Le registre.id de PANDI fonctionne sur AS132647 tandis qu’AS56088 est absent du BGP public

Résumé

• PANDI est le registre à but non lucratif du domaine de premier niveau national.idde l’Indonésie, et non un bureau d’enregistrement vendant des enregistrements de détail ni un fournisseur de cloud ou d’hébergement. La réglementation indonésienne, la description actuelle de PANDI et la délégation de la zone racine de l’IANA convergent toutes vers ce rôle institutionnel.
• Les preuves réseau en direct pointent vers AS132647. Dans une vue du RIPE NCC du 15 juillet 2026, il annonçait huit préfixes IPv4/24et sept préfixes IPv6/48avec une visibilité complète observée, tandis qu’AS56088 n’annonçait rien et a été vu pour la dernière fois dans ces données le 15 février 2024.
• PANDI a décrit un vaste déploiement anycast, un système de registre conçu pour deux millions de noms, DNSSEC, un service secondaire indépendant de l’APNIC et un historique d’expansion de nœuds. Ces faits soutiennent une substance opérationnelle réelle, mais les documents publics ne révèlent pas les adresses actuelles des baies, les alimentations électriques, la topologie de génération de zone, les limites de réplication de base de données ou les objectifs de récupération testés.
• L’incident DNS de Semarang en 2023 démontre à la fois la valeur et la limite de l’anycast. PANDI et APJII ont retiré le chemin BGP affecté, rétablissant le service pour les utilisateurs impactés, puis ont réparé le nœud sur place. Il s’agit d’une défaillance au niveau de la route en pratique, et non d’une preuve que chaque ville, installation et système de contrôle est physiquement indépendant.

Le numéro dans le nom n’est pas le réseau qui dessert.id

Un chercheur en infrastructure partant du labelPANDI-IDpeut facilement atterrir sur AS56088. L’enregistrement APNIC est réel: le système autonome a été enregistré en 2011, reste marqué comme actif dans le registre et désigne PANDI comme titulaire. Pourtant, enregistrement et fonctionnement sont deux questions différentes. Lavue de l’état de routage du RIPE NCC pour AS56088n’a montré aucun préfixe IPv4 ou IPv6 visible le 15 juillet 2026. Ses champs historiques situent la dernière annonce observée,203.119.112.0/24, au 15 février 2024.

Maintenant, suivez le DNS plutôt que le label. L’enregistrement de délégation de l’IANA pour.idrépertorie cinq serveurs de noms faisant autorité:b.dns.id,c.dns.id,d.dns.id,e.dns.idetns4.apnic.net. Les quatre noms de PANDI se résolvent en adresses à l’intérieur de103.19.176.0/22,45.126.56.0/22,2402:ee80::/32et2001:df5:4000::/48. Les enregistrements APNIC associent ces ressources à PANDI. Les observations de route actuelles placent leurs annonces/24et/48derrière AS132647, et non AS56088.

Ce deuxième système autonome n’est pas un résidu obscur. L’enregistrement RDAP de l’APNIC pour AS132647l’appelleIDNIC-PANDI-AS-ID, le marque comme actif et enregistre un changement aussi récent que le 3 juin 2026. Lerésultat de l’état de routage du RIPE NCCa compté huit préfixes IPv4 visibles couvrant 2 048 adresses et sept préfixes IPv6/48. Tous les pairs RIPE RIS représentés dans ce résultat ont vu l’espace IPv4 et IPv6. C’est une preuve solide d’une empreinte de routage public actuelle.

La distinction est importante car un ASN peut survivre en tant qu’objet administratif après le déplacement du trafic. Elle est également importante car une déclaration d’importation ou d’exportation enregistrée n’est pas la même chose qu’un chemin BGP actif. La conclusion responsable est étroite: AS56088 existe toujours, mais il ne démontre pas actuellement la fourniture de.id; AS132647 le fait. La raison de la séparation, l’historique de migration et toute fonction privée conservée par AS56088 ne sont pas divulgués dans les archives publiques.

Cela fait de PANDI une étude de cas utile sur la raison pour laquelle l’identité de l’infrastructure doit être assemblée à partir du contrôle, de l’adressage et du fonctionnement en direct plutôt qu’à partir d’un seul nom. L’objet important n’est pas celui qui apparaît en premier dans un répertoire. C’est l’institution qui contrôle la politique et les systèmes du registre, ainsi que l’ensemble des réseaux et des fournisseurs qui fournissent effectivement le service d’autorité.

Un registre national, pas un hébergeur de détail

L’identité de PANDI est inhabituellement bien ancrée. Sapropre description institutionnelleindique qu’il s’agit d’une association à but non lucratif et du registre du domaine de premier niveau de l’Indonésie. Elle cite le décret ministériel n° 806 de 2014, mis à jour par le décret n° 218 de 2023. L’enregistrement indépendant de la zone racine nomme Perkumpulan Pengelola Nama Domain Internet Indonesia comme gestionnaire de.id. Unrapport de redélégation de l’ICANNrelate comment PANDI est devenue l’organisation sponsor en 2013 après des années d’exploitation technique sous mandat du gouvernement indonésien.

La loi indonésienne définit explicitement la frontière du rôle. Lerèglement ministériel n° 23 de 2013définit un registre comme l’opérateur responsable de la gestion, de l’exploitation et de la maintenance du système électronique de noms de domaine. Il distingue cette fonction de celle du bureau d’enregistrement, qui fournit des services d’enregistrement aux utilisateurs. Il confie au registre la politique, l’infrastructure, la supervision et les responsabilités de résolution des litiges, et exige des dispositions de continuité si le registre cesse de fonctionner.

