrement des ressources numériques Internet listées. Le formulaire identifie les parties, leurs coordonnées d'enregistrement et les ressources, et enregistre leur demande de changement de registre. Ce n'est pas un contrat d'achat complet. Un contrat commercial distinct peut exister autour de lui, et le formulaire du registre ne révèle ni ne règle l'intégralité du marché.

LACNIC énonce la limite encore plus directement sur sa page de facilitation de transfert: il n'intervient pas dans les opérations commerciales entre les parties. Il peut lister les offreurs potentiels, les destinataires ou les intermédiaires et appliquer la politique régissant les changements d'enregistrement, mais il n'audite pas et n'assume pas la responsabilité des services d'un courtier. C'est une retenue institutionnelle, pas un abandon. Le marché reste responsable par le contrat, la loi, la diligence et la responsabilité professionnelle plutôt que d'être absorbé dans le bureau du registre.

La preuve du premier événement est donc contractuelle. Elle peut inclure des accords signés, des autorisations corporatives, des avis de séquestre, des factures et des certificats de clôture. Ces documents peuvent montrer que la valeur a changé de mains et que les obligations sont devenues effectives. Ils ne montrent pas, sans preuve indépendante du registre, que l'enregistrement faisant autorité a bougé.

L'événement deux est le changement d'état reconnu par le registre

Le deuxième événement est administratif et probant. Le RIR responsable authentifie la demande, vérifie la partie offrante par rapport à la position d'enregistrement, confirme le statut du destinataire selon la politique applicable, teste tout verrou de transfert ou condition de litige, puis met à jour ses registres. Pour un transfert inter-RIR, les registres source et destinataire doivent se coordonner afin que la ressource ne soit pas laissée simultanément sous une administration conflictuelle ou perdue entre les systèmes.

La politique actuelle de RIPE stipule que le détenteur original reste responsable jusqu'à ce que le transfert vers la partie recevante soit effectué et que RIPE NCC mette à jour les registres d'enregistrement pour refléter l'achèvement. Le guide public d'APNIC décrit une demande initiée par la source, un accusé de réception du destinataire, une évaluation de la politique, le paiement des frais le cas échéant, puis une mise à jour de la base de données Whois d'APNIC.

La politique d'ARIN exige que la source soit le détenteur actuel enregistré ou reconnu et qu'il n'y ait pas de litige sur le statut de la ressource pour les transferts à destinataire spécifié. Les règles de transfert de LACNIC exigent de même une vérification du détenteur, des vérifications de litiges et une mise à jour de l'enregistrement après achèvement.

Ce sont des procédures régionales différentes, mais le cœur commun est visible. Le registre ne crée pas le réseau de l'acheteur et ne déplace pas les paquets. Il modifie le compte administratif partagé de qui est reconnu pour le bloc. Cet acte est précieux car les opérateurs, les contreparties, les systèmes de sécurité et les tribunaux ont besoin d'une référence fiable. Il réduit la probabilité qu'un préfixe soit représenté comme appartenant à deux parties non liées à la fois.

L'achèvement du registre devrait avoir son propre horodatage. La date dans un journal de transfert public est souvent la date à laquelle le RIR a traité ou enregistré le changement. RIPE NCC définit sa date publiée de cette façon. Cette date ne devrait pas être silencieusement décrite comme la date à laquelle le contrat de vente a été signé, la date à laquelle le paiement a été libéré ou la date à laquelle l'acheteur a routé l'espace pour la première fois. C'est l'événement du registre.

La preuve de cet événement comprend l'avis d'achèvement du registre, le journal de transfert public là où il existe, l'enregistrement modifié et l'état du compte visible pour le destinataire. Elle peut également inclure un certificat de ressource ou une surface de contrôle rendue disponible après le changement. Chaque élément a une portée définie. Un journal public peut prouver qu'un registre a enregistré un transfert d'une partie nommée à une autre pour des ressources listées à une date. Il ne peut généralement pas prouver le prix commercial, les conditions exactes de clôture contractuelles ou l'utilisation en direct de l'acheteur.

L'enregistrement mérite autorité sur son sujet étroit. Il ne mérite pas d'autorité métaphysique sur tous les faits entourant la ressource. Le traiter comme une preuve concluante d'une vente exagère ce que le registre a observé. Le traiter comme non pertinent sous-estime la valeur de coordination d'un enregistrement unique. La position disciplinée se situe entre ces erreurs.

