Recuperação da AFRINIC sem Portabilidade de Registro Ainda é

Resumo

O conselho reconstituído da AFRINIC é um reparo necessário, não uma prova de que o risco institucional concentrado desapareceu. A questão crucial é se um membro pode manter registros reconhecidos e dependências críticas quando a AFRINIC estiver legal, técnica ou operacionalmente comprometida.
A portabilidade do serviço de registro não é uma venda de espaço de endereço, uma mudança de titular ou permissão para autoridades duplicadas. É a capacidade de o mesmo titular reconhecido transferir serviços de registro definidos entre provedores qualificados, enquanto um estado autoritativo ordenado e o histórico completo permanecem intactos.
A portabilidade requer quatro arranjos distintos: substituição voluntária ordinária do provedor, movimento supervisionado durante falha grave do serviço, continuidade temporária de emergência e eventual sucessão institucional se o reconhecimento mudar. Cada um tem gatilhos, autoridade e condições de retorno diferentes.
A caução de dados é necessária, mas insuficiente. Um projeto de continuidade também precisa de restauração testada, evidência atual de identidade e autoridade, histórico de transações ordenado, restrições de disputa, publicação RDAP e WHOIS, DNS reverso, dados de registro de roteamento e manuseio cuidadosamente limitado de chaves e certificados RPKI.
O programa de recuperação 2025-2026 da AFRINIC aborda liderança, auditorias, tecnologia, pessoal, órgãos comunitários e estabilidade legal. Essas medidas melhoram a instituição incumbente, mas ainda não estabelecem uma saída rotineira controlada pelo titular ou um caminho demonstrado de substituição de provedor.
A revisão emergente do quadro global de governança dos RIRs reconhece a continuidade de emergência e operadores temporários. Uma abordagem no estilo NRS estenderia o princípio de resiliência aos tempos normais por meio de escolha qualificada, sem esperar pelo limiar extremo de falha regional do registro.
A recuperação deve ser julgada por testes de estresse independentes: perda do portal do membro, corrupção de dados, restrição judicial, comprometimento de chave, insolvência, indisponibilidade de pessoal e uma mudança voluntária de provedor. Aprovação significa um estado corrente aceito, sem perda de controle do titular e um retorno ou transição limpa apoiada por evidências.

Um conselho repara a autoridade, não a concentração

ANRO saudou a eleição do conselho de setembro de 2025como um passo em direção à restauração total da governança e atividades da AFRINIC. Essa linguagem foi adequadamente medida. Um passo em direção à restauração não é uma declaração de que toda fraqueza institucional terminou.

O conselho reconstituído pode fazer coisas que um administrador judicial ou funcionários operando sem diretores não podem fazer de forma sustentável. Pode definir estratégia, recrutar um diretor executivo, aprovar orçamentos, supervisionar riscos, convocar membros e restaurar comitês. Adeclaração conjunta do conselho da AFRINIC e do Administrador Judicial de outubro de 2025descreveu o trabalho em andamento sobre liderança, auditorias, litígios, representação comunitária, discussão de políticas e reforma constitucional. Suaatualização para membros de março de 2026descreveu prioridades incluindo operações estáveis, um diretor executivo substantivo, avaliação de tecnologia e recursos humanos, e reparo da governança.

São tarefas reais de recuperação. São direcionadas principalmente a fazer a AFRINIC funcionar bem novamente. Não dão a um detentor de recursos uma alternativa se a AFRINIC mais tarde não puder realizar um ato crítico de registro. O detentor ainda depende da mesma entidade legal, equipe operacional, interfaces de serviço e acordo de reconhecimento.

Bons diretores podem reduzir o risco institucional. A portabilidade muda quem carrega o risco residual quando a boa governança não é suficiente. Um projeto resiliente precisa de ambos.

A crise foi mais ampla que a ausência de diretores

As dificuldades da AFRINIC não podem ser reduzidas a oito cadeiras vazias no conselho. O litígio afetou a governança e consumiu atenção. A administração judicial colocou autoridade incomum em um escritório supervisionado pelo tribunal. As demonstrações financeiras auditadas foram atrasadas. A comunidade de políticas passou anos sem reuniões ordinárias. A organização carecia de um diretor executivo substantivo. Surgiram questões sobre registros, backups e integridade eleitoral.

