Résumé

  • Le dispositif associait comparaison quotidienne de fichiers de zone, identification du bureau d'enregistrement, requêtes WHOIS automatisées et prospection de titulaires fraîchement enregistrés.
  • La cour d'appel a retenu l'usage répété en connaissance des conditions, tandis qu'ICANN estimait qu'une partie des restrictions de Register.com dépassait son engagement d'accréditation et devait être contestée dans le cadre d'ICANN.

L'élément décisif de Register.com c. Verio n'était pas une base isolée, mais l'enchaînement. Le dossier judiciaire et l'enquête du registre décrivent un processus qui récupérait des fichiers de zone actualisés, comparait deux versions pour repérer les nouveaux noms, déterminait le bureau d'enregistrement, interrogeait son service WHOIS et versait les coordonnées obtenues dans un outil commercial.

Register.com affirmait que certaines démarches intervenaient douze à vingt-quatre heures après l'enregistrement. Ce délai reste une allégation du dossier, non une mesure générale, mais il révèle l'objectif : contacter le nouveau titulaire au moment où il choisissait encore hébergement et services web.

Qualifier les données de publiques ne répondait qu'à la première question. Les bureaux d'enregistrement devaient fournir un accès par requête. Restait à savoir si un tiers pouvait exploiter une licence de fichier de zone pour détecter chaque nouveau nom, multiplier les interrogations et transformer les réponses en appels, courriers et e-mails. Trois cadres distincts se superposaient.

Le registre, le service WHOIS et l'accréditation

Au niveau du registre, VeriSign Global Registry Services a identifié deux comptes actifs attribués à Verio pour les zones .com, .net et .org. Les licences indiquaient la mise en cache DNS comme finalité et limitaient les traitements automatisés à grande échelle visant les systèmes WHOIS. Les journaux examinés montraient un accès quotidien. Comme une partie de la méthode Project Hen House avait été occultée dans les pièces publiques, l'enquête a qualifié la chaîne de fichiers de différences et de requêtes de mécanisme le plus probable, et non de reconstitution forensic exhaustive.

Au niveau de Register.com, les conditions apparaissaient avec les résultats WHOIS. Elles interdisaient les sollicitations massives par e-mail, courrier ou téléphone et les procédés automatisés à grand volume appliqués aux systèmes du registrar. Verio connaissait ces conditions et a continué ses interrogations. Pour la majorité du Second Circuit, cette répétition après notification manifestait l'acceptation. La décision ne signifie pas qu'une mention cachée lie tout visiteur : elle porte sur un utilisateur récurrent, informé, qui revient obtenir d'autres données.

Le troisième niveau était l'accord d'accréditation entre Register.com et ICANN. ICANN a expliqué que Register.com devait permettre les usages licites, sous réserve notamment du spam par e-mail et des procédés automatisés à grand volume. Selon ICANN, l'interdiction supplémentaire visant le courrier direct et le téléphone contrevenait à cet engagement. Mais ICANN précisait aussi que Verio n'était pas bénéficiaire de l'accord : il devait saisir le mécanisme contractuel d'ICANN au lieu de se faire justice en ignorant les conditions de Register.com.

Deux écarts pouvaient donc coexister. Register.com pouvait imposer une limite trop large au regard de son accréditation, tandis que Verio pouvait dépasser l'autorisation fournie par une autre licence. L'un ne neutralisait pas l'autre. Une incohérence en amont n'accorde pas automatiquement un droit d'accès en aval.

Une injonction préliminaire, pas une règle universelle

Le 23 janvier 2004, la cour d'appel a confirmé l'injonction préliminaire, sauf une correction étroite concernant une marque. Le même PDF contient ensuite, à partir de l'Appendix, le projet d'opinion contraire du juge Fred Parker. Celui-ci refusait largement de déduire un consentement et accordait davantage de poids au caractère public des données et à l'accord ICANN. C'est une analyse contradictoire précieuse, mais pas la décision de la cour.

La procédure fixe aussi une limite. Les sources ne fournissent ni total certifié des requêtes, ni nombre complet de personnes contactées, ni taux de conversion, ni dommage système quantifié. Elles n'établissent pas un jugement final au fond et ne disent pas comment RDAP, les règles de confidentialité ou la politique actuelle des données d'enregistrement s'appliqueraient aujourd'hui.

Gouverner les jointures

La réponse opérationnelle est une carte de bout en bout. Pour chaque source, l'entreprise doit connaître le responsable de publication, l'interface utilisée, le droit d'automatiser, les limites de volume et de finalité, la version des conditions reçues, l'autorité capable de les modifier et la voie de contestation.

Cette carte doit séparer accès et réutilisation. Obtenir une fiche ne donne pas nécessairement le droit d'en compiler des milliers. L'obligation de publier ne permet pas forcément au registrar d'interdire tout usage licite. Une licence de zone conçue pour le DNS ne transforme pas les données en semences autorisées pour interroger d'autres systèmes.

Les mesures proposées par VeriSign suivaient ce découpage : notification de la violation, transition conditionnée à la reconnaissance de l'interdiction, clarification du texte et arrêt des requêtes WHOIS massives. Elles reliaient identifiant, finalité, comportement technique et conséquence.

L'affaire mérite donc une lecture d'infrastructure. Elle montre comment plusieurs interfaces légitimes, combinées pour une finalité nouvelle, deviennent une machine d'acquisition. Le mot « public » ne suffit pas à gouverner la combinaison.

Limites des preuves

Cette analyse distingue l'opinion majoritaire de l'Appendix Parker, la position institutionnelle d'ICANN des affirmations des parties, et l'activité observée par VeriSign de son inférence technique. Elle ne prétend ni que toute automatisation est illicite, ni que les données publiques appartiennent au registrar, ni que l'injonction régit tous les services en ligne.

Sources