L'événement trois est l'utilisation opérationnelle dans le routage

Le troisième événement se produit dans les réseaux. L'acheteur ou un fournisseur de services autorisé originaire les routes, les fournisseurs amont les acceptent, les pairs les propagent, et d'autres réseaux sélectionnent les chemins selon leur propre politique. Les adresses transférées peuvent alors supporter des serveurs, des réseaux d'accès, une infrastructure cloud, des attributions de clients, des pools de traduction ou d'autres services. C'est l'événement par lequel la valeur commerciale devient une connectivité en direct.

BGP n'a pas été conçu comme un système de transfert de propriété. Le RFC 4271 définit une route comme une information de destination couplée à des attributs de chemin. Un locuteur BGP reçoit des routes, applique la politique locale, sélectionne les routes pour son propre usage et décide quoi annoncer à ses pairs. Le protocole ne demande pas un contrat d'achat. Il ne demande pas le prix. Il ne déclare pas une organisation propriétaire légale du préfixe simplement parce qu'un ASN apparaît à la fin d'un chemin observé.

Cette architecture rend la preuve de routage puissante et limitée. Les données BGP historiques peuvent montrer quand un préfixe était visible, quel AS d'origine est apparu, à quelle largeur les observations se sont répandues et si les annonces ont changé autour d'une date d'enregistrement. Le Routing Information Service de RIPE NCC collecte les mises à jour des pairs depuis 1999, et ses archives peuvent soutenir cette reconstruction. RIPEstat fournit des vues actuelles et historiques, tandis que d'autres collecteurs offrent des points de vue supplémentaires.

Aucun collecteur ne voit l'Internet entier. Une route visible à un point d'observation peut être filtrée ailleurs. Un changement d'origine peut refléter une migration de fournisseur, un service de mitigation DDoS, un déploiement anycast, une reconfiguration cliente ou une fuite temporaire plutôt qu'une vente. Un bloc peut être enregistré sur un nouveau détenteur tout en étant originaire du même ASN parce que l'acheteur conserve le vendeur ou un fournisseur commun pendant la transition. Inversement, une nouvelle origine peut apparaître avant l'achèvement du registre dans le cadre d'un arrangement de service autorisé.

La preuve opérationnelle doit donc être énoncée avec précision. « Le préfixe a été observé depuis l'AS d'origine X sur ces collecteurs à partir de ce moment » est soutenable. « L'acheteur possédait les adresses à partir de ce moment » n'est pas établi par BGP seul. Les tests de joignabilité, les collecteurs de routage, les confirmations amont et les preuves de configuration peuvent ensemble montrer l'utilisation. Ils ne peuvent pas remplacer le contrat ou le reçu du registre.

RPKI ajoute un événement d'autorisation sans le transformer en transport

RPKI peut rendre le modèle à trois événements apparemment plus compliqué car il ajoute du matériel cryptographique proche à la fois de l'enregistrement et du routage. En réalité, il clarifie les limites.

Le RFC 6480 stipule que les certificats de ressource représentent la hiérarchie d'allocation et permettent à un détenteur légitime d'autoriser un ou plusieurs AS à originer des routes. Il précise également que les informations d'allocation seules ne sont pas suffisantes pour guider les décisions de routage. Une autorisation d'origine de route fournit une déclaration explicite qu'un AS donné est autorisé à originer des préfixes spécifiés. Le RFC 6811 décrit ensuite comment un locuteur BGP peut dériver un état de validation, tout en faisant de l'action entreprise sur cet état une question de politique locale.

Une ROA valide ne prouve donc ni vente ni joignabilité universelle. Elle prouve qu'une autorisation cryptographiquement valide existe dans la hiérarchie RPKI pour une combinaison d'origine et de préfixe. Un opérateur peut utiliser ce résultat pour rejeter, dépréférer ou accepter une route selon la politique configurée. D'autres contrôles opérationnels comptent toujours: filtres de préfixes, registres de routage, contrats clients, paramètres de max-préfixes, politique de chemin et disponibilité physique du transit.

Les transferts créent un passage délicat. Le vendeur peut avoir des ROA couvrant l'espace. L'acheteur peut avoir l'intention de conserver la même origine, d'en utiliser une nouvelle ou d'autoriser plusieurs fournisseurs. Révoquer une ancienne autorisation trop tôt peut rendre les routes invalides avant que le remplacement ne se propage à travers les caches. Conserver une autorisation obsolète indéfiniment peut laisser une autorité inutile.

