Résumé

  • Le conseil reconstitué d'AFRINIC est une réparation nécessaire, pas la preuve que le risque institutionnel concentré a disparu. La question cruciale est de savoir si un membre peut conserver des enregistrements reconnus et des dépendances critiques lorsque AFRINIC est légalement, techniquement ou opérationnellement défaillant.
  • La portabilité du service de registre n'est pas une vente d'espace d'adressage, un changement de titulaire ou une autorisation pour des autorités doubles. C'est la capacité du même titulaire reconnu à déplacer des services d'enregistrement définis entre des fournisseurs qualifiés tout en maintenant un état faisant autorité ordonné et un historique complet.
  • La portabilité nécessite quatre arrangements distincts: la substitution volontaire ordinaire de fournisseur, le mouvement supervisé en cas de défaillance grave du service, la continuité d'urgence temporaire et la succession institutionnelle éventuelle si la reconnaissance change. Chacun a des déclencheurs, une autorité et des conditions de retour différents.
  • Le séquestre de données est nécessaire mais insuffisant. Une conception de continuité nécessite également une restauration testée, une preuve d'identité et d'autorité actuelle, un historique de transactions ordonné, des restrictions de litige, la publication RDAP et WHOIS, le DNS inverse, les données du registre de routage et une gestion soigneusement délimitée des clés et certificats RPKI.
  • Le programme de reprise 2025-2026 d'AFRINIC aborde la direction, les audits, la technologie, le personnel, les organes communautaires et la stabilité juridique. Ces mesures améliorent l'institution actuelle mais n'établissent pas encore une sortie de routine contrôlée par le titulaire ni une voie de substitution de fournisseur démontrée.
  • La révision émergente du cadre de gouvernance mondial des RIR reconnaît la continuité d'urgence et les opérateurs temporaires. Une approche de type NRS étendrait le principe de résilience en temps normal via un choix qualifié, sans attendre le seuil extrême de défaillance du registre régional.
  • La reprise devrait être jugée par des tests de résistance indépendants: perte du portail membre, corruption de données, restriction judiciaire, compromission de clés, insolvabilité, indisponibilité du personnel et un changement volontaire de fournisseur. Réussir signifie un état actuel accepté, aucune perte de contrôle par le titulaire et un retour ou une transition nette soutenu par des preuves.

Un conseil répare l'autorité, pas la concentration

LaNRO a salué l'élection du conseil de septembre 2025comme une étape vers la restauration complète de la gouvernance et des activités d'AFRINIC. Ce langage était mesuré à juste titre. Une étape vers la restauration n'est pas une déclaration que toutes les faiblesses institutionnelles ont pris fin.

Le conseil reconstitué peut faire des choses qu'un séquestre ou un personnel sans administrateurs ne peut pas faire durablement. Il peut définir une stratégie, recruter un directeur général, approuver des budgets, superviser les risques, convoquer les membres et restaurer les comités. La déclaration conjointe d'octobre 2025 d'AFRINICdu conseil et du séquestredécrit les travaux en cours sur la direction, les audits, les litiges, la représentation communautaire, les discussions politiques et la réforme constitutionnelle. Sa mise à jour aux membres de mars 2026décrit les prioritésincluant des opérations stables, un directeur général substantiel, une évaluation technologique et des ressources humaines, et une réparation de la gouvernance.

Ce sont de véritables tâches de reprise. Elles visent principalement à faire fonctionner à nouveau AFRINIC correctement. Elles ne donnent pas au titulaire de ressources une alternative si AFRINIC ne peut plus effectuer un acte d'enregistrement critique. Le titulaire dépend toujours de la même entité juridique, de la même équipe opérationnelle, des mêmes interfaces de service et du même arrangement de reconnaissance.

De bons administrateurs peuvent réduire le risque institutionnel. La portabilité change qui supporte le risque résiduel lorsque la bonne gouvernance ne suffit pas. Une conception résiliente a besoin des deux.

La crise était plus large que l'absence d'administrateurs

Les difficultés d'AFRINIC ne peuvent être réduites à huit sièges vacants au conseil. Les litiges ont affecté la gouvernance et consommé de l'attention. La mise sous séquestre a placé un pouvoir inhabituel dans un bureau supervisé par le tribunal. Les états financiers audités ont été retardés. La communauté politique est passée des années sans réunions ordinaires. L'organisation manquait d'un directeur général substantiel. Des questions ont surgi concernant les enregistrements, les sauvegardes et l'intégrité des élections.

Le personnel a maintenu les services essentiels en fonctionnement dans ces conditions, ce qui témoigne d'un engagement et d'une certaine résilience opérationnelle. Ce n'est pas la preuve que chaque service survivrait à une défaillance plus grave ou à un moment différent. La continuité obtenue par un effort exceptionnel du personnel peut masquer des dépendances non documentées et des connaissances concentrées.

La conséquence publique s'étend également au-delà du statut corporatif d'AFRINIC. Les opérateurs de réseau s'appuient sur des enregistrements de ressources reconnus pour maintenir les contacts, le DNS inverse, les objets de route et le matériel de sécurité du routage. Les agences publiques, les universités, les banques, les opérateurs mobiles, les centres de données et les fournisseurs d'accès peuvent tous dépendre de modifications en temps opportun. Un litige qui n'interrompt pas la transmission de paquets aujourd'hui peut encore empêcher un titulaire de corriger une autorité ou de répondre à un incident demain.

Le risque pertinent est donc composé. L'autorité légale, la gouvernance d'entreprise, la capacité du personnel, l'identité des membres, la publication technique et la reconnaissance mondiale interagissent. Remplacer les administrateurs traite une couche. Recruter un directeur général en traite une autre. Aucun ne crée une voie alternative lorsque plusieurs couches échouent ensemble.

La défaillance du registre n'est pas la même chose qu'une panne d'Internet

La prudence est nécessaire lorsqu'on décrit les conséquences. Si un portail RIR devient indisponible, les routes existantes ne disparaissent pas automatiquement. Les routeurs transmettent selon les configurations et les protocoles de routage, pas en interrogeant le bureau des membres pour chaque paquet. L'utilisation existante des adresses peut continuer pendant un litige de registre.

Cela ne rend pas la continuité du registre facultative. Un titulaire peut avoir besoin de mettre à jour les contacts publics, de créer ou de modifier des autorisations de route, de modifier le DNS inverse, d'enregistrer un transfert, de corriger un objet de route, de répondre à un problème d'abus ou de sécurité, ou de prouver son autorité à une contrepartie. Un retard dans ces actes peut augmenter le risque opérationnel même lorsque le trafic circule encore.

