AFRINIC e a economia da arquitetura de transição além dos RIR

Resumo

• A crise da AFRINIC torna a seguinte questão institucional inevitável: se o poder discricionário do registro deve ser restrito ou deslocado, a transição deve proteger os registros de recursos, os serviços ativos e os usuários antes de determinar quem governa.
• A repetição útil não começa com um título escandaloso.

A questão do dia seguinte é se o registro pode ser contornado sem quebrar a rede

A repetição útil não começa com um título escandaloso. Ela começa com um operador sentado diante de um mapa de dependências e fazendo uma pergunta mais brutal: se um escritório de registro regional não pudesse mais ser confiável amanhã de manhã, a internet saberia o que fazer? Não se os advogados pudessem explicar a última briga. Não se uma declaração pública pudesse defender o antigo modelo por mais uma semana. Não se a instituição vigente ainda pudesse invocar a linguagem da comunidade, da unicidade e da estabilidade. A questão é operacional. Os registros de recursos continuariam a ter o mesmo significado?

RDAP e Whois continuariam a responder? As delegações de DNS reverso continuariam a resolver? Os serviços RPKI e de certificação de recursos evitariam uma interrupção repentina? Os registros ASN e os arquivos de transferência permaneceriam utilizáveis? Os litígios seriam contidos em vez de poderem envenenar o serviço corrente?

A AFRINIC torna essa repetição inevitável porque combina uma pequena entidade jurídica, uma pegada de serviço continental, um valor IPv4 raro, uma reparação de governança supervisionada pelos tribunais, eleições contestadas, uma dependência dos membros e serviços técnicos ativos. A documentação oficial da AFRINIC apresenta um registro com uma ampla pilha de serviços: recursos de numeração da Internet, Whois, RDAP, DNS reverso, suporte relacionado ao DNSSEC, funções de registro de roteamento da Internet, certificação de recursos e serviços aos membros.

Sua documentação de política descreve o esgotamento IPv4, as regras de alocação e atribuição, as transferências intraregionais, o registro ASN, a publicação de contatos de abuso e a delegação reversa. Isso não é simplesmente uma sala de diretoria. É uma camada de liquidação usada pelas redes que roteiam tráfego, vendem conectividade, alugam ou transferem endereços, satisfazem auditores, mantêm contratos de clientes e respondem a reclamações de segurança.

O erro é tratar uma transição além do poder discricionário de um RIR como sinônimo de destruição institucional. Um registro pode se tornar muito contestado, muito discricionário ou muito frágil para permanecer o único guardião sem tornar seus registros sem valor. De fato, todo o argumento econômico a favor de uma arquitetura de transição é que os registros têm mais valor do que o escritório que os mantém em um determinado momento. O livro-razão do registro é um ativo de continuidade. O guardião é um arranjo institucional ao seu redor. Se o arranjo falhar, o livro-razão não deve falhar com ele.

Essa distinção é importante porque os recursos de numeração são ativos incomuns. Eles não são propriedade no sentido imobiliário comum, e os textos de política oficiais geralmente resistem à linguagem de propriedade. Mas também não são meras comodidades administrativas. Um prefixo IPv4 reconhecido pode figurar em previsões de receita, dossiês de empréstimo, planejamento de centros de dados, listas de permissão de clientes, regras de firewall, sessões de peering, reputação de entrega de correio, sistemas de geolocalização, logs de acesso legais e orçamentos de renumeração. Um ASN pode fazer parte da identidade pública de uma rede.

Uma delegação de DNS reverso pode afetar a entrega ou filtragem de correio. Os registros RPKI podem influenciar a aceitação de rotas pelas partes que validam a autorização de origem. A dependência do detentor é econômica mesmo quando a forma jurídica permanece contratual ou baseada em políticas.

A repetição, portanto, precisa de uma gramática diferente da punição. Ela deve perguntar como preservar a unicidade, a continuidade, a dependência e o histórico de evidências se o registro atual não puder exercer com segurança um amplo poder discricionário. Não deve perguntar como humilhar o titular, apagar a memória da equipe ou improvisar uma substituição heroica no meio de um processo judicial. Uma transição séria parte do princípio de que as redes ativas não são moedas de troca.

A rede não consentiu em se tornar refém da saúde de uma única sociedade de membros, de um processo de sequestro, de uma disputa eleitoral ou de um sacerdócio político.

O dossiê público da AFRINIC fornece o aviso. O sequestro foi apresentado como uma forma de preservar as operações e organizar a reparação da governança. Relatórios posteriores descreveram eleições para o conselho de administração, controvérsias sobre votos por procuração, uma anulação, uma preocupação da ICANN, um pedido de dissolução, litígios sobre os direitos dos membros e pedidos de recuperação posteriores. A lição é que a camada de registro pode entrar em um estado prolongado onde o serviço continua, a autoridade legal é contestada, os membros não concordam sobre quem pode agir, e terceiros ainda dependem dos dados.

Essa é a condição que uma arquitetura de transição deve sobreviver.

A resposta do dia seguinte não pode ser um discurso sobre a tradição multissetorial. Deve ser um plano de migração de qualidade de engenharia, apoiado por um mapeamento jurídico e incentivos econômicos. Deve dizer quais dados são autoritativos, quem pode verificá-los, quais serviços continuam funcionando, quais decisões estão congeladas, quais podem prosseguir, como os litígios são colocados em quarentena, como as trilhas de auditoria são preservadas e como uma autoridade temporária obtém apenas o poder suficiente para manter o sistema vivo.

A transição não é uma punição; é o preço da preservação da confiança

A primeira regra da arquitetura de transição é que a continuidade e a sanção devem ser separadas. Um registro pode merecer críticas, disciplina, substituição da diretoria, revisão externa, sequestro, reestruturação ou até mesmo substituição eventual. Nenhum desses remédios deve ser autorizado a corromper o histórico de registro no qual as redes se baseiam. Se um banco falir, os registros de pagamento não se tornam evidências descartáveis do fracasso institucional. Se uma autoridade portuária estiver sob investigação, os manifestos de navegação não são destruídos negligentemente.

Se um cartório de registro de terras for reorganizado, o histórico de títulos não deve ser tratado como um troféu dos reformadores. A governança dos recursos de numeração precisa da mesma disciplina.

A economia é simples. O detentor de um prefixo ou ASN baseia-se em uma cadeia de entradas reconhecidas, dependências de serviço e sinais públicos. O valor dessa confiança não se limita às taxas de registro imediatas. Inclui a renumeração evitada, a continuidade dos clientes, a certeza das transações, a capacidade de endividamento, a elegibilidade para compras, o tratamento de abusos, a reputação de roteamento e a opcionalidade futura. Uma transição que danifica essa confiança pode punir a parte errada.

Os iniciados do registro atual podem ser responsáveis por más decisões, mas o custo de uma transição quebrada recai sobre os operadores, clientes, credores, contrapartes e serviços públicos que não tinham controle realista sobre a governança do registro.

É por isso que uma transição além do poder discricionário do RIR deve ser estreita antes de ser audaciosa. Deve começar definindo quais funções do registro são essenciais, quais são políticas ou discricionárias e quais podem ser temporariamente suspensas sem prejudicar a rede.

As funções essenciais incluem a preservação do livro-razão de registro, os serviços de consulta, a continuidade do DNS reverso, a continuidade RPKI quando os certificados são usados, a manutenção dos registros ASN, as atualizações validadas de contatos, a liquidação de transferências na ausência de litígio ativo, a publicação de contatos de abuso e o suporte para correções operacionais urgentes.

As funções políticas ou discricionárias incluem as vastas campanhas de política, as realocações contestadas, as medidas de execução agressivas, a comunicação institucional e qualquer decisão cujo efeito principal seja estender o poder do guardião quando a autoridade é questionada.

A punição tende a borrar essas categorias. Ela imagina que desativar a instituição disciplinará a instituição. Mas quando a instituição também é uma dependência de serviço, desativá-la pode disciplinar os usuários em vez disso. Quanto mais o IPv4 se torna valioso, mais essa distinção importa. Os endereços raros tornaram-se uma infraestrutura econômica. Eles podem ser avaliados, emprestados, alugados, transferidos, segurados, reservados para o crescimento de clientes ou integrados no planejamento de continuidade de negócios.

