Résumé

  • Le pilote doit pré-enregistrer ses revendications causales, ses mesures, ses règles de cohorte, ses exclusions, ses contrôles appariés, ses seuils de sécurité, ses seuils de bénéfices et son plan d'analyse avant le recrutement ou la migration en direct. Les récits post-hoc ne peuvent pas transformer un résultat défavorable en succès.
  • L'échec a trois significations distinctes: une violation immédiate de la sécurité qui arrête le travail en direct, l'incapacité à obtenir des avantages matériels par rapport au contrôle après une période définie, et un échec institutionnel lorsque le coordinateur commun ou le marché des fournisseurs recrée un pouvoir de monopole non contrôlé.
  • Le retour en arrière est un résultat expérimental central, pas une improvisation d'urgence. Chaque mouvement nécessite une base de référence vérifiée, un chemin de retour sérialisé, des restrictions préservées, une réconciliation des services dépendants et une date limite pour restaurer un fournisseur autorisé sans créer d'état en double.
  • La conception de l'échantillon doit exposer la proposition à des preuves difficiles. Les petits réseaux, les ressources héritées, les portefeuilles transférés, les détenteurs du secteur public, les utilisateurs de RPKI hébergés et délégués et les comptes légalement restreints appartiennent à des strates planifiées; les volontaires faciles ne peuvent pas remplacer le système de numérotation.
  • Un évaluateur indépendant doit contrôler l'entrée randomisée ou différée, auditer les données sources, publier les exclusions et les retraits, appliquer les règles d'arrêt et publier les résultats en 2036. Les fournisseurs, les titulaires, les bailleurs de fonds et les défenseurs peuvent répondre mais ne peuvent pas modifier les résultats.
  • La réussite d'une étape n'accorde aucune présomption d'autorité permanente. Tout mandat de service post-pilote nécessite une décision institutionnelle distincte et transparente par des organes compétents, avec une nouvelle procédure, un examen des conflits et une autorisation limitée dans le temps.
  • La Société des ressources numériques peut défendre le test, représenter les membres autorisés, observer les preuves publiques, rechercher les résultats et accepter une conclusion négative. Elle ne peut pas gérer le service de registre, qualifier les fournisseurs, sélectionner l'évaluateur, certifier les résultats, détenir les enregistrements, exécuter le retour en arrière ou convertir la participation en un mandat opérationnel futur.

Le contrefactuel commence par un objet de choix précis

« Choisissez votre registre » est trop imprécis pour être testé. Cela peut décrire au moins quatre changements différents: un détenteur déplaçant son compte de service, une ressource se déplaçant entre des enregistrements régionaux, un transfert d'un détenteur à un autre, ou un opérateur modifiant la façon dont il annonce une route. Ces actions ont des effets juridiques et techniques différents. Les combiner rendrait chaque résultat ininterprétable.

Le choix proposé concerne le parrainage du service. Un détenteur reconnu nomme un fournisseur qualifié pour maintenir sa relation d'enregistrement actuelle sous une couche de coordination partagée. Le fournisseur reçoit une autorité étroitement définie pour authentifier les instructions, maintenir les preuves, soumettre les modifications ordonnées, servir ou organiser les données d'enregistrement public, soutenir les transferts de ressources et coordonner les services dépendants. Un identifiant de fournisseur dans le registre commun montre qui détient actuellement ce mandat de service.

Le préfixe ou le numéro de système autonome ne change pas simplement parce que le fournisseur change. Le détenteur ne change pas. La ressource n'est pas allouée deux fois. Les litiges existants, les restrictions de sanctions, les contraintes judiciaires, les blocages de transfert et les obligations de preuve accompagnent l'enregistrement. Le routage reste une décision prise par les opérateurs de réseau et leurs contreparties. Un fournisseur ne peut pas créer d'accessibilité en modifiant un enregistrement administratif, et il ne peut pas retirer l'accessibilité simplement parce qu'un compte part.

Cette séparation suit le cœur décrit par le RFC 7020: les numéros Internet nécessitent une unicité mondiale et un enregistrement précis, tandis que l'opération de routage se situe en dehors du contrôle direct du registre. Le contrefactuel préserve ce cœur. Il conteste l'hypothèse selon laquelle chaque service destiné aux détenteurs doit être fourni indéfiniment par une société attribuée géographiquement.

Sans cette définition, un pilote pourrait revendiquer le succès en déplaçant des coordonnées à faible risque tout en laissant chaque dépendance conséquente captive. Ou il pourrait échouer théâtralement en tentant de dupliquer l'autorité de haut niveau. L'unité de choix doit être suffisamment large pour modifier le pouvoir de négociation et suffisamment étroite pour préserver un seul état courant.

La référence est un ensemble, pas seulement un frais annuel

Le point de comparaison actuel n'est pas zéro choix. Les opérateurs peuvent sélectionner des consultants, des courtiers, des services hébergés de sécurité de routage, des fournisseurs d'accès en amont, des plateformes cloud et des conseillers juridiques. Ils peuvent parfois transférer des ressources entre régions ou déplacer une présence d'entreprise. Les registres Internet régionaux diffèrent par leurs frais, leurs structures d'adhésion, leurs services publics et leur mise en œuvre. Ces différences offrent une variation utile.

Pourtant, le détenteur ordinaire ne peut généralement pas nommer une autre institution qualifiée pour maintenir la même ressource sous la même position mondiale tout en restant inchangé. La sortie nécessite souvent un transfert, une restructuration d'entreprise, une éligibilité géographique, un changement de statut de ressource ou la coopération de l'institution que l'on quitte. Le titulaire fournit donc un ensemble: enregistrement autoritaire, administration de compte, mise en œuvre des politiques, gestion des litiges, données publiques, dépendances techniques, participation à l'adhésion et continuité institutionnelle.

Une référence équitable doit évaluer l'ensemble du lot. La facture annuelle n'est qu'un élément. Un opérateur supporte également le temps du personnel, la friction d'authentification, la reconstruction des preuves, les corrections retardées, les coûts de déplacement ou de participation, l'incertitude lors des litiges, le travail d'intégration et la perte attendue due à une défaillance institutionnelle. Inversement, le registre fournit des avantages qui peuvent ne pas apparaître sur une facture: historique maintenu, personnel expérimenté, investissement dans la sécurité, coordination publique, formation, soutien politique et entraide.

Le coût contrefactuel est également large. Un fournisseur moins cher qui externalise les cas difficiles à un coordinateur commun peut ne pas être moins cher en termes sociaux. Un fournisseur avec une intégration rapide mais des preuves historiques faibles peut créer des coûts plus tard. Une couche commune financée par des prélèvements cachés peut rendre les prix de détail artificiellement bas. L'étude doit donc comparer le coût total ajusté à la qualité et répartir les coûts partagés ouvertement.

Quatre revendications doivent entrer dans le protocole avant qu'un entité n'entre

Le pilote devrait être enregistré comme un protocole d'évaluation, non annoncé comme un mouvement. Avant le recrutement, les promoteurs devraient déposer un document public versionné contenant les questions principales, les définitions exactes des résultats, l'unité d'analyse, les strates de cohorte, la construction du contrôle, les fenêtres d'observation, les effets minimaux détectables, les règles pour les données manquantes, les limites d'arrêt, les délais de retour et l'autorité responsable de chaque décision.

Des modifications peuvent être nécessaires après une découverte de sécurité authentique, mais chaque modification doit préserver l'ancienne version, identifier qui a demandé le changement et indiquer si le changement a été fait avant ou après que les données affectées soient devenues visibles.

Le protocole devrait distinguer les résultats confirmatoires de l'apprentissage exploratoire. Le coût ajusté à la qualité, la fiabilité des corrections, l'étendue du pouvoir discrétionnaire du fournisseur et la continuité après un échec sont les quatre domaines confirmatoires. Les préférences d'interface, les nouvelles combinaisons de services et les anecdotes des entités peuvent générer des questions ultérieures, mais elles ne peuvent pas sauver un résultat principal échoué.

Si vingt mesures sont collectées et que deux évoluent favorablement par hasard, les promoteurs ne devraient pas présenter ces deux mesures comme la raison pour laquelle le pilote existait.

Les hypothèses ont également besoin d'une direction et d'une date limite. Une affirmation selon laquelle les coûts finiront par baisser, la révision finira par s'améliorer ou la substitution finira par fonctionner ne peut pas être falsifiée dans un essai de dix ans. Chaque phase devrait indiquer l'effet attendu à sa date de clôture et l'intervalle de confiance qui serait considéré comme compatible avec aucune amélioration utile. Un résultat peut être sûr mais inefficace; la sécurité est une condition pour poursuivre l'expérience, pas une preuve de bénéfice.

Pour chaque détenteur, le fardeau annuel total du registre peut être représenté par cinq composantes: le coût obligatoire du noyau commun, le prix du service du fournisseur, le coût interne de conformité, la perte attendue due aux erreurs et la perte attendue due à la continuité. La première composante finance les fonctions qui doivent rester communes, comme les vérifications ordonnées d'unicité et la découverte autorisée du fournisseur. La seconde couvre le service du fournisseur choisi. La troisième capture le fardeau interne du détenteur et les preuves.

