Résumé

  • L'accès au SSAC passe par trois décisions : sélection par un comité issu du SSAC, approbation par l'ensemble du SSAC, puis nomination formelle par le Board de l'ICANN. Ce mandat repose sur l'expertise et la nomination, non sur une élection des utilisateurs ou des détenteurs de ressources numériques.
  • Les membres siègent à titre individuel et le SSAC n'a aucun pouvoir général de réglementation, d'exécution ou de jugement. Son influence pratique vient de la sélection des spécialistes, du cadrage initial du risque et de l'accès au Board.
  • La confidentialité peut être indispensable pour recevoir des informations sur une vulnérabilité. Elle laisse aussi hors du dossier public les décisions de participation liées à un intérêt, les raisons d'un retrait, les travaux abandonnés et une grande partie de l'historique des versions.

Une politique de déclaration, pas de purification

La version 12 des procédures opérationnelles du SSAC expose le compromis sans détour. La politique de conflits d'intérêts applicable au Board de l'ICANN n'est pas jugée appropriée pour les membres du SSAC. Leur obligation principale n'est pas d'éliminer tout conflit ni d'écarter du débat toute personne ayant un intérêt. Elle est de déclarer les intérêts et de rendre transparents les liens susceptibles d'être perçus comme influençant un point de vue. La défense d'un intérêt ou d'une position reste acceptable, pourvu que l'intérêt soit déclaré.

Ce choix répond à une contrainte réelle. Les personnes capables d'évaluer la sécurité du DNS, les pratiques des bureaux d'enregistrement, l'exploitation des serveurs ou la dépendance aux logiciels libres ont souvent un employeur, un contrat, une fonction opérationnelle ou un mandat dans une autre organisation technique. Une règle d'exclusion absolue pourrait écarter précisément les personnes qui connaissent le système.

Mais une politique de déclaration ne se juge pas à son intention. Elle se juge à la trace qu'elle produit.

Chaque membre doit déposer ou actualiser une déclaration d'intérêts au moins une fois par an et lorsqu'un changement substantiel intervient. Un intérêt pertinent doit être signalé au cours de la discussion ; une déclaration orale en réunion devrait être consignée dans le compte rendu. Chaque rapport doit renvoyer aux déclarations publiées au moment de sa sortie.

Le site fournit des biographies actuelles et des archives datées. L'archive du 13 juillet 2026 permet ainsi de savoir quels liens étaient publiquement affichés à une date donnée. Elle ne dit pas, à elle seule, quel intérêt a été soulevé sur une recommandation précise, si la participation a été limitée, qui en a décidé, ni pour quelle raison non sensible.

La biographie montre le terrain du conflit possible. Elle ne constitue pas le registre de son traitement.

La nomination suit une chaîne à trois étages

La résolution du Board du 25 janvier 2026 permet de reconstituer un cas récent. Le comité des membres avait recommandé Wes Hardaker, Sourena Maroofi et Raffaele Sommese au SSAC le 25 novembre 2025. Le SSAC avait approuvé les trois candidatures par consensus le 10 décembre. Le Board les a ensuite nommés jusqu'au 31 décembre 2028.

La résolution publie leurs qualifications et leurs affiliations. Elle qualifie la nomination de fonction administrative d'organisation ne nécessitant pas de consultation publique. Elle indique aussi que les trois nominations faisaient alors passer l'effectif de 37 à 40. Lors de la capture, la page courante affichait 41 résultats. Ces nombres datent un registre ; ils ne mesurent ni la présence dans les groupes de travail ni la concentration de l'influence.

Les statuts de l'ICANN attribuent au Board la nomination formelle. Le mandat dure trois ans. Un membre peut être renommé sans limitation du nombre de mandats, et environ un tiers de l'effectif doit être examiné chaque année. Le Board peut révoquer un membre sur recommandation du SSAC ou après consultation avec lui.