Se uma transição tornar essas posições incertas, ela impõe um imposto oculto a cada detentor da região, incluindo as pequenas redes que têm menos capacidade de se diversificar diante de uma perturbação do registro.

O ambiente político da AFRINIC torna o problema visível. A região está na fase 2 de esgotamento IPv4, com pequenos tamanhos de alocação e atribuição, controles de uso e oferta futura limitada. Seu manual de política exige o registro de alocações, atribuições e outras entradas de recursos no banco de dados da AFRINIC, trata os dados de registro corretos como necessários para as operações de rede e vincula a delegação reversa às atribuições ou subalocações registradas. A camada de registro não é decorativa; ela racionou a oferta rara, apoia transferências, delega o DNS reverso e torna a identidade operacional legível.

Uma arquitetura de transição precisa, portanto, de um princípio de não retaliação para os registros. Nenhum detentor deve perder o reconhecimento operacional simplesmente porque o escritório do registro se tornou contestado. Nenhum serviço corrente deve parar simplesmente porque o litígio se tornou intenso. Nenhuma transferência que satisfaça as condições objetivas deve ser transformada em refém político. Nenhum subcontratante de serviço ou síndico de emergência deve ser autorizado a tratar a autoridade temporária como um mandato para repensar a política. O objetivo não é proteger os detentores de uma análise legítima.

É garantir que a análise legítima ocorra em um canal projetado para a análise, e não por um colapso acidental do serviço.

Essa disciplina também protege a própria transição. Um esforço de substituição que começa criando caos confirmará cada argumento do titular para manter o antigo guardião. Um esforço de substituição que preserva o serviço, publica as evidências, respeita os litígios limitados e reduz o poder discricionário pode mudar o mercado institucional sem pedir ao mundo que aposte na ruptura. A alternativa crível à discrição do RIR é uma arquitetura de continuidade que torna o titular menos insubstituível porque o livro-razão, os serviços e os detentores são mais resilientes.

Quatro camadas devem ser separadas antes que o antigo escritório se torne menos indispensável

O modelo atual do RIR agrupa várias funções em um único pacote institucional. Esse pacote parece eficiente em tempos normais e perigoso em tempos contestados. O escritório mantém os dados, executa os serviços, interpreta a política, processa transferências, comunica-se com os membros, convoca fóruns de política, gerencia litígios, responde aos tribunais, fala com os organismos de coordenação globais e se apresenta como a voz da continuidade regional. A arquitetura de transição começa desmembrando esse pacote em quatro camadas: dados, serviço, autoridade e litígio.

A camada de dados é o livro-razão e seu histórico. Inclui prefixos, ASNs, identidade do detentor, registros de contato, estado de alocações e atribuições, delegações de DNS reverso, históricos de transferência, sinais de status de membro relevantes para o serviço, logs de auditoria, carimbos de data/hora, chaves de assinatura quando aplicável e a cadeia de mudanças que explica como um registro atingiu seu estado atual. A camada de dados deve ser completa, exportável, assinada, verificável e reproduzível. É a parte do sistema que deve ser menos vulnerável à personalidade, retórica e humor institucional.

A camada de serviço é o que os usuários tocam. Inclui os serviços de consulta Whois e RDAP, operações de DNS reverso, RPKI e certificação de recursos quando aplicável, portais de registro, processamento de transferências, ticket de suporte, suporte aos membros, publicação de contatos de abuso e correções ordinárias de registros. Esses serviços podem ser operados pelo titular, um subcontratante, um síndico, um operador temporário ou um sucessor, desde que o operador seja limitado pela camada de dados e por regras de serviço estreitas.

A camada de serviço deve ser substituível sem modificar os direitos ou as posições de confiança representadas nos dados.

A camada de autoridade decide quem pode modificar os registros, de acordo com qual regra, com quais evidências e com qual revisão. É a camada mais perigosa porque converte o acesso administrativo em poder econômico. Uma parte que pode mudar o detentor reconhecido de um prefixo pode afetar o valor de transação. Uma parte que pode recusar ou atrasar uma transferência pode alterar a liquidez. Uma parte que pode suspender o serviço pode mudar as posições de negociação. Uma arquitetura de transição deve, portanto, manter a autoridade enxuta, documentada e baseada em regras.

A autoridade de emergência deve autorizar apenas o necessário para a continuidade, prevenção de fraude e manutenção não contestada.

A camada de litígio trata reclamações, correções, apelações, disputas, responsabilidade e direitos contestados. Deve ser isolada do serviço corrente. Um bloco contestado deve ser marcado, protegido e tratado por um processo definido. Não deve levar ao congelamento de registros não relacionados. Um litígio sobre o status de um detentor não deve parar o RDAP para a região. Um depósito de processo judicial não deve desativar o serviço de DNS reverso para as redes que não são partes. Uma contestação de transferência não deve se tornar uma licença para improvisação política geral. O isolamento é a diferença entre arbitragem e contágio.

Essas quatro camadas não são abstrações. Elas respondem a modos de falha concretos. Se o conselho de administração de um registro estiver ausente, a camada de dados deve permanecer legível e verificável. Se o escritório perder pessoal, a camada de serviço deve ser operada de acordo com um plano de substituição. Se a diretoria for contestada, a camada de autoridade deve se contrair em vez de se expandir. Se um litígio eclodir, a camada de litígio deve preservar as evidências e impedir que as reclamações contestadas se espalhem para o serviço ordinário.

Se um pedido de dissolução ou evento de sequestro ocorrer, a transição jurídica deve saber qual camada está protegida e qual camada está sob revisão.

A separação de camadas também esclarece o que uma arquitetura além do RIR não é. Não é um novo escritório global único com um logotipo diferente. Isso apenas deslocaria o gargalo. Não é uma fantasia romântica ponto a ponto onde cada um declara seu próprio histórico de endereços e espera que o mercado resolva o problema. Unicidade e confiança sempre exigem fatos comuns. Também não é um golpe dos grandes detentores. Um projeto crível deve proteger as pequenas redes, os usuários do setor público e os novos entrantes, não apenas as partes ricas o suficiente para litigar.

O melhor modelo é uma coordenação leve em torno de fatos verificáveis. A camada comum deve conter apenas os invariantes necessários para a unicidade, continuidade dos registros, segurança e compatibilidade. As preferências políticas futuras, arranjos comerciais e conselhos regionais devem ficar fora dessa camada comum, a menos que sejam realmente necessários para preservar esses invariantes. A separação em quatro camadas é a versão institucional desse princípio técnico. Ela mantém os fatos portáteis, os serviços substituíveis, a autoridade estreita e os litígios contidos.

Os dados sequestrados do livro-razão são um seguro econômico, não um arquivo de backup

Todo projeto sério de transição começa com dados de registro sequestrados. No entanto, a palavra sequestro subestima o ponto se for entendida como um backup desatualizado mantido para recuperação de desastres. Para recursos de numeração, os dados sequestrados do livro-razão são um seguro econômico. Eles reduzem o valor de monopólio do escritório atual, garantindo que os fatos necessários para a continuidade possam ser verificados fora do escritório antes de uma crise.

Também reduzem o valor de pânico dos boatos, pois membros, tribunais, operadores de emergência e organismos de coordenação podem distinguir uma luta institucional de uma falha de dados.

O conjunto mínimo de dados deve ser mais do que um instantâneo atual. Um instantâneo atual indica quem parece deter o quê hoje. Uma transição requer um histórico.

Ela precisa da proveniência das alocações e atribuições, registros de transferência, mudanças de estado dos recursos, estado das delegações de DNS reverso, registros de registro ASN, entradas de contato públicas, referências de contato de abuso, estado relacionado ao RPKI quando aplicável, trilhas de auditoria derivadas de tickets para mudanças importantes, indicadores de status de pagamento quando a política ou contrato os torna operacionalmente relevantes e sinalizadores para litígios ativos. Sem histórico, um operador de substituição pode responder a consultas, mas não pode explicar por que a resposta é confiável.

Sem sinalizadores de litígio, ele pode processar demais ou congelar demais. Sem assinatura e carimbo de data/hora, cada instantâneo se torna uma questão de confiança.