Les deux dernières convertissent les défaillances rares en coût attendu en utilisant l'incidence observée et des estimations de perte bornées.

Sous le monopole régional, le détenteur paie un prix groupé et a une capacité limitée à séparer le mauvais service du coût commun inévitable. Sous le choix, la charge de base commune devrait être identique pour des conditions de ressources équivalentes, tandis que le prix du fournisseur et les conditions de service peuvent varier. Le coût interne de conformité pourrait baisser si les fournisseurs se font concurrence sur des interfaces utilisables et le support, ou augmenter si les normes communes sont faibles. La perte due aux erreurs pourrait baisser grâce à la spécialisation et à la sortie, ou augmenter grâce au sous-investissement.

La perte de continuité devrait baisser si la substitution du fournisseur fonctionne, mais pourrait augmenter si le coordinateur partagé devient un nouveau point de défaillance unique.

Le modèle ne prédit donc pas de prix universel. Il prédit une décomposition. Les coûts obligatoires communs deviennent visibles; les services optionnels deviennent contestables; les coûts de risque deviennent attribuables. Un régime réussi peut laisser certains opérateurs payer plus parce qu'ils sélectionnent une vérification renforcée, un support multilingue, une garde de sécurité de routage gérée ou une assistance pour des transferts complexes. La question pertinente est de savoir si un opérateur peut sélectionner un service proportionné et si le noyau commun cesse de facturer à chaque détenteur une préférence institutionnelle.

Quatre variables devraient être estimées séparément: le prix, la qualité, la portée et la résilience. Les réduire à un seul score de satisfaction cacherait les compromis centraux. Le choix du registre est soutenu seulement si le prix ou le service s'améliore sans déplacer un risque inacceptable vers l'unicité, l'exactitude, la responsabilité publique ou la reprise après crise.

Revendication préenregistrée un: le coût non essentiel devrait baisser

La première prédiction est délibérément modeste. Le choix ne devrait pas éliminer le coût de maintien des enregistrements de numéros fiables. Il devrait réduire le coût des fonctions qui ne nécessitent pas un seul fournisseur: support de compte de routine, produits de données optionnels, rapports personnalisés, assistance aux transferts, authentification gérée, formation, interfaces de certification et autres services destinés aux détenteurs.

Le pilote devrait définir un panier de services standard avant que les fournisseurs ne soumettent leurs prix. Le panier comprendrait un compte normal pour un détenteur, un nombre fixe de contacts autorisés, des mises à jour de routine, un service d'enregistrement public, une allocation d'assistance au transfert, un support ordinaire pour les incidents et une exportation en cas de départ. Les litiges complexes, les reconstructions historiques inhabituelles et la garde cryptographique optionnelle seraient tarifés séparément selon des catégories publiées.

Chaque fournisseur divulguerait la charge de base commune, son prix de service, les coûts de passage et les frais conditionnels.

La mesure principale des frais devrait être le coût annuel médian ajusté à la qualité par détenteur et par ensemble de ressources gérées, pas le prix le plus bas annoncé. L'ajustement devrait tenir compte du temps de réponse, des performances de correction, des contrôles de sécurité, de la préparation à la sortie et de la complexité du portefeuille du détenteur. Une deuxième mesure devrait suivre les heures internes des opérateurs.

Une troisième devrait examiner la distribution: les petits réseaux, les réseaux d'intérêt public et les détenteurs avec des enregistrements anciens ou contestés peuvent subir des effets différents des grands opérateurs dotés d'un personnel professionnel.

La prédiction serait affaiblie si les prix annoncés baissent tandis que les heures de conformité internes augmentent d'un montant égal, si la couche commune absorbe un travail non facturé croissant, ou si les fournisseurs évitent les détenteurs difficiles. Elle échouerait si le coût total comparable ne baisse pas après trois ans, la qualité ne s'améliore pas, et aucune différenciation significative des services n'apparaît. Une économie de dix pour cent sur une facture étroite accompagnée d'une reprise plus faible n'est pas un succès.

Revendication préenregistrée deux: le pouvoir politique devrait devenir plus étroit

Les institutions régionales établissent souvent des règles pour l'allocation, le transfert, l'adhésion, les frais, les données d'enregistrement, les services de sécurité de routage et la conduite des comptes. Certaines règles de coordination doivent rester communes. D'autres reflètent le fait que la même institution est législateur, fournisseur de services, gardien des registres et portier. Lorsque la sortie est difficile, une préférence administrative peut devenir une condition de la continuité opérationnelle continue.

Le choix devrait forcer une classification. Une règle appartient à la couche commune seulement si un comportement incompatible du fournisseur menacerait l'unicité, la découverte autorisée, les preuves minimales, la contrainte légale, l'interopérabilité de sécurité ou la succession ordonnée. Les règles concernant les ensembles de support, les outils optionnels, les formats de réunion, les services de conseil, la formation, la communication avec les clients et de nombreuses fonctionnalités de compte peuvent être des choix au niveau du fournisseur.

Les politiques qui affectent les droits des détenteurs devraient avoir une base juridique énoncée, une analyse des parties affectées, une voie de recours et une date d'expiration ou de réexamen.

La mesure de la portée politique compterait les obligations obligatoires par catégorie, mais le nombre de pages ou de contrôles ne peut pas être la mesure principale car des règles concises peuvent encore être générales. De meilleurs indicateurs incluent combien de décisions des fournisseurs peuvent suspendre ou altérer matériellement le service, combien d'obligations manquent d'une voie de recours externe, à quelle fréquence un fournisseur s'appuie sur une clause de conduite ouverte, et quelle proportion de décisions contestées est basée sur des règles de sécurité communes plutôt que sur une préférence locale.

La prédiction est que le service portable réduit la surface discrétionnaire au niveau du fournisseur. Elle serait contredite si le coordinateur commun accumule chaque ancienne règle régionale, si les fournisseurs forment un cartel autour de termes identiques, ou si les détenteurs peuvent se déplacer seulement après avoir satisfait aux demandes politiques larges du fournisseur perdant. La portabilité qui ne fait que déplacer le pouvoir de monopole vers le haut n'a pas réduit le pouvoir.

Revendication préenregistrée trois: la correction devrait devenir plus rapide et plus crédible

Les erreurs de registre vont d'un contact mal orthographié à une identité de détenteur contestée ou à un changement non autorisé. La vitesse ne peut pas être poursuivie sans exactitude. Un fournisseur qui accepte automatiquement chaque demandeur affichera des temps de réponse impressionnants et des enregistrements dangereux. La mesure utile sépare l'accusé de réception, la collecte de preuves, la protection provisoire, la décision motivée et la correction finale.

Le choix modifie les incitations à deux endroits. Premièrement, les fournisseurs sont en concurrence sur l'exactitude ordinaire et le support. Deuxièmement, un détenteur confronté à un échec répété peut recourir à un examen indépendant ou migrer après que l'état contesté a été préservé en toute sécurité. La menace de sortie devrait encourager des raisons plus claires, des preuves portables et un transfert rapide. Elle ne devrait pas permettre à un demandeur de magasiner parmi les fournisseurs jusqu'à ce que l'un d'eux accepte une instruction fausse.

Chaque affaire contestée a donc besoin d'un identifiant de cas au niveau de la couche commune, d'un état protégé actuel et d'un historique de décision visible. Déplacer le compte de service n'efface pas l'affaire. Le nouveau fournisseur reçoit la même restriction et les mêmes obligations de preuve. Un examen indépendant décide des litiges qui dépassent la correction de routine. Les fournisseurs sont mesurés sur le temps, la complétude et la conformité, pas sur le fait qu'ils favorisent le client.

Les principaux résultats sont le temps médian pour corriger les erreurs de routine vérifiées, le temps pour imposer un blocage protecteur après une compromission crédible, la proportion de décisions avec des raisons adéquates, le taux d'inversion, le taux d'erreur répétée et le temps pour exécuter un remède. Un taux d'inversion élevé peut montrer de mauvaises premières décisions; un taux proche de zéro peut montrer un examen inaccessible. Les deux nécessitent une interprétation. La prédiction échoue si la portabilité augmente les résultats incohérents, la perte de preuves ou le magasinage stratégique des fournisseurs.

Revendication préenregistrée quatre: la crise institutionnelle devrait devenir plus petite

L'argument le plus fort en faveur du choix du registre n'est pas une légère baisse des frais annuels. C'est la possibilité que la défaillance d'une seule entreprise ne menace plus chaque détenteur attribué à son territoire. L'insolvabilité, la paralysie de la gouvernance, les sanctions, une contrainte judiciaire destructrice, la corruption des données, la compromission des clés ou une panne de service prolongée pourraient être traitées comme une défaillance du fournisseur plutôt que comme une urgence constitutionnelle régionale.

