Résumé

  • ARIN consulte la communauté jusqu’au 14 septembre 2026 sur le retrait de Whois-RWS, RWhois et du Whois sur le port 43 au profit de RDAP ; les dates restent des propositions et ne constituent pas des décisions de fermeture.
  • Chaque service présente une dépendance différente : parité de l’API et du Web pour Whois-RWS, outils de conversion pour RWhois et fenêtre d’abandon proposée sur deux ans, accompagnée d’actions d’information, pour le service très utilisé du port 43.
  • Le contrôle durable devrait reposer sur trois seuils de sortie fondés sur des preuves, et non sur une déclaration générale selon laquelle RDAP serait prêt.

Une migration de répertoire peut sembler achevée du côté des serveurs tout en restant défaillante dans le parcours qui compte. Un point d’accès de remplacement peut renvoyer la bonne fiche d’enregistrement, alors qu’un script de réponse aux incidents ne sait jamais le découvrir. Un service de réaffectation local peut ne disposer d’aucun chemin de conversion testé. Un équipement de sécurité peut encore attendre du texte brut sur le port 43 et échouer silencieusement lorsque cette hypothèse disparaît.

La consultation d’ARIN sur l’avenir de ses services de répertoire doit donc être comprise comme trois migrations partageant une même destination. ARIN a ouvert la consultation le 14 août et demande les commentaires au plus tard le 14 septembre à 17 h, heure de l’Est. À la date de gel éditorial du 4 septembre, elle était toujours ouverte. Aucune des dates de retrait proposées ne constituait une fermeture adoptée ou achevée.

Une norme, trois cartes de dépendances

La famille STD 95 de l’IETF définit le transport HTTP de RDAP, ses services de sécurité, des formats de requête uniformes, des réponses JSON structurées et la découverte du service faisant autorité. ARIN affirme que la consolidation pourrait réduire sa surface d’attaque et sa charge administrative, tout en améliorant la standardisation et l’automatisation. Dans sa consultation, ARIN indique également qu’elle s’attend à voir les clients RDAP devenir plus courants dans les distributions de systèmes d’exploitation.

Ces avantages ne rendent pas les anciens services interchangeables. Whois-RWS expose une API et une interface Web. ARIN propose un programme de sensibilisation de 180 jours et un retrait de l’API au plus tôt le 1er juillet 2027. L’URL Web resterait en place jusqu’à ce que la parité fonctionnelle assurée par RDAP permette un changement transparent.

RWhois concerne la publication de données. Certaines organisations l’utilisent pour exposer leurs informations de réaffectation depuis leurs propres serveurs. ARIN dit vouloir recommander un serveur RDAP open source et fournir un outil de conversion des données RWhois. Après la mise à disposition de cet outil seulement, un abandon progressif proposé de 365 jours commencerait, avec un retrait au plus tôt le 1er janvier 2028.

Le port 43 pose le problème de découverte le plus large. ARIN dit qu’il conserve un volume élevé de requêtes et reste utilisé par les professionnels de la cybersécurité, les chercheurs et les services de police. Sa date de retrait proposée est au plus tôt le 1er janvier 2029, après une période d’abandon et de sensibilisation de deux ans.

Une date ne constitue pas un test de sortie

Les trois services exigent des preuves différentes : équivalence d’API pour Whois-RWS, publication et outils de migration pour RWhois, découverte des clients et migration de l’automatisation pour le port 43. Une date du calendrier ne peut pas, à elle seule, démontrer que les utilisateurs dépendants ont trouvé et testé le remplacement.

Pour Whois-RWS, le test devrait couvrir les requêtes courantes, les renvois, les erreurs, les limites de débit et les automatismes. Pour RWhois, il faut vérifier que les opérateurs peuvent transférer les données et l’autorité, avec des résultats reproductibles, une possibilité de retour arrière et assez de temps pour tester le serveur recommandé.

Pour le port 43, les clients non authentifiés, scripts, produits de sécurité et chaînes de recherche peuvent ne figurer dans aucun inventaire. Les avis et la sensibilisation ne suffisent pas : il faut aussi mesurer la baisse d’usage, publier des exemples de migration et distinguer le trafic abandonné des clients essentiels qui n’ont pas encore migré.

Selon l’analyse de BTW, le compromis économique est asymétrique : maintenir indéfiniment des services redondants mobilise des moyens de sécurité et de maintenance, tandis qu’un retrait prématuré peut reporter des coûts bien supérieurs sur les chaînes de travail dépendantes. Le calendrier peut encore être ajusté ; la suppression du dernier chemin de repli constitue, elle, l’étape difficilement réversible.

Les inconnues restent nombreuses : résultat de la consultation, dates finales, politique d’exception, niveaux d’usage, budgets d’erreur, critères de parité et déclencheurs de retour arrière. La population de scripts et d’équipements incapables d’adopter RDAP sans modification de leur fournisseur demeure également inconnue.

Sources