RPKI rend la dépendance plus visible. Les titulaires de ressources utilisent des certificats et des autorisations d'origine de route dans une structure de confiance décrite par l'architecture RPKI dans RFC 6480. Une défaillance affectant l'émission de certificats, le contrôle des clés, la publication ou la révocation peut influencer la façon dont les réseaux de confiance classent les routes. L'effet dépend de la défaillance exacte et de la politique du réseau; il ne devrait pas être exagéré en une déconnexion universelle instantanée.

L'analyse de résilience doit donc mesurer les fonctions séparément. L'enregistrement public, le contrôle des comptes, RDAP, WHOIS, le DNS inverse, les données du registre de routage Internet, RPKI, les nouveaux services d'attribution et de transfert ont différentes tolérances et voies de reprise. Une assurance vague qu'Internet est resté opérationnel ne peut pas remplacer la preuve que les titulaires ont conservé la capacité d'agir.

La reprise du personnel change la probabilité, pas le rayon d'explosion

Un conseil compétent peut améliorer les contrôles, définir les priorités et réduire les chances d'une nouvelle rupture de gouvernance. Il peut également recruter des dirigeants, financer des sauvegardes et clarifier l'autorité. Ces mesures comptent car la prévention est généralement moins coûteuse que la substitution d'urgence.

Mais le rayon d'explosion de la défaillance reste large si une seule institution est le point de service obligatoire pour une région. Une restriction judiciaire, un incident cybernétique grave, une défaillance du contrôle interne, un événement d'insolvabilité ou la perte de personnel clé peuvent affecter de nombreux titulaires à la fois. De meilleures personnes réduisent la probabilité de ces événements; elles ne donnent pas aux membres concernés une issue testée si l'un d'eux se produit.

C'est la même distinction faite dans d'autres services critiques. Un fournisseur bien géré maintient néanmoins le basculement, les exportations et les exercices de reprise. La confiance dans la direction n'est pas utilisée comme raison pour rendre les données clients non portables ou pour laisser la restauration non testée. Plus la conséquence publique est élevée, plus le cas est faible pour ne compter que sur la vertu institutionnelle.

La portabilité discipline également les performances ordinaires. Un fournisseur qui sait que les titulaires peuvent déplacer le service a une raison plus forte de tenir les enregistrements à jour, de résoudre les plaintes et de publier des niveaux de service mesurables. La sortie n'est pas une punition. C'est un contrôle qui limite la conséquence d'un échec persistant sans nécessiter le remplacement de toute l'institution.

La portabilité doit être définie de manière étroite

La portabilité du registre devrait signifier qu'un titulaire de ressources reconnu peut changer le fournisseur qualifié effectuant des services d'enregistrement définis tandis que le titulaire, l'identité de la ressource, l'historique d'attribution et l'état actuel faisant autorité restent les mêmes. Le fournisseur authentifie les instructions, maintient les enregistrements de service convenus et soumet ou exécute les modifications autorisées. Il ne crée pas d'attribution rivale.

La définition exclut trois interprétations trompeuses. Premièrement, la portabilité n'est pas une affirmation selon laquelle les adresses sont une propriété privée sans restriction. Le caractère juridique des ressources numériques et les conditions dans lesquelles elles sont détenues restent régis par les accords, politiques et lois applicables. Deuxièmement, ce n'est pas un transfert à un nouveau titulaire. L'organisation contrôlant la ressource ne change pas simplement parce que son service d'enregistrement change. Troisièmement, ce n'est pas une autorisation pour plusieurs fournisseurs de publier des titulaires actuels contradictoires.

Lesystème de registre des numéros Internet décrit dans RFC 7020dépend d'un enregistrement coordonné et de l'unicité. Un modèle de portabilité doit préserver ces propriétés. Une ressource a un état de titulaire actuel accepté, un historique ordonné et une autorité actuelle définie pour chaque rôle de service.

Cette définition étroite rend la portabilité compatible avec la coordination mondiale. La concurrence ou la substitution se produit autour du service. L'unicité reste une contrainte partagée. Le droit de quitter un fournisseur ne devient pas un droit de choisir la version des faits la plus commode.

Quatre mouvements ne doivent pas être confondus

Le premier mouvement est un transfert de ressource. Il change le titulaire reconnu d'une ressource numérique sous la politique de transfert applicable. L'aperçu de la politique d'AFRINIC ratifié en février 2026traite des transferts impliquant IPv4 et les numéros de système autonome, y compris les conditions interrégionales spécifiées. C'est un événement de marché et d'enregistrement impliquant la source et le destinataire.

Le deuxième mouvement est la portabilité du service d'enregistrement. Le titulaire reste le même, mais un fournisseur qualifié prend en charge le service administratif défini. Aucune vente ou réaffectation n'est implicite. L'événement ressemble au changement de dépositaire d'un enregistrement plutôt qu'au changement de la personne reconnue par celui-ci.

Le troisième mouvement est la continuité d'urgence. Un opérateur temporaire effectue les services concernés parce que l'institution régionale reconnue ne peut pas le faire correctement. L'autorité est limitée par l'urgence, et le service devrait revenir lorsque la capacité est restaurée. Le titulaire n'a pas besoin de faire un choix de marché individuel pendant la crise.

Le quatrième mouvement est la succession institutionnelle. Si un RIR est finalement remplacé ou sa reconnaissance change, un successeur autorisé assume la responsabilité régionale sous une décision de gouvernance mondiale. C'est un événement constitutionnel, pas un changement de client ordinaire.

Les politiques, les enregistrements et les contrôles techniques devraient nommer ces mouvements séparément. La confusion invite soit à l'excès, soit à la paralysie. Un changement de fournisseur normal ne devrait pas nécessiter le seuil de remplacement d'un RIR. Un opérateur d'urgence ne devrait pas gagner le pouvoir de réécrire l'historique du titulaire. Un transfert de ressource ne devrait pas être déguisé en changement de service.

NRS fournit une direction, pas la preuve d'un système fini

La Number Resource Society a fait de la sortie, de la portabilité, de la redondance et d'une administration moins captive géographiquement des thèmes centraux de son plaidoyer public. Sadéclaration de gouvernance sur la décentralisation et la portabilitéoffre une direction utile: l'administration des ressources numériques critiques ne devrait pas dépendre uniquement de la durabilité d'un seul gardien.

Cette direction ne devrait pas être traitée comme une preuve que chaque détail opérationnel a déjà été résolu. L'assurance d'identité, la qualification des fournisseurs, l'ordre faisant autorité, la continuité RPKI, les restrictions légales, la responsabilité et la reconnaissance mondiale nécessitent tous des arrangements précis. Le plaidoyer devient infrastructure seulement après que ces arrangements survivent à des tests adverses.