Ce bénéfice n'existe que si les enregistrements et l'autorité sont séparables avant la crise. Les fournisseurs doivent maintenir des exportations standardisées, un historique des changements témoin indépendant, des preuves déposées ou autrement protégées, des états de services dépendants connus et des substituts préqualifiés. Le financement des opérations d'urgence doit être disponible en dehors du contrôle ordinaire du fournisseur défaillant. L'activation doit préserver les restrictions et les réclamations contestées plutôt que de copier seulement les comptes propres.

Le pilote devrait simuler des défaillances. Un fournisseur devient injoignable. Un autre perd son autorité après des échecs de contrôle répétés. Un troisième subit une corruption sélective des registres plutôt qu'une panne totale. Un quatrième reste techniquement disponible alors que ses dirigeants ne peuvent pas agir légalement.

Dans chaque cas, l'évaluateur mesure le temps pour établir un dernier état de confiance, le temps pour nommer un service temporaire, le pourcentage de registres réconciliés sans reconstruction par le détenteur, la continuité des données publiques, la continuité du DNS inverse, les effets sur la sécurité du routage et le temps jusqu'à ce que les détenteurs puissent exercer à nouveau un choix ordinaire.

Le contrefactuel prédit une perte d'extrémité plus faible: moins de détenteurs affectés, une interruption plus courte et moins de dépendance à sauver l'entité juridique actuelle. Il échoue si chaque crise nécessite encore un accord politique improvisé, si le coordinateur partagé ne peut pas agir sans le fournisseur défaillant, ou si l'opération de substitution crée une autorité en double contestée.

Les analogies établissent une possibilité, pas une équivalence

Plusieurs secteurs séparent un identifiant durable ou une relation de compte du fournisseur de services actuel. La politique de transfert de l'ICANN attribue des devoirs aux bureaux d'enregistrement gagnants et perdants et à l'opérateur de registre tandis que le nom de domaine reste unique. La portabilité des numéros de téléphone utilise une coordination commune et des délais pour qu'un abonné puisse conserver un numéro après avoir changé de fournisseur. Le service de changement de compte courant du Royaume-Uni place la nouvelle banque en tête et fournit une redirection et une garantie.

Les dispositifs de fournisseur de dernier recours dans l'énergie préservent le service lorsqu'un fournisseur fait défaut.

Ces exemples sont importants car ils rejettent un faux choix entre l'attribution permanente du fournisseur et la duplication non contrôlée. Ils montrent des éléments de conception récurrents: une couche commune autorisée, un consentement authentifié, des motifs de refus étroits, des horloges de transaction, une responsabilité du fournisseur gagnant, des devoirs de continuité, une compensation ou un recours et des dispositions pour la défaillance du fournisseur.

Ils ne sont pas une preuve. Les noms de domaine ont des structures contractuelles et techniques différentes de l'administration des adresses IP et des numéros de système autonome. Les numéros de téléphone s'inscrivent dans la régulation nationale et les systèmes de transporteurs. Les comptes bancaires impliquent une redirection des paiements plutôt qu'une hiérarchie mondiale de sécurité de routage. L'approvisionnement en énergie est territorial et fortement réglementé.

Les ressources numériques combinent une unicité mondiale, une histoire régionale, une valeur IPv4 transférable rare, un DNS inverse, des données d'enregistrement public et le RPKI.

Le bon usage de l'analogie est d'en tirer des questions. Les motifs de refus peuvent-ils être limités? Un fournisseur gagnant peut-il prendre la tête? La coordination partagée peut-elle rester neutre? L'ancien fournisseur peut-il échouer sans piéger l'utilisateur? Une compensation peut-elle être attachée au retard? Le pilote répond ensuite à ces questions dans le cadre des ressources numériques.

La cohorte doit pouvoir faire paraître l'idée mauvaise

La participation volontaire crée un biais de sélection. Les opérateurs déjà mécontents du titulaire, les détenteurs techniquement sophistiqués et les opérateurs sympathisants de la défense de la NRS peuvent entrer en premier. Les fournisseurs peuvent sélectionner des enregistrements propres. Les titulaires peuvent améliorer leur service lorsqu'ils sont observés. Une comparaison entre les déménageurs enthousiastes et toute la population régionale surestimerait les effets.

L'évaluation devrait utiliser une conception appariée et phasée. Les détenteurs éligibles se portant volontaires pour la première cohorte en direct seraient appariés à des détenteurs non déménageurs similaires par type de ressource, taille de portefeuille, historique de transfert, âge de l'organisation, région, statut de litige, utilisation de la sécurité de routage et capacité du personnel. Lorsque la demande dépasse la capacité sûre, un calendrier randomisé peut déterminer quels candidats appariés déménagent en premier. Cela crée une comparaison d'entrée différée sans refuser la participation éventuelle.

Les observations de base devraient couvrir au moins douze mois. L'évaluateur devrait enregistrer les frais, les heures internes, le volume de mises à jour, le temps de correction, les incidents de sécurité, les plaintes, l'activité de transfert, la disponibilité du service et la confiance des détenteurs avant tout déménagement. Les fournisseurs devraient subir une opération fantôme utilisant des enregistrements de test synchronisés et des instructions simulées avant de toucher l'autorité actuelle. L'exposition en direct ne devrait s'étendre qu'après la réussite des tests de réconciliation et de sortie.

Les résultats doivent être publiés par cohorte, y compris les opérateurs qui se retirent, les fournisseurs qui échouent à la qualification et les cas exclus pour des raisons de sécurité. Le succès ne peut pas être déduit de la satisfaction globale parmi les survivants. Le dénominateur est chaque ensemble de ressources admis et chaque tentative de déménagement.

Les strates devraient être fixées avant que les fournisseurs ne voient les candidats individuels. Au minimum, le cadre d'échantillonnage devrait séparer les portefeuilles IPv4, IPv6 et ASN; les ressources héritées et celles émises par politique; les transferts récents et les enregistrements stables de longue date; les petites et grandes organisations; les réseaux publics et privés; les histoires d'entreprise simples et multi-juridictionnelles; les arrangements RPKI hébergés et délégués; et les comptes avec des restrictions légales documentées.

Un pilote qui retire discrètement les groupes les plus susceptibles de révéler des problèmes de preuve, d'identité ou de continuité a sélectionné une démonstration plutôt qu'un test.

L'exclusion peut encore être légitime. Une enquête active pour fraude ou un cas non résolu de contrôle d'entreprise peut rendre un déménagement en première phase dangereux. L'évaluateur devrait publier la règle d'exclusion, compter chaque cas exclu, conserver ses caractéristiques de base et tester si les exclusions se regroupent par fournisseur ou cohorte. Lorsque l'inclusion en direct est dangereuse, le traitement fantôme peut révéler si un fournisseur proposé reconstruirait le même état protégé sans lui accorder l'autorité.

Les cas difficiles doivent rester dans les preuves même lorsqu'ils ne peuvent pas encore entrer dans le bras en direct.

Le groupe de contrôle ne devrait pas être un portrait statique du modèle régional en 2026. Les contrôles appariés ont besoin d'une observation contemporaine car les titulaires, les frais, la politique mondiale et la pratique de sécurité changeront au cours de la décennie. Les cohortes d'entrée différée offrent une conception utile: les candidats sont appariés, une séquence randomisée ou administrée indépendamment détermine quand les détenteurs éligibles entrent, et ceux qui attendent fournissent un contrôle temporaire.

La méthode n'élimine pas le biais de sélection, mais elle rend le moment de l'exposition moins dépendant de l'enthousiasme ou de la préférence du fournisseur.

L'attrition est elle-même un résultat. Un détenteur qui abandonne la migration après des demandes de preuve, un fournisseur qui se retire lorsque des comptes difficiles arrivent et un entité qui retourne chez un titulaire ne peuvent pas disparaître du dénominateur. Le protocole devrait distinguer la préférence volontaire, l'échec technique, la barrière légale, le refus du fournisseur, l'intervention de sécurité et le retour ordonné par l'évaluateur. Chaque raison a une incidence sur une revendication différente, et les réduire à « retrait du entité » cacherait le résultat institutionnel.

L'évaluateur doit être indépendant avant de voir un résultat

L'indépendance nécessite plus que la nomination d'une personne respectée après la fin de la conception. L'évaluateur devrait être sélectionné par un processus de conflit ouvert avant le recrutement, recevoir un budget pluriannuel protégé qu'aucun fournisseur ou promoteur ne peut retenir après un rapport intérimaire défavorable, et contrôler l'analyse statistique, la classification des incidents et le calendrier de publication. Son mandat légal devrait garantir l'accès aux enregistrements sources sous contrôle de confidentialité et protéger son droit de publier des résultats que les promoteurs contestent.

Aucun RIR, fournisseur candidat, coordinateur commun, bailleur de fonds commercial, NRS ou coalition de détenteurs entités ne devrait contrôler la nomination ou le licenciement de l'évaluateur. Chacun peut nommer une expertise et contester un conflit divulgué, mais la sélection finale devrait incomber à un organe plural dont les membres ne peuvent pas bénéficier de l'expansion du pilote. Les examinateurs techniques, juridiques, de sécurité, statistiques et d'impact sur les détenteurs devraient être séparés lorsqu'une seule entreprise ne peut pas couvrir de manière crédible tous les domaines.