A equipe manteve os serviços principais funcionando nessas condições, o que é evidência de comprometimento e alguma resiliência operacional. Não é evidência de que todo serviço sobreviveria a uma falha mais severa ou com tempo diferente. A continuidade alcançada por esforço excepcional da equipe pode mascarar dependências não documentadas e conhecimento concentrado.

A consequência pública também se estende além do status corporativo da AFRINIC. Operadores de rede dependem de registros de recursos reconhecidos ao manter contatos, DNS reverso, objetos de rota e material de segurança de roteamento. Agências públicas, universidades, bancos, operadoras móveis, data centers e provedores de acesso podem todos depender de mudanças oportunas. Uma disputa que não interrompe o encaminhamento de pacotes hoje ainda pode impedir um detentor de corrigir a autoridade ou responder a um incidente amanhã.

O risco relevante é, portanto, composto. Autoridade legal, governança corporativa, capacidade da equipe, identidade do membro, publicação técnica e reconhecimento global interagem. Substituir diretores aborda uma camada. Recrutar um diretor executivo aborda outra. Nenhum cria um caminho alternativo quando várias camadas falham juntas.

Falha de registro não é o mesmo que interrupção da Internet

É necessário cuidado ao descrever consequências. Se um portal RIR ficar indisponível, as rotas existentes não desaparecem automaticamente. Roteadores encaminham de acordo com configurações e protocolos de roteamento, não consultando o escritório de membros para cada pacote. O uso existente de endereços pode continuar durante uma disputa de registro.

Isso não torna a continuidade do registro opcional. Um detentor pode precisar atualizar contatos públicos, criar ou alterar autorizações de rota, alterar DNS reverso, registrar uma transferência, corrigir um objeto de rota, responder a um incidente de abuso ou segurança, ou provar autoridade a uma contraparte. Atraso nesses atos pode aumentar o risco operacional mesmo quando o tráfego ainda flui.

RPKI torna a dependência mais visível. Detentores de recursos usam certificados e autorizações de origem de rota dentro de uma estrutura de confiança descrita pelaarquitetura RPKI na RFC 6480. Uma falha que afeta emissão de certificados, controle de chaves, publicação ou revogação pode influenciar como redes dependentes classificam rotas. O efeito depende da falha exata e da política de rede; não deve ser exagerado em desconexão universal instantânea.

A análise de resiliência deve, portanto, medir funções separadamente. Registro público, controle de conta, RDAP, WHOIS, DNS reverso, dados de registro de roteamento da Internet, RPKI, nova alocação e serviço de transferência têm diferentes tolerâncias e caminhos de recuperação. Uma garantia vaga de que a Internet permaneceu no ar não pode substituir evidências de que os detentores mantiveram a capacidade de agir.

A recuperação de pessoal muda a probabilidade, não o raio da explosão

Um conselho competente pode melhorar controles, definir prioridades e reduzir a chance de outra quebra de governança. Também pode recrutar líderes, financiar backups e esclarecer autoridade. Essas medidas são importantes porque a prevenção geralmente é mais barata que a substituição de emergência.

Mas o raio da explosão de uma falha permanece grande se uma instituição é o ponto de serviço obrigatório para uma região. Uma restrição judicial, incidente cibernético grave, falha de controle interno, evento de insolvência ou perda de pessoal-chave pode afetar muitos detentores de uma vez. Pessoas melhores reduzem a probabilidade desses eventos; não fornecem aos membros afetados uma saída testada se um ocorrer.

Essa é a mesma distinção feita em outros serviços críticos. Um provedor bem administrado ainda mantém failover, exportações e exercícios de recuperação. A confiança na gestão não é usada como razão para tornar os dados do cliente não portáteis ou deixar a restauração não testada. Quanto maior a consequência pública, mais fraco o argumento para confiar apenas na virtude institucional.

