Le RIPE NCC a révoqué 35 autorités RPKI inactives après 90 jours

Résumé

• Le RIPE NCC dit avoir révoqué 35 autorités RPKI déléguées qui restaient non fonctionnelles après des avertissements et un dernier délai de réparation. Le déclencheur est l’impossibilité prolongée de découvrir et valider un manifeste et une liste de révocation à jour, et non une brève interruption ou un retrait de route.
• La comparaison du NRO d’octobre 2026 affiche 90 jours pour le RIPE NCC et 60 jours pour APNIC. Ce sont des règles régionales concernant un état précis d’une autorité déléguée, pas une norme mondiale unique.
• Le suivi utile consigne la dernière validation réussie, les échecs observés, les avis envoyés, la réponse de l’opérateur et l’état final du certificat. Une autorité révoquée peut être recréée, mais l’état du certificat initial ne peut pas être annulé.

Trente-cinq révocations rendent le délai concret

Le calendrier donne à la nouvelle une portée opérationnelle. Dans un message du 24 septembre au groupe de travail Routage du RIPE, le RIPE NCC indique avoir commencé à suivre les autorités déléguées non fonctionnelles le 9 juin. Les utilisateurs associés à un premier groupe ont reçu un avertissement le 14 septembre. L’organisation leur a laissé une semaine supplémentaire pour réparer leur système, puis a révoqué les 35 autorités qui restaient non fonctionnelles. Ce chiffre est le bilan communiqué par l’opérateur ; il ne constitue pas un recensement indépendant de toutes les autorités inactives.

Pour les cas suivants, le RIPE NCC décrit une séquence reproductible : notification des utilisateurs enregistrés après 7, 30 et 60 jours, puis révocation du certificat si l’autorité demeure non fonctionnelle au-delà de 90 jours. Le tableau de bord RPKI apporte aussi davantage d’informations de diagnostic. La règle devient ainsi une suite d’étapes que l’opérateur peut observer et contester avec des éléments vérifiables.

Ce que mesure le seuil de 90 jours

RIPE-847 définit précisément le déclencheur : si le RIPE NCC ne peut pas découvrir et valider le manifeste et la liste de révocation (CRL) actuels d’une autorité déléguée pendant plus de trois mois, son certificat de ressources doit être révoqué. La politique demande aussi des efforts raisonnables pour découvrir de nouveaux manifestes et prévenir l’opérateur lorsque les données ne peuvent pas être validées, puis lors de la révocation.

Un manifeste décrit les objets signés publiés par une autorité ; la CRL recense les certificats révoqués. Un validateur a besoin de données récentes et vérifiables pour exploiter cette branche du registre de ressources. Dans ce contexte, « non fonctionnelle » ne signifie pas que tous les moyens d’accès doivent fonctionner sans aucune interruption. Le raisonnement du RIPE distingue un point de publication durablement périmé ou inaccessible d’un problème de transport partiel alors qu’un manifeste valide reste disponible par une autre voie.

Un délai long n’est donc pas un minuteur général d’indisponibilité. C’est une règle de nettoyage pour un état précis de l’autorité déléguée. L’analyse du RIPE considère que, après des mois sans manifeste ni CRL actuels, les objets sont déjà périmés. Elle ne prétend pas que la révocation améliore à elle seule la sécurité du routage ni qu’une courte panne invalide immédiatement toutes les autorisations de route. Les sources consultées ne mesurent ni l’économie de travail des validateurs ni une évolution de l’acceptation des routes.

Une comparaison, deux délais régionaux

Le Comparatif des politiques des RIR pour le troisième trimestre 2026, publié par le NRO le 9 octobre, juxtapose les deux seuils : 90 jours au RIPE NCC et 60 jours chez APNIC. Son PDF précise qu’il s’agit d’un document de référence, pas d’une déclaration de politique commune, et qu’il peut être dépassé par une mise en œuvre ultérieure. Les politiques régionales et l’état actuel des services restent les sources qui font foi.

La proposition APNIC prop-166 vise elle aussi une autorité déléguée, dite auto-hébergée, dont le manifeste ou la CRL actuelle ne peut être découvert et validé durablement. Son analyse retient 60 jours, car les mois calendaires n’ont pas tous la même durée. La proposition a obtenu un consensus à APNIC 60, puis l’approbation du conseil en décembre 2025 ; les documents d’APNIC 61 indiquent ensuite que la mise en œuvre technique est achevée. La politique distincte du RIPE NCC retient trois mois, traduits en 90 jours.