L'évaluateur devrait maintenir une chaîne de données vérifiable. Les tableaux de bord des fournisseurs sont des entrées, pas des résultats. Des échantillons d'enregistrements de modifications, d'avis, de blocages, de fichiers de correction, d'observations RPKI, de réponses RDAP, de transitions DNS inverse, de factures et d'enquêtes sur les heures internes devraient être testés par rapport à des définitions communes. Lorsque la confidentialité empêche la publication d'un cas, l'évaluateur devrait publier la raison, la catégorie et si les preuves protégées ont été inspectées indépendamment.

« Confidentiel » ne peut pas devenir un seau dans lequel les mauvais résultats disparaissent.

Les rapports intérimaires devraient paraître selon un calendrier fixe et après chaque événement d'arrêt. Les fournisseurs et les défenseurs peuvent annexer des réponses, mais ils ne peuvent pas négocier pour que la conclusion soit formulée différemment. Les corrections factuelles doivent être enregistrées. Les désaccords analytiques doivent rester visibles. La crédibilité de l'évaluateur dépendra moins de la revendication de neutralité que de la rendre détectable l'influence et la modification.

Phase une, 2026-2027: préenregistrer le test et construire la base de référence

La première phase ne devrait pas déplacer le service autoritaire. Elle devrait définir les rôles, les champs de données, la sémantique des événements, les contrôles de sécurité, les services dépendants et les mesures d'évaluation. Les registres titulaires, les opérateurs, les fournisseurs potentiels, les experts techniques liés à l'IANA et les examinateurs indépendants devraient cartographier quelles fonctions sont véritablement communes et lesquelles peuvent varier.

Avant que la première cohorte en direct soit nommée, l'évaluateur devrait figer le protocole confirmatoire et publier les conditions exactes pour commencer, mettre en pause, revenir en arrière, reprendre et terminer l'essai.

Un échantillon représentatif devrait inclure les détenteurs d'IPv4, d'IPv6 et de numéros de système autonome; les petits et grands opérateurs; les réseaux du secteur public; les organisations multinationales; les détenteurs utilisant le RPKI hébergé et délégué; les enregistrements anciens avec une histoire complexe; les bénéficiaires récents de transfert; et les comptes avec des restrictions légales. Exclure les enregistrements difficiles produirait une démonstration élégante mais non pertinente.

Les fournisseurs fantômes ingéreraient des copies protégées, exécuteraient des mises à jour simulées et produiraient des exportations. Leurs résultats seraient comparés champ par champ avec l'enregistrement autoritaire actuel. Les tests incluraient les changements d'identité, la correction des contacts, les demandes de transfert, les instructions contestées, la défaillance du fournisseur, la perte partielle de données, les changements de DNS inverse et les transitions de garde de sécurité de routage. Aucune réponse fantôme ne serait publiée comme actuelle.

La phase une réussit seulement si chaque fournisseur peut reproduire l'état et l'historique à la tolérance définie, expliquer chaque écart, exporter sans perte propriétaire et terminer un exercice de fournisseur de substitution. Le résultat est une base de référence mesurable et une enveloppe technique sûre, pas une déclaration que le choix a réussi.

Phase deux, 2028-2029: permettre un parrainage en direct limité

La première cohorte en direct devrait être suffisamment petite pour un examen individuel mais suffisamment variée pour exposer une complexité réelle. Un plafond plausible est de plusieurs centaines de détenteurs dans au moins deux régions de service existantes, avec des plafonds par type de ressource et par quantité IPv4 agrégée. Au moins trois fournisseurs qualifiés devraient participer, y compris un titulaire s'il accepte les conditions communes. Aucun fournisseur ne devrait commencer avec une part dominante de la cohorte.

Chaque déménagement utiliserait un consentement authentifié du détenteur, une vérification indépendante du statut et un engagement commun ordonné. L'autorité de l'ancien fournisseur prend fin lorsque l'autorité du nouveau fournisseur commence. Les services dépendants utilisent des plans de transition explicites. La garde RPKI devrait rester inchangée dans les premiers cas à moins que sa transition ne soit la fonction spécifique testée. Les transferts contestés et les cas de fraude active ne devraient entrer qu'après que les déménagements de routine établissent la base de sécurité.

Les entités reçoivent une voie directe de correction et de compensation. Ils peuvent retourner chez l'ancien fournisseur s'il est qualifié, choisir un autre fournisseur ou entrer dans un service commun temporaire. Les frais et les incidents matériels sont publiés sous une forme comparable. L'autorité du pilote ne peut pas exiger qu'un entité approuve le modèle institutionnel comme condition de service.

L'expansion se met automatiquement en pause après un événement d'autorité en double, une divergence d'état de ressource inexpliquée, un changement non autorisé matériel, une perte de preuve, une insolvabilité d'un fournisseur sans substitution réussie ou un incident de sécurité de routage attribuable au déménagement au-dessus du seuil prédéfini.

Une règle d'arrêt est différente d'un verdict

Le protocole devrait distinguer une pause, un arrêt spécifique au fournisseur, un arrêt spécifique à une fonction et la fin de l'ensemble de l'essai. Un défaut d'interface contenu peut justifier une pause dans les nouvelles inscriptions tandis que l'état autoritaire actuel reste chez son fournisseur actuel. Un fournisseur qui cache un incident matériel peut perdre son mandat pilote sans invalider les preuves des autres fournisseurs. Des échecs répétés de transition RPKI peuvent mettre fin à cette fonction tandis que le parrainage ordinaire de l'enregistrement continue sous observation.

Une autorité actuelle en double qui ne peut pas être isolée et réconciliée peut nécessiter la fin de tout travail en direct.

Chaque limite a besoin d'un décideur nommé et d'un déclencheur objectif. « Matériel » ne peut pas être laissé au jugement du promoteur après un incident. Le protocole devrait définir la gravité par la portée des ressources affectées, la durée, la réversibilité, l'autorité non autorisée exercée, l'impact sur les parties prenantes et l'intégrité des preuves. Il devrait identifier la source de surveillance, le délai maximum de classification, l'exigence d'avis public et le vote ou la détermination indépendante nécessaire pour reprendre.

Une pause n'est pas une preuve que la thèse est fausse, tout comme un trimestre sûr n'est pas une preuve qu'elle est vraie. L'évaluateur devrait publier à la fois la réponse opérationnelle et la conséquence inférentielle. Si un fournisseur provoque un événement d'état en double, la réponse immédiate est le confinement et le retour; la conséquence analytique dépend de la cause, de la détectabilité, de la récupération et de la récurrence. Si la même classe apparaît à travers différentes implémentations, l'affirmation selon laquelle la portabilité peut préserver l'unicité devient progressivement plus faible.

Les promoteurs ne devraient pas être autorisés à contourner une limite en renommant le pilote, en déplaçant les entités dans un programme d'observation prolongée ou en traitant une fonction arrêtée comme une production ordinaire. Le mandat institutionnel devrait rendre la décision d'arrêt effective sur chaque système ayant reçu l'autorité du pilote. Continuer le même service en dehors du protocole détruirait le sens de la préinscription.

Le retour en arrière doit être testé avant que l'autorité en direct ne soit déplacée

Le retour en arrière n'est pas une promesse de reconstruire l'ancien état après un échec. Avant chaque déménagement, les opérateurs autorisés devraient créer une base de référence signée qui identifie le détenteur, la portée des ressources, le fournisseur actuel, les blocages légaux, les cas ouverts, les services dépendants, l'arrangement RPKI actuel, l'état du DNS inverse, les points de terminaison de découverte publique et les engagements de preuve. Le fournisseur gagnant devrait démontrer qu'il peut retourner une exportation dans la même sémantique.

Le fournisseur perdant ou le basculement désigné devrait confirmer qu'il peut ingérer le retour sans l'interpréter comme une nouvelle allocation.

Le protocole a besoin de chemins de retour séparés pour plusieurs causes: choix du entité, défaillance du service du fournisseur, compromission de sécurité, arrêt de sécurité ordonné par l'évaluateur, perte de capacité légale et défaillance du coordinateur commun. Un retour volontaire propre peut être rapide. Une compromission peut nécessiter de geler les changements, de sélectionner un point historique de confiance et de remplacer les identifiants. Un litige sur le contrôle d'entreprise peut nécessiter une continuité temporaire en lecture seule pendant qu'un tribunal compétent ou un organe de révision décide de l'autorité.

Une procédure générique de « restauration de sauvegarde » ne peut pas répondre à ces conditions.

Le retour doit être sérialisé. À aucun moment l'ancien et le nouveau fournisseur ne peuvent tous deux posséder une autorité valide pour modifier la même portée. L'enregistrement commun devrait montrer une séquence de transition unique, avec un basculement effectif, un accusé de réception par le fournisseur autorisé receveur et un statut public que les services dépendants peuvent réconcilier. Si le retour ne peut pas être achevé dans l'objectif de récupération préenregistré, l'évaluateur enregistre un retour échoué même si le personnel improvise éventuellement une solution.