A portabilidade também disciplina o desempenho ordinário. Um provedor que sabe que os detentores podem mover o serviço tem uma razão mais forte para manter registros precisos, resolver reclamações e publicar níveis de serviço mensuráveis. A saída não é uma punição. É um controle que limita a consequência de falha persistente sem exigir que toda a instituição seja substituída.

A portabilidade deve ser definida estritamente

Portabilidade de registro deve significar que um detentor de recursos reconhecido pode mudar o provedor qualificado que realiza serviços de registro definidos enquanto o detentor, a identidade do recurso, o histórico de alocação e o estado corrente autoritativo permanecem os mesmos. O provedor autentica instruções, mantém registros de serviço acordados e submete ou executa mudanças permitidas. Não cria uma alocação rival.

A definição exclui três interpretações enganosas. Primeiro, portabilidade não é uma afirmação de que endereços são propriedade privada irrestrita. O caráter legal dos recursos numéricos e os termos sob os quais são mantidos continuam regidos por acordos, políticas e leis aplicáveis. Segundo, não é uma transferência para um novo titular. A organização que controla o recurso não muda meramente porque seu serviço de registro muda. Terceiro, não é autoridade para vários provedores publicarem titulares correntes conflitantes.

OSistema de Registro de Números da Internet descrito na RFC 7020depende de registro coordenado e unicidade. Um modelo de portabilidade deve preservar essas propriedades. Um recurso tem um estado de titular corrente aceito, um histórico ordenado e autoridade corrente definida para cada função de serviço.

Esta definição estrita torna a portabilidade compatível com a coordenação global. Concorrência ou substituição ocorre em torno do serviço. A unicidade permanece uma restrição compartilhada. O direito de deixar um provedor não se torna um direito de escolher a versão dos fatos que for mais conveniente.

Quatro movimentos não devem ser confundidos

O primeiro movimento é uma transferência de recursos. Muda o titular reconhecido de algum recurso numérico sob a política de transferência aplicável. Avisão geral de políticas da AFRINIC ratificada em fevereiro de 2026aborda transferências envolvendo IPv4 e números de sistemas autônomos, incluindo condições inter-regionais especificadas. Isso é um evento de mercado e registro envolvendo fonte e destinatário.

O segundo movimento é a portabilidade do serviço de registro. O titular permanece o mesmo, mas um provedor qualificado assume o serviço administrativo definido. Nenhuma venda ou reatribuição está implícita. O evento se assemelha a mudar o custodiano de um registro, em vez de mudar a pessoa reconhecida por ele.

O terceiro movimento é a continuidade de emergência. Um operador temporário realiza serviços afetados porque a instituição regional reconhecida não pode fazê-lo adequadamente. A autoridade é limitada pela emergência, e o serviço deve retornar quando a capacidade for restaurada. O detentor não precisa fazer uma escolha individual de mercado durante a crise.

O quarto movimento é a sucessão institucional. Se um RIR for eventualmente substituído ou seu reconhecimento mudar, um sucessor autorizado assume a responsabilidade regional sob uma decisão global de governança. Isso é um evento constitucional, não uma troca ordinária de cliente.

Políticas, registros e controles técnicos devem nomear esses movimentos separadamente. Confusão convida ao excesso ou à paralisia. Uma mudança normal de provedor não deve exigir o limiar para substituir um RIR. Um operador de emergência não deve ganhar poder para reescrever o histórico do titular. Uma transferência de recursos não deve ser disfarçada como uma troca de serviço.

NRS fornece uma direção, não a prova de um sistema acabado

A Number Resource Society fez da saída, portabilidade, redundância e administração menos cativa geograficamente temas centrais de sua defesa pública. Suadeclaração de governança sobre descentralização e portabilidadeoferece uma direção útil: a administração crítica de recursos numéricos não deve depender apenas da durabilidade de um guardião.

Essa direção não deve ser tratada como evidência de que cada detalhe operacional já foi resolvido. Garantia de identidade, qualificação de provedor, ordenação autoritativa, continuidade RPKI, restrições legais, responsabilidade e reconhecimento global exigem arranjos exatos. A defesa torna-se infraestrutura apenas depois que esses arranjos sobrevivem a testes adversos.