La valeur du contre-factuel de la NRS est qu'il pose une question que la conception du monopole régional tend à supprimer. Pourquoi la préservation d'un enregistrement de numéro faisant autorité nécessite-t-elle un fournisseur de services permanent pour chaque titulaire associé à un continent? L'unicité mondiale et l'exclusivité de service sont des propriétés différentes.

La reprise d'AFRINIC est une occasion de tester cette distinction sans affaiblir l'institution. AFRINIC pourrait rester une autorité reconnue et un fournisseur solide tout en entité à des règles de portabilité communes. L'objectif n'est pas de faire échouer AFRINIC. C'est de rendre la continuité des membres moins dépendante du fait qu'AFRINIC n'échoue jamais.

Un état faisant autorité est la limite non négociable

La portabilité devient dangereuse si deux fournisseurs peuvent chacun affirmer un titulaire actuel différent ou émettre des informations d'identification de ressources incompatibles. Le système doit donc ordonner chaque changement accepté par rapport à une version actuelle connue. Un changement de service cite la ressource, le titulaire, le fournisseur sortant, le fournisseur entrant, les rôles affectés et l'état actuel. L'acceptation crée un état successeur unique.

Les soumissions concurrentes ne peuvent pas toutes réussir. Une instruction obsolète échoue ou entre en révision. Une correction crée un autre événement visible plutôt que d'effacer l'historique. Chaque fournisseur qualifié et service public converge vers le résultat accepté. Les observateurs peuvent répliquer l'enregistrement, mais la réplication ne confère pas l'autorité d'origine.

L'accord du système de registre des numéros Internetde la NRO engage les RIR à l'unicité, l'exactitude, les entrées publiques et la coopération dans des services de registre mondiaux cohérents. La portabilité doit renforcer ces engagements en réduisant la dépendance à un seul bureau de service tout en préservant une réponse cohérente.

Cette limite restreint également le marketing des fournisseurs. Aucun fournisseur ne devrait promettre l'immunité contre les restrictions valides, le contrôle anonyme ou une reconnaissance alternative. Un titulaire peut choisir la qualité de service et les conditions juridiques dans le cadre de règles communes. Il ne peut pas acheter une deuxième version du titre ou échapper à un litige actif en déplaçant l'interface par laquelle le litige est enregistré.

L'enregistrement portable minimum doit être suffisant et restreint

Un fournisseur récepteur a besoin de suffisamment d'informations pour continuer le service mais ne devrait pas recevoir chaque note, facture ou document d'identité jamais détenu par l'institution sortante. Le minimum commun devrait inclure l'identité de la ressource, le titulaire reconnu, les contacts d'autorité, la base d'attribution ou d'affectation, le fournisseur de service actuel, l'historique ordonné des événements, les restrictions actives, les demandes en attente, les choix de services dépendants et la preuve de vérification à un niveau d'assurance convenu.

Chaque champ a besoin d'une version, d'une source d'autorité, d'une heure effective et d'une classe de sensibilité. Les faits publics peuvent apparaître via RDAP ou des services connexes. L'identité protégée et le matériel de litige se déplacent par des canaux sécurisés. Les preuves hautement sensibles peuvent rester chez un dépositaire de séquestre et n'être divulguées que lorsqu'un déclencheur valide se produit.

La retenue limite la concentration et l'impact d'une violation. Un système de portabilité qui centralise chaque document client crée une nouvelle cible et peut violer les obligations de protection des données. La suffisance signifie que le fournisseur récepteur peut authentifier le titulaire, reconstruire l'autorité actuelle, continuer les services sélectionnés et expliquer pourquoi un changement a été accepté. Cela ne signifie pas collecter des informations sans rapport avec ces fonctions.

Le titulaire devrait pouvoir inspecter son enregistrement portable, contester les erreurs et recevoir une exportation signée à tout moment. Une exportation régulière rend le départ ordinaire plutôt qu'une faveur d'urgence. Des tests indépendants devraient confirmer qu'un autre fournisseur qualifié peut ingérer l'enregistrement sans reconstruction manuelle par le personnel supérieur de l'incumbent.

Le séquestre préserve les preuves mais ne fournit pas de service

La correspondance d'ICANN de juillet 2025 a interrogé sur les sauvegardes d'AFRINIC et proposé une discussion sur le séquestre régulier des données d'enregistrement des RIR avec des fournisseurs de confiance. C'était une intervention importante. Si le seul enregistrement complet disparaît avec une institution défaillante, aucun modèle de continuité ne peut restaurer l'autorité avec confiance.

Le séquestre répond à une question plus étroite que la portabilité. Il peut préserver des fichiers et l'historique des transactions. Il n'authentifie pas automatiquement un titulaire actuel, n'active pas un fournisseur récepteur, ne publie pas RDAP, ne maintient pas le DNS inverse, n'émet pas de matériel RPKI ni ne résout une restriction judiciaire. Les données déposées peuvent être obsolètes, incomplètes, chiffrées sous des clés indisponibles ou difficiles à restaurer dans le temps nécessaire aux opérateurs.

Un arrangement crédible teste donc la fréquence de dépôt, l'exhaustivité, l'intégrité, le déchiffrement, la documentation, les déclencheurs de libération et le temps de restauration. Le dépositaire du séquestre doit être suffisamment indépendant pour libérer le matériel lorsque l'institution est incapable ou peu disposée, mais incapable d'utiliser les données pour un service commercial ordinaire. Plusieurs dépositaires géographiquement et juridiquement séparés peuvent être justifiés pour les éléments les plus critiques.

Le séquestre devrait soutenir à la fois l'urgence institutionnelle et la portabilité du titulaire. Un fournisseur récepteur obtient normalement une exportation actuelle via le fournisseur sortant. Si cette voie échoue, une libération supervisée peut fournir l'enregistrement minimum. Chaque libération est délimitée, journalisée et examinée. La survie des données devient une couche dans une conception de continuité opérationnelle plutôt que la promesse entière.

L'identité et l'autorité doivent survivre à l'institution

Le problème de continuité le plus difficile n'est pas la copie d'une table. C'est prouver qui peut instruire un changement lorsque l'institution qui tenait le registre de contacts est indisponible ou suspecte. Un modèle portable a besoin de plusieurs facteurs d'autorité maintenus indépendamment: les dirigeants actuels de l'organisation, les contacts de reprise protégés, des informations d'identification solides, des preuves corporatives vérifiées et un historique des changements autorisés.