Les services dépendants ont besoin de leur propre preuve de retour. La découverte RDAP, le DNS inverse, la publication RPKI et la garde de clés hébergée ne bougent pas nécessairement ensemble. Les premières cohortes peuvent laisser le RPKI inchangé; les cohortes ultérieures devraient indiquer si un retour restaure la garde précédente, utilise un gardien nouvellement autorisé ou gèle temporairement les actions de certificat. Les moniteurs indépendants doivent observer ce que les parties prenantes ont réellement reçu, pas seulement ce que les systèmes internes des fournisseurs ont rapporté.

Le retour en arrière protège également la validité d'une conclusion négative. Les entités ne devraient pas être piégés dans un arrangement défaillant simplement pour préserver l'échantillon, et les promoteurs ne devraient pas maintenir des mandats en direct parce que les arrêter serait embarrassant. Un test n'est éthiquement et institutionnellement admissible que si chaque entité a une destination sûre après que les preuves se retournent contre la conception.

Phase trois, 2030-2032: tester les sorties difficiles et les échecs réels

Le basculement de routine est le cas le plus simple. La troisième phase devrait admettre les enregistrements anciens, les organisations complexes, les détenteurs transfrontaliers, les litiges actifs mais limités, les transitions RPKI hébergées et les grands portefeuilles. Elle devrait également déclencher les dispositions de résolution d'un fournisseur volontaire par un exercice annoncé et une simulation opérationnelle non annoncée supervisée par l'évaluateur.

L'objectif est de découvrir si la couche commune peut préserver la vérité sans devenir un monopole de service complet. Peut-elle identifier le fournisseur actuel, valider un changement ordonné, préserver les restrictions et diriger la découverte publique tout en laissant le support et les services optionnels contestables? Un fournisseur temporaire peut-il fonctionner à partir de matériel vérifié indépendamment? Les détenteurs peuvent-ils se déplacer à nouveau après un service temporaire?

Les registres titulaires devraient être comparés non seulement aux entrants mais aussi à leur propre performance avant le choix. S'ils réduisent les frais, améliorent les exportations, restreignent les règles ou accélèrent les examens en réponse à une sortie crédible, c'est une preuve pour le contrefactuel même si peu de détenteurs se déplacent réellement. La contestabilité peut modifier le comportement avant que la part de marché ne change.

Cette phase teste également la concentration. Si un fournisseur à bas coût capture la plupart des comptes faciles, des réserves opérationnelles minimales, des charges communes basées sur le risque et des plafonds de portefeuille peuvent être nécessaires. Un marché portable qui crée un nouveau fournisseur dominant a changé le nom du problème, pas le résoudre.

Phase quatre, 2033-2036: décider si l'institution mérite l'échelle

À la phase finale, les preuves devraient couvrir les années ordinaires et au moins un exercice sérieux d'opération de substitution. La décision n'est pas binaire. Certaines fonctions peuvent s'avérer portables tandis que d'autres restent communes ou nécessitent des transitions plus longues. La présentation RDAP et le service de compte ordinaire peuvent soutenir un large choix; certains changements de garde RPKI peuvent nécessiter une accréditation spécialisée; l'arbitrage devrait rester indépendant de chaque fournisseur.

L'expansion devrait dépendre de résultats soutenus sur plusieurs cohortes, pas d'une seule année de lancement. L'évaluateur devrait examiner si les gains de prix initiaux persistent, si les charges communes augmentent, si les fournisseurs fusionnent, si les comptes difficiles restent servis, si la qualité des corrections s'améliore et si les détenteurs conservent une capacité significative de se déplacer une deuxième fois.

La base de référence régionale doit également être observée. Les institutions titulaires peuvent se réformer substantiellement, la politique mondiale peut changer, l'utilisation d'IPv6 peut modifier la complexité du portefeuille, et de nouvelles exigences de sécurité peuvent augmenter le coût commun. Les estimations de différence dans les différences peuvent aider à distinguer les effets du pilote du changement global, mais elles n'élimineront pas tous les facteurs de confusion. Les conclusions devraient énoncer l'incertitude plutôt que de convertir dix ans de preuves institutionnelles mixtes en un nombre triomphant.

La préinscription supprime les échappatoires du promoteur

Les promoteurs devraient publier les principales mesures, les estimateurs, les méthodes de comparaison, les plages d'incertitude et les règles d'arrêt avant la migration en direct. Le protocole enregistré devrait recevoir un identifiant stable et un hachage public, les modifications étant annexées plutôt que de remplacer l'original. Sinon, chaque résultat peut être redéfini comme un succès.

Les mesures de coût incluent le panier de services comparable, la charge de base commune, les heures internes des opérateurs, les frais des cas exceptionnels et le coût de sortie. Les mesures de qualité incluent l'exactitude, l'incidence des changements non autorisés, le temps de correction, la qualité des raisons, la disponibilité du service et la récurrence des plaintes. Les mesures de portée incluent les obligations obligatoires au niveau du fournisseur, les utilisations de l'autorité ouverte, les décisions indépendamment révisables et le volume de politiques placé dans la couche commune.

Les mesures de résilience incluent la complétude des exportations, le temps d'activation des substituts, le pourcentage de registres nécessitant une reconstruction par le détenteur et la continuité des services dépendants.

Les mesures de marché incluent la concentration des fournisseurs, le taux de basculement, le succès du deuxième basculement, le taux de rejet par complexité du détenteur, l'entrée et la sortie de fournisseurs qualifiés, et la part du coût commun payé par chaque cohorte. Les mesures de distribution comparent les petits réseaux, les utilisateurs du secteur public, les entrants récents, les détenteurs hérités, les ressources transférées et les comptes avec litiges.

Le plancher de sécurité central est plus strict que le seuil de bénéfice. Il ne devrait y avoir aucune allocation en double tolérée, aucune autorité de fournisseur contradictoire non résolue et aucune dégradation matérielle de la découverte autorisée. Une seule erreur opérationnelle contenue ne met pas nécessairement fin à l'ensemble de l'étude, mais elle déclenche une pause, une divulgation, une restauration et un examen des causes profondes. Des échecs d'intégrité répétés ou cachés mettent fin à l'autorité du fournisseur responsable.

Les seuils de bénéfices devraient être matériels plutôt que cérémoniaux. Par exemple, une réduction soutenue d'au moins quinze pour cent du coût non essentiel ajusté à la qualité pour le détenteur apparié médian, une amélioration significative du temps de correction de routine vérifié, et une substitution réussie dans la fenêtre de récupération définie soutiendraient l'expansion. Ces valeurs devraient être débattues et testées en sensibilité. Ce qui importe, c'est qu'elles soient fixées avant que les résultats ne soient connus et qu'elles ne puissent pas être remplacées par des témoignages.

Les frais se sépareront probablement avant de baisser

Le premier effet observable peut être la transparence des prix plutôt qu'un total inférieur. Aujourd'hui, les frais d'adhésion peuvent soutenir un mélange d'enregistrement, d'élaboration de politiques, de services techniques, de réunions, de sensibilisation, de réserves et de projets. Sous le choix, la charge de coordination commune, la charge de service du fournisseur et le prix du service optionnel nécessiteraient une justification séparée.

Cette séparation pourrait révéler que certaines fonctions sont plus coûteuses que supposé. La reconstruction des preuves historiques, la récupération sécurisée des identifiants et l'examen des transferts complexes nécessitent une expertise. Un fournisseur servant de nombreux réseaux petits ou récemment formés peut avoir des coûts de support plus élevés qu'un fournisseur servant des institutions établies. Les frais basés sur le risque peuvent être légitimes s'ils reflètent le coût de service contrôlable plutôt que la valeur marchande de la ressource.

La concurrence devrait peser le plus lourdement sur le travail standardisé, répétable et optionnel. Les titulaires peuvent rester efficaces parce qu'ils ont déjà l'échelle, un personnel expérimenté et des systèmes matures. S'ils gagnent des clients sous des règles de portabilité égales, le résultat soutient leur performance plutôt que leur exclusivité territoriale. L'objectif politique n'est pas un quota d'entrants. C'est une comparaison crédible et une sortie.

Le modèle serait réfuté si les charges communes absorbent régulièrement chaque fonction tandis que les prix des fournisseurs deviennent cosmétiques, ou si les fournisseurs financent des prix bas en vendant un traitement privilégié dans la correction des enregistrements. La répartition transparente des coûts et les transactions auditées entre parties liées font donc partie des preuves.

La retenue politique devrait être visible dans les raisons et les limites

Le pouvoir est difficile à mesurer à travers des organigrammes institutionnels. Il est plus facile à observer aux moments de refus. Pourquoi une mise à jour a-t-elle été refusée? Quelle règle a autorisé le refus? Un autre fournisseur pourrait-il prendre une décision de service différente sans menacer l'état commun? Le détenteur a-t-il pu obtenir un examen indépendant? Le fournisseur a-t-il subi une conséquence pour un refus illégal ou négligent?

