Résumé

  • La consultation en cours porte sur une évaluation datée de juin ; le RFC 10026 est devenu le BCP 246 en juillet et figure déjà dans la page d’ICANN.
  • Une seconde consultation, distincte, portera sur le projet de texte de modification du Fast-Track RSEP. La voie « rapide » comporte donc encore deux arrêts publics.

Une voie rapide avec deux consultations n’a rien d’un coupe-file. Elle peut tout de même être la bonne route ; encore faut-il vérifier ce qu’elle autorise.

La consultation a ouvert le 12 octobre. ICANN demande si une évaluation de 41 pages recense correctement les questions de sécurité et de stabilité liées à l’automatisation des enregistrements DNSSEC Delegation Signer (DS), et si les mesures proposées sont suffisantes, proportionnées et applicables. Les commentaires sont attendus jusqu’au 23 novembre ; le rapport de synthèse est prévu le 7 décembre.

Le mécanisme concerne les opérateurs DNS. La zone enfant publie des enregistrements CDS ou CDNSKEY pour signaler un changement de DS. La partie parente — souvent un registre ou un bureau d’enregistrement — vérifie le signal puis met à jour le DS dans la zone parente. L’automatisation peut éviter des échanges manuels lors d’un renouvellement de clé. Elle peut aussi casser la chaîne de confiance si le parent accepte un signal invalide, ignore un désaccord entre serveurs faisant autorité ou gère mal plusieurs opérateurs de signature.

L’évaluation distingue trois niveaux. Sept exigences strictes conditionnent une conclusion positive de sécurité et de stabilité. Sept éléments doivent être documentés, mais les choix restent à l’opérateur. Quatre pratiques sont recommandées sans conditionner cette conclusion dans le paysage normatif décrit par le rapport. Le texte attire aussi l’attention sur les configurations multi-signataires, le suivi des changements et la nécessité de noms de serveurs hébergés dans des zones signées pour l’amorçage.

Le calendrier documentaire est moins net. Le rapport porte la date du 23 juin 2026. Il présente draft-ietf-dnsop-ds-automation comme un texte encore en évaluation à l’IETF et dit qu’il deviendra la référence opérationnelle une fois publié comme BCP. Le RFC Editor indique que le RFC 10026, « Operational Recommendations for DNSSEC Delegation Signer (DS) Automation », a été publié en juillet et porte le statut BCP 246. La page de consultation d’ICANN cite déjà le RFC 10026 parmi les documents qui décrivent le mécanisme. La page est à jour ; certaines phrases au futur dans le PDF ne le sont plus.

Les commentateurs ont donc une question précise à poser : l’addendum expliquera-t-il comment le RFC final modifie les références au projet, et quelles règles relèvent encore du test propre au RSEP ? Le RFC 10026 fixe des recommandations opérationnelles ; l’évaluation d’ICANN applique les critères RSEP aux services de registre.

Le 14 septembre 2025, le Conseil d’ICANN a demandé la création du Fast-Track RSEP pour les registres, sous réserve qu’aucun problème de sécurité ou de stabilité ne soit identifié. Après les commentaires, ICANN prévoit un rapport de synthèse, une mise à jour éventuelle de l’évaluation et un addendum. Le projet de texte de modification fera ensuite l’objet d’une procédure publique séparée, sans date annoncée.

Documents d’origine