Aucune adresse e-mail unique obsolète ne devrait contrôler un portefeuille de ressources précieuses. Les titulaires devraient enregistrer plus d'un représentant avec différents rôles et canaux. Les actes à fort impact peuvent nécessiter l'approbation de deux personnes autorisées ou d'une personne plus une preuve organisationnelle externe. Les contacts de reprise devraient être testés périodiquement sans les publier.

Le fournisseur récepteur doit vérifier la continuité de l'identité du titulaire, et non créer un nouveau titulaire parce que le compte habituel est inaccessible. Si les preuves entrent en conflit, la ressource entre dans un état protégé délimité. Les enregistrements publics et services existants continuent là où c'est sûr, tandis que les changements à haut risque attendent un examen. Le litige ne devrait affecter que l'acte contesté et l'ensemble de ressources.

La preuve d'autorité a également besoin de portabilité avant la crise. Un titulaire qui attend que le portail soit inaccessible pour découvrir que son seul contact a quitté l'entreprise a déjà échoué au test. La reprise d'AFRINIC devrait inclure une campagne auprès des membres pour vérifier l'autorité multicanal et émettre des reçus portables et vérifiables de manière indépendante.

RDAP et WHOIS ont besoin de continuité sans réponses contradictoires

Les services d'enregistrement public permettent aux réseaux, aux équipes de sécurité et aux contreparties d'identifier les organisations et contacts reconnus. Lors de la substitution de fournisseur, ces services devraient continuer à renvoyer un état actuel cohérent. Différents points de terminaison de service peuvent exister, mais la découverte doit mener les utilisateurs au même enregistrement accepté.

Un changement de fournisseur devrait mettre à jour la référence du fournisseur de service et tout changement de contact autorisé sans modifier l'historique de la ressource. Les caches et répliques ont besoin de temps de convergence définis. Les réponses obsolètes devraient porter une version ou une heure de dernière mise à jour permettant aux utilisateurs de les reconnaître. Une réponse d'urgence temporaire devrait identifier son statut délimité sans impliquer que la ressource a changé de titulaire.

Les réponses structurées de RDAP sont utiles pour exprimer les rôles, liens et événements, mais un format technique ne peut pas régler l'autorité par lui-même. Les règles communes doivent définir quel service signe le résultat actuel, comment les conflits sont résolus et quand une réplique cesse de servir des données obsolètes. La compatibilité WHOIS peut rester nécessaire pour les utilisateurs qui ne sont pas passés à RDAP, mais elle devrait dériver du même état accepté.

Les tests de continuité devraient interroger les services publics depuis plusieurs régions avant, pendant et après un changement de fournisseur simulé. Le succès signifie la disponibilité, une identité de titulaire cohérente, des changements de rôle corrects et un ordre de version explicable. Renvoyer une réponse HTTP ne suffit pas si deux points de terminaison ne sont pas d'accord sur le contrôle.

La continuité RPKI nécessite des limites plus strictes que l'enregistrement public

RPKI relie l'autorité des ressources aux objets cryptographiques utilisés par les réseaux de confiance. Déplacer le service d'enregistrement ne doit pas déplacer négligemment les clés privées, créer des certificats qui se chevauchent ou laisser les deux fournisseurs capables d'autoriser des routes. Le modèle RPKI choisi par le titulaire importe: le service hébergé, la certification déléguée ou un autre arrangement approuvé peut placer les clés et les devoirs de publication à différents endroits.

L'enregistrement de portabilité devrait indiquer la relation actuelle d'autorité de certificat, l'emplacement de publication, les préfixes autorisés et les numéros de système autonome, le modèle de garde des clés, les autorisations d'origine de route actives, l'état de révocation et la transition prévue. Les fournisseurs sortant et entrant ont besoin d'un transfert ordonné avec une terminaison explicite de l'autorité.

Lorsque les clés ne peuvent ou ne doivent pas être déplacées, le côté récepteur émet un successeur dans des conditions contrôlées et l'ancienne autorité est révoquée au moment approprié. Le chevauchement peut être étroitement limité là où nécessaire pour éviter un échec de validation, mais la double émission non contrôlée ne doit jamais être une commodité informelle. L'observation par la partie dépendante devrait confirmer le résultat prévu de l'extérieur des deux fournisseurs.

La continuité d'urgence est plus difficile. Un opérateur temporaire peut avoir besoin d'autorité pour maintenir la publication disponible tout en manquant d'autorité pour effectuer des modifications de routage arbitraires. La charte d'urgence devrait distinguer le service des objets existants, le renouvellement du matériel limité dans le temps, l'acceptation des changements par le titulaire et la révocation de l'autorité compromise. Chaque pouvoir a besoin d'un déclencheur et d'une approbation indépendante.

Le DNS inverse et les données du registre de routage nécessitent des choix explicites

Le service d'enregistrement accompagne souvent la délégation DNS inverse et les données du registre de routage Internet. Les titulaires peuvent supposer que ces dépendances se déplaceront automatiquement, tandis que les fournisseurs peuvent les traiter comme des produits séparés. Une demande de portabilité devrait lister chaque service et permettre au titulaire de choisir le déplacement, la continuation temporaire, la délégation ailleurs ou la fin.

La continuité du DNS inverse nécessite la préservation de la relation ressource-zone et un contrôle sécurisé des changements de délégation. Un changement de fournisseur ne devrait pas modifier silencieusement les serveurs de noms. Si l'ancien fournisseur continue le service brièvement, l'arrangement a besoin d'une expiration et d'un contact d'urgence. Les tests devraient vérifier la résolution depuis des réseaux indépendants et confirmer que les délégations obsolètes ne sont supprimées qu'une fois le nouveau service prêt.

Les objets de route et les appartenances à des ensembles peuvent influencer les filtres construits par les opérateurs de réseau. La transition devrait identifier les objets maintenus, la méthode d'authentification, les mainteneurs, les références et les relations d'ensemble en aval. Les mainteneurs en double ou abandonnés peuvent créer une confusion sécuritaire et opérationnelle même lorsque l'enregistrement de ressource lui-même est correct.

Séparer les dépendances empêche un mouvement tout-ou-rien. Un titulaire peut changer de compte et de service RDAP tout en conservant RPKI délégué, ou déplacer RPKI tout en gardant le DNS inverse temporairement. L'enregistrement faisant autorité doit montrer la division choisie afin qu'aucun fournisseur ne revendique plus d'autorité qu'il n'en a.

Les ordonnances judiciaires et les litiges doivent voyager comme des restrictions, pas comme une captivité

La portabilité ne peut pas devenir une méthode pour échapper à une ordonnance judiciaire valide, un litige de propriété actif ou un gel de sécurité. De même, l'existence d'un litige ne devrait pas permettre à un incumbent de geler indéfiniment tous les services et ressources sans rapport. L'état portable doit porter les restrictions avec une portée exacte, une autorité émettrice, une heure effective, un statut de révision et une condition d'expiration.