En amont, le comité des membres gère la sélection et le renouvellement. Il comprend le président, le vice-président et la liaison avec le Board sans droit de vote, ainsi que cinq membres votants issus du SSAC. Quatre voix constituent le quorum. Le comité recherche en principe l'unanimité ; les détails du vote, hors résultat, ne sortent pas du comité.

Les candidats fournissent notamment un CV, une déclaration, un questionnaire de compétences, une déclaration d'intérêts et des références de travaux. Le comité vérifie leur connaissance du SSAC, le temps disponible et l'apport de compétences manquantes. Il prend aussi en compte les liens avec des organisations internes ou externes à l'ICANN et plusieurs dimensions de diversité.

Le chemin négatif demeure peu visible. Le nom d'un candidat non recommandé n'est pas communiqué au reste du SSAC. Le président et le vice-président traitent un recours au cas par cas et rendent la décision finale. Le candidat doit attendre au moins douze mois pour déposer une nouvelle demande.

Une recommandation positive ouvre une seconde étape. Le dossier est présenté au SSAC et tout membre dispose d'au moins une semaine pour objecter en donnant ses motifs. Une objection interrompt la voie ordinaire. Le président organise alors l'examen et constate la position consensuelle du SSAC. Jusqu'à la nomination du Board, la personne reste un invité.

Aucune pièce consultée ne prouve qu'un candidat a été écarté pour une raison illégitime. Aucune ne fournit non plus les nombres actuels de candidatures, de refus, d'objections, de recours ou de décisions renversées. Le problème démontrable est l'impossibilité d'évaluer les résultats, pas l'existence supposée d'un abus.

Le membre est individuel ; les relations, elles, subsistent

Les procédures précisent que les membres participent à titre individuel, et non comme représentants de leur employeur ou d'une autre organisation. Une affiliation publiée ne prouve donc ni une délégation ni une instruction. Le fait qu'une même personne travaille pour une entreprise, participe à l'IETF, à RSSAC ou à l'exploitation d'une infrastructure n'établit pas le sens de son intervention au SSAC.

La règle reconnaît toutefois que les interactions institutionnelles influencent les points de vue. L'indépendance n'est pas définie comme l'absence de toute relation ; elle est encadrée par la déclaration, la transparence et la responsabilité individuelle.

Cette architecture confère au SSAC une forme précise de légitimité. Elle est statutaire, puisque les statuts prévoient le comité et la nomination par le Board. Elle est professionnelle, puisque l'entrée dépend de compétences évaluées par les pairs. Elle n'est ni électorale ni représentative de l'ensemble de l'Internet.

Le champ de ses prétentions doit rester aligné sur cette origine. Le SSAC peut légitimement fournir un avis spécialisé. Il ne peut pas transformer la rareté de l'expertise en mandat implicite pour parler au nom de tous les opérateurs, titulaires d'adresses ou utilisateurs.

La confidentialité produit une asymétrie vérifiable

Les délibérations du SSAC sont confidentielles, sauf décision expresse de les rendre publiques. La justification est substantielle : des membres peuvent communiquer des données de sécurité ou des informations propriétaires. Une publicité intégrale pourrait tarir ces apports ou exposer un système avant correction.

Ce besoin n'efface pas le coût de contrôle. Un responsable de groupe de travail coordonne les contributions, organise le texte et constate le consensus. Le personnel de soutien peut rechercher, préparer un document conceptuel, éditer ou être crédité comme auteur ou chercheur. Si plusieurs vues ne peuvent être rapprochées, les procédures demandent de les présenter et interdisent d'attacher une recommandation à une position dépourvue de consensus.

Un membre qui conteste l'appel au consensus peut l'accepter ou se retirer du document. La raison n'est pas publiée et n'a pas à être discutée. Le texte passe ensuite devant l'ensemble du SSAC. Si le consensus final échoue, le travail est arrêté et noté comme abandonné dans les espaces internes. Si le consensus réussit, le document est préparé pour publication. Un membre peut encore se retirer sans motif public.

