Résumé

  • Une opération sur titres n'est pas le même événement que le règlement. Entre l'accord et l'inscription définitive se trouvent l'allocation, l'appariement, la validation, la disponibilité des ressources, les instructions de règlement et un point d'irrévocabilité défini.
  • La directive européenne sur le caractère définitif du règlement protège les ordres de transfert et la compensation contre les effets ultérieurs d'une insolvabilité une fois qu'ils entrent dans un système désigné selon ses règles, et empêche la révocation par un entité après le point fixé par le système.
  • La livraison contre paiement n'exige pas que chaque action technique soit simultanée. Elle exige que le règlement définitif d'une obligation liée ait lieu si et seulement si l'autre devient définitive, de sorte qu'aucune partie ne supporte l'intégralité du risque principal.
  • L'échec du règlement et le règlement définitif nécessitent un traitement opposé. Avant l'engagement, une transaction incomplète peut rester en attente, être annulée bilatéralement ou revenir à un état antérieur propre. Après l'engagement, la correction doit se faire par un nouvel événement attribuable plutôt que par une suppression ou une inversion unilatérale.
  • Une règle de finalité IPv4 devrait lier l'autorité authentifiée du vendeur, l'acceptation de l'acheteur, la reconnaissance par le registre, toute réconciliation entre registres et le déblocage du paiement en une condition de règlement déclarée, tout en laissant le déploiement du routage et les réclamations juridiques privées dans leurs institutions appropriées.
  • La SRN peut utiliser la finalité comme une discipline de plaidoyer en publiant des recherches sur les devoirs des entités, les états d'échec, les règles de défaut, les pouvoirs de correction et les preuves d'audit. Les RIR, les services de transfert autorisés, les organes arbitraux et les tribunaux conservent la responsabilité d'exécuter ou de faire respecter la finalité.

Un échange est une promesse; le règlement modifie l'état faisant autorité

Les marchés financiers distinguent l'exécution du règlement car l'accord ne déplace pas en soi l'actif et les liquidités vers leurs comptes définitifs. Après une transaction, les parties allouent la transaction, confirment les termes, apparient les instructions, organisent les titres et les liquidités, se soumettent aux infrastructures pertinentes et attendent la date de règlement. Une transaction peut être valide alors que le règlement échoue. Un règlement peut être retardé sans annuler l'obligation contractuelle sous-jacente.

La distinction est devenue plus visible lorsque les États-Unis ont déplacé la plupart des transactions des courtiers-négociants de T+2 à T+1 le 28 mai 2024. LaSecurities and Exchange Commissionn'a pas déclaré que les transactions se produisaient soudainement un jour plus tard. Elle a raccourci l'intervalle standard entre la date de transaction et le règlement et a ajouté des exigences visant à améliorer les allocations, confirmations, affirmations et le traitement direct le jour même. Le changement a reconnu que le temps entre l'accord et l'achèvement contient des risques de crédit, de marché, de liquidité et opérationnels.

Les transactions IPv4 ont besoin du même vocabulaire. Un accord de vente signé crée des obligations privées. Des fonds séquestrés montrent que la contrepartie peut être disponible. La demande d'un vendeur montre une instruction. L'approbation du registre montre une décision institutionnelle. La publication d'un nouvel enregistrement montre un changement d'état. Une route de l'acheteur montre une utilisation opérationnelle. Ces événements peuvent se produire dans des ordres différents, et aucun ne devrait être autorisé à se faire passer pour tous les autres.

L'objet de la conception du règlement est de définir quelle combinaison achève le transfert aux fins du registre. Jusqu'à ce point, les parties savent que la transaction est en attente et quelles obligations subsistent. À ce point, l'enregistrement reconnu change une fois. Après ce point, l'état antérieur ne peut pas revenir parce qu'un entité a changé d'avis ou qu'une institution a rouvert le dossier informellement.

C'est une utilisation plus restreinte et plus précieuse de l'analogie des titres que de dire que les adresses sont des actifs. Elle transforme une séquence administrative ambiguë en une transition d'état sur laquelle les contrats et les opérateurs peuvent s'appuyer.

La directive de 1998 a été rédigée contre le danger de l'annulation rétroactive

La directive sur le caractère définitif du règlement de l'Union européenne a abordé un problème systémique spécifique. Si le droit de l'insolvabilité pouvait annuler rétroactivement les ordres de transfert ou la compensation déjà traités dans un système de paiement ou de règlement de titres, la défaillance d'un entité pourrait rouvrir des obligations dans tout le système. D'autres entités découvriraient que les soldes qu'ils considéraient comme définitifs étaient en fin de compte conditionnels.

L'article 3 rend les ordres de transfert et la compensation qualifiés légalement exécutoires et opposables aux tiers même lorsque des procédures d'insolvabilité sont ouvertes contre un entité, à condition que les ordres soient entrés dans le système avant le moment légalement défini. Il empêche les règles ordinaires d'annulation de transactions antérieures de défaire la compensation protégée. L'article 5 dispose qu'un ordre de transfert ne peut être révoqué par un entité ou un tiers à partir du moment défini par les règles du système.

La directive n'impose pas un horodatage technique unique à chaque système. Le moment d'entrée est défini par les règles de chaque système désigné, sous réserve de la loi applicable. C'est un choix de conception crucial. La finalité nécessite un effet juridique commun, mais l'infrastructure doit spécifier exactement quand son propre état atteint le point protégé.

Les considérants préservent une limite tout aussi importante. La fraude, l'erreur technique ou un autre vice dans la transaction sous-jacente peut toujours fonder une demande juridique en recouvrement ou en restitution, à condition que le recours ne défasse pas la compensation ou ne révoque pas l'ordre de transfert dans le système. La finalité protège l'état réglé. Elle ne déclare pas que toute cause, déclaration ou contrat derrière cet état est licite.