Le fournisseur récepteur accepte la restriction dans le cadre de l'état faisant autorité actuel. Il ne rejuge pas l'affaire simplement parce que le service a été déplacé. Si le fournisseur estime que l'ordonnance ne le lie pas ou entre en conflit avec une autre obligation, une voie de reconnaissance et de révision définie s'applique. Le titulaire reçoit un avis dans la mesure où la loi le permet.

Cette approche sépare la sortie institutionnelle de l'effacement factuel. Un titulaire peut quitter un mauvais service tandis qu'un transfert contesté reste bloqué. Les ressources propres dans le même portefeuille peuvent être déplacées lorsque la restriction est séparable. Les objets de sécurité de route existants peuvent continuer tandis qu'un changement à haut risque attend une décision.

Les tribunaux bénéficient d'enregistrements précis. Ils peuvent voir quel acte est proposé, quel fournisseur le contrôle, quel état l'a précédé et quel impact de continuité une restriction aurait. La portabilité devrait rendre les ordonnances légales plus précises, pas moins efficaces. La conception la plus solide protège à la fois l'autorité légale susceptible de révision et la continuité de l'opérateur.

La juridiction doit être visible plutôt que cachée dans la géographie

Changer de fournisseur de services peut changer le droit des contrats, la localisation des données, les voies d'exécution et l'exposition aux demandes gouvernementales. La portabilité n'abolit pas la juridiction. Elle exige que les conséquences juridictionnelles soient divulguées et attribuées à la bonne relation.

Chaque fournisseur devrait publier son entité juridique, ses personnes contrôlantes, ses emplacements de service, son contrat applicable, ses engagements de traitement des données, ses sous-traitants, son forum de réclamation et son approche face aux demandes légales contradictoires. Les titulaires peuvent alors sélectionner le service adapté à leurs devoirs opérationnels et publics. Les règles d'autorité communes lient toujours chaque fournisseur.

Certains actes restent liés à l'incorporation d'AFRINIC, à la reconnaissance régionale ou à la juridiction propre du titulaire. Un fournisseur ne peut pas promettre que le choix de celui-ci supprime ces connexions. AFRINIC ne devrait pas non plus revendiquer une exclusivité de service permanente simplement parce que son domicile légal est Maurice. La question pertinente est de savoir quelle loi s'applique à quel acte, preuve et partie.

Les demandes contradictoires nécessitent un protocole étroit: vérifier l'autorité, identifier la ressource et le service concernés, préserver l'état actuel, notifier les parties autorisées, demander un examen et éviter les actions irréversibles tant que la juridiction n'est pas résolue. C'est plus crédible que de traiter un bloc d'adresses comme s'il était physiquement situé sur un territoire judiciaire.

Les fournisseurs qualifiés doivent être capables d'un service à l'épreuve des défaillances

La portabilité n'est aussi solide que les fournisseurs récepteurs. La qualification devrait tester l'assurance d'identité, la protection des enregistrements, la réponse aux incidents, la qualité d'exportation, la continuité de service, la capacité légale, la sécurité financière, les contrôles de conflit et la capacité de retirer proprement l'autorité. L'admission devrait être basée sur une fonction démontrée plutôt que sur un parrainage politique ou un pedigree géographique.

Chaque fournisseur devrait réussir un test de migration avant de servir des titulaires réels. Il doit ingérer un enregistrement réaliste, identifier les preuves obsolètes ou contradictoires, préserver l'historique, continuer les dépendances sélectionnées, rejeter une instruction obsolète et produire un package de sortie complet signé. Le test devrait inclure sa propre perte de personnel ou d'infrastructure primaire.

La qualification ne doit pas créer un cartel. Les exigences doivent être proportionnées, publiques et susceptibles d'appel. Les petits fournisseurs spécialisés peuvent utiliser une infrastructure partagée si le contrôle, la responsabilité et la sous-traitance sont transparents. Un palier d'entrée supervisé peut limiter la taille du portefeuille pendant que la capacité est prouvée.

La performance devrait rester visible après l'admission. Les indicateurs incluent le temps de correction, l'exhaustivité de l'exportation, le succès du changement, les incidents de sécurité, les résultats des plaintes, la disponibilité du service et la concentration. Un échec répété devrait restreindre les nouvelles affaires et finalement déclencher un retrait ordonné. Les titulaires existants doivent conserver la possibilité de sortir même lorsqu'un fournisseur est sanctionné.

AFRINIC pourrait se qualifier comme fournisseur dans ce modèle et pourrait rester le choix préféré de la plupart des membres régionaux. La portabilité teste sa proposition de service sans nier son expertise accumulée.

La continuité d'urgence doit être délimitée et réversible

La deuxième ébauche du projet deDocument de gouvernance des RIRinclut un concept de continuité d'urgence dans lequel d'autres RIR et ICANN pourraient autoriser un opérateur temporaire lorsqu'un RIR ne peut pas fournir correctement les services concernés. Il appelle à une portée et une justification publiées, à un engagement communautaire et à un examen éventuel. À la mi-2026, cette révision plus large restait en développement, pas un remplacement final d'ICP-2.

C'est une reconnaissance importante que la continuité des RIR ne peut pas dépendre uniquement de la reprise interne. La conception a encore besoin de détails opérationnels: quels services reçoivent la priorité, comment l'autorité est activée, quelles données et clés sont disponibles, comment l'opérateur temporaire est supervisé, comment les extensions fonctionnent et comment le service revient.

L'autorité d'urgence devrait être plus étroite que la gouvernance ordinaire des RIR. Un opérateur temporaire maintient les services concernés et protège l'état actuel. Il ne réécrit pas la politique régionale, ne redistribue pas les ressources contestées et ne s'installe pas. Les actes matériels reçoivent un examen supplémentaire, et chaque extension porte des preuves.

La réversibilité compte autant que l'activation. Lorsqu'AFRINIC restaure sa capacité, l'opérateur d'urgence doit fournir les enregistrements actuels, retirer les informations d'identification et cesser la publication selon un retour ordonné. Un rapport post-événement indépendant devrait concilier chaque acte. Une mesure de continuité qui ne peut pas rendre l'autorité proprement est un mécanisme de prise de contrôle, pas une sauvegarde.