Le RFC 6480 recommande une gestion « make-before-break » lorsqu'un détenteur souhaite une joignabilité continue: établir une alternative appropriée avant de révoquer la ROA précédente et permettre aux parties prenantes de récupérer le nouvel état.

Cela ne donne pas au registre la permission de planifier le réseau de l'acheteur. Cela donne au registre et au système de certificats le devoir de rendre le passage autorisé fiable et observable. Le destinataire choisit les origines et le calendrier de déploiement. Les fournisseurs amont choisissent la politique d'import et d'export. Le RIR maintient le service de certificat lié à la ressource de manière cohérente avec l'enregistrement reconnu.

Dans un enregistrement de transaction, RPKI devrait apparaître comme un quatrième reçu attaché aux deuxième et troisième événements: le moment où la nouvelle autorisation est devenue disponible et l'ancienne autorité a été supprimée. Il ne doit pas être confondu avec l'horodatage de clôture du contrat ou la première route stable.

Les séquences possibles prouvent qu'aucun événement unique n'est décisif

La séquence de transaction la plus simple est l'accord, l'achèvement du registre et le déploiement du routage. Même là, les horloges s'alignent rarement exactement. Les parties peuvent signer des semaines avant l'achèvement. Le registre peut mettre à jour à un moment choisi par son service desk. L'acheteur peut annoncer un préfixe de test immédiatement, attendre les mises à jour de géolocalisation et de filtrage, ou conserver le bloc inutilisé jusqu'à un lancement de réseau planifié.

D'autres séquences sont légitimes. Un acheteur peut obtenir une pré-approbation avant de négocier le prix. Un vendeur peut permettre une annonce temporaire pour que l'acheteur teste l'acceptation amont, avec une clôture toujours conditionnelle. Un acheteur peut acquérir une entreprise dont le réseau originaire déjà les routes, faisant du contrôle commercial le changement principal tandis que l'ASN d'origine reste constant. Un transfert temporaire RIPE peut placer l'enregistrement chez la partie recevante pour une durée définie puis le restituer, tandis que l'arrangement commercial ressemble plus à un bail qu'à une vente pure.

La séquence inverse peut aussi exposer des risques. Les routes peuvent bouger alors que l'ancien inscrit reste dans le registre public. Les rapports d'abus et les systèmes de géolocalisation pointent alors vers la mauvaise organisation. Un fournisseur amont peut se fier à une lettre d'autorisation qui devient contestée. Les identifiants du vendeur peuvent rester capables de modifier les autorisations de routage après que l'acheteur a payé. Ce sont des raisons d'aligner les événements, pas de les déclarer identiques.

Un changement de registre sans changement de routage n'est pas intrinsèquement suspect. L'acheteur peut inventorier un bloc, migrer progressivement, conserver un fournisseur de réseau géré ou acquérir une holding dont la filiale opérationnelle continue d'originer. Un changement de routage sans changement de registre n'est pas une preuve de vente cachée: les annonces client, la réaffectation, la location, l'hébergement et les services de mitigation peuvent tous séparer l'utilisation de l'enregistrement de premier niveau.

La question d'audit n'est pas de savoir si chaque transfert suit un ordre idéal. Elle est de savoir si l'ordre était autorisé, documenté et sûr; si aucune revendication incompatible n'existait; et si chaque acteur n'a effectué que la décision qui lui était assignée.

Les journaux de transfert sont des reçus du registre, pas des bandes de marché complètes

Les journaux de transfert des RIR sont indispensables car ils créent une trace publique des changements reconnus. RIPE NCC publie la partie offrante, les blocs originaux et transférés, la partie recevante, les informations de pays disponibles, le type de transfert et la date de traitement. APNIC tient un journal public couvrant les transferts de marché, de fusion, d'acquisition et historiques. ARIN publie des statistiques de transfert et des données pour les activités intra-régionales et inter-RIR. La politique de LACNIC exige un journal accessible publiquement avec les parties, les ressources et la date de transaction.

Ces journaux doivent être lus comme des reçus administratifs. Ils sont plus forts que l'anecdote pour le fait de la reconnaissance par le registre et une preuve faible pour tout ce qui est omis. La plupart ne publient pas le prix, la date de paiement, les conditions échouées, les frais de courtier, la structure de financement, la première route, les ROA anciennes et nouvelles, les garanties contractuelles ou le temps que le registre a contrôlé la demande.

