Résumé

  • Le 3 septembre 2026, l’IESG a conclu que le projet indépendant sur le partage sûr et réversible d’indicateurs n’entrait pas en conflit avec les travaux de l’IETF. Cette conclusion n’est ni une approbation technique, ni un consensus IETF, ni la publication d’une RFC.
  • Safe-IOC propose une représentation canonique utile. Mais l’innocuité dépend du chemin complet : rendu, aperçu, préchargement, résolution et déneutralisation. Il faut suivre la garde de l’activation à chaque passage.

L’annonce IETF et la fiche de conflict review décrivent une décision limitée. La RFC 5742 charge l’IESG de rechercher un conflit avec les travaux IETF dans les soumissions indépendantes ; elle ne lui confie pas l’évaluation finale du mérite technique. La page du projet le classe comme Internet-Draft individuel du flux Independent Submission, visé comme Informational. La version 13, datée du 4 septembre, n’avait pas de numéro RFC définitif.

Cette précision institutionnelle évite une première activation abusive : transformer « aucun conflit » en « l’IETF garantit ». La présentation du flux indépendant par le RFC Editor rappelle que ces RFC éventuelles ne portent ni consensus communautaire, ni statut de norme ou de bonne pratique. La décision de publication appartient encore à l’éditeur du flux.

Le texte de la version 13 répond à une difficulté concrète. Des équipes remplacent depuis longtemps des éléments d’URL afin d’éviter les clics accidentels, mais hxxp, des astérisques et plusieurs façons d’encadrer un point rendent l’échange automatique imprévisible. Le projet impose un ordre : neutraliser le schéma, la séparation de l’utilisateur et les délimiteurs de l’hôte, sans retraiter les jetons déjà neutralisés. Cette opacité rend l’opération idempotente.

L’idempotence protège contre l’empilement de crochets ; elle ne prouve pas qu’aucun logiciel n’agira. L’opération inverse recrée volontairement la valeur exploitable. Elle doit écrire dans un tampon non exécutable et ne doit pas intervenir dans un aperçu de navigateur, un document vivant ou toute surface susceptible de résoudre, d’exécuter ou de rendre un lien cliquable. La frontière réelle est donc le contexte de sortie.

La RFC 3986 explique pourquoi une substitution globale serait fautive. Un point encodé dans l’hôte peut être décodé comme caractère non réservé avant la transformation ; les délimiteurs réservés encodés doivent être conservés. Après le retour, la valeur peut avoir le même sens sans reproduire exactement les mêmes octets. Une organisation qui jette la source originale perd une pièce de sa chaîne de preuve.

Les indicateurs imbriqués rendent le problème plus difficile. Une URL de redirection peut contenir une seconde URL dans sa requête. Le projet interdit de modifier en bloc le chemin, la requête et le fragment, car les mêmes signes peuvent appartenir à un nom de fichier ou à une donnée ordinaire. Seules les séquences reconnues comme indicateurs sont traitées récursivement. Ce classement appartient au parseur et doit être testé comme tel.

Une neutralisation partielle peut inspirer plus de confiance qu’une erreur visible. Laisser un schéma actif tout en encadrant seulement les points ne garantit rien. Les anciens hxxp et hxxps occupent en outre la position syntaxique d’un schéma. Leur présence provisoire dans le registre IANA, encadré par la RFC 7595, est un fait de registre, non une autorisation de résolution.

Le PDF du début illustre la faiblesse d’un contrôle purement visuel. Le projet avertit qu’un PDF peut encore produire un hyperlien. Un client de messagerie, une messagerie instantanée, un outil de ticket, un terminal ou un service d’aperçu peut aussi précharger une cible. L’absence de clic humain ne démontre donc pas l’absence de requête réseau.

Enfin, la ponctuation ne dit pas si l’indicateur est juste. La RFC 9424 décrit découverte, évaluation, partage, déploiement, détection, réaction et fin de vie. Une adresse peut être obsolète, partagée par des usages légitimes ou mal attribuée. La RFC 7970, STIX 2.1 et TAXII 2.1 portent un contexte structuré que les crochets ne remplacent pas. La réception d’un flux n’est pas la preuve de son installation, encore moins d’une détection ou d’un résultat.

Les essais doivent utiliser les noms réservés par la RFC 2606, afin de ne pas créer de récit sur une infrastructure réelle. La discipline de Running-Code Primacy demande ensuite d’observer les logiciels réellement exécutés. Minimum Initial Specification, Localized Future Decision, and Voluntary Adoption justifie une convention minimale commune et des choix locaux d’activation. On Reality Layers, Symbolic Power, and Why Clarity Feels So Hostile empêche enfin de confondre l’apparence neutralisée avec l’état réseau réel.