La portabilité ordinaire comble l'espace avant l'urgence

La continuité d'urgence est conçue pour une incapacité institutionnelle grave. De nombreuses défaillances de service dommageables se situent en dessous de ce seuil. Un membre peut faire face à des mois de retard, une récupération de compte inaccessible, une erreur d'enregistrement non résolue ou un support médiocre tandis qu'AFRINIC reste largement opérationnel. Les autres RIR et ICANN sont peu susceptibles d'activer des arrangements d'urgence régionaux pour un seul titulaire.

La portabilité ordinaire donne au titulaire un recours proportionné. Il peut déplacer un service défini vers un fournisseur qualifié après authentification, préavis et une période d'opposition délimitée. L'état faisant autorité reste intact. AFRINIC peut corriger une préoccupation légitime sans retenir le membre indéfiniment.

Cette voie normale prépare également la voie d'urgence. Les exportations communes, les interfaces de fournisseur, les événements versionnés, les destinataires qualifiés et les transitions de routine sont exercés régulièrement. En cas de crise, la continuité utilise des capacités déjà éprouvées avec des titulaires consentants plutôt qu'une documentation ouverte pour la première fois lors d'une défaillance institutionnelle.

La relation ressemble à la sécurité incendie. Les services d'urgence restent nécessaires, mais les bâtiments maintiennent également des sorties utilisées et inspectées dans des conditions ordinaires. Une porte légalement promise mais jamais ouverte est une protection faible. La portabilité du registre fait de la sortie une capacité opérationnelle avant que la région en dépende.

Les titulaires du secteur public ont besoin de choix de continuité avant la crise

Les réseaux gouvernementaux, les hôpitaux, les universités, les réseaux de recherche et les services publics peuvent compter sur les ressources numériques pour des services qui ne peuvent pas attendre un long litige institutionnel. Les règles de passation des marchés, le droit des archives publiques, les devoirs de sécurité nationale et les obligations de continuité peuvent également limiter quel fournisseur peut détenir des preuves d'identité ou exploiter des services critiques.

Un modèle portable permet à un organisme public de choisir un fournisseur qualifié avec des arrangements juridiques et opérationnels appropriés tout en restant dans un système de numérotation faisant autorité. Il peut désigner un fournisseur de réserve, maintenir des exportations testées et préapprouver des contacts d'urgence. Ces arrangements devraient être visibles pour les organes de surveillance sans exposer les détails sensibles du réseau.

La continuité du secteur public a également besoin de règles de priorité. La priorité devrait refléter la conséquence du service, pas l'influence politique ou la taille du portefeuille. Un réseau hospitalier peut nécessiter une restauration plus rapide du DNS inverse ou du contrôle RPKI qu'une société holding dormante, mais les deux conservent le même droit à des enregistrements précis et à un examen équitable.

Les exercices annuels devraient inclure des scénarios du secteur public: fermeture de bureau, renouvellement de la direction, approvisionnement restreint, catastrophe nationale, demandes gouvernementales contradictoires et perte d'un contact principal. Le test demande si l'autorité peut être récupérée sans contourner la loi. Attendre une urgence pour négocier la juridiction, les preuves et le paiement n'est pas de la résilience.

Les petits opérateurs ne doivent pas recevoir qu'une sortie théorique

Les grands réseaux peuvent retenir un avocat, maintenir plusieurs contacts et construire une continuité personnalisée. Les petits fournisseurs d'accès et les réseaux communautaires sont plus susceptibles de dépendre du portail par défaut, d'un seul membre du personnel et d'un support standard. Ils ont le plus besoin de portabilité et sont peut-être les moins capables d'utiliser une version complexe de celle-ci.

Le service de base devrait donc inclure une exportation simple, un inventaire clair des dépendances, des frais prévisibles, une assistance à la récupération d'identité et l'accès à au moins un fournisseur récepteur qualifié. Aucun incumbent ne devrait facturer des frais de départ punitifs ou exiger une négociation sur mesure. La dette peut suivre les recours contractuels ordinaires à moins qu'une règle étroite ne la rende pertinente pour l'acte spécifique.

Les coûts de qualification des fournisseurs ne devraient pas être répercutés sur les petits titulaires par le biais de forfaits premium obligatoires. Un minimum commun peut être financé par les frais de registre ordinaires ou une contribution de continuité partagée. Les services plus élevés et sur mesure peuvent coûter plus cher, mais une sortie pratique doit rester disponible pour chaque titulaire reconnu.

Les indicateurs de succès devraient être segmentés par échelle de titulaire. Un système qui fonctionne uniquement pour les opérateurs multinationals n'a pas réduit le risque de concentration régionale. Les cas de test devraient inclure des contacts obsolètes, une maîtrise limitée du français, un accès à faible bande passante, un portefeuille de ressources mixte et une demande soumise en dehors des heures de travail locales du fournisseur.

Un test de résistance de la portabilité devrait précéder les affirmations de résilience

AFRINIC et tout fournisseur qualifié devraient effectuer un exercice annuel observé indépendamment. Le portefeuille de test devrait contenir des enregistrements de ressources et des dépendances réalistes sans mettre en danger les réseaux de production. Le personnel ordinaire devrait le traiter via les canaux de service normaux. L'intervention des supérieurs devrait être enregistrée plutôt qu'utilisée de manière invisible pour sauver le résultat.

L'exercice commence par une exportation authentifiée par le titulaire et une demande de changement de fournisseur. Il teste l'exhaustivité des preuves, le traitement des objections, la préparation du fournisseur récepteur, le contrôle de version faisant autorité, la convergence des services publics, les choix de dépendances et l'accès après la transition. Un deuxième scénario active le service d'urgence temporaire après une perte simulée de l'institution primaire.

Les limites de temps devraient suivre la conséquence. La continuité des RDAP et WHOIS publics peut tolérer seulement une brève interruption. Les changements à haut risque peuvent s'arrêter en toute sécurité pendant que l'identité est résolue. La publication RPKI existante peut nécessiter une disponibilité continue même lorsque les nouvelles autorisations sont restreintes. Le test devrait publier à la fois les cibles et les résultats observés.

Un exercice réussit seulement lorsque des preuves indépendantes montrent une autorité actuelle à chaque étape, aucun changement d'identité du titulaire, aucune perte d'historique, aucun double contrôle non limité et une clôture propre. La livraison d'un fichier de sauvegarde n'est pas une réussite. Le côté récepteur doit l'utiliser pour fournir un service défini.

Sept cas de défaillance révèlent si la reprise est structurelle

Le premier cas est la perte du portail membre pendant plusieurs jours alors que l'enregistrement public reste disponible. Les titulaires autorisés peuvent-ils soumettre des corrections urgentes via un canal alternatif vérifié? Le deuxième est la corruption d'un ensemble de transactions récent. Les répliques et les reçus peuvent-ils identifier le dernier bon état sans effacer les changements acceptés?