Pour les transferts IPv4, la leçon n'est pas d'immuniser la fraude. C'est de séparer l'intégrité de l'enregistrement commun des recours disponibles entre les parties. Si un enregistrement final peut être silencieusement supprimé chaque fois qu'une réclamation ultérieure apparaît, personne ne sait si l'état est final. Si un enregistrement final ne peut jamais être corrigé par un processus quelconque, la fraude s'incruste. La réponse est un nouvel événement correctif sous une autorité publiée, pas une disparition rétroactive.

La finalité est le point auquel le risque change de mains

Les principes CPMI-IOSCO pour les infrastructures des marchés financiers définissent le caractère définitif du règlement comme un moment juridiquement défini. Le principe 8 exige un règlement final clair et certain au plus tard à la fin de la date de valeur et, si nécessaire, en intraday ou en temps réel. Les règles doivent définir à la fois quand le règlement est définitif et quand un entité ne peut plus révoquer une instruction acceptée mais non réglée.

Cette clarté sert plus que la comptabilité. Avant la finalité, un entité peut faire face au risque de contrepartie, au risque de coût de remplacement et à l'incertitude concernant les liquidités ou la livraison. Après la finalité, les soldes des comptes et les expositions peuvent être calculés sur l'état réglé. En cas de résolution ou d'insolvabilité, les administrateurs peuvent identifier quelles transactions sont achevées et lesquelles restent des créances.

Un transfert IPv4 redistribue également le risque à un moment définissable. Avant la finalité, le vendeur devrait rester le détenteur reconnu et l'acheteur devrait savoir que le déploiement basé sur un transfert attendu est prématuré. Le séquestre ne devrait pas être libéré simplement parce qu'un réviseur a dit oui. La sécurité contrôlée par le registre et les services de DNS inverse ne devraient pas être transférés de manière irréversible alors que le transfert peut encore échouer.

Après la finalité, l'acheteur devrait pouvoir se fier à la reconnaissance sans craindre que le vendeur puisse révoquer son instruction. Le vendeur devrait pouvoir compter sur le fait d'être déchargé de la responsabilité future de détenteur. Un fournisseur de séquestre devrait pouvoir libérer sous une condition objective. Un prêteur devrait savoir quel intérêt de partie est financé. Un deuxième service d'enregistrement ne devrait pas continuer à présenter le vendeur comme actuel.

La finalité n'est donc pas une affirmation selon laquelle tout risque disparaît. La valeur de marché peut évoluer. Les tribunaux peuvent émettre des ordonnances. Les routes peuvent échouer. Le point est que le risque d'enregistrement passe de « cette instruction sera-t-elle complétée? » à « quel nouvel événement, le cas échéant, modifie légalement l'état complété? » Ce changement est ce qui rend la confiance possible.

Un CSD est une institution de tenue de comptes avec un rôle délimité

La comparaison avec les titres devient utile seulement lorsque l'institution est décrite avec précision. Un dépositaire central de titres (CSD) soutient l'intégrité, la conservation et le transfert de titres, généralement sous forme immobilisée ou dématérialisée. Il tient des comptes et exploite ou soutient un système de règlement de titres. Il ne prend pas toutes les décisions d'investissement, ne fixe pas tous les prix du marché et ne tranche pas tous les différends entre les propriétaires effectifs.

Le principe 11 des normes CPMI-IOSCO exige qu'un CSD maintienne les titres sous forme immobilisée ou dématérialisée pour le transfert par jeu d'écritures et minimise les risques associés à la conservation et au transfert.

Dans l'Union européenne, l'article 39 du règlement sur les dépositaires centraux de titres (CSDR) exige que chaque système de règlement géré par un CSD définisse les moments d'entrée et d'irrévocabilité, divulgue les règles de finalité, poursuive les transferts finaux en temps réel ou intraday et au plus tard à la fin du jour de règlement effectif, et règle les transactions en espèces entre entités directs sur une base de livraison contre paiement.

C'est un rôle d'infrastructure fort, mais sa force vient de règles limitées. Les entités savent ce que signifie une écriture en compte. Ils savent quelles règles du système gouvernent. Les superviseurs peuvent examiner la sécurité juridique, l'efficacité du règlement, la résilience opérationnelle et le défaut de entité. Le CSD ne peut pas rendre la finalité crédible par la seule réputation.

Un registre IPv4 n'est pas un CSD. Il ne règle pas de titres réglementés, ne détient pas de monnaie de banque centrale et n'hérite pas des mêmes protections légales. Pourtant, il remplit une fonction étroite comparable lorsqu'une ressource rare change de détenteur reconnu par jeu d'écritures. La question utile est de savoir si ses règles énoncent l'entrée, l'irrévocabilité, l'échec et la correction avec une précision comparable.

Si la réponse est non, qualifier le registre de gestionnaire de confiance ne comble pas le fossé. La confiance est le résultat d'une règle de finalité, pas un substitut.

La livraison contre paiement est une conditionnalité, pas un instant cinématographique

Le DvP est souvent décrit comme un échange simultané: les titres bougent en même temps que l'argent. Le principe fonctionnel est légèrement plus large et plus utile. Le principe 12 stipule que le règlement final d'une obligation liée devrait avoir lieu si et seulement si le règlement final de l'autre a lieu. Le système doit éliminer le risque qu'un vendeur livre irrévocablement l'actif complet mais ne reçoive jamais le prix, ou que l'acheteur paie mais ne reçoive jamais l'actif.