L’écart n’est pas une contradiction : les deux systèmes traitent le même type de défaillance prolongée, mais leurs processus de politique ont choisi des délais différents. Le tableau ne transforme pas ces règles en paramètre mondial pour chaque RIR, chaque autorité hébergée ou chaque problème de publication. Le NRO fournit une vue compacte ; les documents d’APNIC et du RIPE NCC donnent les détails applicables.

La notification fait partie du contrôle

Le seuil n’est utile que si l’opérateur peut comprendre les mesures qui le déclenchent. Le dossier devrait indiquer quel manifeste et quelle CRL ont été validés pour la dernière fois, quand la validation des données actuelles a échoué, quels contacts ont reçu un avis, quelle réponse est arrivée et si l’autorité a été réparée, migrée ou révoquée volontairement. Sans ces dates, « 90 jours non fonctionnels » peut masquer une défaillance de l’autorité, du mécanisme de découverte, d’une adresse électronique ou de l’observation elle-même.

Les avis créent aussi une fenêtre d’intervention. L’opérateur peut rétablir la publication, vérifier que le parent retrouve les données, ou décider que l’autorité déléguée n’est plus nécessaire. Le RIPE NCC dit qu’une nouvelle autorité peut être créée par la procédure normale du tableau de bord après révocation. C’est une voie de rétablissement ; elle ne rétablit pas le certificat antérieur.

La Note 70 de Heng Lu offre un angle éditorial, pas une preuve sur ces politiques : préserver la continuité de la fonction du registre tout en précisant l’autorité exercée par l’institution. Ici, le contrôle est plus étroit qu’une revendication institutionnelle générale : un déclencheur publié, une période mesurée, des notifications et un changement d’état du certificat. Sa crédibilité dépend de la possibilité d’examiner chaque étape.

Ce que les opérateurs doivent suivre

Un opérateur qui utilise le RPKI délégué doit connaître le seuil applicable à son RIR parent et à son modèle de déploiement. Il peut consigner les responsables et contacts de l’autorité, la dernière validation du manifeste et de la CRL, le premier échec, les notifications, les réponses et l’état final. À la réception d’un avis, la question est de savoir si l’autorité peut publier des données actuelles et vérifiables, pas seulement si une page Web ou un transport répond.

Si la publication a été abandonnée, une révocation volontaire peut être préférable à l’attente d’une décision du parent. Si l’autorité reste nécessaire, l’opérateur doit rétablir et valider son point de publication assez tôt pour que le parent constate le retour à la normale. Les délais de 60 et 90 jours ne sont pas une permission d’ignorer un point de publication critique ; ce sont les limites prévues pour un état durablement défaillant.

La décision derrière le minuteur

La règle répartit les coûts. Une autorité dormante peut provoquer des tentatives répétées de récupération et du bruit lié à des données périmées. La retirer évite aux validateurs de revisiter indéfiniment un point de publication improductif. Le titulaire des ressources dépend toutefois du registre pour détecter la panne correctement, joindre les bons contacts et préserver une voie de restauration utilisable.

La notification et les preuves font donc partie de la règle elle-même. Un seuil fondé sur une date n’est objectif que si cette date correspond à une condition vérifiable. Les RIR peuvent réduire l’ambiguïté en publiant la méthode de mesure, en séparant les pannes de publication des pannes de découverte, en conservant les avis et réponses, et en distinguant un objet expiré d’un certificat révoqué par décision administrative.

La conclusion n’est pas que les RIR doivent utiliser le même nombre. Les opérateurs doivent pouvoir connaître le seuil applicable, la condition mesurée et l’instant où l’état du certificat change. Les 35 premières révocations annoncées par le RIPE NCC montrent que la règle est en production ; les 60 jours d’APNIC montrent que la comparaison ne vaut pas harmonisation. Pour chaque autorité, les questions restent locales : quelles données ont cessé d’être validées, quand le délai a-t-il commencé et quelle preuve pouvait encore arrêter la révocation ?

Sources consultées : Avis du NRO pour le 2026-Q3 ; comparatif du 2026-Q3 ; comparatif du 2026-Q2 ; état de mise en œuvre du RIPE NCC ; message opérationnel du RIPE NCC du 24 septembre ; RIPE-847 ; proposition APNIC prop-166 ; mise à jour APNIC 61 ; Heng Lu, Note 70.