Le troisième est une ordonnance judiciaire restreignant un acte défini d'AFRINIC. La restriction peut-elle être appliquée de manière étroite tandis que le service des titulaires non concernés continue? Le quatrième est la compromission suspectée d'une clé de service RPKI. La publication et la révocation peuvent-elles être gérées sans donner à un opérateur temporaire un pouvoir illimité d'autorisation de route?

Le cinquième est l'insolvabilité ou l'incapacité soudaine de payer des fournisseurs critiques. Les données, domaines, certificats et contrats de service sont-ils isolés assez longtemps pour activer la continuité? Le sixième est la perte de plusieurs membres clés du personnel. Une autre équipe peut-elle reconstruire l'autorité à partir des enregistrements plutôt que de la mémoire privée?

Le septième est un changement volontaire ordinaire par un titulaire insatisfait mais non contesté. Le changement peut-il être terminé dans les délais promis tandis qu'AFRINIC reste pleinement opérationnel? Ce dernier cas est particulièrement révélateur. Une institution qui ne peut soutenir qu'un remplacement d'urgence mais pas une sortie normale contrôle encore la continuité comme une faveur.

Les résultats devraient indiquer quels actes ont réussi, échoué ou nécessité une intervention extraordinaire. La variation des scénarios empêche un théâtre répété. Un échec répété devrait modifier les priorités de qualification, de financement et de remédiation.

Les indicateurs devraient mesurer le contrôle du titulaire et l'état public cohérent

L'indicateur principal est le temps de bout en bout entre un déclencheur de changement ou de continuité valide et le service vérifié indépendamment. Les mesures par étapes incluent l'authentification, l'exportation, l'opposition, la préparation du récepteur, l'engagement faisant autorité, la convergence publique et l'achèvement des dépendances. Les cas à longue traîne devraient être visibles plutôt que cachés par des moyennes.

Les mesures de qualité incluent l'exhaustivité de l'enregistrement, la cohérence des versions, l'exactitude des restrictions actives, l'accès du titulaire, l'absence d'autorité actuelle contradictoire et le retrait correct des informations d'identification sortantes. Les services publics devraient être interrogés depuis divers réseaux. Les résultats RPKI devraient être observés par des systèmes de confiance plutôt qu'inférés d'un message de succès interne.

Les mesures de continuité incluent le point de reprise, le temps de reprise, le pourcentage de services critiques restaurés, la durée de l'autorité temporaire et l'exhaustivité du retour. Les mesures d'expérience du titulaire incluent la clarté des avis, des exigences stables, le temps de plainte et les étapes manuelles inattendues.

Les mesures de marché comptent également: nombre de fournisseurs qualifiés, concentration des ressources servies, taux de changement, taux d'échec et coût effectif pour les petits titulaires. Un taux de changement élevé n'est pas automatiquement bon, et un faible taux n'est pas une preuve de satisfaction. La clé est de savoir si un changement sûr est disponible et testé.

Chaque indicateur a besoin d'un dénominateur et d'une source de preuve indépendante. Des affirmations telles que « tous les services critiques ont été restaurés » sont dénuées de sens à moins que la liste des services et les fonctions exclues ne soient nommées. La résilience devrait être une propriété observée, pas une description choisie par l'incumbent.

La responsabilité devrait suivre le rôle défaillant

La portabilité divise les fonctions entre la couche d'autorité commune, le fournisseur de service, le dépositaire de séquestre, le vérificateur d'identité, l'opérateur d'urgence et le titulaire. La responsabilité doit suivre cette division. Un fournisseur qui perd une exportation ne devrait pas blâmer l'enregistrement commun. Une autorité qui valide un état contradictoire ne devrait pas transférer la responsabilité au fournisseur qui a soumis une instruction valide.

Les contrats devraient définir les devoirs de correction, les indemnités, l'assurance ou les réserves, la garde des preuves et la compensation pour les niveaux de service manqués. Les recours de base peuvent être automatiques pour un retard mesurable ou une défaillance des données, tandis que les pertes plus importantes prouvées suivent un examen. Les plafonds de responsabilité ne devraient pas rendre les fautes intentionnelles ou les défaillances graves de garde économiquement inoffensives.

Le titulaire a également des devoirs: maintenir les contacts à jour, protéger les informations d'identification, divulguer les changements de contrôle et répondre à la vérification. Un échec peut justifier une pause délimitée. Il ne devrait pas permettre aux fournisseurs de confisquer le contrôle pratique pour toujours.

Un examen indépendant résout les litiges de rôle et préserve la continuité pendant que la responsabilité est déterminée. L'examinateur peut ordonner un accès temporaire, une correction d'enregistrement ou un service limité sans trancher chaque demande de dommages-intérêts. Les résultats publics agrégés révèlent si un rôle échoue de manière répétée.

Une responsabilité claire rend la portabilité plus crédible et moins politique. Les fournisseurs rivalisent sur le service tout en connaissant le coût d'une mauvaise garde. L'autorité commune reste responsable de la cohérence. Les titulaires savent quelle promesse s'applique quand quelque chose se casse.

La gouvernance de la couche commune doit résister à la capture par les fournisseurs

Un marché de services portables dépend toujours de règles communes et d'un ordre faisant autorité. Les fournisseurs ne devraient pas contrôler ces règles proportionnellement aux ressources qu'ils servent ou aux frais qu'ils perçoivent. Sinon, les plus grandes entreprises peuvent exclure les rivales, affaiblir la sortie ou rédiger des normes de qualification autour d'elles-mêmes.

La gouvernance devrait séparer les intérêts des fournisseurs, la représentation des titulaires, l'expertise technique, la supervision de l'intérêt public et l'examen indépendant. Les conflits sont divulgués. Les décisions affectant les changements, les frais ou la qualification nécessitent des raisons et une analyse d'impact. L'opérateur de l'autorité commune ne devrait pas vendre secrètement un service privilégié.

Les membres d'AFRINIC devraient conserver une influence régionale significative sur les politiques affectant l'attribution et l'utilisation. La portabilité n'exige pas une fusion institutionnelle ou une perte de connaissance locale. Elle exige que la captivité du service ne soit pas utilisée comme mécanisme pour préserver la voix régionale.

La couche commune devrait être suffisamment étroite pour être auditable: identité de la ressource, titulaire actuel, rôles actuels du fournisseur, événements ordonnés, restrictions actives et reçus vérifiables. L'étendre à chaque fonction de service client recrée la même concentration à un nouveau niveau. La réduire à un répertoire lâche permet des affirmations contradictoires. La retenue constitutionnelle est un contrôle de résilience technique.