O sequestro também requer verificação criptográfica. Uma exportação regular deve ser hash, assinada e atestada por partes cujos incentivos não são idênticos. O conjunto de testemunhas não deve se tornar um novo dirigente. Pode ser um mecanismo de seguro estreito: auditores, tribunais, síndicos de emergência, representantes dos membros, verificadores técnicos ou outros papéis limitados. O objetivo é tornar a falsificação cara e detectável. Se o escritório do registro alegar mais tarde que um registro controverso mudou, a questão não deve ser qual comunicado de imprensa parece mais autoritário.

A questão deve ser qual histórico assinado prova a mudança, qual regra a autorizou e qual canal de revisão pode examiná-la.

Os limites de confidencialidade são importantes. Os dados do registro contêm coordenadas, notas operacionais, documentos empresariais e um histórico de suporte que podem ser sensíveis. O sequestro não pode significar o despejo de arquivos privados dos membros no domínio público. Deve separar os registros públicos, os documentos confidenciais dos membros, os registros sensíveis em matéria de segurança e as evidências protegidas por litígios. O público deve poder verificar o suficiente para saber que a unicidade e a continuidade do serviço estão protegidas. Os membros devem poder verificar seus próprios ativos e históricos importantes.

Os tribunais e examinadores devidamente autorizados devem poder inspecionar registros mais profundos em condições controladas. Uma arquitetura de transição que ignore a confidencialidade será resistida por boas razões.

O acesso dos membros é a função de seguro negligenciada. Um detentor de recursos deve poder obter uma declaração portátil e assinada de seus recursos reconhecidos, status, delegações de serviço relevantes e histórico de mudanças importantes. Essa declaração não deve substituir o livro-razão do registro, mas deve dar ao detentor uma prova se o registro falhar, contestar seu status ou recusar um serviço ordinário. Nos mercados de capitais, os credores pedem documentos porque a confiança precisa de provas. Nos mercados de endereços, os detentores também precisam de provas.

Um membro que pode provar sua posição é menos cativo de um escritório falido.

A usabilidade pelos tribunais é igualmente importante. A experiência da AFRINIC mostra que os tribunais podem se tornar o local de preservação das operações, organização de eleições, teste de direitos dos membros ou audiência de pedidos de dissolução. Os juízes não devem ser forçados a reconstruir o registro a partir de narrativas de petições. Eles precisam de dados estruturados, instantâneos verificados, mapas de serviço claros e cronogramas de litígios. Uma ordem judicial só pode proteger a continuidade se o tribunal puder ver em que consiste a continuidade.

Os dados sequestrados transformam o livro-razão de um artefato técnico misterioso em evidência utilizável.

Finalmente, o sequestro modifica os incentivos antes mesmo de ser usado. Os registros atuais resistem à transição em parte porque sabem que seu controle dos dados torna a substituição perigosa. As instituições pares temem um precedente porque se preocupam que uma substituição torne cada registro menos seguro politicamente. Os governos podem hesitar porque não veem um caminho entre a deferência e a tomada de controle nacional. Os membros podem permanecer passivos porque a saída parece impossível. O sequestro verificado reduz os riscos da imaginação.

Mostra que a rede pode sobreviver a uma mudança institucional porque os fatos não estão mais presos dentro da instituição.

A substituição de serviço deve manter as luzes acesas sem criar um novo trono

Uma vez que os dados são verificáveis, a substituição de serviço se torna possível. Isso não significa que um operador de emergência deva adquirir a plena discrição do registro atual. O substituto de serviço deve ser um serviço público estreito. Seu trabalho é manter as funções essenciais funcionando enquanto a autoridade é reparada, deslocada ou reconstruída.

Ele responde a consultas, mantém as delegações, processa atualizações não contestadas, preserva RPKI e a continuidade da certificação quando aplicável, apoia pedidos urgentes dos membros, implementa instruções do tribunal ou do síndico que satisfaçam os padrões definidos e registra tudo. Ele não reescreve a política regional, não resolve argumentos políticos e não converte acesso temporário em poder institucional permanente.

A analogia é mais próxima de um processador de pagamento de emergência do que de um novo banco central. Um processador pode manter os pagamentos em movimento de acordo com regras. Não deve decidir a política monetária. Um operador de registro temporário pode manter RDAP, Whois, DNS reverso, registros ASN, continuidade RPKI e suporte a transferências vivos em condições estreitas. Não deve decidir a futura constituição da governança dos recursos de numeração. Quanto mais o substituto de serviço for limitado, mais aceitável se torna para membros, tribunais, governos e contrapartes técnicas.

O mapa de serviço da AFRINIC mostra por que a substituição não pode ser improvisada. A política de DNS reverso vincula as delegações às atribuições ou subalocações registradas. Os registros ASN exigem registro público e manutenção de contatos. A política de transferência exige um detentor fonte reconhecido, um destinatário que justifique a necessidade, condições de adesão e ausência de litígio ativo sobre os recursos envolvidos. As regras de esgotamento exigem gerenciamento de tickets, verificações de completude, testes de uso e gerenciamento de um pool raro.

Os serviços relacionados ao RPKI podem ter implicações operacionais diretas para as redes que dependem da validação de origem de rota. Essas tarefas exigem sistemas testados, pessoal operacional, controles de acesso, gerenciamento de chaves, janelas de mudança, comunicações aos membros e procedimentos de reversão.

A substituição de serviço de emergência deve, portanto, ser ensaiada antes da emergência. O manual deve identificar quais sistemas podem ser espelhados, quais chaves requerem planejamento de guarda, quais interfaces os membros precisam, quais metas de nível de serviço se aplicam, quais atualizações são autorizadas, quais atualizações devem ser suspensas, quais litígios criam bloqueios e quais registros acionam revisão obrigatória. Também deve definir como os membros são informados sobre o que mudou. O silêncio é perigoso porque cria mercados de boatos. Declarações muito amplas são perigosas porque implicam poderes que o substituto não detém.

A mensagem deve ser chata: os registros permanecem reconhecidos, os serviços continuam, as mudanças contestadas são isoladas, as ações importantes são registradas e o substituto não tem ampla autoridade política.

Quem poderia desempenhar esse papel? Vários modelos são possíveis. Um subcontratante técnico poderia operar os sistemas sob a supervisão de um síndico. Um administrador nomeado pelo tribunal poderia contratar o trabalho operacional enquanto mantém a guarda jurídica. Uma empresa de serviços neutra poderia fornecer as operações de consulta, DNS e certificado de acordo com um cronograma estrito de controle de mudanças. Um registro sucessor poderia assumir o serviço sem herdar todos os litígios não resolvidos. Um síndico de proteção dos membros poderia deter o sequestro dos dados e autorizar a manutenção de rotina.

A escolha é menos importante que a limitação. O substituto deve ser poderoso o suficiente para evitar o colapso do serviço e fraco demais para se tornar um novo guardião discricionário.

O problema de projeto mais difícil é RPKI e o estado de segurança relacionado. Os serviços de certificação de um registro são valiosos porque vinculam os registros de recursos a afirmações criptográficas. Mas esse valor também torna as mudanças repentinas perigosas. Uma camada de serviço substitutiva deve preservar o estado válido existente, manter os caminhos de expiração e renovação, apoiar a continuidade das chaves de emergência e evitar a revogação discricionária, exceto em condições predefinidas. Se um serviço de segurança se tornar uma arma durante a transição, o remédio se torna pior que a doença.

A substituição de serviço só é crível se for reversível. Se o titular se reparar, o serviço pode retornar em condições verificadas. Se um sucessor for criado, o serviço pode migrar novamente. Se um detentor levar seus ativos para outro arranjo de serviço reconhecido, suas evidências podem se mover com ele. A reversibilidade disciplina a todos. Diz aos titulares que a continuidade não depende deles para sempre. Diz aos substitutos que eles não são soberanos. Diz aos detentores que a transição não é uma armadilha.

A portabilidade transforma a saída de um slogan em uma restrição de governança

A portabilidade é frequentemente discutida como um direito. Na economia da transição, é também um sinal de preço. Se um detentor de recursos pode mover o reconhecimento e o serviço para outro arranjo competente quando o registro atual não atende às condições objetivas, a discrição do titular se torna menos valiosa. Se o detentor não puder se mover, o registro pode ser medíocre, frágil ou politizado enquanto os membros permanecem cativos. A saída é a diferença entre responsabilidade por estrutura e responsabilidade por esperança.