PANDI explique la frontière commerciale en termes plus simples. Songuide du registre, du bureau d’enregistrement et du titulaireindique qu’un registre ne commercialise généralement pas et ne vend pas de noms de domaine de premier niveau directement au public; les bureaux d’enregistrement accrédités proposent des enregistrements aux titulaires. PANDI maintient l’autorité partagée, accrédite les bureaux d’enregistrement et gouverne l’espace de noms. Le support de détail, l’hébergement web groupé, la messagerie, les constructeurs de sites et la facturation des clients peuvent être fournis par les bureaux d’enregistrement, mais cela ne prouve pas que PANDI vend lui-même de la capacité de calcul.

C’est pourquoi la classification en service cloud échoue. Rien dans la délégation IANA, le cadre juridique indonésien, la mission actuelle de PANDI, ses politiques de registre ou le réseau DNS observé ne soutient la conclusion que PANDI est principalement un fournisseur IaaS, VPS, bare-metal ou d’hébergement géré. Il exploite une infrastructure Internet critique et une surface de contrôle institutionnel réglementée. Ses produits publics au-delà du registre, tels que les services de lien court et de lutte contre les abus de domaine, ne modifient pas la nature du rôle.id.

La différence n’est pas sémantique. Un client d’hébergement demande où une machine virtuelle s’exécute et comment exporter ses données. Un utilisateur du registre doit savoir si un nom peut être créé, renouvelé, transféré, délégué et résolu; si la zone reste authentique; si la défaillance d’un bureau d’enregistrement peut être contenue; et si une panne sur une route ou dans une ville laisse d’autres autorités disponibles. L’infrastructure de PANDI doit être jugée en fonction de ces dépendances.

Ce que PANDI contrôle réellement

La surface opérationnelle du registre comporte plusieurs couches. La première est la base de données du registre faisant autorité: l’enregistrement canonique des objets de domaine, du parrainage des bureaux d’enregistrement, des codes de statut, des serveurs de noms, de l’expiration et des données de délégation de sécurité. PANDI appelle sa plateforme interne Sistem Registri Mandiri, ou SRM. Les bureaux d’enregistrement effectuent des transactions avec ce système; les utilisateurs publics voient certaines données d’enregistrement via WHOIS et RDAP.

Le point de terminaison RDAP actuel de PANDI apparaît dans l’enregistrement de délégation de l’IANA, confirmant que le service de données d’enregistrement fait partie de la frontière publique.

La deuxième est la production de la zone. Les données du registre doivent être transformées en la zone.idque publient les serveurs DNS faisant autorité. Une transaction de détail réussie ne suffit pas si la délégation résultante n’atteint jamais la zone, si la génération de la zone est retardée ou si les serveurs secondaires reçoivent des versions incohérentes. Les rapports publics nomment les services mais ne documentent pas la chaîne de production, le placement du signataire, la topologie de transfert ou l’intervalle de propagation maximal. Ceux-ci restent des inconnues opérationnelles.

La troisième est le DNS faisant autorité. Les cinq noms dans la délégation racine sont des identités de service logiques. Quatre sont des noms PANDI et un estns4.apnic.netde l’APNIC. Un résolveur peut interroger n’importe quelle autorité réactive pour obtenir des données.id. Plusieurs noms, IPv4 et IPv6, le routage anycast et un secondaire externe créent plusieurs types de diversité, mais ils ne sont pas interchangeables. Un nom d’hôte différent peut toujours partager un réseau d’origine, une image logicielle, un système de signature, un fournisseur ou une installation avec un autre nom d’hôte.

La quatrième est l’intégrité cryptographique. À la date de référence de la recherche, uneanalyse DNSViz de.ida exposé le chemin d’authentification DS-DNSKEY et fourni une surface d’inspection indépendante pour la chaîne signée. DNSSEC protège l’authenticité et l’intégrité des données DNS; il ne maintient pas un serveur en ligne, n’ajoute pas de bande passante et ne corrige pas une mauvaise délégation. La gestion des clés est donc à la fois un contrôle de sécurité et un domaine de défaillance.

La cinquième est la gouvernance de l’enregistrement. PANDI accrédite les bureaux d’enregistrement, fixe les exigences techniques et opérationnelles, surveille la conformité, traite les plaintes et fournit un mécanisme de règlement des litiges. Sonrapport d’auto-évaluation des bureaux d’enregistrement de 2024indique que 25 bureaux d’enregistrement accrédités ont participé au programme, avec des résultats mitigés et un score de conformité moyen de 85,92 %. Ces bureaux d’enregistrement constituent une interface client distribuée, mais PANDI reste la dépendance commune du registre derrière eux.

Enfin, il existe des services de soutien: helpdesk, surveillance, évaluation de la sécurité, renseignement sur les abus de domaine et administration des litiges. Ceux-ci sont importants car un incident de registre n’est pas seulement un problème de paquet. Un titulaire peut avoir besoin d’une escalade humaine lorsqu’un bureau d’enregistrement ferme, qu’un transfert est bloqué, que l’utilisation abusive est contestée ou que les données d’enregistrement sont erronées. La résilience inclut la capacité d’apporter des modifications contrôlées sous contrainte sans affaiblir la sécurité ni perdre la responsabilité.

Le DNS délégué a cinq noms mais plus de cinq machines

La délégation en cinq noms de l’IANA est le contrat public stable. Elle ne révèle pas le nombre de machines. PANDI a décrit à plusieurs reprises un déploiement unicast et anycast plus important derrière ces noms. Sonrapport annuel 2022indiquait avoir installé des nœuds domestiques à Jakarta, Bandar Lampung, Balikpapan, Bandung et Semarang, en plus des nœuds existants à Jakarta, Bogor, Yogyakarta, Surabaya, Bali et Makassar. Il mentionnait également de nouvelles installations à l’étranger en Inde et en Corée du Sud, ainsi que des installations existantes aux États-Unis, aux Pays-Bas, en Australie, en Chine et en Russie.