Les étapes techniques n'ont pas besoin de se produire dans la même microseconde. L'explication du CPMI-IOSCO permet des conceptions dans lesquelles les titres sont bloqués, le paiement est réglé dans un autre système et la livraison n'a lieu qu'après confirmation. Ce qui importe est que la conception juridique, contractuelle et technique maintienne les jambes finales conditionnelles et minimise l'intervalle pendant lequel les ressources bloquées sont exposées.

La plateforme TARGET2-Securities de laBanque centrale européennefournit une mise en œuvre concrète. Les entités utilisent des comptes titres auprès de CSD connectés et des comptes de trésorerie dédiés auprès des banques centrales. T2S apparie les instructions de règlement et règle en monnaie de banque centrale sur une base DvP. Elle utilise également le règlement partiel, l'auto-collatéralisation et l'optimisation pour réduire les échecs.

Une transaction IPv4 peut appliquer le principe par une livraison conditionnelle du registre et une libération du séquestre. Le registre n'a pas besoin de traiter lui-même le paiement commercial. Il peut publier un engagement signé que le transfert authentifié deviendra définitif lorsqu'une condition de séquestre nommée confirme les fonds, tandis que l'accord de séquestre libère lorsque le registre émet l'événement final. Un coordinateur neutre peut s'assurer qu'aucune condition ne devient irrévocable seule.

Le système ne devrait pas revendiquer une atomicité parfaite si les institutions communiquent par courriels et portails manuels sans protocole de validation protégé. Il devrait énoncer la séquence réelle, réserver un état d'attente sûr et définir la récupération si un service est indisponible. Une conditionnalité honnête est plus sûre qu'une revendication marketing de simultanéité.

L'échec du règlement appartient avant la finalité

L'expression « rollback » est dangereuse à moins que l'état qui est annulé ne soit identifié. Avant la finalité, une tentative de règlement échouée peut revenir au dernier état final. Une instruction appariée peut rester en attente parce que l'acheteur manque de fonds, le vendeur manque de titres livrables, un entité est indisponible ou une validation requise échoue. Le système peut réessayer, régler partiellement selon des règles définies ou annuler bilatéralement. Parce qu'aucun nouvel état final n'a été engagé, la restauration de l'état antérieur n'est pas une inversion du règlement final.

Après la finalité, le rollback a une signification différente. Il effacerait un état sur lequel d'autres entités se sont appuyés. Le rapport de 1992 de laBRIsur la livraison contre paiement a examiné les modèles de règlement net dans lesquels les transferts d'un entité défaillant pouvaient être annulés et les obligations recalculées. Il a averti que ces annulations pouvaient imposer une pression de liquidité substantielle sur d'autres entités. Les normes ultérieures de finalité cherchent à éviter de traiter le règlement achevé comme provisoire.

La conception des transferts IPv4 devrait rendre cette limite temporelle explicite. Si la preuve d'autorité échoue avant l'engagement, la demande retourne à rejetée ou incomplète sans changer le détenteur actuel. Si l'acceptation de l'acheteur ou la confirmation des fonds expire, la réservation en attente est libérée. Si un RIR ne peut pas achever son côté d'un transfert inter-régional, aucun registre ne devrait publier un état final contradictoire du détenteur.

Une fois que l'événement final de transfert est émis et réconcilié, une allégation n'invoque pas le « rollback » comme un pouvoir d'urgence non défini. Le système ouvre un cas de correction, préserve l'événement achevé, enregistre toute restriction temporaire et exige une décision compétente. Si la correction est justifiée, un nouvel événement transfère ou restitue la reconnaissance avec son propre moment effectif et sa raison.

Cette distinction permet au système d'être réversible tant qu'il est incertain et durable lorsqu'il devient définitif. Sans elle, chaque transfert réussi reste un brouillon indéfiniment révocable.

L'appariement est le contrôle sous-estimé

Les systèmes de titres ne se fient pas au récit d'une seule partie sur la transaction. Les instructions de règlement sont appariées sur des champs tels que l'instrument, la quantité, les parties, les comptes, le prix et la date. Une discordance n'invite pas l'infrastructure à deviner quel côté a raison. Elle reste une exception à résoudre par les parties.

Les transferts IPv4 ont besoin d'un appariement tout aussi strict. L'instruction du vendeur et l'acceptation de l'acheteur devraient identifier le préfixe exact, le type de transfert, les entités juridiques source et destinataire, les services d'enregistrement actuel et récepteur, la condition de contrepartie, le moment effectif prévu et le traitement des éventuelles plages parentes ou enfants. Les identifiants d'entreprise devraient être suffisamment stables pour distinguer une variation de nom légal d'une entité différente.

Les transferts inter-registres ajoutent un autre appariement. Le service source confirme la libération authentifiée et l'état actuel de la ressource. Le service récepteur confirme le destinataire, les conditions d'acceptation applicables et la disposition à prendre en charge l'enregistrement. Les deux devraient dériver un identifiant de transaction commun des mêmes termes canoniques. Si l'un ou l'autre service présente un préfixe ou une partie différent, la transaction ne progresse pas.

L'appariement réduit la discrétion car il transforme l'ambiguïté en un état visible. « Plus d'informations nécessaires » devrait identifier le champ non apparié. Un acheteur ne devrait pas découvrir après le paiement que le registre source a traité une plage plus petite. Un vendeur ne devrait pas découvrir que le service récepteur a attaché une entité juridique différente. Un agent de séquestre ne devrait pas interpréter le texte à travers deux lettres d'approbation.

L'enregistrement devrait préserver chaque version soumise et les termes appariés finaux. L'amendement avant l'irrévocabilité consomme l'instruction antérieure et crée une nouvelle version acceptée par les deux parties. Il n'y a aucune raison pour qu'une infrastructure traitant des plages numériques exactes tolère moins de précision qu'un système de titres traitant des quantités et des comptes.