A portabilidade não pode ser ilimitada no sentido casual. Um detentor não deve poder procurar um cartório amigável enquanto um litígio de direito não resolvido estiver em andamento. Um devedor não deve usar a portabilidade para fugir de um congelamento legal. Um requerente fraudulento não deve carregar um prefixo agitando um documento falsificado diante de um subcontratante ocupado. Uma parte sancionada ou legalmente restrita pode levantar problemas que uma arquitetura de transição não pode ignorar. Mas esses limites não são argumentos contra a portabilidade. São argumentos para projetá-la com cuidado.

Um teste de portabilidade viável tem várias condições. A detenção deve ser verificada por meio de dados de registro assinados e provas do detentor. As taxas ou obrigações de serviço devem estar em dia ou passíveis de serem colocadas em custódia neutra. Os litígios devem estar ausentes, limitados ou claramente marcados para que as partes não contestadas possam se mover enquanto as partes contestadas permanecem protegidas. A continuidade operacional deve ser preservada: RDAP, Whois, DNS reverso, RPKI, registros ASN e publicação de contatos não devem se romper durante a mudança.

O serviço de acolhimento deve aceitar os deveres estreitos associados ao registro sem adquirir o poder de reexaminar todo o histórico do detentor na ausência de motivo definido. O antigo serviço deve perder a capacidade de manter o detentor como refém uma vez que as condições de portabilidade sejam cumpridas.

O ambiente de escassez da AFRINIC reforça o argumento. Na fase 2, o IPv4 disponível é racionado em pequenos blocos e os pedidos adicionais exigem provas de uso. As transferências se tornam mais importantes porque a nova oferta é limitada. Se o único registro capaz de reconhecer uma transferência regional se tornar muito lento, muito contestado ou muito discricionário, a liquidez é prejudicada. O resultado não é apenas um inconveniente. Altera o valor do balanço patrimonial, o cronograma de fusões, a oferta de aluguel, os custos de entrada para pequenas redes e o financiamento do crescimento da rede.

A portabilidade não é, portanto, um luxo para detentores impacientes. É uma forma de evitar que um monopólio de serviço falido imponha um desconto de liquidez regional.

A portabilidade deve ser escalonada. O primeiro passo é a portabilidade de evidências: cada detentor pode obter uma prova assinada de seus recursos reconhecidos e histórico importante. O segundo é a portabilidade do serviço em condições de emergência: a continuidade das consultas, DNS e certificados pode se mover temporariamente se o registro falhar nos testes de serviço. O terceiro é a portabilidade da autoridade: atualizações de rotina e transferências não contestadas podem ser tratadas por um sucessor ou síndico de acordo com regras estreitas.

O último passo é a portabilidade institucional: o relacionamento do detentor pode se mover permanentemente se o antigo registro não puder satisfazer os requisitos de continuidade e responsabilidade. Cada etapa deve ser reversível se os fatos mudarem.

Essa sequência torna a portabilidade menos assustadora e mais crível. Não é uma fuga repentina. É uma válvula de segurança com gatilhos definidos. Diz aos registos que o bom serviço e a contenção são mais baratos que o confinamento. Diz aos detentores que a saída não requer caos. Diz à comunidade técnica que a unicidade pode sobreviver à mobilidade porque a camada de dados, e não o escritório atual, é a âncora.

As transferências precisam de trilhos de liquidação em vez de discrição heroica

O processamento de transferências é o ponto onde a discrição do registro se torna mais visivelmente uma infraestrutura de mercado. Uma transferência não é apenas uma atualização administrativa. É um evento de liquidação. Um vendedor, comprador, credor, corretor, locador, auditor, consultor fiscal, planejador de centro de dados e equipe de cliente podem todos depender da execução do registro. Em um mercado IPv4 raro, uma transferência atrasada ou incerta altera o valor. Uma transferência contestada pode congelar o capital. Uma transferência que é posteriormente questionada pode contaminar rotas, contratos e contas.

A arquitetura de transição precisa, portanto, de trilhos de liquidação de transferência que possam sobreviver a um registro falido ou contestado.

O manual de política da AFRINIC fornece um ponto de partida útil porque trata as transferências IPv4 intraregionais como condicionais. A fonte deve ser o detentor atual reconhecido e não estar envolvida em um litígio sobre os recursos. O destinatário deve justificar a necessidade, tornar-se ou ser membro da AFRINIC, aceitar as políticas aplicáveis e assinar o acordo de serviços de registro. Os recursos herdados transferidos perdem seu status herdado.

Concordar com cada regra é menos importante aqui do que a percepção da liquidação: a execução da transferência depende do status da fonte, qualificação do destinatário, estado do litígio, documentação e atualização do registro.

Em um quadro de transição, esses elementos devem ser convertidos em trilhos objetivos. A verificação da fonte deve ser baseada no histórico do livro-razão assinado e na autenticação do detentor, não no conforto inexplicado de um funcionário discricionário. As verificações do destinatário devem ser limitadas às regras que verdadeiramente protegem a unicidade, resistência à fraude e continuidade. O exame baseado na necessidade, quando mantido, deve ter padrões de prova, prazos e vias de recurso. As verificações de litígios devem identificar os recursos específicos em disputa em vez de congelar ativos não relacionados.

Problemas de pagamento e taxas devem poder ser colocados em custódia quando não envolverem fraude ou direito. Cada etapa importante deve ser registrada.

Os trilhos de liquidação também precisam de uma estrutura de sala de compensação. O registro ou substituto deve publicar o que é exigido antes da submissão, o que é verificado após a submissão, quando o registro mudará, o que acontece se uma ordem judicial chegar durante o processo, como a reversão funciona se uma fraude for descoberta e como as contrapartes recebem a confirmação. Um mercado de transferência sem mecânica de compensação previsível incorpora o risco da discrição do registro no preço. Esse risco se torna um desconto de liquidez.

Em regiões onde a escassez de endereços já pesa sobre os novos entrantes, um desconto de liquidez evitável é um imposto oculto sobre o crescimento.

Os litígios não devem ser usados como palavras mágicas. Se o status de um detentor fonte for verdadeiramente contestado, um bloqueio pode ser necessário. Mas o bloqueio deve ser específico ao recurso, baseado em evidências, limitado no tempo ou periodicamente revisado. Um registro em dificuldade institucional tem incentivos para ampliar a definição de litígio porque o status de litígio justifica o controle. Uma arquitetura de transição deve inverter esse incentivo. A parte que reivindica o litígio deve ter um ônus de prova. A camada de serviço deve manter os serviços não contestados. O detentor deve ter um caminho para corrigir erros.

Os tribunais devem receber um cronograma de litígio estruturado em vez de uma névoa de alegações.

As transferências também expõem a relação entre portabilidade e continuidade regional. Se um detentor não puder concluir uma transferência porque o registro se tornou disfuncional, mas as condições de transferência forem de outra forma satisfeitas, um substituto neutro deve executar a atualização? A resposta deve ser sim em um quadro escalonado. Uma transferência verificada não deve esperar indefinidamente pelo retorno à normalidade institucional. Mas a autoridade do substituto deve vir dos trilhos de liquidação, não de uma reivindicação ampla de governar a região.

Deve executar a transição válida, preservar as evidências e deixar a política mais ampla para o fórum futuro apropriado.

Os grandes detentores e corretores tentarão moldar esses trilhos a seu favor. Preferem velocidade, liquidez e atrito mínimo. As pequenas redes precisam de proteção contra fraude, pressão súbita de preços e serem superadas em lances por recursos raros. Os governos se importam com a conectividade nacional e a supervisão legal. Os titulares se importam em manter sua discrição. O projeto não deve fingir que esses incentivos desaparecem. Deve torná-los menos perigosos deslocando a execução das transferências da personalidade para a regra, do atraso oculto para os prazos e do controle do escritório para a liquidação verificável.

O último ponto é a verificabilidade. Cada transferência de transição deve poder ser auditada pelo detentor, destinatário, um examinador e, se necessário, um tribunal. A trilha de auditoria deve mostrar o registro antes da transferência, a autoridade para a mudança, as evidências recebidas, a verificação do litígio, o status das taxas, as mudanças de serviço, a hora da atualização e quaisquer consequências de certificação ou DNS reverso. Se a nova arquitetura não puder provar por que uma transferência ocorreu, ela não será confiável.

Se puder provar a transferência sem pedir que estranhos confiem em um escritório, ela terá reduzido o poder do guardião.

