Résumé

  • Depuis RIPE-563, l’attribut abuse-c est obligatoire sur les objets inetnum, inet6num et aut-num ; l’objet de rôle référencé doit porter une seule adresse abuse-mailbox, publiquement disponible via WHOIS et les API, capable de recevoir des messages et sans obligation de formulaire web pour l’expéditeur.
  • La proposition de politique 2017-02, Regular abuse-c Validation, a ajouté une vérification proactive : RIPE NCC valide ces attributs au moins une fois par an, par des contrôles techniques automatisés qui n’envoient aucun courrier.
  • Le dispositif mesure la présence et la joignabilité, pas le traitement des signalements ; RIPE NCC a lui-même indiqué que des statistiques anonymisées sur le traitement des cas d’abus devraient être collectées et publiées périodiquement.
  • Les chiffres publics disponibles — un essai initial évoquant 10 à 25 % d’attributs possiblement incorrects ou inactifs, puis environ 92,5 % de réussite au contrôle technique automatisé lors d’un cycle ultérieur — sont déclaratifs et mesurent des objets différents.

Un attribut obligatoire, une seule boîte

RIPE-563, Abuse Contact Management in the RIPE Database, a fait de abuse-c un attribut obligatoire pour les objets inetnum, inet6num et aut-num (RIPE-563). Chaque ressource doit donc référencer un objet de rôle qui contient un unique attribut abuse-mailbox. Ce contact doit être public — consultable via WHOIS et les API —, doit pouvoir recevoir des messages et ne doit pas imposer un formulaire web à l’expéditeur (les exigences de l’attribut). À son entrée en vigueur, l’obligation ne s’étendait pas aux ressources internet héritées : la conformité dépend donc aussi du type d’enregistrement, et pas seulement de la volonté de l’opérateur.

Une validation annuelle qui n’envoie pas de courrier

La proposition de politique 2017-02, Regular abuse-c Validation, a transformé cette obligation déclarative en vérification récurrente : RIPE NCC valide proactivement les attributs abuse-mailbox au moins une fois par an (proposition 2017-02). Le contrôle commence par des vérifications techniques automatisées qui n’envoient aucun courrier électronique : détection d’erreurs de format dans l’adresse, contrôles DNS, détection d’adresses factices ou de pots de miel, et test de capacité de la boîte à accepter du courrier (les contrôles automatisés).

De l’attribut invalide à la procédure de fermeture

Quand une boîte échoue, l’attribut est marqué invalide et un ticket est créé (la chaîne d’escalade). Le LIR responsable — le LIR parrain lorsqu’il s’agit de ressources indépendantes — est invité à examiner le cas. Un lien de validation est envoyé à la boîte concernée, précisément pour permettre de clore un faux positif : une adresse fonctionnelle qui a échoué au contrôle automatique. Sans réponse, deux nouvelles tentatives sont menées à une semaine d’intervalle, puis un membre du personnel tente un contact téléphonique ou par un autre canal. En dernier recours, RIPE NCC peut engager sa procédure de fermeture des membres et de radiation des ressources internet.

La progression mérite d’être lue lentement : on commence par corriger une adresse électronique, on finit par exposer l’enregistrement lui-même. Entre les deux, aucune étape n’évalue ce que la boîte fait des signalements qu’elle reçoit.

La frontière : présence et joignabilité, pas traitement

Le processus de validation vérifie que l’attribut est présent et que la boîte est joignable ; il n’évalue pas la manière dont les cas d’abus sont traités une fois reçus (portée du contrôle, vérifications techniques, chiffres rapportés). Cette limite n’est pas un défaut d’exécution : elle est le périmètre déclaré du contrôle. Une ressource peut donc être parfaitement conforme sans que rien ne garantisse qu’un signalement reçu soit lu, orienté ou clos.

Des chiffres déclaratifs, et deux mesures distinctes

Les documents de RIPE NCC rapportent deux séries de chiffres (résultats rapportés). Un premier essai de l’outil de validation suggérait qu’environ 10 à 25 % des attributs abuse-mailbox pouvaient être incorrects ou inactifs. Un cycle de validation ultérieur fait état d’environ 92,5 % de réussite au contrôle technique automatisé. Les deux ne mesurent ni la même population ni la même chose : un essai d’outil et un taux de passage sur un cycle complet ne se lisent pas comme une courbe. Dans les deux cas, les chiffres sont rapportés par le registre et non audités indépendamment ; ils établissent un ordre de grandeur, pas une évolution.

Sur le point le plus sensible — ce que deviennent les signalements après réception —, RIPE NCC a indiqué que des statistiques anonymisées sur le traitement des cas d’abus devraient être collectées et publiées périodiquement. Les documents consultés ne permettent pas d’établir si cette publication a commencé, à quelle fréquence, ni à quel niveau de détail.

Une boîte joignable n’est pas un remède

Ce que la validation achète est une condition préalable : la possibilité qu’un signalement atteigne un opérateur. Ce qu’elle n’achète pas, c’est la réponse, qui dépend des processus, des effectifs et des incitations de chaque LIR — des éléments que le registre ne mesure pas. Pour l’expéditeur d’un signalement, la différence est concrète : un contact validé garantit qu’un message peut être déposé, pas qu’il sera traité. Le dossier RIPE NCC — contacts d’abus du répertoire suit cette distinction entre joignabilité et traitement.