L'irrévocabilité doit commencer avant que les parties puissent armer le retard

Le règlement final et l'irrévocabilité des instructions sont liés mais non identiques. Un système peut accepter une instruction avant de la régler définitivement. Si un entité peut révoquer à tout moment pendant cet intervalle, les autres ne peuvent pas planifier les liquidités ou la livraison. Le principe 8 exige donc un point défini après lequel la révocation unilatérale est interdite, même pour une instruction acceptée mais non réglée.

Pour les transferts IPv4, le vendeur devrait pouvoir se retirer pendant une période d'examen précoce si l'acheteur n'a pas accepté, qu'aucune condition de contrepartie finale n'a été verrouillée et qu'aucune autre partie ne s'est appuyée. Une fois le transfert apparié, approuvé et engagé dans une fenêtre de règlement planifiée, le retrait unilatéral devrait cesser. L'annulation bilatérale peut rester disponible avant la finalité si elle est authentifiée par les deux parties et ne contredit pas une restriction légale ou un droit de tiers.

Le registre a également besoin d'une limite. Il ne devrait pas révoquer son propre engagement accepté parce qu'un membre du personnel change d'interprétation après que toutes les conditions publiées ont été remplies. Une urgence d'intégrité étroitement définie peut suspendre la finalité avant l'achèvement, mais elle doit identifier les preuves, la portée, le décideur, l'expiration et un examen rapide. « Discrétion du registre » n'est pas une catégorie d'urgence.

Après la finalité, ni le vendeur, ni l'acheteur, ni le registre ne peuvent annuler l'événement. Ils peuvent initier un nouveau transfert, une correction, une disposition judiciaire ou un renversement consensuel. La distinction peut sembler formelle, mais elle protège l'histoire. Un nouvel événement montre que le premier transfert a eu lieu et a ensuite été modifié; l'annulation dit faussement qu'il n'a jamais eu lieu.

C'est ainsi que la finalité et la responsabilité coexistent. L'état réglé reste stable, tandis que le droit et les preuves ultérieurs peuvent encore produire un état successeur visible.

L'échec devrait créer des responsabilités, pas de l'ambiguïté

La réglementation moderne des titres traite l'échec du règlement comme quelque chose à surveiller et à attribuer. L'article 7 du CSDR exige que les CSD surveillent les échecs et les signalent. Son mécanisme de pénalité actuel impose des pénalités quotidiennes en espèces aux entités qui causent des échecs attribuables après la date de règlement prévue jusqu'au règlement ou à l'annulation bilatérale, avec des exceptions pour les causes non attribuables aux entités et des circonstances spécifiées. Un échec persistant et systématique peut entraîner des procédures de suspension après une opportunité de présenter des observations.

Le but n'est pas que chaque échec mérite une punition. Le but est que le système distingue un entité de marché qui n'a pas livré d'une panne d'infrastructure, d'une insolvabilité et d'autres causes. La responsabilité est classifiée plutôt que dissoute dans un retard générique.

Les transferts IPv4 manquent fréquemment de cette clarté. Une demande peut stagner parce que le vendeur a fourni une autorisation incomplète, l'acheteur a échoué à une condition stipulée, un RIR n'a pas répondu, deux politiques sont incompatibles, un portail a échoué, un examen juridique s'est étendu sans délai, ou un service adjacent n'a pas pu préparer le transfert. Ces causes imposent des obligations différentes et devraient produire des métriques différentes.

Un régime de finalité devrait attribuer une horloge et un acteur responsable à chaque état. La partie causant un échec évitable peut supporter les coûts supplémentaires documentés en vertu de l'accord de transfert. Un service d'enregistrement qui manque un engagement peut rembourser les frais, compenser la perte couverte ou financer un achèvement de substitution. Une restriction juridique externe suspend l'acte affecté sans être imputée à l'une ou l'autre partie commerciale. Une panne de système déclenche des procédures de continuité plutôt qu'un jugement moral.

L'attribution discipline les institutions autant que les utilisateurs. Si le retard est toujours décrit comme une incomplétude du demandeur, la performance du registre ne peut pas être mesurée. Si chaque refus est décrit comme un risque de marché, l'incompatibilité des politiques reste cachée. Les statistiques de règlement devraient exposer où le processus se brise réellement.

Les règles de défaut des entités rendent la finalité crédible sous stress

La finalité est la plus facile lorsque les deux parties exécutent et que chaque système est disponible. Sa valeur est révélée par le défaut. Le principe 13 exige des règles de défaut des entités efficaces et clairement définies qui permettent à une infrastructure de marché financier d'agir rapidement, de contenir les pertes et la pression sur les liquidités, et de continuer à remplir ses obligations. Les procédures clés devraient être publiques et testées avec les entités. L'article 41 du CSDR impose des obligations similaires aux CSD.

Une règle de règlement IPv4 a besoin de sa propre carte de défaut plus petite. Que se passe-t-il si le vendeur entre en insolvabilité après l'instruction mais avant la finalité? Que se passe-t-il si l'acheteur devient insolvable après que les fonds ont été réservés? Que se passe-t-il si une banque séquestre bloque le paiement? Que se passe-t-il si un registre perd l'accès à ses systèmes? Que se passe-t-il si l'employé autorisé quitte? Que se passe-t-il si une ordonnance judiciaire arrive entre l'irrévocabilité et l'achèvement?