Cette règle ne démontre pas que le désaccord est étouffé. Elle démontre qu'une partie du test est inaccessible : le public ne sait pas toujours si un retrait traduit un désaccord technique, un intérêt déclaré, une question de procédure ou un autre motif. Un projet abandonné avant publication peut ne laisser aucune surface publique permettant d'en mesurer le sujet ou le coût.

La bonne critique porte donc sur la séparation entre preuve protégée et métadonnées de décision. On peut protéger la première sans rendre les secondes invisibles.

Deux publications et une ancienne revue fixent la limite des preuves

SAC125, consacré à la gestion des serveurs de noms par les bureaux d'enregistrement, et SAC132, consacré à la dépendance du DNS aux logiciels libres et ouverts, donnent deux cas pratiques. Les rapports nomment des contributeurs et des membres du personnel de soutien. Ils comportent des rubriques pour les opinions dissidentes et les retraits. Aucun retrait n'y est inscrit.

SAC125 renvoie à la page courante des biographies et des déclarations. SAC132 renvoie à une archive datée du 16 mai 2025, ce qui fixe mieux l'état public au moment de la publication. Aucun des deux ne livre l'historique complet des formulations, les déclarations liées à chaque question ou les décisions internes sur la participation.

La revue indépendante de 2018 est utile à condition de ne pas la déplacer dans le temps. Elle constatait qu'un comité spécialisé ne pouvait éviter tout conflit, décrivait des mécanismes formels et informels de déclaration et de récusation, et disait n'avoir trouvé aucun signe d'influence externe indue dans son examen. Le graphique sur les conflits reposait sur quinze réponses de membres du SSAC. La recommandation 29 demandait de conserver le système et de publier la date de la dernière déclaration de chacun.

Le SSAC a ensuite déclaré avoir mis à jour les biographies et les dates individuelles et avoir achevé ou intégré les recommandations acceptées. En 2021, le Board a accepté le rapport final de mise en œuvre et demandé de poursuivre le suivi de l'impact. Il s'agit d'une chaîne de décisions et d'un état de projet, non d'une validation indépendante permanente.

La troisième revue a été différée en 2022. La page actuelle rapporte qu'en mai 2025 le Board a maintenu le report des revues organisationnelles jusqu'à la fin du premier cycle du Continuous Improvement Program. Une lacune d'évaluation actuelle existe donc. Elle ne prouve pas l'échec des contrôles ; elle empêche de présenter la conclusion de 2018 comme une garantie en 2026.

L'avis ne franchit pas seul la frontière de l'exécution

Les statuts demandent au SSAC de conseiller, communiquer, évaluer les risques et formuler des recommandations de politique. Les procédures ajoutent qu'il ne peut ni réglementer, ni faire exécuter, ni juger. L'effet de son travail dépend de la qualité de l'avis et de la décision d'autrui de le suivre.

L'influence pratique se situe en amont. Un comité rare peut choisir le risque, réunir des données difficiles d'accès et produire le premier récit complet auquel le Board ou un opérateur devra répondre. Le langage de la sécurité augmente le coût réputationnel d'une inaction. L'accès direct réduit la distance jusqu'à l'agenda.

Ce n'est toujours pas un ordre. L'ICANN décrit cinq phases de traitement des avis dans un registre central. Un statut prouve la réception et le traitement administratif ; il ne prouve ni l'acceptation, ni le lien causal, ni l'identité de celui qui supporte le coût.

Pour les titulaires d'adresses et d'ASN, le lien est indirect. Le SSAC n'alloue pas ces ressources et ne fixe pas la politique d'un RIR. Ses analyses peuvent néanmoins modifier les hypothèses de sécurité de l'ICANN, des registres, des bureaux d'enregistrement et des opérateurs DNS. Il faut suivre séparément l'entrée des experts, le cadrage des faits, le consensus du SSAC et la décision d'exécution.

Sources