Résumé

  • Le procès-verbal provisoire du conseil d'administration de RIPE NCC rapporte une discussion sur un nom de domaine .org suspendu après une désignation américaine. Le directeur général préconise des plans de continuité; le conseil accepte le risque « pour l'instant » et veut examiner des protections.
  • Le rapport financier de RIPE NCC décrit déjà le traitement des risques, les responsables de suivi et les comptes rendus semestriels au conseil. La discussion publiée ne précise ni responsable, ni échéance, ni mesure retenue pour cette dépendance particulière.

« Pour l'instant » ne figure pas sur un calendrier

Le nom d'une organisation italienne cesse d'être activé dans le DNS. Quelques semaines plus tard, à Amsterdam, un administrateur de RIPE NCC apporte le cas en fin de réunion. Le directeur général répond qu'il faut prévoir des plans de continuité. Puis tombe cette formule du procès-verbal provisoire de la 195e réunion : le conseil accepte le risque pour l'instant et vérifiera si des protections sont possibles. L'expression installe une pause. Elle n'indique pas qui doit mettre fin à la pause.

La réunion s'est tenue les 14 et 15 septembre 2026; le texte a été publié le 29 septembre avec le statut de projet. La discussion est rangée parmi les questions diverses, sans résolution numérotée. Le passage public ne donne ni propriétaire du risque, ni classe de risque, ni date de retour devant le conseil. C'est une limite du compte rendu public, pas une preuve que RIPE NCC ne travaille pas en interne. Pour des membres qui dépendent de ses services, cette nuance ne remplace pas une échéance.

Le point de départ n'a rien d'abstrait. L'avis original de l'OFAC du 26 août inscrit Autistici Inventati sur la liste américaine des personnes et entités désignées et mentionne www.autistici.org. Dans son message au groupe DNS de RIPE, Timo Hilbrink rapporte que l'opérateur du registre .org a placé le domaine sous serverHold deux jours après. ICANN décrit ce statut comme une décision de l'opérateur de registre qui empêche l'activation du domaine dans le DNS. L'avis de l'OFAC constate la désignation; il ne contient pas d'ordre direct au registre.

Hilbrink pose ensuite, dans le programme de RIPE 93, une question de portée générale sur les grands domaines génériques et les moyens de réduire les dégâts. Son message initial la rend plus personnelle pour RIPE NCC : que se passerait-il si ripe.net recevait un jour le même statut ? Cette question décrit un scénario. Aucun des documents utilisés ici ne dit que RIPE NCC est désigné, que son nom est suspendu ou qu'un tel geste est annoncé. Le conseil a pourtant jugé l'hypothèse assez sérieuse pour discuter d'un plan.

RIPE NCC possède déjà le mode d'emploi du risque

Le rapport financier 2025 de RIPE NCC détaille un dispositif qui rend la brièveté du procès-verbal frappante. Une évaluation générale a lieu au moins une fois par an, avec des registres par service. Les risques au-delà de l'appétence approuvée donnent lieu à des plans de traitement. Un comité de gouvernance suit leur exécution; le conseil reçoit un rapport d'avancement deux fois par an. En décembre 2025, il a adopté une appétence « prudente » pour les risques opérationnels et de conformité, « équilibrée » pour les risques stratégiques. Le même rapport cite les sanctions et la diversité des juridictions parmi les pressions sur les contrats et la continuité.

Un nom de domaine dépendant d'un autre registre traverse ces rubriques sans se laisser ranger facilement dans une seule. Le document public de septembre ne montre pas où le conseil a classé cette dépendance. Il ne dit pas non plus si l'acceptation temporaire reste dans l'appétence approuvée ou appelle un plan de traitement. Le rapport annuel expose la grammaire; le procès-verbal laisse la case du cas précis vide.

Les plans de continuité évoqués par le directeur général pourraient couvrir l'inventaire des services liés au domaine, des voies d'accès alternatives, des messages aux membres ou un exercice de restauration. Ce sont des options à examiner, pas des mesures que RIPE NCC aurait annoncées. L'institution peut protéger les détails techniques sensibles tout en publiant un responsable, une étape et le mois du prochain examen. C'est le minimum pour transformer « nous regarderons » en décision contrôlable.

La distinction avec la vérification ordinaire des membres compte. RIPE NCC explique dans son rapport qu'il contrôle en continu membres et fournisseurs, notamment à l'aide d'outils automatisés de sanctions. Cette vérification relève de sa propre porte d'entrée. La discussion de septembre porte sur une porte extérieure : celle du registre qui décide de l'état d'un nom dont RIPE NCC pourrait dépendre. Un même mot, « sanctions », recouvre ainsi deux chaînes de décision différentes.

Documents originaux