O valor do contrafactual da NRS é que ele faz uma pergunta que o design de monopólio regional tende a suprimir. Por que a preservação de um registro numérico autoritativo deve exigir um provedor de serviço permanente para cada detentor associado a um continente? Unicidade global e exclusividade de serviço são propriedades diferentes.

A recuperação da AFRINIC é uma oportunidade para testar essa distinção sem enfraquecer a instituição. A AFRINIC poderia permanecer uma autoridade reconhecida e um provedor forte enquanto participa de regras comuns de portabilidade. O objetivo não é fazer a AFRINIC falhar. É tornar a continuidade dos membros menos dependente de a AFRINIC nunca falhar.

Um estado autoritativo é o limite não negociável

A portabilidade torna-se perigosa se dois provedores puderem afirmar cada um um titular corrente diferente ou emitir credenciais de recurso incompatíveis. O sistema deve, portanto, ordenar cada mudança aceita contra uma versão corrente conhecida. Uma troca de serviço cita o recurso, titular, provedor de saída, provedor de entrada, funções afetadas e estado corrente. A aceitação cria um estado sucessor.

Submissões concorrentes não podem ambas ter sucesso. Uma instrução desatualizada falha ou entra em revisão. Uma correção cria outro evento visível em vez de apagar o histórico. Cada provedor qualificado e serviço público converge para o resultado aceito. Observadores podem replicar o registro, mas a replicação não concede autoridade de origem.

Oacordo do Sistema de Registro de Números da Internet da NROcompromete os RIRs com unicidade, precisão, entradas públicas e cooperação em serviços de registro globais consistentes. A portabilidade deve fortalecer esses compromissos ao reduzir a dependência de um escritório de serviço, preservando uma resposta coerente.

Esse limite também restringe o marketing do provedor. Nenhum provedor deve prometer imunidade a restrições válidas, controle anônimo ou reconhecimento alternativo. Um detentor pode escolher qualidade de serviço e termos jurisdicionais dentro de regras comuns. Não pode comprar uma segunda versão de título ou escapar de uma disputa ativa movendo a interface através da qual a disputa é registrada.

O registro portátil mínimo deve ser suficiente e restrito

Um provedor receptor precisa de informações suficientes para continuar o serviço, mas não deve receber cada nota, fatura ou documento de identidade já detido pela instituição de saída. O mínimo comum deve incluir identidade do recurso, titular reconhecido, contatos de autoridade, base de alocação ou atribuição, provedor atual, histórico de eventos ordenado, restrições ativas, solicitações pendentes, escolhas de serviços dependentes e evidência de verificação em um nível de garantia acordado.

Cada campo precisa de versão, autoridade de origem, tempo efetivo e classe de sensibilidade. Fatos públicos podem aparecer através do RDAP ou serviços relacionados. Material de identidade protegida e de disputa move-se através de canais seguros. Evidências altamente sensíveis podem permanecer com um custodiano de caução e ser divulgadas apenas quando um gatilho válido ocorrer.

Restrição limita concentração e impacto de violação. Um sistema de portabilidade que centraliza cada documento de cliente cria um novo alvo e pode violar deveres de proteção de dados. Suficiência significa que o provedor receptor pode autenticar o titular, reconstruir a autoridade corrente, continuar serviços selecionados e explicar por que uma mudança foi aceita. Não significa coletar informações não relacionadas a essas funções.

O titular deve poder inspecionar seu registro portátil, contestar erros e receber uma exportação assinada a qualquer momento. Exportação regular torna a saída ordinária em vez de um favor de emergência. Testes independentes devem confirmar que outro provedor qualificado pode ingerir o registro sem reconstrução manual pela equipe sênior do incumbente.

Caução preserva evidência, mas não entrega serviço

A correspondência de julho de 2025 da ICANN perguntou sobre backups da AFRINIC e propôs discussão sobre caução regular de dados de registro de RIR com provedores confiáveis. Essa foi uma intervenção importante. Se o único registro completo desaparecer com uma instituição falida, nenhum modelo de continuidade pode restaurar a autoridade com confiança.