Une analyse d'APNIC des journaux des RIR a estimé que les entrées depuis 2012 représentaient environ 309 millions d'adresses transférées jusqu'en 2024, tout en avertissant que les blocs transférés plusieurs fois rendent cet agrégat une surestimation de l'espace unique. L'analyse a également soulevé la question non résolue de savoir si chaque transfert pratique est enregistré. Cette mise en garde est précisément la raison pour laquelle le modèle à trois événements est utile. Un journal de registre peut être complet en ses propres termes tout en manquant des arrangements d'utilisation privée.

BGP peut révéler un changement opérationnel tout en manquant le marché. Aucun ensemble de données ne doit être étiré pour couvrir l'autre.

Un bon reporting public relierait les couches sans divulguer les contrats confidentiels. Il peut publier l'achèvement du registre, le type de transfert, le préfixe et les parties; le temps de traitement agrégé et la raison du refus; et un indicateur opérationnel optionnel ultérieur montrant si le bloc est devenu visible depuis une nouvelle origine. La transparence des prix appartient à une conception distincte de reporting de marché et devrait utiliser l'agrégation lorsque la confidentialité est justifiée.

La discipline est d'étiqueter chaque champ par événement. Une date sans définition est une source de fausse certitude.

Les courtiers relient les événements mais ne les fusionnent pas

Les courtiers existent en partie parce que les trois événements nécessitent des expertises différentes. Ils trouvent des contreparties, aident à déterminer si un bloc est éligible, organisent la diligence, coordonnent les formulaires des RIR, séquencent le séquestre et introduisent des vérifications techniques. APNIC tient une liste de courtiers qui acceptent de mener les activités de transfert de manière équitable, d'agir de bonne foi et de représenter avec précision les politiques des RIR.

LACNIC autorise les intermédiaires sur sa liste d'appariement tout en précisant que leur utilisation est facultative et que leurs services ne sont pas garantis par le registre.

Le pouvoir pratique du courtier rend la définition des rôles importante. Un courtier peut connaître le calendrier de la transaction mieux que tout entité individuel, mais ne devrait pas certifier des faits en dehors de ses preuves. Il peut attester que les parties ont signé par son processus ou qu'il a soumis des documents spécifiés. Il ne peut pas attester de manière concluante que chaque fournisseur amont acceptera les routes. Il ne devrait pas représenter la pré-approbation du registre comme une garantie de clôture si l'éligibilité de la source, les litiges ou la coordination inter-RIR restent ouverts.

Les conflits traversent également les limites des événements. Un courtier payé à la clôture peut préférer un accord commercial rapide, tandis que les ingénieurs ont besoin de temps pour tester l'acceptation de la route. Un courtier détenant ou sélectionnant le séquestre peut influencer la libération du paiement. Un courtier qui loue également de l'espace pourrait avoir un intérêt dans le choix de l'acheteur entre propriété ou utilisation temporaire. Ces conflits appellent une divulgation et des contrôles contractuels, pas une prise de contrôle du courtage par le RIR.

Le meilleur enregistrement d'un courtier est une feuille de réconciliation. Elle liste la signature du contrat, les conditions, la soumission au registre, les accusés de réception des parties, l'approbation, la mise à jour de l'enregistrement, la libération du séquestre, le transfert des identifiants, le changement de ROA, la première annonce et l'utilisation stable. Chaque ligne identifie l'acteur responsable et la preuve. La feuille ne convertit pas le courtier en autorité publique. Elle rend la coordination inspectable.

Les réseaux amont détiennent un droit de décision opérationnel indépendant

Les acheteurs traitent parfois l'approbation du registre comme si elle obligeait un fournisseur à router l'espace. Ce n'est pas le cas. Les fournisseurs amont ont des contrats, des politiques de routage, des contrôles de sécurité, des règles de longueur de préfixe, une authentification client et des jugements de risque. Le RFC 8212 reflète le principe selon lequel les routes BGP externes ne doivent pas être envoyées ou acceptées sans politique explicite. La validation RPKI peut être une entrée. Les données de registre, les objets de routage et les lettres d'autorisation peuvent en être d'autres.