Un régime de portabilité devrait produire des motifs plus courts et plus spécifiques pour bloquer un déménagement: fraude crédible, autorité du détenteur contestée, une contrainte légale contraignante, un conflit de transfert actif ou un verrou de sécurité étroitement chronométré. Les charges impayées pour des services optionnels non liés ne devraient pas piéger la relation autoritaire. Un désaccord général avec un détenteur ne devrait pas devenir une sanction de continuité.

L'évaluateur devrait échantillonner les refus et coder leurs motifs, leur durée, la qualité des preuves et le résultat de l'examen. Il devrait publier des comparaisons entre fournisseurs sans exposer de preuves sensibles. Un nombre décroissant de refus ouverts et une part croissante de décisions motivées et révisables soutiendraient la prédiction de retenue politique.

Il y a une possibilité contraire. Les fournisseurs peuvent rivaliser en promettant de la laxité, forçant la couche commune à émettre des règles plus détaillées. Si c'est le cas, le volume de règles peut augmenter même si le pouvoir discrétionnaire du fournisseur diminue. L'analyse doit distinguer les contraintes communes utiles de la bureaucratie accumulée. La question constitutionnelle est de savoir qui peut altérer la continuité, sur quelle preuve et avec quel recours.

Les preuves de crise sont plus importantes que la disponibilité en jours normaux

Une haute disponibilité pendant le fonctionnement normal est nécessaire mais constitue une preuve faible. Les fournisseurs modernes peuvent maintenir des points de terminaison publics de manière fiable. La question contestée est de savoir si l'autorité, les preuves et le service survivent lorsque la direction est absente, les enregistrements sont suspects ou le contrôle légal est contesté.

Les exercices devraient donc éviter l'hypothèse commode que la dernière copie est digne de confiance. Un scénario devrait introduire un historique de transfert modifié sélectivement. Un autre devrait rendre les identifiants récents suspects. Un troisième devrait empêcher les dirigeants du fournisseur d'autoriser la libération. Un quatrième devrait placer les fonds ordinaires hors de portée. Le substitut doit reconstruire un état actuel justifié à partir d'un historique détenu indépendamment, de reçus des détenteurs, d'observations publiques et de restrictions préservées.

Le succès n'est pas un redémarrage rapide de chaque fonction. Certains changements discrétionnaires peuvent faire une pause tandis que les données d'enregistrement et l'autorité existante continuent. L'évaluateur devrait distinguer la continuité essentielle de la hâte dangereuse. Il devrait mesurer si les opérateurs affectés peuvent continuer à prouver leur autorité, maintenir des objets de sécurité de routage valides le cas échéant, mettre à jour les contacts d'urgence et obtenir une audience.

Si le choix transforme une crise régionale en la défaillance d'un fournisseur remplaçable, le résultat serait constitutionnellement significatif. Si chaque substitut dépend encore du sauvetage des dirigeants de ce fournisseur, de ses systèmes propriétaires ou de son interprétation privée, le contrefactuel a échoué à son test le plus fort.

Le RPKI peut invalider une démonstration par ailleurs convaincante

La portabilité de l'enregistrement est plus facile à décrire que la continuité de la sécurité de routage. Le RFC 6480 lie les certificats de ressources à une hiérarchie d'allocation, et les services opérationnels peuvent combiner l'autorité de certification, la garde des clés, la publication dans des dépôts et les interfaces des détenteurs. Déplacer un élément avec négligence peut révoquer ou invalider des objets sur lesquels les réseaux comptent.

Le pilote devrait séparer le parrainage du service d'enregistrement du service RPKI. Les premiers entités peuvent conserver les arrangements RPKI existants tout en déplaçant le service d'enregistrement ordinaire. Des tests ultérieurs peuvent examiner les arrangements délégués, les transitions de publication et la garde hébergée sous des contrôles dédiés. Le plan de déménagement doit indiquer quelles clés restent, quels certificats changent, comment les autorisations d'origine de route sont comparées, ce que les validateurs observeront et comment le retour en arrière fonctionne.

Aucun fournisseur ne devrait annoncer un mouvement « en un clic » si le clic cache le remplacement de clé et le risque de publication. Des moniteurs indépendants devraient observer la validité avant, pendant et après chaque transition. La mesure de sécurité n'est pas simplement de savoir si le fournisseur dit que le déménagement est terminé; c'est de savoir si les parties prenantes ont vu l'état valide attendu et si aucune autorisation non autorisée n'est apparue.

Une augmentation persistante de l'invalidité, des objets obsolètes ou des révocations d'urgence attribuables au déménagement plaideraient contre l'expansion de cette partie du choix. Cela ne réfuterait pas nécessairement le service de compte portable. Cela montrerait que les fonctions institutionnelles devraient être désagrégées selon les preuves plutôt que selon l'idéologie.

Les tribunaux et les sanctions doivent rester efficaces sans créer de captivité

La portabilité n'est pas une voie de contournement de la loi. Une ordonnance judiciaire valide dirigée contre une ressource, un détenteur ou une transaction doit rester attachée à l'état autoritaire lorsque le service change. Les contrôles de sanctions et les contrôles anti-fraude ne peuvent pas disparaître à la frontière entre fournisseurs. La couche commune a besoin d'un mécanisme restreint pour enregistrer l'existence, la portée, l'autorité émettrice et la durée d'un blocage légal.

En même temps, un fournisseur ne devrait pas convertir sa propre position de litige en un verrou universel. Les ordonnances doivent être interprétées par une autorité compétente, contestées par les voies légales disponibles et limitées à leurs termes. Une réclamation contre le fournisseur ne justifie pas automatiquement de nuire à chaque détenteur. Une facture contestée ne justifie pas d'éteindre la continuité.

Le pilote devrait inclure des avis légaux fictifs, des avis contradictoires de différentes juridictions et un véritable canal d'examen indépendant pour les litiges administratifs en direct. Les mesures incluent le temps pour reconnaître une contrainte valide, le taux de blocages excessifs, le temps pour lever les contraintes expirées, l'accès préservé aux preuves et si le détenteur peut déplacer des services non affectés.

Le contrefactuel prédit que le pouvoir devient plus précis: les contraintes légales voyagent, tandis que les conflits spécifiques au fournisseur perdent leur capacité à piéger des opérations non liées. Des preuves de recherche systématique de recours, de reconnaissance incohérente des contraintes ou de contournement facile falsifieraient cette prédiction.

Les titulaires devraient être concurrents, témoins et solutions de repli

L'essai proposé ne devrait pas être conçu comme une poursuite des registres Internet régionaux. Ils détiennent des décennies de connaissances opérationnelles, d'enregistrements historiques, d'expérience politique, de capacité de sécurité et de relations avec l'IANA et entre eux. Les exclure affaiblirait le test et rendrait la continuité plus difficile.

Les titulaires devraient pouvoir offrir un service portable en dehors de leur territoire traditionnel s'ils respectent les mêmes règles de qualification, de données, de prix et de révision. Ils devraient également fournir des preuves de base sous réserve de protection de la vie privée et participer à la conception technique commune sans détenir de veto sur l'entrée. Leurs portefeuilles régionaux actuels peuvent rester sous les arrangements existants pendant les premières phases.

Cela crée trois comparaisons utiles: entrant contre titulaire, service portable du titulaire contre son service territorial, et l'ensemble de l'essai contre les régions inchangées. Un titulaire peut prouver que l'échelle et l'expérience surpassent les nouveaux fournisseurs. Il peut également découvrir que des exportations explicites, des termes plus étroits et un examen indépendant améliorent son service existant.

L'entraide reste précieuse, mais elle devrait devenir une capacité de substitution testée plutôt qu'une promesse d'urgence entre pairs. Un titulaire qualifié peut être le meilleur fournisseur temporaire lorsqu'un autre échoue. Le changement important est que le rôle, l'autorité, l'accès aux données, le financement et la sortie sont définis avant la crise.

La NRS peut défendre le test, ne pas devenir le fournisseur testé

La Société des ressources numériques promeut une vision centrée sur l'opérateur dans laquelle les registres agissent comme des comptables responsables plutôt que comme des gouverneurs territoriaux. Cette orientation correspond à l'hypothèse de portabilité, mais le plaidoyer ne fait pas de la NRS un registre candidat, un bureau d'enregistrement, un vérificateur d'identité, un gardien de registres, un opérateur de transfert, un fournisseur RPKI, un évaluateur ou un organe d'appel.

La proposition opérationnelle doit être démontrée par les RIR et autres opérateurs de services de registre légalement autorisés qui détiennent réellement ces fonctions, avec des examinateurs indépendants testant leurs preuves.

La NRS peut apporter une contribution constructive en recherchant les modes de défaillance, en convoquant les opérateurs concernés, en soutenant les membres, en représentant les organisations qui lui ont octroyé une procuration dans la gouvernance des RIR et en faisant campagne pour un test dont les mesures sont fixées à l'avance. Elle peut publier des comparaisons sourcées des performances des titulaires et des fournisseurs autorisés.