La réponse ne peut pas être improvisée par l'institution la plus puissante ce jour-là. Les règles devraient identifier quels états en attente se terminent, lesquels survivent, lesquels nécessitent un administrateur d'insolvabilité, et comment les fonds et les enregistrements restent protégés. Un engagement pris avant l'insolvabilité peut nécessiter un avis juridique spécifique à la juridiction applicable; aucune norme technique ne peut passer outre cette loi. Mais le système peut préserver les preuves et empêcher toute action unilatérale contradictoire pendant que la question est tranchée.

Le service d'enregistrement lui-même doit être traité comme capable de défaut opérationnel. Un mécanisme de continuité devrait exporter les événements en attente et finaux, les références de preuves authentifiées, les états de litige et l'autorité de signature à un successeur qualifié. La finalité ne peut pas dépendre de la santé continue d'une seule corporation qui se trouve à maintenir le compte actuel.

Les tests comptent. Une règle qui n'a jamais été exercée à travers un registre indisponible, un service de paiement défaillant et un signataire contesté est une déclaration d'espoir. Des simulations périodiques devraient montrer si le dernier état final survit et si une transaction en attente propre peut être achevée ou annulée sans duplication.

L'unité de règlement IPv4 doit être définie avant de pouvoir être finale

Les systèmes de titres connaissent l'instrument, la quantité, les comptes et le montant en espèces auxquels le règlement s'applique. Les transferts IPv4 utilisent parfois une unité imprécise: « le bloc », « les ressources » ou « le compte ». Cela est insuffisant lorsqu'un préfixe plus grand peut être divisé et que les services adjacents suivent des limites différentes.

L'unité de règlement devrait inclure l'ensemble exact des préfixes et tout traitement requis des enregistrements parents ou enfants. Elle devrait nommer l'organisation enregistrée actuelle, l'organisation destinataire, les services source et récepteur, la catégorie de transfert, le moment effectif et un identifiant d'événement commun. Elle devrait indiquer si l'unité est indivisible ou permet un règlement partiel déclaré.

Le règlement partiel peut être utile. Si un acheteur acquiert plusieurs préfixes indépendants et que l'un d'eux porte une restriction légale, les préfixes propres n'ont pas à échouer. Mais le règlement partiel ne devrait jamais être inventé après coup. Le contrat et les instructions devraient dire quels composants peuvent être réglés séparément, comment le prix est alloué, comment le séquestre libère et si le fractionnement créerait une route ou une structure RPKI opérationnellement nuisible.

L'unité a également besoin d'un calendrier des services adjacents. Quels objets RPKI sont attendus pour changer? Quelles délégations DNS inverse doivent bouger? Les mises à jour IRR sont-elles effectuées par les parties? Ce ne sont pas tous des éléments de la finalité d'enregistrement, mais un défaut de les nommer peut laisser l'acheteur avec un enregistrement final et aucune préparation opérationnelle.

L'événement final devrait distinguer ce qui a été engagé de ce qui reste. « Règlement inscrit » peut être définitif même si un acheteur n'a pas annoncé de route. « Transfert opérationnel en attente » peut rester un état séparé honnête. La précision évite à la fois l'achèvement faux et les conditions illimitées.

Le règlement inter-RIR nécessite une condition d'engagement unique

Un transfert intra-registre peut mettre à jour un service faisant autorité. Un transfert inter-RIR nécessite que les institutions source et destinataire coordonnent. Si chacune traite sa propre mise à jour comme définitive à un moment différent, une défaillance entre elles peut produire un écart ou deux vérités rivales.

Le RIR source peut confirmer la libération seulement après avoir authentifié le détenteur et vérifié les restrictions de politique. Le RIR destinataire peut confirmer l'acceptation seulement après avoir examiné l'acheteur et ses propres conditions. Les enregistrements ont alors besoin d'un point d'engagement partagé: le statut source devient « transféré sortant » si et seulement si le statut destinataire devient « courant ». Les deux préservent le même moment effectif et le même identifiant de transaction.

L'implémentation technique peut utiliser des états préparés. Chaque service signe un message de préparation qui n'est pas encore une finalité publique. Un coordinateur vérifie les deux, verrouille la transaction appariée et émet un message d'engagement. Chaque registre applique le changement d'état et retourne un accusé de réception. Si l'un ne peut pas préparer, aucun ne s'engage. Si l'un applique mais perd la connexion avant l'accusé, une reprise idempotente et une réconciliation déterminent si l'événement est déjà engagé plutôt que de créer un second transfert.

La conception n'exige pas un registre mondial unique. Elle exige un protocole commun pour l'événement de règlement étroit. Chaque institution peut conserver sa forme juridique et ses responsabilités de service tout en acceptant qu'une plage d'adresses ne peut pas avoir deux états de transfert courants.

Si les RIR actuels ne peuvent pas fournir cette coordination, les institutions compétentes pourraient autoriser un service de réconciliation qualifié par le biais d'accords reconnus. La SRN peut défendre la conception, convoquer les membres concernés et publier des preuves sur ses performances, mais elle ne devrait pas exploiter ou autoriser la couche de réconciliation. L'autorité du coordinateur doit venir de l'accord des entités et du cadre du registre pertinent.

L'atomicité ici signifie un engagement logique unique à travers les enregistrements, pas le monopole d'une institution.

Le paiement devrait être lié sans faire du registre une banque

Le DvP sur titres utilise souvent la monnaie de banque centrale ou de banque commerciale dans le cadre de dispositifs de règlement réglementés. Les registres de numéros ne sont pas des institutions de paiement et ne devraient pas devenir dépositaires des fonds de transaction simplement pour imiter un CSD.

Le lien fonctionnel peut être réalisé avec un séquestre ou un autre fournisseur de paiement réglementé. Avant le règlement, le fournisseur confirme que les fonds sont irrévocablement disponibles sous réserve de l'événement de registre convenu. Les services de registre confirment que le transfert apparié est prêt. Une instruction de règlement commune déclenche alors l'événement final d'enregistrement et la libération du paiement selon des règles mutuellement dépendantes.