Cette indépendance peut frustrer un acheteur qui a payé et effectué le changement d'enregistrement. Pourtant, la supprimer serait pire. Un registre central ne devrait pas commander à des milliers de réseaux autonomes d'accepter une route. Les opérateurs doivent rester capables de filtrer un détournement, de rejeter une annonce malformée, d'appliquer les limites client et de choisir les chemins. Le prix du contrôle distribué est que l'acceptation opérationnelle nécessite une préparation plutôt qu'une approbation cérémonielle.

La diligence technique de l'acheteur devrait commencer avant la clôture. Elle devrait inventorier les tailles de préfixe, les origines actuelles, les annonces plus spécifiques, les objets de route, les ROA, le DNS inverse, les contacts d'abus, l'historique de géolocalisation, les listes noires et les exigences des fournisseurs. Elle devrait demander à chaque fournisseur amont prévu quelles preuves et délais il nécessite. Aucune de ces vérifications ne signifie que le fournisseur amont décide si la vente commerciale est valide. Elles signifient que le fournisseur décide ce qu'il transportera.

Le vendeur a aussi des devoirs. Il devrait identifier les services en direct, les clients, les délégations et les identifiants qui doivent être supprimés ou migrés. Il ne devrait pas retirer les routes ou révoquer les autorisations plus tôt que convenu si cela interrompt le service. Il ne devrait pas non plus conserver le contrôle opérationnel après le transfert. Un transfert propre réduit la période pendant laquelle deux organisations peuvent agir plausiblement sur le même bloc.

La finalité du routage est donc probabiliste et définie. Elle peut signifier que l'origine prévue est restée visible sur un ensemble déclaré de collecteurs et acceptée par des fournisseurs amont nommés pendant un intervalle spécifié, sans origine conflictuelle et avec un état RPKI acceptable. Elle ne peut pas honnêtement signifier que chaque réseau sur Terre a convergé pour toujours.

La finalité nécessite trois reçus, pas une grande déclaration

Les marchés ont besoin d'un point auquel les parties peuvent libérer de l'argent, reconnaître un actif et cesser de s'attendre à un retour ordinaire. Le modèle à trois événements ne rejette pas la finalité. Il rend la finalité plus précise.

La finalité commerciale est régie par l'accord. Elle a lieu lorsque les conditions de clôture stipulées sont remplies ou levées et que la contrepartie est libérée. Le reçu peut être un certificat de clôture ou une confirmation de séquestre. Les recours contractuels peuvent survivre à la clôture, mais le marché a franchi son seuil défini.

La finalité du registre a lieu lorsque le RIR responsable a engagé le changement d'état reconnu, a rendu le destinataire capable de gérer la ressource sous son modèle de service, et a émis un avis d'achèvement. Tout pouvoir de correction ou de retour devrait être limité: fraude, erreur matérielle, ordonnance compétente d'un tribunal ou autre motif clairement défini, accompagné d'un avis et d'un examen lorsque l'urgence le permet. Un enregistrement de registre qui peut être rouvert à discrétion indéfinie n'est pas assez final pour un marché d'actifs capitalistiques.

La finalité opérationnelle est un critère de service. Elle a lieu lorsque les annonces et autorisations prévues sont suffisamment stables pour le déploiement de l'acheteur, pas lorsque un employé du registre appuie sur un bouton. Les parties peuvent faire dépendre la libération du paiement de la seule finalité du registre, d'une confirmation opérationnelle courte, ou d'étapes progressives. Elles devraient choisir explicitement.

Trois reçus améliorent également les litiges. Si le paiement a été libéré mais aucun changement d'enregistrement n'a eu lieu, le recours commercial est visible. Si l'enregistrement a changé mais les routes ont échoué parce qu'un fournisseur amont a rejeté une origine invalide, la cause opérationnelle est visible. Si le registre a retardé après que les deux parties ont satisfait une liste de contrôle publiée, la performance institutionnelle est visible. Tout effondrer en « transfert échoué » protège le mauvais acteur de l'examen.

Un identifiant de transaction commun peut lier les reçus sans exposer les termes secrets. Il n'a pas besoin d'être un numéro public universel. Les parties et le RIR peuvent maintenir une référence partagée, avec un rapport public utilisant un dérivé préservant la vie privée le cas échéant. La caractéristique essentielle est la réconciliation, pas la surveillance.

Le registre a un droit de décision étroit et un véritable devoir de service

L'étroitesse ne doit pas être confondue avec la passivité. Un registre qui se contente d'accepter n'importe quel courriel et de modifier un enregistrement inviterait à une autorité falsifiée, un double transfert et un état contesté. Le service approprié comporte plusieurs devoirs affirmatifs.