A autoridade deve ser suficientemente estreita para que os usuários não precisem venerá-la

A camada de autoridade deve ser projetada com suspeita, incluindo a suspeita dos reformadores. Uma crise de registro frequentemente atrai partes que dizem precisar de amplos poderes para consertar a bagunça. Algumas precisam. A maioria não precisa. A função de manutenção de registros requer autoridade para autenticar detentores, atualizar registros, evitar duplicação, corrigir erros, processar transferências válidas, manter delegações e responder a ordens legais. Não requer um poder político permanente para decidir cada futuro modelo de negócios, cada preferência regional ou cada reivindicação moral sobre o uso de endereços.

O teste prático é se uma decisão preserva um invariante global ou expressa simplesmente uma preferência institucional. A unicidade é um invariante global. Um prefixo não pode ser validamente atribuído a dois detentores não relacionados no mesmo conjunto de compatibilidade. A autenticidade básica é um invariante de segurança. Um pedido falsificado não deve atualizar um registro. A continuidade dos serviços de consulta e delegação é um invariante de confiança. A rede não deve perder os serviços ordinários porque a governança está em disputa.

Em contraste, muitas escolhas em torno do uso comercial, aluguel, geografia de clientes, estrutura empresarial, cronograma de implantação ou aspirações políticas não são invariantes no mesmo sentido. Podem ser importantes para uma região, mas não devem ser introduzidos clandestinamente na camada de autoridade central a menos que sejam realmente necessários para manter a coerência do sistema.

Essa distinção responde a uma falha recorrente na governança de registros: um papel técnico fino se expande em um amplo controle social porque o mesmo escritório detém o banco de dados, o vocabulário político e o interruptor de serviço. A resposta não é negar que questões políticas existem. É impedir que a preferência política se torne um controle de registro não revisável. Se uma região quiser debater normas de uso de endereços, pode fazê-lo por canais consultivos, contratuais ou legislativos. A autoridade de emergência que mantém o livro-razão não deve ser autorizada a militarizar o serviço de rotina para ganhar esses debates.

A autoridade estreita deve ter entradas e saídas definidas. As entradas incluem pedidos assinados dos detentores, mudanças de contato autenticadas, dossiês de transferência, ordens judiciais, relatórios de fraude, status de pagamento quando aplicável, relatórios de incidentes operacionais e avisos de litígio verificados. As saídas incluem atualizações de registros, bloqueios, delegações de serviço, renovações de certificação, confirmações de transferência, mensagens de status público e logs de auditoria.

Para cada saída, a regra deve dizer quem pode autorizá-la, quais evidências são exigidas, qual aviso é dado, com que rapidez ocorre, qual revisão está disponível e o que acontece se a decisão for errada.

O caminho de revisão não deve se tornar o evento principal. Um sistema que depende de apelações para cada decisão ordinária já tornou a discrição grande demais. O melhor projeto é tornar a maioria das decisões determinísticas ou ministeriais, deixando a revisão para casos excepcionais. Se um detentor tem uma prova assinada, taxas em dia e nenhum litígio ativo, uma atualização de contato não deve exigir filosofia institucional. Se uma delegação de DNS reverso satisfaz os testes técnicos e se baseia em recursos registrados, não deve ser um favor político.

Se um dossiê de transferência respeita os trilhos de liquidação, a execução não deve depender da apreciação pelo titular das consequências do mercado.

A autoridade também precisa de limites de raio de explosão. Durante a transição, nenhum funcionário único deve poder fazer mudanças de alto impacto sem dupla verificação, registro e eficácia diferida quando o prazo for seguro. Ações de emergência devem ser possíveis para incidentes de segurança, prevenção de fraude ou conformidade legal, mas ações de emergência devem expirar em revisão em vez de se tornarem precedentes. O pessoal, síndicos e subcontratantes devem ter acesso baseado em funções. As chaves devem ser controladas por uma guarda documentada. Mudanças importantes devem ser atestadas. Esses controles parecem banais porque o são.

Controles banais são a forma como a infraestrutura escapa da governança carismática.

Uma arquitetura além do RIR deve, portanto, ser julgada não pela ausência de autoridade, mas pelo fato de sua autoridade ser suficientemente pequena para ser compreendida, auditada e substituída. Os usuários não devem precisar acreditar na virtude do escritório. Devem poder inspecionar a regra, verificar as evidências e prever o resultado. Essa é a diferença econômica entre um livro-razão e um guardião. Um livro-razão reduz a incerteza porque é chato. Um guardião aumenta a incerteza porque cada interação se torna uma negociação com o poder.

Os litígios devem ser colocados em quarentena para que não se tornem uma falha regional

Nenhuma arquitetura de transição pode eliminar os litígios. Recursos raros criam incentivos para contestar o histórico, contestar os signatários, atacar transferências, questionar o status de membro, alegar fraude, invocar ordens judiciais e argumentar sobre política. O objetivo de projeto não é um registro sem litígio. É o isolamento dos litígios. O sistema deve poder dizer que um prefixo, transferência, status de detentor ou documento eleitoral é contestado sem transformar toda a camada de serviço regional em dano colateral.

A história recente da AFRINIC mostra por que isso é importante. Relatórios públicos descreveram um sequestro, processos eleitorais contestados, supostas irregularidades em procurações, intervenções da ICANN, um pedido de dissolução, litígios sobre os direitos dos membros sob a lei mauriciana de sociedades e argumentos sobre se os recursos de numeração são ativos do registro. Cada controvérsia tem significado jurídico e institucional. Mas a internet ainda precisa de serviços de consulta, operações de DNS reverso, estabilidade dos registros ASN e suporte aos detentores enquanto essas controvérsias seguem seu curso.

Um registro que não pode separar o litígio do serviço transforma cada batalha jurídica em alavanca operacional.

O modelo de quarentena começa pela classificação. Alguns litígios dizem respeito ao direito a um recurso. Alguns dizem respeito a quem pode falar em nome de um detentor. Alguns dizem respeito à validade de um dossiê de transferência. Alguns dizem respeito à governança empresarial do registro. Alguns dizem respeito à legitimidade da política. Alguns dizem respeito a faturas ou situação contratual. Alguns dizem respeito a alegações de fraude ou falsa autoridade. Tratar todos igualmente é uma receita para congelamento excessivo.

Um litígio sobre o procedimento de eleição do conselho de administração não deve alterar automaticamente a delegação de DNS reverso de um detentor não relacionado. Uma procuração contestada não deve se tornar um argumento geral contra qualquer representação dos membros. Um procedimento de dissolução deve desencadear planejamento de continuidade do serviço, não uma presunção de que cada registro é suspeito.

A quarentena também exige uma marcação específica ao recurso. Se um prefixo for objeto de uma reclamação crível, marque esse prefixo e congele apenas as mudanças que possam prejudicar a reclamação. Continue o serviço de consulta pública de rotina. Continue as atualizações de contato não relacionadas quando seguro. Continue o serviço de DNS reverso a menos que o litígio diga respeito especificamente ao controle da delegação. Mantenha o estado de certificação a menos que uma condição de segurança ou jurídica predefinida exija uma mudança. Separe as taxas do direito quando possível.

Publique informações suficientes sobre o status para que as contrapartes entendam o risco sem divulgar evidências protegidas.

A camada de litígio deve ter suas próprias regras de prova. Uma parte alegando fraude deve apresentar documentos específicos, datas, signatários e recursos afetados. Uma parte alegando defeito de autoridade deve identificar o defeito de autoridade empresarial. Uma parte baseando-se em uma ordem judicial deve fornecer a ordem, o escopo e as consequências sobre o serviço. Uma parte solicitando um bloqueio de emergência deve identificar o prejuízo evitado pelo bloqueio. Suspeita não fundamentada não deve ser suficiente para congelar a posição operacional de outra rede.

Mas evidências críveis devem ser suficientes para impedir mudanças irreversíveis durante a revisão.

Apelações e litígios devem ser conectados, mas não fundidos. Um registro ou substituto pode fornecer correção interna e revisão para erros administrativos. Os tribunais podem decidir direitos legais quando sua jurisdição é acionada. A arquitetura de transição deve ajudar ambos preservando evidências e serviço. Não deve fingir que a apelação interna pode substituir a lei. Também não deve permitir que cada depósito judicial suspenda as operações ordinárias além do escopo da ordem. O sistema deve aprender a obedecer precisamente aos mandamentos legais, e não teatralmente.