Il reste un problème de dernier kilomètre: aucun message Internet ordinaire ne rend les actions dans des systèmes juridiquement séparés mathématiquement simultanées. Les contrats doivent allouer le risque résiduel. Le fournisseur de séquestre peut s'engager à libérer sur la base d'un reçu signé vérifiable du registre. Le registre peut s'engager à ce que le reçu ne soit émis qu'après que le nouvel enregistrement est durable. Si le reçu est émis mais que le fournisseur de paiement fait défaut, l'acheteur peut rester enregistré tandis que le vendeur a une créance contre le séquestre.

Si le paiement est libéré sur un reçu falsifié, le fournisseur de paiement assume la responsabilité en vertu de son obligation de vérification.

Ces résultats ne sont pas un DvP parfait. Ils sont meilleurs qu'un séquençage vague car chaque échec a une institution responsable et un recours. Les transferts de valeur élevée peuvent justifier des garanties préfinancées, une assurance ou un agent de règlement qui accepte le risque principal. Les transferts de routine peuvent utiliser un séquestre plus simple avec des limites transparentes.

L'interdiction essentielle est l'exposition unilatérale par conception. Un vendeur ne devrait pas perdre l'enregistrement final alors que le paiement reste librement révocable. Un acheteur ne devrait pas libérer un paiement inconditionnel alors que l'achèvement du registre reste soumis à une discrétion illimitée.

La finalité ne doit pas être confondue avec l'activation de route

La tentation de faire attendre le règlement pour le routage vient d'une préoccupation légitime: l'acheteur veut des adresses utilisables, pas une entrée décorative. Pourtant, le routage est une mauvaise condition de finalité car des réseaux indépendants le contrôlent.

LaRFC 7020indique que la question de savoir si les adresses sont annoncées et comment elles sont annoncées sont des questions opérationnelles en dehors du système de registre des numéros Internet. Les routes BGP peuvent changer après le règlement pour des raisons d'ingénierie ordinaires. Un acheteur peut acquérir de l'espace pour un déploiement futur, le garder non annoncé, utiliser un fournisseur d'atténuation, annoncer depuis plusieurs sites ou changer d'origine.

La finalité peut exiger une preuve de préparation opérationnelle sans nécessiter une observation mondiale des routes. L'acheteur peut identifier une origine prévue et confirmer le contrôle des comptes nécessaires. Le vendeur peut supprimer les ROAs obsolètes à un moment coordonné. L'accès RPKI contrôlé par le registre et la délégation DNS inverse peuvent être inclus dans un plan de transfert. Les lettres des fournisseurs amont et les modifications IRR peuvent être des conditions si les parties le choisissent.

Mais un collecteur de routes voyant l'acheteur n'est pas une preuve que le paiement a été réglé ou que l'autorité d'entreprise était valide. Inversement, l'absence d'une route ne rend pas un transfert final défectueux. Un registre ne devrait pas inverser un changement achevé parce que l'acheteur n'a pas encore annoncé.

L'événement de règlement change qui est reconnu dans le système d'enregistrement. Le déploiement opérationnel suit par les décisions de l'opérateur et les services adjacents. Garder la limite claire donne aux parties un point stable à partir duquel effectuer le reste.

Le recouvrement en cas de fraude devrait créer un transfert correctif, pas une amnésie historique

L'objection la plus difficile à la finalité est un identifiant volé. Si une instruction de vendeur falsifiée produit un transfert final, pourquoi le registre refuserait-il de l'annuler? Parce que « roll back » peut signifier deux choses différentes.

Le système devrait absolument restaurer l'état légitime lorsqu'un processus compétent établit la fraude. Il devrait geler rapidement toute disposition ultérieure, préserver les services sûrs existants dans la mesure du possible et empêcher le destinataire frauduleux d'aggraver le préjudice. Mais la restauration devrait apparaître comme un nouvel événement de correction lié à l'événement frauduleux. L'enregistrement devrait indiquer quelle autorité a ordonné la correction, quand elle a pris effet et quels intérêts ou demandes d'indemnisation subsistent.

La suppression du transfert frauduleux produit une fausse histoire. Elle empêche les auditeurs d'expliquer la période pendant laquelle la mauvaise partie était enregistrée. Elle obscurcit qui contrôlait RPKI ou le DNS inverse. Elle peut amener un fournisseur de séquestre ou un acheteur ultérieur à se fier à une continuité fabriquée. Elle permet également au registre d'éviter de montrer que ses contrôles ont échoué.

La limite de la directive sur les titres est instructive. Les réclamations sous-jacentes pour fraude ou erreur technique peuvent survivre sans révoquer l'ordre de transfert protégé dans le système. Les recours peuvent opérer par restitution, dommages-intérêts ou une nouvelle disposition. Les outils juridiques exacts pour IPv4 varieront selon la juridiction, mais le principe de tenue de registres est universel: la correction succède à l'erreur; elle ne prétend pas que l'erreur n'est jamais entrée dans l'état partagé.

C'est aussi là que l'indemnisation a sa place. Un acheteur innocent qui perd la reconnaissance après une chaîne falsifiée peut avoir une réclamation contre le vendeur, l'assureur, le fournisseur de séquestre ou le registre selon la responsabilité. La finalité préserve l'histoire commune tandis que le droit alloue la perte.

La SRN devrait défendre la discipline, pas porter le costume institutionnel

La Société des ressources numériques (SRN) plaide publiquement pour un enregistrement précis, le contrôle des opérateurs et une autorité de registre moins concentrée. La finalité du règlement peut transformer ces principes en une norme concrète pour les RIR et les services de transfert autorisés. Les trahirait si la SRN se présentait comme un nouveau dépositaire central de titres, opérateur de règlement ou source d'autorité mondiale exclusive.