Uneprésentation ultérieure sur la résolution DNS de PANDIdécrivait 17 nœuds domestiques et 23 nœuds à l’étranger. Elle associait les noms de PANDI à plusieurs villes et pays, et répertoriait séparément les emplacements de l’APNIC pourns4.apnic.net. Elle mentionnait également BIND9, Knot, NSD et des recherches sur CoreDNS, ainsi que BIRD, Quagga et FRRouting dans l’environnement DNS et BGP plus large. Cette divulgation est significative car elle montre qu’un nom logique peut se déployer sur de nombreux systèmes et sessions de routage.

Mais ce n’est pas un inventaire des installations. Une étiquette de ville ne dit pas au lecteur quel centre de données héberge un nœud, qui possède la baie, quel opérateur fournit l’interconnexion, si deux nœuds répertoriés partagent un bâtiment, ou si leurs réseaux d’alimentation et de gestion sont indépendants. Le décompte combine également différentes frontières d’exploitation: le secondaire de l’APNIC n’est pas une machine exploitée par PANDI simplement parce qu’il sert la zone.id. Les emplacements dans une présentation peuvent changer après publication, et l’anycast dirige un utilisateur vers une instance sélectionnée par la route plutôt que vers un point de terminaison géographique fixe.

L’image de routage publique renforce l’existence d’une dispersion géographique et de fournisseurs sans localiser les baies. Lerésultat des préfixes annoncés du RIPE NCC pour AS132647a renvoyé les huit préfixes IPv4/24et les sept préfixes IPv6/48visibles au cours de la première quinzaine de juillet. Les chemins BGP vers103.19.179.0/24et45.126.57.0/24montraient différents ensembles de réseaux adjacents dans les collecteurs publics. Cela est cohérent avec une diffusion anycast multi-fournisseur. Cela ne prouve pas que chaque nœud est actif, sain ou physiquement séparé.

PeeringDB illustre le manque de divulgation. Sonprofil AS132647identifie PANDI, fournit des contacts NOC et abus, et décrit une politique ouverte, mais il répertorie zéro point d’échange public et zéro installation d’interconnexion. PeeringDB est volontaire, donc des champs d’installation vides n’invalident pas la connectivité BGP observée. Ils signifient que le public ne peut pas utiliser ce profil pour cartographier les baies de PANDI ou vérifier la diversité de site revendiquée.

L’incident de Semarang montre comment le basculement fonctionne

Le 15 juin 2023, PANDI a publié unavis inhabituellement concret concernant un incident DNS à Semarang. Il indiquait que le service BIND9 sur le serveur anycast de Semarang ne fonctionnait pas correctement. Certains fournisseurs d’accès Internet atteignant.idvia l’Indonesia Internet Exchange ont été affectés. PANDI a contacté l’équipe APJII de Semarang pour déconnecter la connectivité BGP, après quoi l’accès affecté est revenu à la normale. PANDI a ensuite effectué une réparation sur site et rétabli le chemin BGP.

L’épisode révèle un mécanisme de récupération réel. Une instance anycast défaillante peut être retirée du routage afin que les requêtes choisissent d’autres chemins disponibles. Cela est matériellement meilleur qu’un serveur fixe unique dont la panne continue d’attirer le trafic. Cela montre également une frontière d’opérateur: PANDI dépendait du personnel d’APJII contrôlant la connectivité côté échange et de personnel local pour la réparation physique ou système.

Il serait erroné de transformer l’avis en une affirmation de panne nationale de.id. PANDI a décrit un impact sur certains FAI utilisant un chemin d’échange particulier, et non une défaillance universelle. D’autres nœuds DNS ont continué à servir. Il serait également erroné de dire que le réseau s’est rétabli automatiquement. Le récit décrit une coordination humaine, un retrait BGP et un travail sur site. La vitesse de récupération dépendait donc de la détection, du diagnostic correct, de contacts joignables et de l’autorité de modifier le routage.

L’incident sépare également la redondance logicielle de la redondance de route. Une défaillance de démon s’est produite sur un nœud. BGP était encore capable d’attirer les utilisateurs jusqu’à ce que les opérateurs retirent le chemin. La disponibilité de l’anycast nécessite une surveillance de l’état qui peut soit supprimer automatiquement une mauvaise route, soit alerter les personnes assez rapidement pour le faire.

Les documents publics n’indiquent pas si PANDI utilise désormais des vérifications de santé de route automatisées, combien d’échecs de requête déclenchent le retrait, si chaque nœud dispose d’un chemin hors bande, ou si la restauration de la route nécessite une approbation manuelle.

Pour les utilisateurs, la leçon n’est pas que l’anycast a échoué. C’est que l’anycast est un système d’exploitation composé de logiciel DNS, de politique de routage, de relations d’échange, de surveillance et de personnes. La même adresse IP peut mener à différentes instances physiques, mais une erreur de configuration partagée peut toujours affecter plusieurs instances à la fois. La dispersion géographique traite certaines défaillances; elle n’élimine pas les risques communs liés au logiciel, à la signature, à la configuration ou à la gouvernance.

AS132647 fournit une diversité de routes visible

Les archives publiques actuelles d’AS132647 sont plus solides que celles d’un ASN d’entreprise typique et mince. L’APNIC lie l’ASN et ses blocs d’adresses à PANDI. RIPE RIS voit les deux familles d’adresses. Les adresses IPv4 d’autorité nommées se trouvent à l’intérieur des préfixes PANDI visibles, et les adresses IPv6 équivalentes sont également routées publiquement. Unéchantillon de vue d’état BGP du RIPE NCC pour103.19.179.0/24contenait des centaines de chemins de collecteur se terminant à AS132647.