A responsabilidade faz parte da quarentena. Se a camada de serviço segue uma regra documentada e preserva as evidências, sua exposição deve ser mais fácil de avaliar. Se improvisa, favorece uma facção ou desativa serviços não relacionados, sua exposição aumenta. Os membros também precisam de clareza. Um detentor em litígio deve saber o que está congelado, o que continua, quais evidências são necessárias, quanto tempo a revisão levará e quais recursos existem se o bloqueio foi errado. As contrapartes devem saber se podem confiar no registro para operações, transferência ou crédito. A incerteza custa caro.

A quarentena de litígios é uma forma de precificar a incerteza apenas onde ela pertence.

A tentação em caso de crise é dizer que tudo está ligado. Politicamente, pode parecer verdade. Institucionalmente, é fatal. Se tudo está ligado, cada litígio justifica um controle total. Uma arquitetura de transição madura faz o contrário. Ela decompõe o problema em reclamações limitadas para que a rede possa continuar ao redor delas. Isso não é indiferença à lei. É o respeito pela diferença entre julgar uma reclamação e fazer reféns de usuários.

A transição jurídica deve ser mapeada antes que alguém peça a um tribunal que a improvise

A continuidade técnica não pode ultrapassar indefinidamente a forma jurídica. A AFRINIC está constituída em Maurício. Outros registros estão localizados em seus próprios sistemas jurídicos nacionais. Contratos, estatutos, categorias de membros, regras de insolvência, obrigações de proteção de dados, obrigações trabalhistas, contas bancárias, arrendamentos, seguros, contratos de fornecedores e ordens judiciais moldam tudo o que pode acontecer em uma crise. Uma arquitetura de transição que ignora essas realidades falhará quando mais precisar de autoridade.

A transição jurídica deve ser mapeada antes da falha, não inventada no corredor após uma audiência de emergência.

O primeiro mapa é o empresarial. Quem controla legalmente a entidade do registro? Quem pode dar instruções ao pessoal? Quem pode acessar as contas bancárias? Quem pode vincular a entidade a um contrato de serviço? Quem pode autorizar uma exportação de dados? Quem pode assinar um acordo de transferência? Quem representa o registro perante o tribunal? O que acontece se não houver conselho de administração, síndico, liquidante provisório, administrador fiduciário ou administradores contestados? As respostas variam conforme a jurisdição, mas as perguntas não devem esperar a crise.

No caso da AFRINIC, os relatórios sobre o sequestro e a ausência de conselho de administração mostram a rapidez com que o mapa empresarial pode se tornar o mapa operacional.

O segundo mapa é contratual. Os membros podem ter acordos de serviços de registro, obrigações de taxas, identificadores de portal, compromissos políticos e expectativas de serviço. Os fornecedores podem fornecer hospedagem, segurança, DNS, e-mail, software, auditorias, sistemas de pagamento ou serviços de escritório. Os contratos de pessoal podem controlar quem pode operar os sistemas. As apólices de seguro podem condicionar ações de emergência. Um operador de substituição deve saber quais contratos podem ser cedidos, espelhados, suspensos ou substituídos.

Também deve saber quais obrigações dos membros são essenciais para a continuidade e quais podem ser diferidas sem risco.

O terceiro mapa é a proteção de dados. Os registros do registro incluem dados pessoais, contatos empresariais, contatos técnicos, contatos de abuso, documentos de identidade, tickets de suporte e talvez detalhes operacionais sensíveis. O sequestro transfronteiriço e a substituição de serviço exigem bases legais, controles de acesso, regras de retenção, procedimentos de violação e avisos aos membros. A privacidade não é uma desculpa para o cativeiro de dados, mas a transição também não é uma desculpa para divulgação descontrolada.

O projeto deve definir os registros públicos, os registros acessíveis aos detentores, os registros acessíveis aos examinadores e os registros acessíveis aos tribunais com antecedência.

O quarto mapa é a usabilidade pelos tribunais e pela autoridade pública. Se um tribunal for solicitado a preservar o serviço, nomear um síndico, aprovar uma transição ou considerar a dissolução do registro, ele precisa de um cronograma de continuidade cobrindo serviços essenciais, sequestro de dados, guarda de chaves, comunicações aos membros, financiamento, bloqueios de litígios, filas de transferência e restrições jurídicas.

Os governos também precisam de um papel definido: receber aviso prévio, proteger serviços nacionais críticos, apoiar o tratamento legal de evidências, respeitar a unicidade global e evitar registros duplicados unilaterais. O objetivo é restaurar a responsabilidade pública sem transformar a numeração em uma conquista geopolítica.

O quinto mapa é a legitimidade do sucessor. Se o titular não puder continuar, quem pode receber o livro-razão e os serviços? Um síndico, um subcontratante sob supervisão judicial, uma associação eleita pelos detentores, uma camada de serviço federada ou um organismo regional sucessor podem cada um se adequar a uma fase diferente. O serviço de emergência pode se mover antes que a legitimidade constitucional seja reconstruída, desde que a autoridade seja estreita.

A autoridade permanente requer proteção dos membros, voz regional, verificação externa, regras de conflito, disciplina de financiamento e garantias contra a recriação do mesmo guardião em uma nova casca.

A transição jurídica não é glamourosa. É também onde muitos sonhos de transição morrem. Um projeto que não pode responder quem pode legalmente exportar os dados, operar o serviço, manter as chaves, cobrar dos membros, processar mudanças não contestadas e obedecer a ordens judiciais não é uma arquitetura de transição. É um manifesto. A experiência da AFRINIC sugere que o mundo pode não ter meses de reflexão tranquila quando a próxima falha de registro chegar. O mapa jurídico deve existir antes que a questão do dia seguinte seja feita.

A voz regional pode sobreviver se a guarda for separada da política

Um dos argumentos mais fracos contra a transição é que a redução do poder discricionário do registro apagaria a voz regional. Ela apagaria uma forma particular de voz: a forma na qual um escritório regional privado combina a guarda dos dados, a operação dos serviços, a convocação política e o controle discricionário. Ela não precisa apagar a expertise regional, a representação ou a contribuição operacional. De fato, a separação da guarda e da política pode tornar a voz regional mais crível porque as entidades podem falar sem ameaçar o livro-razão.

O conhecimento regional é importante. As redes africanas enfrentam restrições particulares: custos de investimento variados, exposição cambial, dependência de cabos submarinos, concentração de centros de dados, crescimento móvel, demanda do setor público, IXPs em diferentes estágios de maturidade, cargas de transição IPv6, diversidade linguística, capacidade regulatória desigual e uma longa cauda de pequenos operadores. A documentação da política da AFRINIC sobre aterrissagem suave IPv4, reservas IXP, delegação reversa e processos de membros reflete verdadeiras questões operacionais regionais.

Uma arquitetura além do RIR não deve fingir que essas questões desaparecem em uma planilha global.

A questão é onde esse conhecimento regional se situa. Se se situa dentro da camada de autoridade como um veto não revisável sobre a continuidade dos detentores, torna-se perigoso. Se se situa nos canais consultivos, políticos, de capacitação e de evidências, permanece valioso. Um fórum regional pode recomendar prioridades de alocação para a oferta rara restante. Pode documentar as necessidades operacionais locais. Pode aconselhar os governos. Pode coordenar treinamento. Pode publicar pesquisas sobre contatos de abuso, higiene DNS, implantação RPKI ou preparação IPv6. Pode ajudar pequenas redes a participar.

Nada disso exige que o fórum seja o único guardião do livro-razão ou o único caminho para que detentores verificados recebam serviço.

Essa separação também protege as pequenas redes. A retórica dos titulares frequentemente alega que a transição serve apenas aos grandes detentores comerciais. Esse risco é real se a transição for projetada em torno de uma saída pura de mercado. Mas uma separação guarda-política pode fazer o contrário. Pode garantir aos pequenos detentores um dossiê de evidências assinadas, um serviço de continuidade de baixo custo, regras de litígio claras, suporte de DNS reverso previsível, representação dos membros e proteção contra ignorância durante a crise institucional. O cativeiro não é uma proteção.

Um pequeno ISP preso em um registro falido tem menos alavancagem do que um grande detentor. Uma arquitetura de transição deve reduzir essa assimetria.