Il doit authentifier les organisations et les représentants autorisés. Il doit établir que la source est le détenteur reconnu ou le successeur légitime pour la ressource demandée. Il doit identifier les verrous, les transferts antérieurs, les blocs réservés et les litiges actifs que la politique rend pertinents. Il doit s'assurer que le destinataire peut entrer dans la relation de service applicable. Il doit se coordonner avec un autre RIR lorsque l'administration traverse les régions. Il doit engager un état cohérent, préserver une piste d'audit et fournir des raisons lorsqu'il refuse.

Ces devoirs protègent l'invariant global d'unicité et l'intégrité pratique de l'enregistrement. Ils sont différents de l'évaluation du prix, de la sagesse des investisseurs de l'acheteur, du mérite de son produit, du fournisseur amont à utiliser ou du moment du lancement. Le registre devrait tester l'autorité et l'état, pas le mérite commercial.

La distinction peut être exprimée comme un contrefactuel. Demandez si le fait contesté pourrait changer sans créer deux détenteurs valides, corrompre l'enregistrement ou violer une restriction de sécurité définie. Le prix peut changer sans nuire à l'unicité. Le financement peut changer. L'acheteur peut choisir un fournisseur amont ou un autre. Il peut retarder le déploiement. Ces questions appartiennent à l'extérieur du jugement ordinaire du registre. L'autorité de la source ne peut être ignorée car accepter une fausse source corromprait l'enregistrement. Un transfert conflictuel simultané ne peut être ignoré.

Ces questions appartiennent à l'intérieur.

Le devoir de service du RIR inclut la rapidité. Un rôle étroit n'est pas une excuse pour une file d'attente indéfinie. Publier les preuves requises, identifier si une horloge attend le demandeur ou le registre, fournir le statut, et mesurer la queue ainsi que la médiane. Lorsqu'un cas difficile nécessite plus de preuves, expliquer la catégorie sans exposer des documents confidentiels. La finalité dépend d'une administration limitée.

Les litiges nécessitent un gel qui préserve les faits, pas une prise de contrôle du marché

Les transferts réels rencontrent l'insolvabilité, des allégations de fraude, une succession d'entreprise, des sanctions, des ordonnances judiciaires et des signataires concurrents. Le modèle à trois événements est le plus précieux ici car il empêche un litige dans une couche de réécrire silencieusement toutes les couches.

Si deux personnes revendiquent l'autorité pour le vendeur, le registre peut devoir suspendre le changement d'enregistrement pendant qu'il vérifie l'autorité corporative ou respecte une ordonnance compétente. Cette pause ne détermine pas qui a violé le contrat d'achat. Un tribunal ou un tribunal convenu peut décider des droits contractuels. Le RIR fournit des enregistrements précis, préserve les preuves et suit le résultat dans son rôle légal.

Si des routes bougent pendant un litige de registre, leur existence devrait être enregistrée mais pas traitée comme une victoire automatique. Un annonceur non autorisé peut créer un fait opérationnel sans acquérir de droit contractuel ou d'enregistrement. De même, le registre ne devrait pas décrire une route valide existante comme techniquement irréelle simplement parce qu'un litige commercial est en cours. Les opérateurs peuvent avoir besoin de continuité pendant que les réclamations sont résolues.

Un gel proportionné a une portée, une raison, un moment de début, un examinateur et une date d'expiration ou de révision. Il empêche l'état d'enregistrement contesté de changer tout en préservant les services actuels là où c'est sûr. Il ne devrait pas geler des ressources non liées, divulguer des allégations confidentielles comme des faits prouvés ou forcer les parties à un règlement préféré par le registre.

Une action d'urgence peut être nécessaire lorsqu'il existe des preuves crédibles de compromission de compte ou d'autorité falsifiée. Même dans ce cas, la restauration et l'examen devraient suivre. Un gel de sécurité protège l'enregistrement; ce n'est pas une opportunité d'acquérir un pouvoir illimité sur les affaires du détenteur.

Les transferts inter-RIR nécessitent un engagement à deux registres

Lorsqu'un transfert franchit les limites des RIR, l'événement du registre lui-même a deux côtés institutionnels. Le RIR source connaît l'enregistrement existant et les restrictions source. Le RIR destinataire connaît la relation de destinataire et la politique de destination. S'ils mettent à jour indépendamment sans règle d'achèvement partagée, la ressource peut apparaître dans les deux endroits, dans aucun, ou dans des états différents à des moments différents.

