Résumé

  • Le RIPE NCC valide annuellement la délivrabilité de l'attribut abuse-mailbox: exigé par la politique ripe-705, mais aucune mesure publiée ne porte sur le sort des signalements reçus.
  • La proposition 2019-04, qui aurait exigé une boîte réellement lue et la publication de statistiques anonymisées d'escalade, n'a jamais dépassé le stade de proposition.
  • Un cadre à quatre couches — transport, contenu, processus, gouvernance — permet de distinguer une conformité de contact d'une véritable responsabilité ; tous les indicateurs publiés du RIPE se situent à la couche transport.

Quand un rapport de spam, de phishing ou de botnet vise une adresse IP du RIPE NCC, le plaignant écrit vers une boîte désignée par la base de données : l'attribut abuse-c:, qui référence un objet role contenant un unique abuse-mailbox:. La politique « Abuse Contact Management in the RIPE Database » (ripe-705, en vigueur depuis 2018) rend cet attribut obligatoire sur tous les objets aut-num et sur les inetnum/inet6num alloués directement, exige sa disponibilité sans restriction via whois et API, et impose au RIPE NCC de valider l'adresse au moins une fois par an (https://www.ripe.net/publications/docs/ripe-705/).

Cette exigence est née de la proposition 2017-02, qui a remplacé la version initiale ripe-563 de 2012. Le texte du périmètre est explicite : la validation porte sur la correction technique de l'adresse — syntaxe, domaine, configuration du serveur de messagerie — et non sur le traitement des signalements. « Les scénarios où la boîte fonctionne mais où les rapports ne sont pas suivis comme le souhaite le rapporteur sont hors du périmètre, car le RIPE NCC n'a pas de mandat pour intervenir dans les procédures internes de gestion des abus des titulaires » (https://www.ripe.net/community/policies/proposals/2017-02/). La même proposition décrit pourtant l'escalade disponible : un titulaire non réactif peut faire l'objet d'une fermeture de LIR ou de radiation de ressources selon la procédure ripe-858, présentée comme un dernier recours (https://www.ripe.net/publications/docs/ripe-858/).

Ce que la validation mesure — et ce qu'elle ne mesure pas

Les données présentées par le NCC aux meetings RIPE 87 décrivent l'outil : il vérifie le formatage, le DNS et l'existence de la boîte sans envoyer de courriel ; environ 2 000 contacts sont contrôlés chaque semaine, avec un taux d'échec de 6 à 8 % ; un abuse-c: invalide dans un objet ressource est remplacé par un abuse-c: de LIR fonctionnel (https://ripe87.ripe.net/wp-content/uploads/presentations/72-RIPE87-AAWG-final.pdf). Les documents d'implémentation confirment ce remplacement automatique pour les titulaires PI et ASN n'ayant pas défini de contact (https://www.ripe.net/manage-ips-and-asns/resource-management/abuse-c-information/).

Aucun de ces chiffres ne dit si un signalement a été lu, traité ou suivi d'une correction. Les pages grand public du registre le reconnaissent : les rapports d'abus réseau provenant de l'extérieur du réseau du RIPE NCC « ne relèvent pas des responsabilités du RIPE NCC en tant que registre » ; la gestion du rapport relève de l'opérateur ; « il n'y a rien que nous puissions faire si un opérateur choisit de ne pas répondre » (https://www.ripe.net/about-us/support/contact/reporting-procedure/, https://www.ripe.net/languages/en/abuse/).

Un cadre à quatre couches

La proposition 2019-04 constitue le meilleur point d'appui publié pour une métrique de résultat : elle voulait qu'une abuse-mailbox: reçoive réellement des messages et n'impose pas un formulaire web, et proposait que le NCC collecte « des statistiques anonymisées d'escalade » pour publication périodique. L'analyse d'impact du NCC notait que l'outil ne s'était pas basé sur l'envoi de courriels et que 92,5 % des adresses avaient alors passé le contrôle automatisé (https://www.ripe.net/community/policies/proposals/2019-04/). L'idée des statistiques d'escalade est restée à l'état de proposition ; aucune publication de ce type n'est établie.

Le cadre proposé ici sépare quatre couches : le transport (la boîte reçoit-elle le message ?), le contenu (la réponse est-elle propre au cas ou générique ?), le processus (la clôture est-elle liée à une remédiation documentée ?) et la gouvernance (existe-t-il une voie d'escalade décrite, avec des rôles nommés et des seuils ?). Un canal peut franchir les deux premières couches et échouer sur les deux dernières. Appliqué au dossier publié du RIPE, le constat est le suivant : la couche transport est mesurée (validation annuelle, taux d'échec hebdomadaire), les couches contenu et processus ne le sont pas, et la seule métrique de gouvernance jamais proposée — les statistiques d'escalade de 2019-04 — n'a jamais été mise en œuvre. Les chiffres de la campagne elle-même (77 168 boîtes en 2019, 84 868 en 2023, 83 509 en 2024, 86 959 en 2025, avec une queue d'intervention manuelle croissante : 649, 851, 899) sont des indicateurs de qualité d'entrée, non de remédiation (https://btw.media/en/ripe-abuse-c-validation-compliance-not-accountability).

Ce que le cadre révèle dans le reste du dossier publié

La procédure de signalement du NCC exclut explicitement l'abus réseau de son périmètre d'enquête (https://www.ripe.net/about-us/support/contact/reporting-procedure/), et la documentation de la base précise même qu'une plainte ne sera pas traitée plus vite en copiant d'autres adresses de la base (https://docs.db.ripe.net/Types-of-Queries/Abuse-Contacts/). Le ripe-858 fournit une échelle de terminaison graduelle — courriel initial, rappels à 30 et 60 jours, notification de terminaison du Directeur général à 90 jours — mais la définition de « non-réactivité » porte sur une demande spécifique du NCC concernant un enregistrement incorrect, pas sur l'ignorance d'un signalement tiers (https://www.ripe.net/publications/docs/ripe-858/). Les RIPE 90 highlights rapportent 2 445 Assisted Registry Checks en 2024 avec environ 5 500 actions correctives, dont la conformité abuse-c à la politique — un indicateur de conformité de données, pas de traitement des plaintes (https://ripe90.ripe.net/wp-content/uploads/presentations/106-Registry-Highlights-for-RIPE-90-NCC-Services.pdf).