A voz regional deve, portanto, ser preservada restringindo a guarda, e não defendendo o antigo pacote. A região deve poder falar, aconselhar, organizar-se e contestar. Não deve ter que fazer reféns de redes para ser ouvida.

Os incentivos em torno da transição são hostis por padrão

Nenhuma arquitetura de transição pode contar que todos se comportem como engenheiros de espírito público. Os incentivos são fortes demais. Os registros atuais resistem à transição porque o pacote de dados e serviços é seu ativo mais forte. Se os detentores puderem verificar os registros externamente, transportar o serviço, exigir o sequestro, colocar litígios em quarentena e usar substitutos de emergência, a aura de indispensabilidade do titular se enfraquece. Mesmo um registro bem gerenciado pode temer que uma válvula de segurança se torne um mecanismo de disciplina. Um registro em dificuldade tem razões mais fortes para temer.

Os registros pares temem um precedente. Se um escritório regional pode ser substituído, sequestrado ou restrito, os outros podem ser questionados sobre por que seus próprios livros-razão não são igualmente portáteis. Eles podem apresentar a questão como estabilidade, mas a estabilidade e a autopreservação geralmente se parecem de dentro de um clube. Isso não significa que a ajuda dos pares seja inútil. O suporte técnico, a experiência compartilhada e a cooperação de emergência podem ser valiosos. Significa que o projeto da transição não pode depender de pares que voluntariamente reduzem seu próprio futuro poder de barganha.

Os governos têm incentivos mistos. Eles carregam o fardo público quando a continuidade das comunicações é ameaçada, mas também podem ver uma crise de registro como uma oportunidade de assumir o controle. Alguns quererão continuidade legal. Alguns quererão alavancagem nacional. Alguns temerão que uma empresa privada estrangeira tenha muito poder sobre as redes nacionais. Alguns preferirão o antigo modelo porque mantém as escolhas difíceis fora do ministério. Uma arquitetura de transição deve dar aos governos um papel responsável sem convidar à fragmentação.

A melhor forma de fazer isso é tornar a continuidade rica em evidências e compatível globalmente, para que as autoridades públicas possam proteger os interesses nacionais sem inventar livros-razão contraditórios.

Os grandes detentores também têm incentivos mistos. Eles querem certeza, transferibilidade, portabilidade e proteção contra ações arbitrárias. Também podem buscar vantagem: saídas mais rápidas, revisão mais leve, tratamento personalizado ou influência no projeto do sucessor. Seus recursos os tornam essenciais para construir a capacidade de transição e perigosos se não forem controlados. Uma arquitetura crível deve acolher suas evidências e financiamento quando aplicável, enquanto os impede de comprar mudanças de regras que as pequenas redes não podem obter.

As pequenas redes precisam de previsibilidade acima de tudo. Podem desconfiar tanto do registro atual quanto dos grandes contestadores comerciais. Podem carecer de orçamentos jurídicos, tempo de pessoal, domínio de políticas ou aconselhamento transfronteiriço. Sua principal questão é se o serviço continuará e se as regras serão compreensíveis. Se a transição parecer uma luta entre elites, as pequenas redes preferirão racionalmente o diabo que conhecem.

O projeto deve, portanto, tornar as proteções dos pequenos detentores visíveis: dossiês de evidências de baixo custo, direitos de aviso prévio, procedimentos de correção simples, limites rígidos sobre taxas de emergência, suporte linguístico, ajuda com continuidade de DNS reverso e isolamento claro de litígios.

Credores, fornecedores, pessoal e tribunais adicionam complexidade extra. Um registro insolvente ou quase insolvente tem créditos ordinários contra ele: salários, fornecedores, custas jurídicas, impostos e dívidas. O pessoal também pode deter o conhecimento operacional necessário para manter os sistemas frágeis vivos. No entanto, os registros de numeração em si não devem ser tratados como um lote de liquidação. Relatórios públicos em 2026 descreveram o argumento da ICANN de que os recursos de numeração administrados pela AFRINIC não são ativos disponíveis para distribuição em uma dissolução.

O que quer que os tribunais decidam em qualquer processo específico, a arquitetura de continuidade deve supor que o livro-razão é um sistema de confiança pública, não um móvel no escritório.

Esses incentivos explicam por que a transição não pode ser deixada à boa fé. Ela precisa de um projeto rigoroso: sequestro, assinaturas, substituição de serviço, gatilhos de portabilidade, mapas jurídicos, regras de financiamento, quarentena de litígios, trilhas de auditoria e limites de papéis. As instituições se comportam melhor quando a arquitetura torna o oportunismo difícil. O objetivo não é encontrar anjos. É tornar o sistema menos dependente deles.

Uma migração escalonada é mais conservadora do que o cativeiro discricionário permanente

Os críticos qualificarão qualquer projeto além do RIR de radical. Em certo sentido, têm razão. Isso muda a suposição de que um escritório de registro regional deve ser o centro permanente dos dados, serviço, autoridade e tratamento de litígios. Em outro sentido, a transição escalonada é mais conservadora do que o status quo. Busca preservar os registros existentes, a confiança dos usuários, a continuidade do serviço e o conhecimento regional, enquanto reduz o risco de que um único escritório frágil possa quebrá-los. O cativeiro discricionário permanente é o modelo mais imprudente.

O primeiro passo é a transparência e as evidências. Cada registro deve manter instantâneos completos, assinados e verificáveis externamente do livro-razão e históricos importantes. Os detentores devem poder obter provas assinadas de seus próprios recursos e do estado dos serviços. Os dados públicos devem ser reproduzíveis. Os auditores devem poder testar se os instantâneos correspondem aos serviços operacionais. Os tribunais devem poder receber cronogramas estruturados. Nenhuma autoridade muda de mãos nesta etapa. A principal mudança é que o titular não monopoliza mais a prova.

O segundo passo é o ensaio de continuidade. Os serviços essenciais devem ter planos de substituição documentados, ambientes de teste, procedimentos de guarda de chaves, modelos de aviso aos membros, arranjos de financiamento de emergência e regras de controle de mudanças. O ensaio deve incluir a continuidade RDAP e Whois, operações de DNS reverso, RPKI e renovação de certificação quando aplicável, registros ASN, filas de transferência e portais de suporte. O objetivo não é envergonhar o titular. O objetivo é saber se a rede pode sobreviver a um fim de semana em que o escritório não pode agir.

O terceiro passo é a quarentena de litígios. Os registros devem classificar e marcar os litígios no nível dos recursos, separar os litígios de governança empresarial dos litígios de serviço, publicar o status não sensível, preservar as evidências e continuar o serviço não relacionado. Esta etapa pode ser implementada mesmo dentro do registro existente. Reduz os danos antes de qualquer substituição. Também revela se o titular pode aceitar limites à sua própria discrição.

O quarto passo é a substituição de serviço de emergência. Se gatilhos de serviço objetivos forem atingidos, um operador temporário ou síndico pode executar funções estreitas a partir dos dados sequestrados. Os gatilhos podem incluir perda de serviço, incapacidade de manter sistemas essenciais, ausência de autoridade empresarial legal, ordem judicial, risco comprovado à integridade dos dados ou falha no processamento de mudanças urgentes não contestadas dentro de um prazo definido. O substituto executa serviços, não política. É pago, auditado e revogável.

O quinto passo é a portabilidade em condições limitadas. Detentores com posições verificadas, taxas em dia e nenhum litígio não limitado podem mover o reconhecimento de serviço para um arranjo de continuidade aprovado. Recursos contestados podem permanecer detidos; serviços não contestados podem continuar. Se a portabilidade só chegar após a morte do escritório, chega tarde demais.

O sexto passo é a reconstrução da autoridade. Um organismo regional sucessor, um modelo federado, uma estrutura de síndico ou uma camada de coordenação leve pode assumir autoridade estreita somente após a continuidade estar protegida. O sucessor deve provar que pode manter o livro-razão sem recriar o cativeiro discricionário.

O escalonamento é importante porque reduz o medo. Os titulares podem ver quais poderes estão realmente ameaçados. Os membros podem ver quais serviços continuarão. Os tribunais podem ver quais etapas são reversíveis. Os governos podem ver que a unicidade global está protegida. Os operadores técnicos podem testar os sistemas antes do incêndio. Uma migração escalonada não é um salto no escuro. É a iluminação das saídas em um edifício que todos ainda precisam usar.