Ces chemins avaient plusieurs réseaux avant-derniers. Dans l’échantillon, de grands groupes arrivaient via AS29802 et AS20473, tandis que d’autres chemins utilisaient différents ASN indonésiens et internationaux. Unevue séparée pour45.126.57.0/24montrait un mélange d’AS adjacents différent, y compris AS58396, AS56630, AS34927 et AS38496. Ce modèle est compatible avec des déploiements anycast distincts et plusieurs fournisseurs de diffusion, mais l’instantané de route seul n’établit pas le nom du titulaire ou le rôle commercial de tout ASN adjacent.

Il est plus sûr d’appeler ces chemins adjacents observés des chemins plutôt que des amonts contractuels. Un collecteur voit le chemin sélectionné à un moment donné depuis un point de vue. Il ne révèle pas l’accord commercial, si la relation est un transit payant, un appairage sans règlement, un appairage à distance ou un arrangement anycast hébergé. Il ne peut pas non plus prouver que les chemins utilisent des conduits, des entrées ou des domaines d’alimentation physiquement divers.

L’autorisation de route ajoute une autre couche. Unrésultat de validation RPKI du RIPE NCC pour103.19.177.0/24a trouvé des autorisations d’origine de route valides pour AS132647 au moment de l’observation. Il s’agit d’une preuve pour un préfixe IPv4 échantillonné, pas d’un audit de tous les préfixes. Pour cette route, la validation réduit le risque que les réseaux appliquant la validation de l’origine de route acceptent une origine non autorisée. Cela n’empêche pas PANDI d’annoncer une mauvaise route, un fournisseur autorisé de mal configurer la propagation, ou une défaillance d’application derrière une route valide.

L’autorité externe de l’APNIC crée une séparation utile. Les résultats d’informations réseau du RIPE NCC ont placé l’adresse NS4 déléguéeIPv4etIPv6derrière AS18366 plutôt qu’AS132647 au moment de l’observation. Lapage d’état des services de l’APNICidentifie NS4 comme un service anycast pour les registres régionaux et les domaines de code pays et l’a montré opérationnel pendant la recherche. Cela signifie qu’au moins une autorité déléguée par la racine franchit à la fois les frontières organisationnelles et de réseau. L’inconnue restante est la manière dont les données de zone sont transférées, authentifiées et surveillées entre PANDI et l’APNIC, et le comportement des données périmées qui s’applique si les transferts s’arrêtent.

DNSSEC rend le plan de contrôle plus sûr et moins indulgent

DNSSEC est central pour.idcar un espace de noms national est une cible de grande valeur pour l’empoisonnement du cache et la modification non autorisée. L’enregistrement DS de la racine indique aux résolveurs de validation à quelle clé.idfaire confiance; les signatures dans la zone enfant authentifient ensuite les réponses. PANDI a également fait du support DNSSEC une partie intégrante de l’accréditation des bureaux d’enregistrement et continue d’organiser des formations gouvernementales et pour les bureaux d’enregistrement, y compris unatelier DNS et DNSSEC en février 2026.

L’avantage en matière de sécurité s’accompagne d’une discipline opérationnelle. Si PANDI publie des signatures qui expirent, perd l’accès à la clé de signature ou coordonne incorrectement un renouvellement de clé avec la racine, les résolveurs de validation peuvent rejeter des données autrement accessibles. Une route peut être saine tandis que les réponses échouent à la validation. Inversement, une chaîne DNSSEC valide ne dit rien sur la sécurité du service web sous-jacent ou sur le caractère abusif d’un nom enregistré.

Les preuves publiques confirment la signature mais ne décrivent pas la garde des clés. Elles n’indiquent pas si les clés de signature de clé sont conservées dans des modules de sécurité matériels, combien de personnes autorisées sont nécessaires pour un renouvellement, si la signature est en ligne ou hors ligne, où le matériel de clé de sauvegarde est stocké, ou quand le dernier exercice de récupération complet a eu lieu. Ces détails n’ont pas tous besoin d’être publics, mais une assurance indépendante pourrait établir la qualité du contrôle sans exposer de données de mise en œuvre sensibles.

La frontière du bureau d’enregistrement est importante ici aussi. Un titulaire qui souhaite DNSSEC pour un domaine enfant envoie normalement des données DS via un bureau d’enregistrement au registre. L’interface du bureau d’enregistrement, la transaction SRM, la logique de validation et la publication de la zone.iddoivent toutes préserver les bonnes valeurs. Lesexigences d’accréditationde PANDI disent que les systèmes des bureaux d’enregistrement doivent prendre en charge la gestion DNSSEC et que le personnel doit avoir l’expertise pertinente. C’est une base utile, bien que lesrésultats d’auto-évaluation de 2024montrent que la maturité de la conformité entre les bureaux d’enregistrement n’est pas uniforme.

Le point de surveillance opérationnel est donc de bout en bout: DS racine, clés.id, signatures, publication DS enfant et traitement par le bureau d’enregistrement. Compter les domaines signés seuls ne prouverait pas une gestion sûre du cycle de vie des clés. Une mesure publique plus solide rapporterait la validation réussie, les exercices de renouvellement, les taux d’erreur de transaction DS et la proportion de bureaux d’enregistrement accrédités qui réussissent les tests techniques DNSSEC.