La solution ressemble à un engagement contrôlé à deux registres. D'abord, chaque RIR valide les faits qui lui sont assignés. Ensuite, les deux marquent la préparation par rapport au même ensemble de ressources et de parties. Troisièmement, une action coordonnée établit le moment effectif de l'achèvement. Quatrièmement, les enregistrements publics et de compte sont réconciliés. Si l'action ne peut pas être achevée, le système revient à l'état antérieur sans prétendre qu'un demi-transfert est final.

Ce langage décrit la conception de service, pas une affirmation que les systèmes actuels des RIR utilisent littéralement un protocole de transaction technique unique. L'exigence est une cohérence observable. Les parties devraient recevoir un horodatage de registre effectif unique et savoir quelle institution est responsable de toute divergence restante.

La compatibilité des politiques inter-RIR est un problème distinct. Un registre peut imposer un test de besoin ou une période de détention plus longue. Cela peut empêcher le transfert même lorsque la technologie de mise à jour de l'enregistrement est fiable. Le présent article ne résout pas cette barrière commerciale. Il insiste pour qu'un refus politique soit étiqueté comme tel plutôt que déguisé en incapacité technique de modifier l'enregistrement.

Le routage reste en dehors de l'engagement à deux registres. Les autorisations d'origine peuvent être séquencées autour de lui, mais les opérateurs externes conservent le choix local. Une transaction mondiale de registre qui tenterait de rendre l'acceptation de la route automatique transformerait un service d'enregistrement utile en système de commandement.

Un audit devrait reconstruire les trois événements séparément

Un audit de transfert de haute qualité commence par trois colonnes. La colonne commerciale enregistre la signature, les conditions, l'autorité de clôture, le statut du séquestre et la libération du paiement. La colonne du registre enregistre la pré-approbation le cas échéant, la soumission, les demandes de preuves, l'accusé de réception des parties, la décision politique, l'achèvement coordonné et le changement d'enregistrement public. La colonne opérationnelle enregistre les origines prévues, les états ROA, les objets de route, l'acceptation amont, les premières annonces, la stabilité et le retrait de l'accès du vendeur.

Chaque entrée nécessite une source, un horodatage, un acteur et une confiance. Un contrat signé est une preuve primaire pour ses termes. Un avis d'achèvement du registre est une preuve primaire pour la reconnaissance par le registre. Les observations des collecteurs sont une preuve primaire de ce que ces points de vue ont vu. Le souvenir d'un courtier peut connecter un contexte manquant mais ne devrait pas supplanter des enregistrements plus forts.

La reconstruction devrait préserver le désaccord. Si le contrat définit la clôture à 14:00 UTC et le journal de transfert public montre le jour calendaire suivant, la différence peut refléter le traitement ou la convention de fuseau horaire. Elle devrait être expliquée, pas arrondie en une date. Si un préfixe est apparu de deux origines pendant la migration, le chevauchement devrait être mesuré. Si l'acheteur n'a jamais routé le bloc, la colonne opérationnelle devrait le dire sans impliquer que le transfert de registre était invalide.

Cette méthode empêche également les affirmations gonflées dans l'analyse de marché. Compter les lignes de registre mesure les changements reconnus. Compter les changements d'origine mesure les événements de routage. Compter les transactions des courtiers mesure les arrangements commerciaux connus de ce courtier. Les dénominateurs sont différents. Un chercheur peut les comparer, mais ne devrait pas les additionner comme s'ils étaient une seule population.

Pour les parties, l'audit devient un contrôle post-clôture. Il confirme que les identifiants du vendeur ont été supprimés, que les contacts de l'acheteur sont exacts, que les autorisations correspondent aux origines prévues, et que les enregistrements contractuels se réconcilient avec le reçu du registre. Pour le RIR, les audits agrégés peuvent exposer les cas retardés, les demandes de preuves incohérentes et les échecs inter-RIR récurrents sans exposer les prix.

Number Resource Society peut promouvoir un registre plus mince et un transfert plus sûr

L'alternative positive n'est pas un marché sans enregistrements. Les identifiants uniques et rares à l'échelle mondiale ont besoin d'un état fiable, et les marchés ont besoin de finalité. Number Resource Society offre une direction de plaidoyer dans laquelle ARIN et les autres RIR reconnus rendent ce service d'état plus portable, testable et modeste. NRS est distincte de l'NRO et n'exploite pas le registre de transfert faisant autorité.

