Résumé

  • ICANN a ouvert le 12 octobre une consultation sur l’évaluation de sûreté et de stabilité d’Interisle Consulting Group concernant l’automatisation des enregistrements DS de DNSSEC.
  • Interisle estime que le mécanisme ne soulève pas de problème significatif au regard des définitions applicables si sept exigences impératives sont respectées et si sept catégories d’information sont documentées.
  • Cette consultation constitue une étape probatoire, pas une autorisation de déploiement : l’ICANN org doit encore prendre sa propre décision et le projet de clauses contractuelles sera soumis plus tard.

La condition précède le débat public. En septembre 2025, le Conseil d’administration d’ICANN a accepté les recommandations du SSAC et chargé l’ICANN org de mettre en place une voie Fast Track au titre de la Registry Services Evaluation Policy pour les opérateurs de registre, à condition que l’organisation ne relève aucun problème de sécurité ou de stabilité. La même résolution précise que les registrars peuvent déployer le service sans approbation d’ICANN. Un an plus tard, l’organisation soumet une évaluation externe aux commentaires ; elle n’annonce pas que la condition est remplie.

Datée du 23 juin, l’étude d’Interisle porte sur une chaîne d’opérations circonscrite. L’opérateur de la zone enfant publie des enregistrements CDS ou CDNSKEY signés. Le registre parent ou le registrar qui parraine le domaine peut les récupérer et les valider ; seul le registre publie ensuite l’enregistrement DS dans la zone parente. Le titulaire conserve l’autorité ultime sur sa configuration DNSSEC, tandis que les opérateurs, registrars et registres contrôlent des étapes différentes.

Un DS relie la clé d’une zone enfant à la chaîne de confiance de sa zone parente. L’automatisation peut raccourcir une mise à jour, mais transforme aussi un signal émis par un acteur en changement publié dans la zone d’un autre. Interisle examine la maintenance courante des DS, leur provisionnement initial et le passage à une délégation non sécurisée. Son périmètre exclut les API push ou hors bande et CSYNC.

Les 18 constats n’ont pas tous le même poids. Sept exigences sont impératives : validation du DS côté parent ; cohérence entre serveurs faisant autorité ; faculté de retrait pour le registrar ; maintien de la maintenance courante malgré un verrou clientUpdateProhibited ; conservation d’un mode manuel ; traitement correct d’un signal authentifié avec algorithme zéro lors du retrait de DNSSEC ; et notification du registrar lorsque le registre pilote l’automatisation par EPP. Sept divulgations portent sur les choix de l’opérateur — cadence de balayage, délais, TTL et retour arrière, configuration multi-signataire ou canaux de signalement. Quatre pratiques recommandées vont au-delà du socle, notamment la détection des écarts et la réduction durable des TTL DS.

La conclusion d’Interisle est donc conditionnelle, pas un certificat valable pour toute mise en œuvre. Le rapport estime que le mécanisme ne pose pas de problème significatif de sécurité ou de stabilité au sens de la RSEP si les exigences sont respectées et les divulgations consignées. Il signale encore trois points de vigilance : les configurations multi-signataires, l’observabilité et la condition de serveurs de noms signés pour une méthode d’amorçage.

La consultation demande si l’évaluation recense les risques pertinents et si ses mesures sont suffisantes, proportionnées et réalisables. Les commentaires ferment le 23 novembre 2026 ; le rapport de synthèse est attendu le 7 décembre. ICANN prévoit d’examiner d’éventuelles modifications, de publier un addendum expliquant son analyse, puis de soumettre le projet de clauses standard Fast Track à une autre procédure. La directive conditionnelle du Conseil, le constat du consultant, la décision de l’ICANN org, le texte contractuel et le déploiement par un opérateur restent des étapes distinctes.

Sources