Résumé

  • La version espagnole faisant autorité du Manuel des politiques de LACNIC fixe deux délais de quinze jours et qualifie de non-conforme l’organisation qui ne valide pas son contact d’abus. Elle ne mentionne pas le blocage de MiLACNIC.
  • Une page opérationnelle toujours en ligne dit au contraire que l’accès à MiLACNIC restera bloqué jusqu’à validation. Elle expose trois moyens de régulariser la situation, sans détailler les fonctions du portail touchées.
  • Une version antérieure de la proposition LAC-2018-5 contenait précisément le blocage, les mesures équivalentes chez les NIR et certaines exceptions. La note de la version finale indique que cette section a été supprimée.
  • Il ne s’agit pas de contester l’utilité d’une boîte d’abus joignable. L’enjeu est de rendre traçable le passage d’un défaut de contact à une restriction d’accès administrative.

Deux documents, une seule décision

Un membre qui lit le Manuel des politiques de LACNIC apprend presque tout ce qu’il faut savoir sur l’obligation de contact. Le champ abuse-c est obligatoire. La boîte associée doit être valable, surveillée et réellement traitée. Elle doit recevoir les signalements, les journaux et les en-têtes sans obliger l’expéditeur à remplir un formulaire particulier. La validation doit vérifier qu’une personne comprend la procédure, surveille la boîte et répond aux dossiers.

Le calendrier est lui aussi net. Une première période dure quinze jours. En cas d’échec, LACNIC doit tenter une escalade auprès des autres contacts disponibles pendant quinze jours supplémentaires. Le contrôle est répété au moins deux fois par an et lors de la création ou de la modification du contact. À l’issue de ces périodes, l’absence de validation constitue une non-conformité.

Puis le texte passe au mécanisme permettant de signaler à LACNIC une boîte qui simulerait sa disponibilité ou des dossiers d’abus mal traités. Nulle part, dans cette séquence, le manuel ne dit que l’accès à MiLACNIC est fermé. Manuel des politiques v2.21 en espagnol Traduction anglaise

La conséquence se trouve ailleurs. La page d’aide intitulée « How to Validate Your Abuse Contact to Unblock Access to MiLACNIC » affirme que, « à ce stade », l’accès au portail sera bloqué tant que le contact n’aura pas été validé. Elle propose de choisir un autre contact déjà validé, de renvoyer le message de validation ou de changer l’adresse électronique. Instructions de déblocage de MiLACNIC

Ce ne sont pas deux sujets. Le premier document établit le défaut; le second lui attache un effet. Pour le membre, ils constituent une seule décision administrative. Pour l’audit public, ils restent deux fragments sans identifiant de version commun.

La clause disparue n’était pas une note technique

L’historique officiel de LAC-2018-5 rend cette séparation plus significative. Une rédaction antérieure comportait une section autonome consacrée au manquement. Elle annonçait le blocage de MiLACNIC et des mesures équivalentes dans les systèmes des registres nationaux, pour toutes les ressources associées à l’organisation. Elle protégeait toutefois les questions strictement contractuelles et les paiements, ainsi que la modification du contact nécessaire à une nouvelle validation.

Le texte donnait donc trois informations institutionnelles : l’étendue, les exceptions et la voie de retour. Il précisait aussi qu’un écran d’avertissement devait s’afficher et qu’un manquement persistant pourrait entraîner d’autres mesures.

La version finale ne se contente pas de raccourcir ces phrases. Sa note de modification indique que la section « Failure to comply » a été éliminée. Le manuel actuel en porte la trace : il définit le manquement dans la section 12.4, puis fait de la section 12.5 un mécanisme d’escalade, sans reprendre le verrouillage. Historique de la proposition LAC-2018-5

Il faut résister à la tentation de transformer cette observation en verdict juridique. Les documents examinés ne comprennent ni le contrat de chaque membre, ni toutes les procédures internes, ni les instruments applicables aux NIR. L’absence d’une clause dans le manuel ne prouve pas l’absence de toute habilitation. Elle prouve quelque chose de plus limité et de plus directement vérifiable : la conséquence opérationnelle publique n’est pas décrite dans le texte public qui fait autorité sur l’obligation.

Le meilleur argument de LACNIC est la fonction de la boîte

Une adresse d’abus qui ne reçoit rien transfère le coût d’un incident vers les victimes, les réseaux voisins et les plateformes. Une adresse qui envoie seulement un accusé automatique ne garantit pas davantage qu’un opérateur puisse identifier le client concerné, préserver des traces ou couper une activité malveillante. La validation périodique répond donc à un problème réel.