Une transition peut renforcer AFRINIC plutôt que le contourner

La première phase est la préparation des preuves. AFRINIC identifie les services critiques, publie des objectifs de reprise, vérifie les sauvegardes, commence le séquestre protégé, documente la garde des clés et donne à chaque titulaire une exportation de compte portable. Aucun choix de fournisseur n'est encore requis. Des tests de restauration indépendants établissent la base de référence.

La deuxième phase est l'interopérabilité. Un petit nombre d'organisations qualifiées mettent en œuvre l'enregistrement commun et les règles d'événements signés dans un environnement de test. Elles démontrent l'importation, la convergence des services publics, la sélection des dépendances et le retrait de l'autorité. AFRINIC participe à la fois comme institution reconnue et comme fournisseur de service.

La troisième phase est un pilote volontaire avec des titulaires à faible risque et non contestés. Les portefeuilles déplacent le service d'enregistrement tandis que l'identité du titulaire et l'autorité publique restent constantes. Les indicateurs, les plaintes et les conclusions de sécurité sont publiés. Le pilote s'arrête si une autorité contradictoire ou un chevauchement de clés non limité apparaît.

La quatrième phase ajoute la continuité d'urgence et les arrangements de réserve du secteur public. Des exercices indépendants activent un service temporaire limité puis le restituent. Ce n'est qu'après une répétition propre que le modèle devrait s'étendre.

Cette séquence préserve la confiance accumulée et évite une fragmentation soudaine. Elle donne également à AFRINIC une réalisation de reprise concrète: non pas redevenir le seul gardien, mais aider à établir un système régional qui peut survivre à la défaillance temporaire de n'importe quel fournisseur, y compris lui-même.

Les objections les plus fortes peuvent être testées plutôt qu'affirmées

L'objection de fragmentation est sérieuse. Si la portabilité produit des enregistrements de titulaires concurrents, elle échoue. La réponse est un état faisant autorité ordonné, des changements liés à la version et des tests de conformité indépendants. Aucun fournisseur ne reçoit le pouvoir de créer un historique d'attribution parallèle.

L'objection de sécurité est également sérieuse. Plus de fournisseurs créent plus de surfaces d'attaque. La qualification, les rôles délimités, l'approbation multipartite, les informations d'identification révocables et un historique des événements visible répondent à ce risque. La comparaison pertinente n'est pas entre un monopole parfait et une pluralité risquée; c'est entre une compromission concentrée et une substituabilité contrôlée.

L'objection juridique demande si les accords existants et la reconnaissance mondiale permettent la séparation des services. Certains changements peuvent nécessiter des contrats, des politiques et une coordination plus large. C'est une raison pour une conception délibérée, pas pour supposer que l'exclusivité permanente est techniquement inévitable. Les portées pilotes peuvent commencer par des fonctions de support et de garde qui ne modifient pas la reconnaissance.

L'objection de coût demande qui finance la capacité en double. Les systèmes de réserve coûtent de l'argent. Il en va de même pour des années de litige, de reconstruction d'urgence et de service retardé. Une infrastructure partagée et des niveaux de service basés sur le risque peuvent limiter les dépenses. Les rapports publics devraient comparer les coûts avec les avantages observés en matière de reprise.

L'objection de souveraineté régionale craint un contrôle extérieur. Un modèle délimité peut préserver l'autorité politique africaine tout en permettant aux titulaires de sélectionner un service qualifié et un soutien d'urgence. La captivité à une seule entité juridique n'est pas la seule façon de préserver l'autonomie gouvernementale régionale.

Le test 2025-2027 est de savoir si les réformes changent le contre-factuel

Le conseil d'AFRINIC peut citer des audits, des nominations, des réunions politiques renouvelées, une technologie améliorée et des procédures établies. Ces réalisations comptent. La question de résilience demande ce qui se passerait si un choc institutionnel comparable survenait après les réformes.

Les opérateurs attendraient-ils à nouveau les tribunaux, un séquestre, des organes de coordination étrangers et un effort exceptionnel du personnel pour préserver le service? Ou un arrangement de continuité préautorisé s'activerait-il à partir d'un séquestre actuel, d'informations d'identification délimitées et de fournisseurs qualifiés? Un titulaire individuel pourrait-il déplacer un service ordinaire avant une défaillance institutionnelle? Les archives publiques convergeraient-elles sans incertitude?

La discussion mondiale émergente sur les audits des RIR, la continuité d'urgence et la déreconnaissance montre que l'ancienne hypothèse de santé institutionnelle permanente n'est plus suffisante. Pourtant, un mécanisme d'urgence régional reste un dernier recours à seuil élevé. La direction de la NRS ajoute le milieu manquant: la sortie de routine et le choix du fournisseur sous une seule vérité faisant autorité.

D'ici 2027, AFRINIC devrait être jugé non seulement sur le fait d'avoir évité une autre crise, mais sur la réduction des dommages qu'une crise pourrait causer. La prévention sans substituabilité laisse les membres exposés à des événements rares mais graves. La substituabilité sans prévention gaspille la capacité institutionnelle. Un programme de reprise mature combine les deux.

La reprise devient crédible lorsque l'échec est survivable

AFRINIC mérite une évaluation équitable de son conseil restauré et du personnel qui a maintenu le service dans des conditions extraordinaires. La critique institutionnelle ne devrait pas effacer une continuité réussie ni présumer qu'un autre effondrement est inévitable. Le but de la portabilité est précisément d'éviter de faire dépendre la résilience d'une prédiction sur la prochaine équipe de direction.

Un titulaire devrait pouvoir dire: c'est la même ressource, la même organisation reconnue et le même historique ordonné; seul le fournisseur de service qualifié a changé. En cas d'urgence, un opérateur temporaire devrait pouvoir préserver des fonctions définies sans prendre le contrôle de la politique. Lorsqu'AFRINIC se rétablit, l'autorité devrait revenir par un retour testé. À chaque étape, les réseaux de confiance devraient voir un état actuel cohérent.

C'est une norme plus élevée que la restauration de l'ancienne normale. Elle traite les années de séquestre, de litige et d'interruption de gouvernance comme une preuve de concentration institutionnelle plutôt qu'une déviation ponctuelle causée uniquement par des personnes particulières. Elle donne également à AFRINIC un rôle constructif dans le prochain règlement.

Sans portabilité, on demande aux membres de faire confiance au fait que la réparation de la gouvernance empêchera toute future défaillance composée. Avec la portabilité, la confiance reste précieuse mais n'est plus le seul contrôle de continuité. Le premier est un pari sur une gestion durable. Le second est une architecture pour survivre à la déception.

Sources