A AFRINIC é a repetição porque combina escassez, forma jurídica e confiança pública

A AFRINIC não deve ser tratada como uma exceção exótica. É uma repetição precisamente porque suas dificuldades expõem características presentes em todo o sistema de RIRs. Um registro regional é uma entidade jurídica privada sob a lei nacional, mas fornece serviços nos quais as redes de muitas jurisdições dependem. Administra recursos raros cuja importância econômica ultrapassou a antiga linguagem da alocação clerical. Executa funções públicas de consulta e delegação. Depende da confiança dos membros, do reconhecimento dos tribunais, da competência técnica e da aceitação global.

Quando um desses apoios se enfraquece, o sistema descobre o quanto supôs em vez de projetou.

O sequestro forneceu uma lição: os sistemas jurídicos podem preservar as operações, mas apenas se entenderem o que deve ser preservado. Os relatórios em 2023 apresentaram o sequestro da AFRINIC como um mecanismo de Estado de Direito que poderia manter os serviços enquanto a diretoria era reparada. Essa é a versão otimista do envolvimento dos tribunais. Mostra que a lei nacional não é automaticamente inimiga da governança da internet. Mas também mostra que a comunidade de registros não pode simplesmente se declarar fora da realidade jurídica ordinária. Se o navio jurídico afundar, os tribunais serão chamados a agir.

A arquitetura de transição deve equipá-los em vez de reclamar depois que eles não entendem a internet.

Os litígios eleitorais forneceram outra lição: a legitimidade empresarial pode permanecer incerta enquanto os serviços permanecem necessários. Seja enfatizando as alegações de irregularidades nas procurações, as preocupações da ICANN, a discrição do síndico, as classificações dos direitos dos membros ou o eventual restabelecimento do conselho, o ponto operacional é o mesmo. A governança pode ser contestada por meses ou anos. Enquanto isso, o livro-razão não pode esperar por legitimidade perfeita.

O sistema precisa de um modo seguro: serviço estreito, dados preservados, mudanças de alto risco congeladas, mudanças de baixo risco processadas, evidências estruturadas e avisos transparentes aos membros.

O contexto do esgotamento IPv4 fornece uma terceira lição. A página de esgotamento da própria AFRINIC descreve a escassez da fase 2, as pequenas faixas de alocação e atribuição, os requisitos de uso e o processamento de pedidos. A escassez significa que o atraso tem valor. Significa que a certeza das transferências importa. Significa que os registros antigos se tornam evidências financeiras. Significa que a capacidade do escritório do registro de dizer sim, não, mais tarde ou pedir evidências adicionais tem consequências econômicas. O projeto da transição não pode se limitar a manter um site online.

Deve preservar a confiança na liquidação em torno de recursos raros.

A controvérsia sobre os direitos dos membros fornece uma quarta lição. Relatórios públicos em 2026 descreveram um debate sobre a relação entre os membros de recursos da AFRINIC e os membros registrados sob a lei mauriciana de sociedades. Essa distinção pode parecer paroquial, mas é central para a arquitetura de transição. A dependência de recursos e os direitos de voto empresariais não são a mesma coisa. Um detentor pode depender do serviço do registro mesmo que a lei societária trate seu papel de governança de forma mais restrita.

Inversamente, um ator empresarial pode ter autoridade de governança sem ser a parte certa para modificar um registro de recurso particular. A transição deve separar a dependência do serviço das formalidades empresariais, respeitando ambas.

A disputa sobre a dissolução fornece a última lição. Um registro pode ser uma sociedade local e ainda assim carregar uma função pública global. Dizer isso não o torna soberano. Significa que os recursos jurídicos devem distinguir a casca empresarial da função de continuidade do livro-razão. Se a sociedade for reestruturada, substituída ou dissolvida, os registros de recursos não devem ser tratados como cadeiras de escritório. São registros de confiança em um sistema de coordenação global. A questão da transição é como mover essa confiança legalmente, não como fingir que a forma jurídica não importa.

O valor da AFRINIC como repetição não é, portanto, que ela prove que uma facção está certa. É que ela força a questão de projeto a ser aberta. O que exatamente precisa continuar se o escritório não puder? Que poderes são necessários, quais são hábitos herdados e quais são perigosos? Quem verifica o livro-razão? Quem executa os serviços? Quem pode modificar os registros? Quem ouve os litígios? Quem protege as pequenas redes? Quem informa os tribunais? Quem paga pela ponte? Um sistema que não pode responder a essas perguntas não é estável. É simplesmente não testado.

O teste prático é se o livro-razão pode sobreviver ao guardião

O teste final é deliberadamente simples. Se a AFRINIC, ou qualquer registro, falhasse amanhã, o livro-razão poderia continuar? Isso significa mais do que uma descarga de arquivo. Significa registros completos, assinados, auditados e utilizáveis; provas de acesso para os detentores; histórico suficiente para explicar o status atual; continuidade das consultas públicas; controles de privacidade; sinalizadores de litígio; e um cronograma de dependências utilizável pelos tribunais. Se a resposta for não, a região depende da sorte institucional.

Os usuários poderiam ser servidos? Isso significa as respostas RDAP e Whois, manutenção de DNS reverso, suporte a registros ASN, continuidade RPKI e de certificação quando aplicável, processamento de transferências para casos não contestados, correções urgentes de contatos, publicação de contatos de abuso, suporte aos membros e avisos claros. Isso também significa expectativas de nível de serviço, financiamento de emergência e operadores técnicos que podem executar sob pressão. Se a resposta for não, o registro não é um coordenador leve. É um ponto único de falha.

Os litígios poderiam ser colocados em quarentena? Isso significa que um prefixo contestado não congela um continente. Uma disputa eleitoral não desativa o serviço. Um depósito judicial não se torna um veto político geral. Uma autoridade supostamente falsificada não contamina todos os detentores. A quarentena requer classificação, padrões de prova, bloqueios específicos a recursos, vias de revisão, registro e comunicação disciplinada. Se a resposta for não, a camada de litígio já capturou a camada de serviço.

A autoridade poderia ser reconstruída sem fazer reféns de redes? Isso significa que o operador de emergência não se torna um novo dirigente, que o titular não usa o cativeiro de serviço para exigir deferência, que os grandes detentores não compram o sucessor, que os governos não fragmentam o livro-razão, e que as pequenas redes não perdem acesso porque carecem de advogados. Isso significa que a voz regional permanece possível enquanto a guarda é restrita. Isso significa que a portabilidade existe antes do colapso. Isso significa que a transição jurídica está mapeada, não desejada.

Essa é a economia da arquitetura de transição além dos RIRs. O argumento não é que a unicidade não importa mais. Ela importa mais do que nunca. O argumento não é que os serviços de registro são triviais. São valiosos precisamente porque as redes dependem deles. O argumento não é que a discrição pode desaparecer da noite para o dia. Algum julgamento permanecerá na prevenção de fraude, conformidade legal e casos excepcionais. O argumento é que o pacote atual dá muita alavancagem institucional ao escritório e pouca resiliência independente ao livro-razão, aos serviços e aos usuários.

A AFRINIC mostra tanto o perigo quanto o caminho. O perigo é um registro regional cuja vida empresarial, processo eleitoral, litígios jurídicos e conflitos de membros podem se emaranhar com registros críticos. O caminho não é uma parada brusca. É uma continuidade escalonada: dados do livro-razão sequestrados, evidências portáteis, substituição de serviço, autoridade estreita, quarentena de litígios, transição jurídica, proteção dos membros, provas públicas e conselhos regionais separados da guarda. É menos dramático que a linguagem da reforma ou da revolução. É também mais sério.

A camada de numeração da internet era tolerada porque se supunha que fosse chata. A escassez, o valor dos ativos, a pressão geopolítica e a crise institucional a tornaram interessante da pior maneira. O remédio não é tornar um novo sacerdócio ainda mais interessante. O remédio é tornar as partes críticas novamente chatas: registros verificáveis, serviços previsíveis, autoridade limitada e litígios que não se propagam.

Se um registro pode provar que o livro-razão sobreviverá à sua própria falha, merece mais confiança. Se não pode, nenhuma quantidade de retórica sobre comunidade, história ou reconhecimento deve ser suficiente. A lealdade apropriada não é ao guardião. É à continuidade dos usuários que construíram redes reais sobre os números que o guardião deveria apenas registrar.