La capacité du registre est mesurée en noms et transactions, pas en machines virtuelles

PANDI a déclaré fin 2025 que.idavait atteint 1 431 960 noms enregistrés. L’annonce datéefournit une référence plus claire qu’un compteur en direct sans horodatage d’observation. Elle fixait également une ambition pour 2026 de 1,5 million de noms. Les systèmes de registre et DNS installés doivent prendre en charge cette échelle, mais le nombre de domaines n’est pas équivalent à la capacité du serveur.

Lerapport annuel 2022de PANDI décrivait une mise à niveau de SRM destinée à accueillir au moins deux millions de noms.id. Il mentionnait un schéma de serveurs maître-maître, une connectivité de registre jusqu’à 1 Gbit/s, des connexions de serveur local jusqu’à 100 Gbit/s et un pare-feu supplémentaire. Dans sarevue de 2023, PANDI a de nouveau déclaré que SRM avait été amélioré pour contenir deux millions de noms, avec des changements d’architecture et une optimisation des données et des applications. Unavis de février 2024a ensuite enregistré une migration d’infrastructure terminée et des travaux de configuration post-migration, avec des transactions surveillées comme normales.

Si le chiffre de conception de deux millions reste actuel et que le nombre de domaines de 2025 est directement comparable, les noms enregistrés occupent environ 71,6 % de cette enveloppe nominale, laissant environ 568 000 noms avant le seuil indiqué. Cette arithmétique est informative mais incomplète. Elle ne tient pas compte des objets supprimés conservés pour l’audit, des contacts, des hôtes, de l’historique, des enregistrements DNSSEC, des pics de transactions, des réplicas de reporting, des gels de litiges ou de la surcharge de la base de données.

Elle ne dit pas non plus si deux millions est un maximum testé, une cible d’ingénierie ou un niveau de fonctionnement confortable.

La capacité DNS d’autorité est une quantité différente. La charge de requêtes dépend du comportement des résolveurs, des réponses négatives, des TTL, des attaques et de la popularité de noms particuliers, pas seulement du nombre de domaines enregistrés. Un nœud anycast avec une capacité de trafic ordinaire adéquate peut saturer lors d’un événement de déni de service distribué. Le nombre de nœuds publics et la diversité des routes suggèrent une stratégie pour absorber et répartir la charge, mais aucune capacité actuelle de requêtes par seconde, utilisation normale, marge de manœuvre pour les attaques ou limites par nœud n’est divulguée.

L’achat de matériel n’offre que des fragments historiques. Unespécification de mars 2022de PANDI pour trois serveurs DNS demandait des processeurs à huit cœurs, 32 Go de mémoire, un stockage SSD en miroir de 480 Go et des alimentations doubles. Cela prouve un plan d’acquisition d’équipement concret, pas la flotte totale installée ou la capacité utilisable aujourd’hui. Les machines peuvent avoir été déployées, remplacées, réaffectées ou complétées. La quantité d’achat ne doit jamais être multipliée par une référence pour inventer une capacité de service.

La conclusion pratique sur la capacité est donc mitigée. PANDI a divulgué une échelle de conception de registre supérieure au nombre de domaines daté, une revendication substantielle de nœuds DNS et un routage multi-fournisseur visible. Il n’a pas divulgué suffisamment pour calculer la marge de manœuvre des transactions du registre, la marge de manœuvre des requêtes d’autorité, la croissance du stockage, la capacité de basculement après la perte d’un site majeur, ou la part de la flotte simultanément utilisable pendant la maintenance.

La résilience physique reste la plus grande inconnue publique

L’adresse de bureau dans l’enregistrement IANAest un point de contact juridique et administratif à Tangerang. Ce n’est pas une preuve d’un centre de données de production. Lerapport annuel 2020de PANDI indiquait avoir déplacé l’infrastructure d’un centre de données Tier 3 à un centre Tier 4, mais n’a pas identifié le fournisseur, l’adresse, la portée de la certification, la conception de l’alimentation ou si les étiquettes faisaient référence à une certification formelle. Lerapport annuel 2022et laprésentation DNS de 2024identifient des villes et des pays, pas des bâtiments.

Cela laisse des questions importantes sans réponse. SRM est-il divisé entre deux zones métropolitaines ou simplement deux pièces sur un même campus? Maître-maître décrit-il des écritures actives entre domaines de défaillance ou des serveurs à l’intérieur d’un même site? La base de données du registre, le générateur de zone et le signataire DNSSEC sont-ils colocalisés? Les nœuds anycast domestiques reçoivent-ils la configuration d’un contrôleur central? Quels nœuds à l’étranger sont du matériel appartenant à PANDI, des systèmes virtuels loués, des instances anycast gérées ou des secondaires exploités par des partenaires?

La redondance de l’alimentation est tout aussi opaque. Des alimentations doubles dans un serveur ne sont utiles que si elles se connectent à des chemins de distribution indépendants. Une étiquette de niveau ne détermine pas la configuration réelle des baies du client, l’historique de maintenance ou les dispositions en matière de carburant. La diversité physique nécessite des preuves de chemins de services publics séparés, de générateurs, de refroidissement, de zones d’incendie, d’entrées de transporteurs et de dispositions de main-d’œuvre locale. Aucun de ces éléments ne peut être déduit de BGP.

La carte publique doit donc être lue comme une carte de présence de service, pas comme une carte de câbles ou d’installations. Jakarta apparaissant plusieurs fois dans laprésentation de 2024peut indiquer plusieurs nœuds, mais ne prouve pas plusieurs bâtiments. Les États-Unis apparaissant sous plusieurs noms DNS peuvent indiquer une diversité de fournisseurs, mais n’identifient pas les villes ou les fournisseurs communs. Le Caire et São Paulo, ajoutés dans lerapport 2023de PANDI, démontrent l’expansion à cette date; ils n’établissent pas le fonctionnement actuel en juillet 2026.