A caução responde a uma questão mais restrita que a portabilidade. Pode preservar arquivos e histórico de transações. Não autentica automaticamente um titular corrente, ativa um provedor receptor, publica RDAP, mantém DNS reverso, emite material RPKI ou resolve uma restrição judicial. Os dados depositados podem estar desatualizados, incompletos, criptografados sob chaves indisponíveis ou difíceis de restaurar dentro do tempo que os operadores precisam.

Um arranjo crível, portanto, testa frequência de depósito, completude, integridade, descriptografia, documentação, gatilhos de liberação e tempo de restauração. O custodiano da caução deve ser independente o suficiente para liberar material quando a instituição não puder ou não quiser, mas incapaz de usar os dados para serviço comercial ordinário. Vários custodiantes geográfica e legalmente separados podem ser justificados para os elementos mais críticos.

A caução deve apoiar tanto a emergência institucional quanto a portabilidade do titular. Um provedor receptor normalmente obtém uma exportação corrente através do provedor de saída. Se essa rota falhar, uma liberação supervisionada pode fornecer o registro mínimo. Cada liberação é escopada, registrada e revisada. A sobrevivência dos dados torna-se uma camada em um projeto de continuidade operacional, em vez de toda a promessa.

Identidade e autoridade devem sobreviver à instituição

O problema mais difícil de continuidade não é copiar uma tabela. É provar quem pode instruir uma mudança quando a instituição que manteve o registro de contato está indisponível ou não é confiável. Um modelo portátil precisa de vários fatores de autoridade mantidos independentemente: oficiais organizacionais atuais, contatos de recuperação protegidos, credenciais fortes, evidência corporativa verificada e um histórico de mudanças autorizadas.

Nenhum endereço de e-mail desatualizado deve controlar um portfólio de recursos valioso. Os titulares devem registrar mais de um representante com diferentes funções e canais. Atos de alto impacto podem exigir aprovação de duas pessoas autorizadas ou uma pessoa mais uma prova organizacional externa. Contatos de recuperação devem ser testados periodicamente sem publicá-los.

O provedor receptor deve verificar a continuidade da identidade do titular, não criar um novo titular porque a conta usual está inacessível. Se a evidência conflitar, o recurso entra em um estado protegido limitado. Registros públicos existentes e serviços continuam onde seguro, enquanto mudanças de alto risco aguardam revisão. A disputa deve afetar apenas o ato contestado e o conjunto de recursos.

A evidência de autoridade também precisa de portabilidade antes da crise. Um titular que espera até o portal estar inacessível para descobrir que seu único contato saiu da empresa já falhou no teste. A recuperação da AFRINIC deve incluir uma campanha de membros para verificar autoridade multicanal e emitir recibos portáteis e independentemente verificáveis.

RDAP e WHOIS precisam de continuidade sem respostas contraditórias

Os serviços de registro público permitem que redes, equipes de segurança e contrapartes identifiquem organizações e contatos reconhecidos. Durante a substituição do provedor, esses serviços devem continuar retornando um estado corrente coerente. Diferentes endpoints de serviço podem existir, mas a descoberta deve levar os usuários ao mesmo registro aceito.

Uma troca de provedor deve atualizar a referência do provedor de serviço e quaisquer alterações autorizadas de contato sem alterar o histórico do recurso. Caches e réplicas precisam de tempos de convergência definidos. Respostas desatualizadas devem carregar uma versão ou hora da última atualização que permita aos usuários reconhecê-las. Uma resposta temporária de emergência deve identificar seu status limitado sem implicar que o recurso mudou de titular.

As respostas estruturadas do RDAP são úteis para expressar funções, links e eventos, mas um formato técnico não pode resolver autoridade por si só. As regras comuns devem definir qual serviço assina o resultado atual, como conflitos são resolvidos e quando uma réplica para de servir dados desatualizados. A compatibilidade com WHOIS pode permanecer necessária para usuários que não migraram para RDAP, mas deve derivar do mesmo estado aceito.