La norme de transfert préconisée par NRS définirait la transition d'état minimale valide: source identifiée, preuve de contrôle, destinataire identifié, ressource exacte, aucun état préalable incompatible, signatures autorisées, heure effective et historique durable. Les RIR responsables valideraient et enregistreraient le changement faisant autorité; les tribunaux ou les examinateurs indépendants résoudraient les litiges juridiques. NRS peut publier la norme et les preuves des membres sans approuver le transfert.

Les fournisseurs de services pourraient vérifier et publier la transition sans acquérir d'autorité sur le prix, le financement, la sélection du courtier, le plan client ou la route. Une transition contestée porterait un statut visible et un chemin de preuve plutôt que d'être effacée par une discrétion inexpliquée. Les règles de finalité identifieraient les motifs étroits et le processus de correction. Des miroirs indépendants et une succession testée protégeraient la continuité si un opérateur de service échouait.

La portabilité est essentielle car elle discipline le teneur de registre. Si un détenteur peut déplacer son état vérifié et son historique vers un service compatible sans perdre la reconnaissance pratique, un mauvais service a une conséquence de sortie. L'opérateur doit toujours préserver l'unicité; il n'obtient pas une licence pour créer des copies conflictuelles. La portabilité concerne la garde et le service, pas la duplication de la ressource.

NRS peut également clarifier la limite de routage dans ses recherches. La preuve portable de l'enregistrement provient du registre reconnu, et les objets d'autorisation de route proviennent de l'autorité RPKI appropriée. Les réseaux continuent de valider et de choisir localement. NRS ne signe ni les objets ni ne contrôle la politique de routage.

C'est plus fort que de simplement demander aux RIR d'aujourd'hui de promettre la retenue. Cela fait de la retenue une partie de l'architecture du service: un petit ensemble de vérifications déterministes, une piste d'audit complète, un enregistrement portable, une finalité explicite et aucune autorisation permanente sur les choix commerciaux ordinaires.

Le mot transfert ne devrait plus jamais être utilisé seul

La rareté de l'IPv4 a rendu un changement de registre économiquement significatif, mais la signification ne fusionne pas les institutions. Le vendeur et l'acheteur créent un marché. Le registre reconnaît un changement d'état. Les opérateurs créent et acceptent la joignabilité. RPKI lie le contrôle reconnu à l'autorisation d'origine tout en laissant l'action de routage locale. Les courtiers et les agents de séquestre coordonnent les limites sans devenir la source de toute vérité.

La réforme pratique est linguistique et institutionnelle. Chaque rapport sérieux devrait dire quel transfert il entend. Le contrat a-t-il été signé? A-t-il été clôturé? Le RIR a-t-il effectué le changement d'enregistrement? L'acheteur a-t-il obtenu le contrôle du compte? Une ROA prévue a-t-elle été publiée? La nouvelle origine est-elle devenue visible? Les fournisseurs amont l'ont-ils acceptée? Ce sont des questions auxquelles on peut répondre. « Le transfert a-t-il eu lieu? » n'est pas une question à laquelle on peut répondre tant que l'événement n'est pas nommé.

Cette précision protège toutes les parties. Les acheteurs obtiennent une conception de clôture plus claire et peuvent localiser le risque opérationnel avant de payer. Les vendeurs peuvent prouver la livraison sans garantir le réseau de l'acheteur. Les courtiers peuvent énoncer la limite de leur coordination. Les fournisseurs amont conservent l'autonomie de routage. Les registres peuvent être tenus à une norme de service exigeante mais limitée.

Plus important encore, la distinction ramène le teneur de registre à l'échelle de l'enregistrement. Le registre n'a pas créé la valeur commerciale, négocié le marché ou transporté les paquets. Il accomplit l'acte intermédiaire indispensable: préserver un compte cohérent du contrôle reconnu. Cet acte mérite une authentification soigneuse, une exécution rapide, une auditabilité et une continuité. Il ne justifie pas la domination sur les actes de part et d'autre.

Un marché de transfert mature publiera et réconciliera donc trois horloges. La finalité contractuelle, la finalité du registre et l'utilisation opérationnelle peuvent être proches, mais elles ne seront jamais le même événement. Le système devient plus sûr lorsqu'il cesse de prétendre le contraire.

Sources