La politique a également une qualité souvent négligée : elle cherche à conserver l’email comme canal interopérable. Elle interdit de faire du formulaire propriétaire la seule porte d’entrée et demande que les preuves utiles puissent accompagner le signalement. Cette architecture réduit le coût de coordination entre des acteurs qui ne partagent ni fournisseur, ni outil, ni langue de travail.

Les trois voies de correction publiées par LACNIC sont raisonnables. Elles portent sur la joignabilité du contact, non sur la culpabilité du détenteur à l’égard d’un dossier particulier. La page de lancement de la politique confirme que l’objectif était de maintenir à jour les coordonnées WHOIS. Annonce de mise en œuvre

Justement parce que le mécanisme est défendable, il n’a pas besoin d’une conséquence floue. La validation peut rester ferme tout en séparant trois objets : l’état de la boîte, la qualité de traitement d’un signalement et le droit d’utiliser les fonctions administratives du portail. Un seul voyant rouge ne devrait pas les fusionner.

Ce que peut recouvrir le mot « accès »

La page d’aide parle de l’accès à MiLACNIC comme d’un bloc entier. Or un portail de registre rassemble des opérations qui n’ont ni la même urgence ni la même conséquence. Modifier un contact, payer une facture, consulter un dossier, maintenir une délégation inverse ou corriger une autorisation de route ne sont pas des variantes du même geste.

Le public ne sait pas, à partir de cette page, si l’utilisateur peut encore consulter ses données, si seules les modifications sont suspendues, si le blocage vise un compte ou l’organisation entière, ni si une opération sensible à un incident dispose d’un chemin séparé. Il ne sait pas non plus si les exceptions contractuelles et financières d’une ancienne version ont survécu dans le logiciel.

Cette ignorance ne démontre pas que tout est bloqué. C’est précisément la limite à préserver. Le mot « accès » est plus large que les preuves disponibles. Mais il est aussi trop large pour permettre à un opérateur de préparer sa continuité. Si la restriction est étroite, LACNIC gagnerait à le montrer. Si elle est large, le membre doit le savoir avant le jour où une boîte obsolète et un changement de routage urgent se rencontrent.

Un tableau fonctionnel ne livrerait aucune faiblesse exploitable. Il pourrait dire « consultation : maintenue », « modification de contact : maintenue », « opérations sur les ressources : suspendues » ou toute autre réalité du système, sans révéler l’authentification, les rôles internes ni l’infrastructure.

Publier le reçu du contrôle

Le document manquant peut tenir sur une page. Il commencerait par la source d’autorité : section de politique, disposition contractuelle ou procédure déléguée. Il nommerait l’événement qui déclenche le verrouillage, avec les deux périodes de quinze jours et la preuve d’une escalade vers les autres contacts.

Il préciserait ensuite l’objet atteint : utilisateur, organisation, ensemble de ressources ou famille de fonctions. Une liste des opérations indisponibles serait placée face à une liste des opérations préservées. Le traitement par les NIR serait indiqué séparément, car « mesure équivalente » ne signifie pas nécessairement interface identique.

La sortie doit être aussi précise que l’entrée. Quelle action vaut régularisation? Le retour est-il immédiat après validation, différé par une synchronisation ou soumis à une intervention humaine? Quel rôle traite une erreur de blocage? Quel délai de revue ou de rétablissement LACNIC vise-t-il? La réponse peut être modeste, mais elle doit être publique.

Enfin, le reçu porterait une date d’effet, une version, un propriétaire fonctionnel et un historique de remplacement. « À ce stade », sur une page publiée en 2021, ne permet pas de distinguer un dispositif provisoire d’une règle durable. Une institution qui contrôle les versions des coordonnées de ses membres peut contrôler la version de sa propre porte.

Les limites du constat

Aucun membre bloqué n’est identifié. Aucune statistique publique ne mesure le nombre de cas, leur durée, les erreurs ou le temps de rétablissement. Le portail réservé aux membres n’a pas été testé. Les sources ne permettent pas d’affirmer qu’un ROA, une délégation DNS, un transfert ou un service client a été affecté.

Elles ne permettent pas non plus de conclure que LACNIC agit sans contrat ou sans bonne foi. Elles montrent une asymétrie documentaire. La règle qui produit le constat se trouve dans le manuel. Le contrôle qui produit la contrainte se trouve dans l’aide. L’historique prouve qu’une version antérieure savait les réunir.

Sources