Le serveur externe de l’APNIC est la frontière indépendante la plus claire car il appartient à une organisation et un ASN distincts. Même là, l’indépendance logique n’est pas la même chose que l’indépendance complète des défaillances. L’APNIC a toujours besoin d’une copie authentique et à jour de la zone. Une mauvaise zone générée par PANDI peut être distribuée fidèlement par chaque secondaire. Une erreur de signature DNSSEC peut être répliquée mondialement. Les dépendances communes les plus importantes du registre sont probablement en amont de la périphérie anycast.

Ce n’est pas un argument pour publier les coordonnées des baies ou des conceptions de sécurité sensibles. Un registre peut démontrer sa résilience par des descriptions de contrôle auditées, une divulgation large des zones métropolitaines, des résultats de tests de récupération, des catégories de dépendance et une disponibilité agrégée. Le manque est que les preuves publiques actuelles sont riches en expansion et clairsemées sur les domaines de défaillance testés.

La diversité des bureaux d’enregistrement n’est pas la diversité du registre

Les bureaux d’enregistrement accrédités de PANDI donnent aux utilisateurs le choix au niveau de la vente au détail. Ils se font concurrence sur le prix, le support, les services groupés et l’expérience client. Ils créent également des alternatives opérationnelles: si un bureau d’enregistrement disparaît, les noms peuvent en principe être transférés à un autre. L’avis de 2025 concernant la fin de l’accréditation de PT Indonesia Satu Tujuhdécrivait un service de transfert pour les noms affectés, illustrant le rôle de continuité du registre.

Mais tous les bureaux d’enregistrement accrédités dépendent en fin de compte de SRM et du système d’autorité.id. Vingt-cinq bureaux d’enregistrement ne font pas vingt-cinq registres. Une défaillance de la base de données centrale du registre peut arrêter les opérations de création, de renouvellement, de mise à jour et de transfert sur l’ensemble du marché, même si les domaines existants continuent à se résoudre à partir de la zone publiée. Inversement, une panne de facturation d’un bureau d’enregistrement peut bloquer ses clients sans affecter le DNS ou les autres bureaux d’enregistrement.

Lesconditions d’accréditation publiéespar PANDI exigent que les candidats bureaux d’enregistrement exploitent des serveurs d’application, de base de données, web, de messagerie et DNS en Indonésie; maintiennent des sauvegardes; prennent en charge DNSSEC; fournissent un effectif minimum; et disposent d’un plan de transfert des noms s’ils ne peuvent pas continuer. Ces exigences placent certains devoirs de continuité à la périphérie. L’auto-évaluation de 2024est précieuse car elle reconnaît que les exigences documentées doivent être vérifiées.

Les modes de défaillance ont des horloges différentes. Si le portail d’un bureau d’enregistrement est en panne pendant une heure, les clients peuvent être incommodés mais les noms existants se résolvent. S’il reste indisponible pendant toute la durée d’une expiration ou d’un changement de sécurité urgent, l’impact s’aggrave. Si SRM est indisponible, les enregistrements et les modifications peuvent être mis en pause tandis que le DNS continue. Si la production de la zone ou le DNS d’autorité échoue, les utilisateurs peuvent perdre la résolution même si les enregistrements du registre sont intacts.

La planification de la récupération doit énoncer ces couches séparément.

La protection des titulaires dépend également de la portabilité des données. La disparition d’un bureau d’enregistrement nécessite des enregistrements de parrainage précis, des contrôles d’authentification et un processus qui empêche le détournement tout en permettant le transfert légitime. Lapolitique d’enregistrementde PANDI et l’avis de sortie du marché montrent qu’elle reconnaît cette responsabilité. Des mesures publiques pourraient aller plus loin en rapportant les délais d’achèvement des transferts, les cas de sortie non résolus et si les processus d’urgence sont exercés avant la défaillance réelle d’un bureau d’enregistrement.

La souveraineté ne signifie pas que chaque paquet DNS reste en Indonésie

PANDI décrit.idcomme l’identité numérique de l’Indonésie, et le cadre juridique place la responsabilité du registre sous l’autorité indonésienne. C’est une forme significative de souveraineté: la politique, la délégation et la responsabilité institutionnelle sont rattachées à une association indonésienne et au cadre gouvernemental. Cela n’implique pas que chaque copie faisant autorité de la zone ou chaque requête reste à l’intérieur des frontières du pays.

L’anycast place délibérément le service près des utilisateurs. Les rapports de PANDI décrivent des nœuds à travers l’Asie, l’Europe, les Amériques et l’Australie, tandis que l’autorité indépendante de l’APNIC est elle-même distribuée mondialement. Un résolveur en dehors de l’Indonésie peut atteindre un nœud étranger proche. Un résolveur indonésien peut également choisir un chemin étranger si la politique de routage le rend préférable. BGP choisit des chemins, pas des objectifs de politique nationale.

Cette distinction doit être explicite pour l’analyse de la localisation des données. Les données de zone DNS publiques sont destinées à être largement servies; elles ne sont pas équivalentes aux enregistrements non publics des clients et opérationnels du registre. Les preuves publiques ne localisent pas la base de données du registre faisant autorité, les sauvegardes, les journaux, les données d’abus, les documents de litige ou les systèmes de gestion des clés. Elles ne peuvent donc pas établir que toutes les données sensibles du registre restent en Indonésie, ni qu’elles en sortent.