Elle ne peut pas soumettre de modifications autoritaires, détenir l'état commun, qualifier les fournisseurs, certifier la migration, exécuter des transferts ou offrir le service de repli décrit dans ce contrefactuel.

La NRS ne devrait avoir aucun contrôle sur l'évaluation, la qualification, la facturation commune, la garde des registres ou l'examen des litiges. Ses affirmations publiques devraient être traitées comme des hypothèses et testées par rapport à des preuves d'opérateurs publiées indépendamment. Un membre peut retirer un mandat de plaidoyer ou une procuration, mais cette relation n'est pas un compte de service de registre et ne doit jamais être présentée comme tel. Toute exécution du pilote reste avec les RIR compétents, les opérateurs légalement nommés, les tribunaux et les organes d'examen indépendants.

Cette clarté des rôles renforce le dossier positif de la NRS en tant qu'organisation de plaidoyer. Elle peut exiger que les institutions opérationnelles soient remplaçables sans demander à hériter de leur autorité, que ce soit maintenant ou sous un mandat futur spéculatif.

La sélection adverse pourrait vaincre le marché

Les fournisseurs peuvent rechercher des détenteurs récents et bien documentés avec des portefeuilles simples et éviter les blocs hérités, les fusions complexes, l'exposition aux sanctions, les litiges actifs ou les besoins de support coûteux. Les titulaires conserveraient alors les comptes les plus difficiles tandis que les entrants annonceraient des prix plus bas. Le gain d'efficacité apparent serait la sélection, pas l'innovation.

Le pilote devrait exiger des critères d'acceptation transparents et signaler le rejet par classe de complexité. Des prix basés sur le risque peuvent être autorisés, mais chaque facteur doit correspondre au coût de service attendu et être révisable. Une installation résiduelle commune peut fournir un service temporaire lorsqu'aucun fournisseur n'accepte un compte, financé par une taxe qui ne récompense pas le rejet.

Des obligations de portefeuille pourraient exiger que chaque fournisseur au-dessus d'un seuil de taille serve un mélange représentatif ou contribue proportionnellement au service des cas difficiles. Cela doit être conçu avec soin: forcer un entrant inexpérimenté à accepter un portefeuille hautement contesté peut augmenter le risque. Les niveaux de qualification peuvent permettre la spécialisation tout en empêchant que l'étiquette de spécialiste ne devienne une échappatoire pour les comptes faciles.

La prédiction d'un coût non essentiel plus bas ne survit que si des cohortes équivalentes s'améliorent. Publier une moyenne basse sur un portefeuille sélectionné serait trompeur. La conception appariée et le tableau de bord distributif sont donc centraux, pas une décoration méthodologique.

Le coordinateur commun pourrait devenir le nouveau monopole

Les fournisseurs portables ont besoin d'un mécanisme partagé pour sérialiser les changements, identifier le parrainage actuel et diriger la découverte autoritaire. Ce mécanisme a un pouvoir structurel. S'il s'étend à l'adjudication d'identité, à la tarification, aux services optionnels, au plaidoyer politique, à la formation, aux données de marché et à chaque litige, la concurrence entre fournisseurs devient une couche décorative sous un monopole plus fort.

Le coordinateur commun devrait avoir une liste fermée de fonctions, des interfaces publiées, un historique témoin indépendant, une répartition des coûts auditée, une gestion séparée et un examen externe. Sa propre opération doit être remplaçable par une activation de successeur testée. Les spécifications et l'état nécessaire devraient être disponibles pour plus que l'opérateur actuel sous des contrôles stricts.

Le rôle de numérotation de l'IANA offre une comparaison limitée: la coordination de haut niveau et les enregistrements d'allocation peuvent rester globaux tandis que les services régionaux et locaux opèrent en dessous. L'accord de niveau de service des services de numérotation de l'IANA démontre également que les mesures de performance, l'escalade et les concepts de successeur peuvent être exprimés contractuellement. Il n'autorise pas le modèle proposé, mais il montre que la coordination mondiale n'a pas besoin d'être décrite comme l'identité permanente d'un seul contractant.

Le pilote échoue constitutionnellement si les détenteurs gagnent un choix de fournisseur mais aucun recours contre le coordinateur commun. La remplaçabilité doit s'étendre vers le haut.

La concurrence en matière de sécurité peut améliorer les contrôles ou produire une course à la commodité

Les fournisseurs peuvent se différencier par une authentification matérielle, une administration déléguée, une vérification multilingue, une réponse aux incidents et une récupération. Cela pourrait améliorer la sécurité. Ils peuvent également rivaliser en réduisant les frictions, en acceptant des preuves plus faibles ou en commercialisant des transferts rapides pour les détenteurs qui ne comprennent pas le risque.

Les contrôles minimaux devraient couvrir l'autorité organisationnelle, l'approbation multipersonnelle pour les changements à haut risque, la récupération des identifiants, l'autorisation liée aux transactions, la détection des anomalies, la conservation des preuves, l'accès du personnel, la divulgation des incidents et les tests indépendants. Les fournisseurs peuvent dépasser le plancher, mais ils ne peuvent pas commercialiser un raccourci dangereux autour de lui.

Les résultats de sécurité devraient être normalisés par le volume de transactions et le risque du portefeuille. Les mesures incluent les changements non autorisés tentés et réussis, le temps pour une action de protection, l'exhaustivité de la récupération, l'abus de réinitialisation d'identifiants, les incidents internes et les écarts non signalés découverts par une surveillance indépendante. Les affirmations de sécurité d'un fournisseur ne devraient pas remplacer les résultats observés.

Les contrôles communs doivent rester axés sur les résultats dans la mesure du possible. Imposer un fournisseur ou une interface unique gèlerait l'innovation et favoriserait les titulaires. Pourtant, la seule régulation des résultats est insuffisante lorsqu'un échec caché peut ne pas apparaître avant des années. Une combinaison de processus minimal, de conformité technique et de preuves d'incidents est justifiée.

La concentration du marché doit être traitée comme un résultat, pas une réflexion après coup

Le service de registre a des économies d'échelle. Les systèmes sécurisés, le personnel spécialisé, la réponse 24h/24, l'expertise juridique et les intégrations communes sont coûteux. Les opérateurs peuvent préférer un fournisseur mondial familier. Le marché pourrait converger rapidement vers deux ou trois fournisseurs, ou un seul.

La concentration n'est pas automatiquement un échec si la sortie reste réelle, la couche commune est neutre et le fournisseur principal gagne grâce à un service supérieur. Elle devient dangereuse lorsque le contrôle vertical, les données propriétaires, les frictions de changement ou l'influence sur la gouvernance commune rendent le leadership auto-renforçant. La part de marché devrait donc être observée parallèlement au succès du deuxième basculement, à la qualité des exportations, à l'interopérabilité et à l'entrée de fournisseurs.

Les remèdes structurels pourraient inclure la séparation entre le coordinateur commun et les fournisseurs de détail, des interfaces non discriminatoires, des délais de portabilité, des limites d'utilisation des données et des restrictions sur la liaison de services non liés. Un plafond de part de marché peut être utile pendant un pilote pour préserver l'apprentissage, mais c'est un outil permanent grossier. Il peut protéger des fournisseurs faibles et fragmenter l'expertise.

Le contrefactuel prédit un pouvoir plus étroit, pas un nombre infini de fournisseurs. Un marché de services concentré mais contestable peut être meilleur que cinq institutions territoriales captives; un gardien privé mondial peut être pire. Les preuves sur la sortie réelle décident de la distinction.

La continuité du secteur public et des petits réseaux sont des tests de distribution

Les grands opérateurs peuvent retenir des avocats, des équipes de sécurité et des spécialistes des registres. Un droit à la portabilité qui ne fonctionne que pour eux reproduirait l'asymétrie actuelle. Les petits FAI, les réseaux communautaires, les universités, les agences publiques et les opérateurs de services critiques devraient être inclus dès la première cohorte en direct avec une observation dédiée.

Les organismes publics peuvent exiger des garanties en matière de marchés publics, d'archives et de juridiction. Les petits réseaux peuvent manquer de documents historiques ou de continuité du personnel. Le fournisseur devrait offrir une exportation de preuves utilisable et une migration assistée sans gagner de discrétion sur la vérité de l'enregistrement. Une assistance subventionnée peut être financée de manière transparente par la charge commune ou des fonds d'intérêt public.

Les mesures distributives incluent le temps consacré par le détenteur, le besoin de conseils externes, les défaillances de documentation, l'interruption de service, l'accès aux plaintes et le prix effectif en tant que part de l'échelle opérationnelle. L'essai devrait indiquer si les gains profitent principalement aux commerçants sophistiqués ou s'étendent aux opérateurs utilisant les ressources numériques pour fournir une connectivité ordinaire.