Le modèle constructif est un recueil de règles pour le règlement d'enregistrement interopérable. Il définit les entités, les preuves, les formats d'instruction, l'appariement, l'état préparé, l'irrévocabilité, l'engagement, l'échec, l'annulation, la correction et le défaut. Il publie quelles parties sont automatisées et où demeure le jugement humain. Il identifie le droit applicable pour chaque service et exige une analyse juridique interservices avant de revendiquer une protection en cas d'insolvabilité.

La SRN peut commander des recherches de conformité, défendre un coordinateur remplaçable, comparer les conceptions de preuve d'événement public et représenter les membres dans les débats sur les services de litige et de continuité. La certification, la coordination, l'engagement d'événement faisant autorité et les recours doivent rester avec les RIR, les opérateurs techniques autorisés, les institutions arbitrales ou les tribunaux. La SRN ne devrait pas détenir des fonds de transaction ou transformer une position d'adhésion en titre universel.

La responsabilité des entités doit inclure chaque coordinateur autorisé. S'il signe un faux engagement, perd un état en attente ou permet un achèvement en double, une règle de correction et de responsabilité devrait s'appliquer. La responsabilité de la SRN est différente: sourcer précisément ses recherches, divulguer les intérêts des membres et corriger les affirmations de plaidoyer lorsque les preuves changent.

La leçon institutionnelle la plus forte des marchés de titres n'est pas la centralisation. C'est l'allocation explicite de l'autorité et du risque à chaque état. Une couche commune fine peut fournir cette discipline tandis que les services d'enregistrement restent pluriels et portables.

Un modèle d'état pratique comporte neuf étapes

  • Premièrement, proposé:une partie ouvre une transaction nommant les ressources exactes et les contreparties. Aucun changement public d'enregistrement n'a lieu.
  • Deuxièmement, authentifié:le service source vérifie l'instruction du détenteur actuel et l'autorité d'entreprise selon une norme publiée.
  • Troisièmement, apparié:le vendeur, l'acheteur et les services concernés acceptent des termes canoniques identiques. Les amendements consomment la version antérieure.
  • Quatrièmement, conditionné:l'assurance de paiement, les restrictions légales, l'éligibilité du destinataire et les prérequis techniques déclarés sont soit satisfaits, soit identifiés comme en attente.
  • Cinquièmement, préparé:chaque service requis pour l'enregistrement faisant autorité signe une disposition. La transaction obtient un identifiant de règlement et une fenêtre planifiée.
  • Sixièmement, irrévocable:l'annulation unilatérale prend fin. Une urgence d'intégrité définie peut suspendre, mais seulement par un acte limité dans le temps et révisable.
  • Septièmement, engagé:tous les enregistrements faisant autorité appliquent un changement effectif de détenteur tandis que le fournisseur de paiement rend la libération appariée irrévocable selon la condition de règlement commune. L'événement couplé est durable, rejouable en sécurité et réconcilié.
  • Huitièmement, déchargé:les services d'enregistrement et de paiement émettent des reçus finaux et complètent toute mise en œuvre mécanique restée après l'engagement couplé irrévocable. Si une institution de paiement séparée fait défaut sur sa libération engagée, sa règle de garantie et de responsabilité s'applique plutôt que de restaurer silencieusement le vendeur.
  • Neuvièmement, achevé avec les actions adjacentes:RPKI, DNS inverse, IRR et contacts opérationnels évoluent selon le calendrier déclaré. Leur statut est visible mais ne rouvre pas la finalité d'enregistrement à moins que les conditions de règlement aient expressément fait d'une action contrôlée par le registre une partie de l'engagement.

Une transaction rejetée ou expirée peut sortir des quatre premiers états sans modifier le dernier enregistrement final. Une transaction préparée qui ne peut pas s'engager entre dans un état de récupération défini. Une transaction engagée ne peut changer que par un autre événement final. Cette grammaire d'état simple éliminerait une grande partie de l'incertitude qui apparaît actuellement comme discrétion.

L'analogie a des limites strictes

Le règlement de titres repose sur des fondations juridiques et institutionnelles que l'enregistrement de numéros ne partage pas. Les CSD sont autorisés et supervisés. Les systèmes désignés peuvent bénéficier d'une protection légale en cas d'insolvabilité. Les entités sont généralement des institutions financières réglementées. Les actifs de règlement sont généralement fongibles, les comptes sont juridiquement caractérisés, le paiement s'effectue via des systèmes monétaires établis et des règles prudentielles soutiennent la gestion des défauts.

Les préfixes IPv4 ne sont pas des titres simplement parce qu'ils sont rares et transférés. Leur caractère juridique varie. Les RIR sont des institutions privées avec des accords et des juridictions différents. Les acheteurs et vendeurs vont des opérateurs mondiaux aux petites entreprises. Il n'y a pas de volet banque centrale pour le règlement d'adresses. Le routage reste une activité opérationnelle décentralisée. Une ordonnance judiciaire affectant une partie peut ne pas lier tous les services impliqués.

Ces différences excluent une transplantation mécanique. La SRN ne peut pas citer la directive sur le caractère définitif du règlement et obtenir ainsi ses protections en cas d'insolvabilité. Un RIR ne peut pas déclarer un moment arbitraire comme juridiquement contraignant pour les tiers dans tous les pays. Un protocole commun ne peut pas résoudre les conflits de droit de la propriété, des sanctions ou de l'insolvabilité. Les exigences de capital conçues pour les infrastructures financières peuvent être disproportionnées pour un service d'enregistrement mince.

