Résumé

  • La politique RIPE-563 de 2012 a introduit l'attribut obligatoire abuse-c: sans aucune validation ; RIPE-705, issue de la proposition 2017-02 mise en œuvre en octobre 2019, impose une validation technique annuelle qui vérifie la syntaxe, le DNS et la configuration du serveur de messagerie — sans jamais envoyer de courriel ni exiger une action du contact.
  • L'analyse d'impact de 2017-02 estimait que 10 à 25 % des quelque 70 000 attributs abuse-mailbox: distincts de la base RIPE pouvaient être incorrects ou inactifs.
  • Lors du déploiement documenté par RIPE Labs, environ 9 500 contacts sur ~67 000 vérifiés (~14 %) ont été mis à jour, sans fermeture de membre ; au RIPE 79, le RIPE NCC rapportait 93 % de réussite à la validation automatisée.
  • La proposition 2019-04, qui aurait exigé que la boîte reçoive réellement des messages, a été retirée le 8 septembre 2020 faute de consensus ; des opérateurs estimaient que le coût dépassait les bénéfices allégués.
  • Les études indépendantes (USENIX Security 2016, ICIR ; WEIS 2017, Cetin et al.) mesurent que 85,9 à 92,8 % des contacts d'abus issus des registres ne reçoivent aucune réponse, même lorsqu'ils sont délivrables.

Un contrôle conçu pour la délivrabilité, pas pour la réponse

Le mécanisme abuse-c naît avec RIPE-563 en 2012 : chaque numéro de système autonome doit référencer un objet de rôle contenant une seule adresse abuse-mailbox:, destinée aux signalements automatiques et manuels d'abus, publiquement interrogeable [1]. Le texte de 2012 ne prévoyait aucune validation de cette information — c'est le constat que la proposition 2017-02 a posé comme point de départ : le registre recevait chaque année plusieurs centaines de signalements de coordonnées invalides et les traitait sans jamais pouvoir suspendre une ressource pour ce motif.

La proposition 2017-02, acceptée le 1er juin 2018 et mise en œuvre le 10 octobre 2019 dans le document RIPE-705, a donné au RIPE NCC un mandat de validation annuelle [2]. Mais la nature de ce contrôle mérite d'être lue précisément. L'outil vérifie qu'il n'y a pas d'erreur de format, examine les entrées DNS, cherche des adresses pièges et teste que la boîte existe et peut accepter du courrier. Comme le résume le document de proposition : « cet outil n'envoie aucun courriel et ne nécessite aucune action de la part du contact d'abus » ; 92,5 % des adresses passaient ce contrôle automatisé [6].

Autrement dit, le contrôle documenté mesure la délivrabilité technique. Il ne mesure jamais qu'un humain lit et traite les signalements — la fonction même pour laquelle le mécanisme existe.

Ce que disent les chiffres publics

Trois séries de chiffres, de sources différentes, permettent de cerner l'écart entre contrôle documenté et résultat fonctionnel.

Avant la mise en œuvre, l'analyse d'impact de 2017-02 estimait que 10 à 25 % des ~70 000 attributs abuse-mailbox: distincts pouvaient être incorrects ou inactifs, et notait que le RIPE NCC avait traité plus de 1 000 signalements externes en cinq ans sans jamais déclencher la fermeture ou la désinscription, présentée comme un ultime recours assorti de trois mois supplémentaires de délai [1].

Pendant le déploiement suivi par RIPE Labs, environ 9 500 contacts ont été mis à jour sur ~67 000 vérifiés (~14 %), environ 60 % des cas étant résolus par le processus automatisé, une cinquantaine de ressources indépendantes changeant de statut de sponsoring, et aucun membre n'a été fermé pour non-coopération [4]. Le RIPE NCC présentait au RIPE 79 un taux de 93 % de réussite à la validation automatisée [5].

Enfin, les études indépendantes — donc non opérateur — apportent la seule mesure de l'issue fonctionnelle. L'étude USENIX Security 2016 de l'ICIR et l'étude WEIS 2017 de Cetin et al. ont observé que 85,9 % à 92,8 % des contacts d'abus issus des registres et du whois ne recevaient aucune réponse, y compris lorsque les adresses étaient délivrables [10][11]. C'est précisément l'écart que la validation technique ne peut pas détecter : une boîte peut passer tous les contrôles de délivrabilité et rester sans réponse humaine.

La tentative de resserrage rejetée

La proposition 2019-04 « Validation of "abuse-mailbox" » proposait de tester la fonction, pas seulement le format : la boîte devrait recevoir des messages (automatisés ou manuels) et ne pourrait pas obliger l'expéditeur à passer par un formulaire web, avec une validation au moins semestrielle. Elle a été retirée le 8 septembre 2020, les coprésidents du groupe de travail estimant qu'aucune nouvelle version n'atteindrait le consensus ; l'appel du proposant a été accueilli favorablement le 26 octobre 2020 [7][8].

Les raisons documentées du rejet sont économiques : le RIPE NCC estimait la charge ajoutée à environ dix fois le niveau courant, après avoir déjà dû mobiliser trois agents temporaires en 2019 pour la validation initiale. Dans la discussion d'archivage, Nick Hilliard et Erik Bais jugeaient que « l'effort et le coût de mise en œuvre de cette proposition sont trop élevés par rapport aux bénéfices allégués », et aucun message de soutien n'a été reçu pendant la phase d'examen [8]. Le dossier enregistre donc un choix collectif explicite : préférer une conformité peu coûteuse à un test de réception fonctionnelle.

Le registre ne peut pas contraindre

Le RIPE NCC le dit lui-même dans ses pages d'aide : le registre ne peut pas contraindre un opérateur à répondre aux signalements d'abus ; les plaignants sont orientés vers la boîte abuse-c de l'opérateur, et l'obligation de réponse incombe à l'opérateur [12][13]. La chaîne de responsabilité documentée s'arrête donc à la porte de la boîte : le registre valide que la porte existe, pas que quelqu'un est derrière.

Les chiffres annuels 2025 illustrent l'exercice du contrôle sans son résultat fonctionnel : 2 320 enquêtes de validation abuse-c, 86 959 adresses validées, et des fermetures de membres essentiellement motivées par le non-paiement (172), aucune pour contact abuse-c invalide [13][14]. La procédure RIPE-858 de fermeture et de désinscription, révisée le 7 mai 2026, a par ailleurs supprimé les rappels postaux au profit du courriel — un rétrécissement du canal de notification documenté sans évaluation publiée de son effet sur la recevabilité effective des mises en demeure [15].