La prédiction positive est que la portabilité standardisée réduit la dépendance aux relations personnelles et à la familiarité institutionnelle. Si les petits détenteurs font face à plus de rejets, des délais plus longs ou un risque plus élevé après le choix, la conception a besoin d'une révision avant l'expansion.

L'échec est un résultat final admissible

Les propositions institutionnelles se protègent souvent en traitant chaque échec comme la preuve qu'il faut plus d'autorité. Un contrefactuel crédible nomme les conditions dans lesquelles sa revendication centrale devrait être rejetée.

La thèse de la portabilité est réfutée dans sa forme proposée si, après ajustement pour la cohorte et la qualité du service, le coût total non essentiel ne s'améliore pas matériellement; le pouvoir discrétionnaire au niveau du fournisseur n'est pas réduit; les corrections vérifiées ne deviennent pas plus rapides ou plus fiables; l'opération de substitution ne peut pas atteindre l'objectif de récupération; ou le coordinateur commun accumule un pouvoir non contrôlé équivalent.

Elle est également réfutée si l'autorité en double ne peut pas être empêchée, les changements non autorisés augmentent matériellement, les transitions RPKI créent une invalidité persistante, les contraintes légales sont régulièrement contournées, les détenteurs difficiles deviennent non servis, ou la concentration rend une deuxième sortie impraticable. Certains échecs peuvent rejeter une seule implémentation. Des échecs répétés à travers des conceptions matériellement différentes pèseraient contre la portabilité elle-même.

La base de référence peut également échouer. Si les institutions titulaires subissent des crises, imposent des coûts croissants ou produisent des remèdes lents pendant la même période, cette preuve appartient à la comparaison. L'étude n'est pas tenue de préserver le modèle régional comme un contrôle incontesté. Les deux arrangements sont jugés par les mêmes résultats.

Un résultat défavorable devrait être énoncé sans euphémisme. « Plus de recherches sont nécessaires » peut être vrai à la limite de l'intervalle de confiance, mais ce n'est pas une description adéquate lorsque le seuil de bénéfice préenregistré est manqué ou qu'une classe de sécurité se répète à travers les fournisseurs. Le rapport final devrait identifier quelle revendication a échoué, si l'échec était spécifique à une fonction ou général à l'architecture proposée, avec quelle force les preuves soutiennent cette conclusion et quelle autorité en direct doit prendre fin en conséquence.

Le pilote peut échouer en toute sécurité et être encore précieux. Il peut établir que les interfaces de compte ordinaires sont portables tandis que le contrôle autoritaire des changements ne l'est pas; que les coûts deviennent plus clairs sans devenir plus bas; que la substitution fonctionne pour les données publiques mais pas pour le RPKI hébergé; ou que le coordinateur commun reproduit exactement le pouvoir discrétionnaire que la conception visait à discipliner. Ce sont des résultats institutionnels qui n'existeraient pas sans un essai limité.

Les promoteurs doivent également accepter une conclusion selon laquelle la base de référence régionale reste préférable dans les conditions testées. La NRS peut contester l'interprétation, représenter les membres qui ont subi un mauvais service de la part du titulaire et proposer une expérience future différente, mais elle ne peut pas convertir le plaidoyer en un pouvoir de continuer une conception opérationnelle échouée.

Les RIR et les fournisseurs autorisés doivent exécuter les règles d'arrêt et de retour; l'évaluateur doit publier les preuves; les organes compétents décident si une proposition matériellement différente mérite un nouveau processus.

Réussir une phase ne crée aucun droit permanent

Le succès serait moins dramatique que ce que les défenseurs peuvent attendre. Un état autoritaire reste intact. La plupart des routes continuent sans changement visible. Plusieurs fournisseurs offrent des services distinguables. Les charges communes sont explicites. Les corrections de routine s'améliorent. Les opérateurs peuvent se déplacer dans un délai prévisible. Une défaillance institutionnelle active un service temporaire sans une dispute mondiale sur qui possède l'enregistrement.

Les registres titulaires peuvent conserver une grande part parce qu'ils performent bien. Les membres soutenus ou représentés par la NRS peuvent participer en tant que détenteurs s'ils satisfont indépendamment aux règles d'éligibilité du pilote, tandis que leur RIR ou un autre opérateur légalement autorisé continue d'effectuer chaque acte de service de registre. Certaines fonctions RPKI peuvent rester spécialisées. Un examen indépendant peut annuler des décisions de chaque camp. Les cas difficiles peuvent coûter plus cher mais recevoir des raisons plus claires et une protection de la continuité.

Le gain constitutionnel serait que l'autorité devient conditionnelle. Un fournisseur est digne de confiance parce qu'il répond aux exigences communes, sert les détenteurs, préserve les preuves et peut passer le relais en toute sécurité, pas parce que la géographie rendait la sortie irréaliste. La politique est plus étroite parce que les fournisseurs ne peuvent pas utiliser la continuité comme levier sur un comportement non lié. La correction de crise est plus rapide parce que le service peut survivre à la société.

Un tel résultat ne prouverait pas que chaque région devrait changer immédiatement. Il justifierait des cohortes plus larges, une interopérabilité plus forte et une transition négociée. Le succès qualifié préserve le droit d'apprendre à nouveau.

Même le résultat le plus fort reste une preuve d'une population, d'une période et d'un instrument d'autorité limités. Les fournisseurs peuvent avoir agi différemment parce qu'ils savaient qu'ils étaient observés. Les subventions peuvent avoir caché des coûts durables. Une petite cohorte peut ne pas exposer la concentration ou les litiges à longue traîne. La technologie et la loi peuvent changer après la fenêtre d'observation. La performance du pilote soutient donc l'examen d'un modèle de service; elle ne confère pas une franchise.

Tout mandat pilote devrait expirer à une date fixée. Un fournisseur qui performe bien peut demander dans un processus séparé un rôle post-pilote limité dans le temps, mais la demande doit identifier l'autorité légale et institutionnelle capable de l'accorder, divulguer les conflits, inviter les commentaires des parties affectées et inclure un examen et une sortie. Le dossier peut citer les preuves du pilote tout en traitant de l'échelle, du financement, de la responsabilité et des conditions que l'expérience n'a pas testées.

Aucun entité ne devrait obtenir une préférence simplement parce que le retour serait gênant. Cela transformerait la propre mise en œuvre de l'essai en source de pouvoir permanent. La conception du retour existe précisément pour qu'une institution compétente puisse décider de l'avenir sans qu'on lui dise que la dépendance opérationnelle a déjà réglé la question.

Le pilote s'éteint avant le jugement institutionnel de 2036

À la fin de la période, l'autorité du pilote devrait s'éteindre selon le protocole plutôt que de continuer pendant que les institutions débattent du rapport. Un organe indépendant devrait publier le dossier comparatif complet, ses méthodes, les facteurs de confusion connus, les incidents de sécurité, les cas exclus et les résultats distributifs. Les fournisseurs et les titulaires devraient pouvoir soumettre des réponses, mais aucun ne devrait modifier les résultats. Les opérateurs dont les expériences sont résumées devraient avoir une voie pour corriger les erreurs factuelles.

La décision devrait aborder chaque fonction séparément: parrainage ordinaire de l'enregistrement, service de données publiques, assistance aux transferts, coordination DNS inverse, garde RPKI, administration des litiges, continuité d'urgence et coordination commune. Elle devrait dire quelles fonctions soutiennent un choix plus large, lesquelles nécessitent d'autres limites et lesquelles devraient rester partagées.

Si les preuves sont positives, toute proposition d'expansion devrait entrer dans un nouveau processus d'autorisation qui inclut une requalification périodique, des interfaces ouvertes, un examen indépendant et une opération de successeur testée. Si elles sont mitigées, les institutions compétentes peuvent envisager de retenir des normes utiles sans prolonger l'autorité des fournisseurs du pilote. Si elles sont négatives, l'essai devrait se clore en toute sécurité, préserver les enregistrements et publier pourquoi. Dans les trois cas, le pilote lui-même prend fin; seul un mandat séparément motivé peut commencer quelque chose d'autre.

Le pilote de choix du registre vaut la peine d'être tenté parce que le règlement régional existant était lui-même une réponse institutionnelle à l'échelle, à la géographie et à la charge administrative. Ce n'était pas une loi de la nature. Mais la contingence historique ne suffit pas à justifier un remplacement, et la participation expérimentale ne suffit pas à justifier la permanence. Un processus crédible gagne l'attention du public en spécifiant comment il peut perdre, retourner chaque enregistrement en direct en toute sécurité et laisser l'attribution finale de l'autorité à une décision légale ultérieure.

Sources et limites analytiques

Les effets sur les frais, les seuils et les résultats 2026-2036 sont des hypothèses. Aucun marché en direct de registre de numéros portable ne fournit actuellement les preuves longitudinales nécessaires pour les confirmer. Les comparaisons sectorielles identifient des contrôles possibles et des modes de défaillance possibles, tandis que la conception par étapes indique quelles preuves soutiendraient, qualifieraient ou rejetteraient la proposition institutionnelle.