L’architecture peut prendre en charge à la fois le contrôle national et la disponibilité mondiale. Un registre peut conserver les systèmes d’écriture canoniques et les données sensibles sous contrôle domestique tout en distribuant des données de zone publiques signées à des secondaires à l’étranger. Cette conception serait cohérente, mais elle ne doit pas être présumée sans preuves. L’opérateur doit distinguer les données canoniques du registre, les copies de zone publiques, la télémétrie de surveillance et les enregistrements de support lorsqu’il discute de la localité.

Le sujet atteint également la couche des bureaux d’enregistrement. Lapage d’accréditationde PANDI fixe des exigences de serveur et de centre de données en Indonésie pour les candidats, tandis que les fournisseurs de détail peuvent regrouper d’autres services avec des emplacements différents. Un nom.idne dit rien en soi sur l’endroit où le site web, la messagerie ou les données client associés sont hébergés. L’identité de l’espace de noms national et la localité de la charge de travail sont des propriétés distinctes.

Les chemins de défaillance crédibles

Le premier chemin de défaillance est une mauvaise instance anycast. L’avis de récupération de Semarangde PANDI montre le mécanisme: un démon DNS échoue, la route continue d’attirer certains utilisateurs, la surveillance identifie le problème et les opérateurs retirent BGP jusqu’à la réparation. Les contrôles pertinents sont des vérifications de santé conscientes du service, une suppression rapide des routes, un accès local, une cohérence de configuration et une réintroduction prudente.

Le deuxième est une défaillance de route ou de fournisseur. Lavue de l’état de routage du RIPE NCCmontre AS132647 atteignant les collecteurs publics via de nombreux chemins observés, réduisant la dépendance à un seul chemin visible. Pourtant, les préfixes échantillonnés montrent des ensembles d’AS adjacents différents, et les alternatives d’un nœud peuvent être plus étroites que ce que suggère le graphe à l’échelle de l’ASN. Un hôte anycast commercial, un échange, un réseau de transit ou un serveur de route peut échouer. La récupération dépend de l’endroit où chaque préfixe est annoncé et si une autre instance saine reste attrayante pour les résolveurs affectés.

Le troisième est une défaillance de configuration commune. Une zone malformée, un contrôle d’accès incorrect, une version logicielle défectueuse ou une mauvaise politique de routage peuvent se propager sur de nombreux nœuds. La réplication géographique propage alors l’erreur. Le déploiement par étapes, des implémentations diverses, la validation avant publication et une restauration rapide sont plus pertinents que le nombre de nœuds pour cette classe d’incidents. Laprésentation de 2024de PANDI mentionne plusieurs familles de logiciels DNS, mais elle ne dit pas quels noms de production utilisent quel logiciel ou si les mises à jour sont échelonnées; la diversité de mise en œuvre reste donc non vérifiée.

Le quatrième est une défaillance de génération de zone, de signature ou de transfert. Cela se situe entre SRM et la périphérie. Une zone périmée mais correctement signée peut continuer à se résoudre jusqu’à l’expiration des signatures ou de la politique opérationnelle; une mauvaise zone nouvellement générée peut se propager rapidement. Le secondaire de l’APNIC n’aide que s’il dispose d’une bonne copie. Les contrôles utiles comprennent la surveillance des numéros de série, les alarmes d’expiration de signature, les validateurs indépendants, des canaux de transfert protégés et un moyen répété de retenir ou d’annuler la publication.

Le cinquième est un événement de clé DNSSEC. La perte, la compromission ou l’erreur de renouvellement peuvent affecter chaque utilisateur validant. Le matériel, les cérémonies et les sauvegardes comptent, tout comme la coordination avec l’IANA et le temps alloué pour les caches. L’atelier DNSSEC de 2026de PANDI montre une attention institutionnelle à DNSSEC; il ne remplace pas les preuves sur les propres tests de récupération de clé de PANDI.

Le sixième est la défaillance ou la compromission d’un bureau d’enregistrement. Un bureau d’enregistrement défaillant peut bloquer ses clients; un bureau compromis peut soumettre des modifications malveillantes. L’accréditation, l’authentification, les contrôles de changement, la détection d’anomalies et les verrous de registre peuvent limiter les dégâts. Les procédures de transfert doivent préserver la continuité sans devenir une voie de prise de contrôle.

Le septième est la concentration humaine et organisationnelle. Le réseau peut être distribué tandis que les connaissances et l’autorité restent concentrées dans une petite équipe. La réponse aux incidents peut nécessiter PANDI, APJII, APNIC, un fournisseur de centre de données, un hôte anycast et un ou plusieurs réseaux de transit. La fraîcheur des contacts, les droits d’escalade et les exercices déterminent si la diversité technique est utilisable sous pression.

Une réponse en direct est une preuve de fonctionnement, pas une garantie de disponibilité

Les archives publiques ponctuelles du 15 juillet 2026 ont ajouté une confirmation utile. L’enregistrement de délégation de l’IANArépertoriait les cinq autorités.idattendues; l’analyse DNSViz de.idexposait la délégation signée et la chaîne DNSKEY; et laréponse RDAP de PANDI pourpandi.idrenvoyait un enregistrement structuré avec un horodatage de mise à jour de base de données du même jour. Lavue de l’état de routage du RIPE NCCmontrait tous les pairs représentés voyant l’espace IPv4 et IPv6 d’AS132647. Ensemble, ces points de terminaison publics établissent que les surfaces de délégation, de données d’enregistrement et de routage du registre étaient observables autour de la date de référence de la recherche.

Ils n’établissent pas un niveau de service annuel. Une réponse DNS récursive peut provenir du cache. Même une requête d’autorité réussie prouverait seulement que l’instance atteinte a répondu, pas que chaque instance anycast était saine. Un collecteur de route échantillonne BGP auprès de pairs entités, pas de tous les réseaux sur Internet. Une réponse RDAP indique que le service de lecture a fonctionné à ce moment-là; elle ne teste pas les écritures du bureau d’enregistrement, la publication de la zone, le basculement ou la récupération de la base de données.