L'analogie fournit des questions de conception et un standard de précision. Où une instruction entre-t-elle? Quand peut-elle être révoquée? Quelles conditions sont liées? Que se passe-t-il si un entité fait défaut? Quel état fait autorité après l'engagement? Qui peut le corriger? Quelle créance survit sans être annulée? Qui supporte la perte?

Répondre à ces questions en termes de ressources numériques serait une avancée majeure. Prétendre que le droit des titres y a déjà répondu pour IPv4 serait une autre erreur de catégorie.

La finalité devrait être mesurée par une confiance reproductible

Un régime de règlement devrait publier la part des instructions complètes qui atteignent chaque état, le temps passé là et la raison attribuable de l'échec. Le temps d'achèvement médian ne suffit pas. Les cas de longue traîne, les cycles de preuves répétés, les conditions expirées et les pannes d'infrastructure révèlent si la promesse de finalité fonctionne sous stress.

Le système devrait réconcilier les événements engagés à travers les services et signaler les lacunes, les doublons, les tentatives de rejeu et les accusés de réception tardifs. Il devrait compter combien de fois un événement final est ensuite corrigé, pourquoi, sous quelle autorité et après combien de temps. Un taux de correction plus élevé peut révéler une authentification faible; un taux nul peut révéler une suppression cachée ou des recours inaccessibles.

Le lien de paiement devrait être testé par des exceptions: registre engagé mais paiement non libéré; paiement libéré sans engagement valide; séquestre expiré après irrévocabilité; reçu falsifié rejeté. Chaque scénario devrait avoir un support de perte prédéfini.

La continuité opérationnelle devrait être mesurée séparément. Les services RPKI et DNS inverse contrôlés par le registre ont-ils bougé comme prévu? Les observations de routes ont-elles montré une perturbation? Les données ne devraient jamais impliquer que le registre garantit la joignabilité mondiale, mais devraient révéler si ses propres actes de transition ont contribué à une panne.

Les exercices de défaut devraient tester l'insolvabilité des entités, la défaillance de service, la compromission d'identifiants et les ordres juridiques contradictoires. Les résultats peuvent être agrégés sans exposer les détails des transactions. Les changements de règles devraient montrer les preuves qui les ont motivés et préserver les périodes de transition pour les cas en attente.

La mesure ultime est de savoir si un tiers non lié peut inspecter l'événement et répondre à une question: quelle organisation était reconnue à un moment spécifié, et quel événement valide a changé cet état? Si la réponse dépend d'e-mails privés ou de la mémoire institutionnelle, la finalité n'a pas été atteinte.

Conclusion: irréversible après l'engagement, réversible via un nouvel événement

Le règlement de titres donne à la gouvernance des ressources numériques une manière précise de penser l'irréversibilité. L'accord n'est pas le règlement. L'approbation n'est pas le règlement. Le paiement seul n'est pas le règlement. Un état devient définitif lorsque des conditions définies ont été remplies, l'écriture comptable faisant autorité a été engagée, les obligations liées ne peuvent pas laisser un côté exposé, et les règles du système interdisent la révocation unilatérale.

Avant ce point, l'échec devrait être propre. Une instruction non appariée, sous-financée, non autorisée ou légalement restreinte reste en attente, expire, est annulée bilatéralement ou retourne au dernier état final. Elle ne devrait pas laisser un paiement libéré sans enregistrement, un acheteur enregistré dans un registre et un vendeur enregistré dans un autre, ou un contrôle de sécurité bloqué entre les parties.

Après ce point, le principe opposé s'applique. Le transfert est durable. L'insolvabilité du vendeur ne ressuscite pas automatiquement l'ancien enregistrement. La reconsidération par le personnel ne l'efface pas. Une découverte ultérieure de fraude, une ordonnance judiciaire ou un renversement consensuel peut changer l'état par un nouvel événement attribuable. L'histoire reste intacte, et l'indemnisation ou la restitution alloue la perte résultante.

La conception est exigeante car le transfert IPv4 unit des institutions qui ne partagent pas une loi ou une plateforme technique unique. La réponse n'est pas de prétendre qu'un seul RIR fournit déjà une finalité mondiale. C'est de définir l'unité de règlement exacte, d'apparier les deux parties, de coordonner les services source et destinataire, de lier l'engagement du registre avec l'assurance de paiement, de publier les états d'échec et de rendre chaque pouvoir exceptionnel révisable.

La SRN peut aider en faisant campagne pour des règles interopérables et portables et en publiant des preuves comparables des institutions qui les exploitent. Son succès ne devrait pas être mesuré par les transactions contrôlées—la SRN ne devrait en contrôler aucune—mais par la mesure dans laquelle son plaidoyer aide à prévenir les transferts provisoires indéfinis, les révocations dangereuses et les retours en arrière ambigus.

La finalité du règlement est un outil de conception institutionnelle car elle dit à chaque acteur quand la discrétion se termine. L'acheteur obtient un enregistrement durable. Le vendeur obtient la décharge. Le registre obtient un rôle délimité. Le fournisseur de paiement obtient une condition de libération objective. Les tribunaux conservent l'autorité sur les réclamations juridiques sans forcer le registre partagé à oublier son histoire.

La règle peut être énoncée en une phrase: un changement d'enregistrement IPv4 devrait devenir irréversible lorsque des instructions authentifiées, appariées et conditionnées s'engagent sur un enregistrement réconcilié; après cela, il ne peut être modifié que par un autre événement valide.

Ce n'est pas le droit des titres pour l'Internet. C'est la discipline de la finalité adaptée à un système mondial de numérotation qui a fonctionné trop longtemps sans nommer le moment sur lequel tout le monde est censé se fier.

Sources