Résumé

  • À 15 h 47 UTC, une réponse publiée sur la liste NANOG a corrigé le niveau de contrôle: le communiqué texan désigne Verisign, opérateur du registre .com, et non un simple registraire.
  • Selon l'ICANN, le registraire pose les statuts EPP client, le registre pose les statuts server, et ces derniers ont priorité. serverHold retire le nom de l'activation DNS.
  • L'enregistrement RDAP de Verisign a ensuite affiché server hold ainsi que des interdictions serveur de suppression, de transfert et de modification. Cette observation ne date pas le début de chaque statut.
  • Le registraire reste indispensable pour authentifier le titulaire et transmettre l'escalade, mais il ne peut pas lever seul un statut fixé par le registre.

Un domaine peut être payé, encore présent dans la base d'enregistrement et pourtant absent du DNS.

C'est la conclusion opérationnelle la plus solide d'un fil apparu dimanche sur la liste NANOG. La discussion portait d'abord sur la portée d'une décision texane visant un site établi hors de l'État. David Conrad a ensuite corrigé un détail déterminant pour les équipes d'exploitation: d'après l'annonce officielle, la mesure n'avait pas été exécutée par le bureau d'enregistrement du client, mais par Verisign au niveau du registre .com.

Cette réponse n'engage ni NANOG comme organisation ni l'ensemble de sa communauté. Elle rend néanmoins le modèle d'incident plus exact. La bonne question n'est plus seulement « pouvons-nous joindre notre registraire ? », mais « qui contrôle le statut serveur du nom, dans quelle juridiction, et par quel canal le registraire peut-il joindre cet opérateur ? »

Deux couches administrent le même nom

Le bureau du procureur général du Texas a déclaré le 1er juillet avoir obtenu un ordre adressé à Verisign, présenté comme l'entreprise qui maintient le registre .com. Selon ce communiqué, le nom motherless.com devait être placé sous un « registry lock, hold, or similar status ». Il s'agit de la version de l'administration texane. Le brefing n'a pas examiné l'ordonnance elle-même et ne transforme donc pas le communiqué en motivation judiciaire.

La documentation EPP de l'ICANN permet de séparer les responsabilités sans ambiguïté. Les codes commençant par client sont fixés par le registraire. Les codes server sont fixés par le registre et ont priorité. Pour serverHold, l'ICANN précise que le nom n'est pas activé dans le DNS.

La page contractuelle de l'ICANN désigne VeriSign, Inc. comme opérateur du .com. Une consultation ultérieure du RDAP exploité par Verisign a renvoyé quatre états serveur: server hold, server delete prohibited, server transfer prohibited et server update prohibited. Le résultat prouve la couche de contrôle observée, pas l'heure à laquelle chaque restriction a commencé.

Dire simplement qu'un domaine est « verrouillé » masque donc trop d'informations. Le service de Registry Lock acheté pour prévenir un détournement n'est pas synonyme de serverHold, et ce dernier ne résume pas automatiquement les trois autres interdictions. Une cellule de crise doit conserver les codes exacts et l'autorité qui les a posés.

Le registraire ouvre la porte sans commander le registre

La correction ne rend pas le registraire inutile. L'ICANN conseille au titulaire de passer par lui même lorsqu'un code serveur doit être retiré. Le registraire vérifie l'identité du client, explique l'état visible et transmet la demande au registre. Mais cette chaîne d'escalade ne signifie pas qu'il possède la commande finale.

Un transfert vers un autre registraire ne contourne pas une interdiction serveur de transfert. Une modification de zone ne répare pas une suspension appliquée dans la zone parente. Le support du registraire peut faire avancer le dossier; il ne peut pas effacer un état que le registre contrôle.

Pour un nom .com, la carte de dépendance doit donc inclure le compte du titulaire, le registraire, Verisign, le fournisseur DNS faisant autorité et les autorités juridiques susceptibles d'imposer ou de contester l'action. Pour un autre domaine de premier niveau, l'opérateur, le contrat et la juridiction peuvent changer. Le suffixe n'est pas seulement un choix de marque: il détermine aussi une partie de la chaîne de contrôle.

Observer RDAP avant d'accuser le mauvais système

Le premier symptôme sera souvent un échec de résolution. Ce symptôme ne dit pas si la zone est mal configurée, si DNSSEC échoue, si le service faisant autorité est en panne ou si le registre a désactivé la délégation. Des serveurs de noms peuvent encore apparaître dans les données d'enregistrement alors que serverHold empêche le nom de fonctionner dans le DNS.

Les opérateurs devraient donc archiver des résultats RDAP horodatés en même temps que les traces de résolution. Une alerte sur les statuts server hold, server transfer, server update et server delete apporte un diagnostic que le seul test HTTP ne fournit pas. Elle doit être attribuée à une personne capable d'accéder au compte du registraire, de prévenir le service juridique et de retrouver le canal d'escalade du registre.

Cette discipline évite aussi de confondre deux objectifs. Un verrou de sécurité réduit le risque de modification frauduleuse. Il ne promet pas qu'une mesure juridiquement imposée sera impossible. À l'inverse, un code serveur visible ne dit pas à lui seul si l'ordre est fondé ou contestable; il décrit l'état technique à traiter.

La disparition d'un nom atteint plus que le site

Le même domaine peut porter le courrier électronique, les réinitialisations de mot de passe, les retours SSO, des API, les mises à jour logicielles, la validation de certificats et les messages de crise. Si les contacts de récupération utilisent eux aussi le nom suspendu, l'entreprise perd le canal qui lui permettrait de prouver son contrôle.

Un plan plus robuste inventorie ces dépendances et garde des contacts de registraire, de registre et de conseil juridique hors du domaine concerné. Il prévoit une page d'information indépendante et teste qui peut autoriser une modification urgente. Des services critiques peuvent utiliser des canaux ou des noms séparés, mais cette architecture ne garantit ni le maintien de la marque, ni du référencement, ni de l'identité contractuelle.

Plusieurs registraires réduisent la concentration du support et le risque de compromission d'un compte. Ils ne diversifient pas le registre lorsque tous les noms restent sous le même TLD. Plusieurs TLD diversifient cette couche, au prix d'autres politiques, opérateurs et juridictions. Aucune option n'annule un ordre valable; elle précise le périmètre de panne et réduit l'improvisation.

Le prochain exercice doit tester le contrôle côté parent

Le fil NANOG ne tranche ni la constitutionnalité de la mesure texane, ni la portée souhaitable des lois d'un État, ni l'avenir politique du .com. Ces questions exigent le dossier judiciaire complet.

Le résultat technique est plus étroit. Décrire l'incident comme une simple action du registraire était inexact. Le communiqué nomme Verisign, le modèle EPP donne priorité aux codes du registre et le RDAP a montré des restrictions serveur.

Le prochain exercice de continuité devrait donc commencer ainsi: si le registre retire notre nom du DNS ce soir, qui verra le statut exact, qui pourra l'escalader, et quels services resteront disponibles pendant que le pouvoir de changement se trouve au-dessus du registraire ?

Sources