Pour un registre, une surveillance significative nécessite une diversité à la fois géographique et fonctionnelle. Les sondes doivent interroger chaque autorité logique via IPv4 et IPv6, valider DNSSEC, comparer les numéros de série SOA, tester TCP ainsi qu’UDP, observer les routes, interroger RDAP et effectuer des transactions contrôlées de bureau d’enregistrement. Les résultats doivent être corrélés afin qu’un opérateur puisse faire la différence entre un nœud inaccessible, une zone périmée, une signature cassée, une fuite de route et un problème central de registre.

C’est pourquoi l’article s’appuie le plus fortement sur des archives publiques convergentes plutôt que sur un seul ping ou une seule recherche. L’IANA prouve le contrat de délégation; l’APNIC prouve l’enregistrement des ressources; RIPE RIS montre la visibilité des routes publiques; DNSViz expose la chaîne de confiance observable; les rapports de PANDI expliquent l’architecture prévue; et l’avis de Semarang expose un mécanisme d’incident réel. Chaque type de preuve répond à une question différente, et aucun ne doit être étiré au-delà.

Ce que les preuves soutiennent, et ce qu’elles ne soutiennent pas

Le verdict opérationnel est positif sur l’identité et la fonction réseau observable. L’enregistrement IANAidentifie PANDI comme le registre.idet délègue la zone à quatre autorités PANDI et au secondaire de l’APNIC.AS132647 a une large visibilité de route double pile, les adresses d’autorité se situent à l’intérieur de ses ressources annoncées, etDNSViz a exposé une chaîne signéeà la date de référence de la recherche. Les rapports datés de PANDI montrent un investissement soutenu dans SRM, les nœuds DNS, la sécurité et la supervision des bureaux d’enregistrement.

Les preuves sont moyennes sur la résilience physique actuelle. Les rapports historiques et uneprésentation technique de 2024décrivent de nombreux emplacements. L’avis de Semarangprouve qu’au moins un nœud anycast nommé existait et a été réparé sur site en 2023. BGP montre plusieurs ASN adjacents. Rien de tout cela ne révèle la matrice actuelle des installations, les domaines d’alimentation indépendants ou la topologie du système central.

Les preuves sont également moyennes sur la capacité. Lerapport 2022de PANDI indiquait une conception SRM à deux millions de noms, et soncomptage de 2025de 1,431 million d’enregistrements était inférieur à ce nombre. Pourtant, aucun test de transaction actuel, utilisation, capacité de requête DNS, marge de manœuvre pour les attaques ou capacité de basculement n’est public. Le registre peut avoir ajouté de la capacité après 2023; il peut également avoir des contraintes qu’un simple comptage de noms ne révèle pas.

Les preuves sont solides que la thèse initiale de l’hébergement est erronée. Registre et bureau d’enregistrement sont expressément séparés dans la loi et dans les propres documents de PANDI. Les ressources de réseau publiques soutiennent le DNS d’autorité et les services de registre. Aucune preuve crédible n’établit une capacité client de calcul, VPS, bare-metal ou cloud vendue par PANDI. Traiter l’association comme un fournisseur de cloud obscurcirait l’infrastructure qui importe réellement.

Les prochaines divulgations qui affineraient l’image

L’amélioration la plus utile serait une topologie de service actuelle au niveau des domaines de défaillance plutôt que des adresses exactes. PANDI pourrait indiquer combien d’instances anycast domestiques et étrangères sont actives par nom logique, lesquelles sont exploitées par PANDI par rapport à des partenaires, combien de zones métropolitaines indépendantes hébergent les services centraux du registre, et si le signataire et le générateur de zone partagent un site avec SRM.

Deuxièmement, le rapport de disponibilité devrait séparer DNS, RDAP/WHOIS, transactions SRM, publication de la zone et support. Lerapport annuel 2022de PANDI l’a fait dans une certaine mesure, en publiant des résultats de niveau de service pour DNS, WHOIS et SRM. Des chiffres glissants actuels, des définitions d’incident et un traitement de la maintenance montreraient si la croissance a préservé la fiabilité.

Troisièmement, la divulgation de la capacité devrait utiliser des unités de service. La marge de manœuvre en noms enregistrés est utile pour SRM. Les transactions par seconde, les sessions de pointe des bureaux d’enregistrement, le temps de génération de zone, la marge de validité des signatures, les requêtes d’autorité par seconde et l’absorption d’attaque testée décrivent différentes contraintes. Un test de perte du plus grand site révélerait la capacité utilisable après une défaillance, et pas seulement la capacité installée avant.

Quatrièmement, l’organisation pourrait publier des preuves de récupération agrégées: la date et la portée du dernier basculement du registre, de la restauration de zone, de la récupération de clé DNSSEC et des exercices de sortie de bureau d’enregistrement; si les objectifs ont été atteints; et quelles améliorations ont suivi. Un tel rapport peut protéger les détails sensibles tout en donnant aux titulaires et aux parties prenantes gouvernementales la preuve que la redondance fonctionne.

Enfin, la séparation des numéros AS mérite une explication. Une déclaration concise de l’objectif conservé d’AS56088, de la raison pour laquelle l’origine publique est passée à AS132647 et si des dépendances relient encore les deux empêcherait une classification périmée. Les données actuelles racontent déjà l’histoire essentielle: le registre.idest un service institutionnel distribué en direct, mais son centre de gravité opérationnel est AS132647. Lire seulement AS56088 manque le réseau; appeler PANDI un fournisseur de cloud manque l’institution.