Testes de continuidade devem consultar serviços públicos de várias regiões antes, durante e após uma movimentação simulada de provedor. Sucesso significa disponibilidade, identidade consistente do titular, mudanças corretas de função e ordem de versão explicável. Retornar uma resposta HTTP não é suficiente se dois endpoints discordam sobre o controle.

A continuidade RPKI exige limites mais rigorosos que o registro público

RPKI conecta autoridade de recurso a objetos criptográficos usados por redes dependentes. Mover o serviço de registro não deve mover casualmente chaves privadas, criar certificados sobrepostos ou deixar ambos os provedores capazes de autorizar rotas. O modelo RPKI escolhido pelo titular é importante: serviço hospedado, certificação delegada ou outro arranjo aprovado pode colocar deveres de chave e publicação em locais diferentes.

O registro portátil deve declarar a relação atual de autoridade de certificação, local de publicação, prefixos autorizados e números de sistemas autônomos, modelo de custódia de chaves, autorizações de origem de rota ativas, status de revogação e transição planejada. Os provedores de saída e entrada precisam de uma transferência ordenada com terminação explícita de autoridade.

Onde as chaves não podem ou não devem ser movidas, o lado receptor emite um sucessor sob condições controladas e a autoridade antiga é revogada no momento certo. A sobreposição pode ser estritamente limitada quando necessário para evitar falha de validação, mas a emissão dupla descontrolada nunca deve ser uma conveniência informal. A observação da parte dependente deve confirmar o resultado pretendido de fora de ambos os provedores.

A continuidade de emergência é mais difícil. Um operador temporário pode precisar de autoridade para manter a publicação disponível enquanto carece de autoridade para fazer mudanças arbitrárias de roteamento. O mandato de emergência deve distinguir servir objetos existentes, renovar material com prazo limitado, aceitar mudanças do titular e revogar autoridade comprometida. Cada poder precisa de um gatilho e aprovação independente.

DNS reverso e dados de registro de roteamento precisam de escolhas explícitas

O serviço de registro geralmente fica ao lado da delegação de DNS reverso e dos dados do registro de roteamento da Internet. Os titulares podem assumir que essas dependências serão movidas automaticamente, enquanto os provedores podem tratá-las como produtos separados. Uma solicitação de portabilidade deve listar cada serviço e permitir que o titular escolha mover, continuar temporariamente, delegar a outro lugar ou encerrar.

A continuidade do DNS reverso exige preservação da relação recurso-zona e controle seguro sobre mudanças de delegação. Uma troca de provedor não deve alterar silenciosamente os servidores de nomes. Se o provedor antigo continuar o serviço brevemente, o arranjo precisa de um prazo de validade e contato de emergência. Testes devem verificar a resolução de redes independentes e confirmar que delegações desatualizadas são removidas somente após o novo serviço estar pronto.

Objetos de rota e associações de conjuntos podem influenciar filtros construídos por operadores de rede. A transferência deve identificar objetos mantidos, método de autenticação, mantedores, referências e relacionamentos de conjuntos downstream. Mantedores duplicados ou abandonados podem criar confusão operacional e de segurança mesmo quando o registro de recurso em si está correto.

Separar dependências evita um movimento tudo-ou-nada. Um titular pode mudar de conta e serviço RDAP enquanto retém RPKI delegado, ou mover RPKI enquanto mantém DNS reverso temporariamente. O registro autoritativo deve mostrar a divisão escolhida para que nenhum provedor reivindique mais autoridade do que possui.

Ordens judiciais e disputas devem viajar como restrições, não cativeiro

A portabilidade não pode se tornar um método para escapar de uma ordem judicial válida, disputa de propriedade ativa ou retenção de segurança. Igualmente, a existência de uma disputa não deve permitir que um incumbente congele todo serviço não relacionado e recursos indefinidamente. O estado portátil deve carregar restrições com escopo exato, autoridade emissora, tempo efetivo, status de revisão e condição de expiração.

O provedor receptor aceita a restrição como parte do estado autoritativo atual. Não reabre a questão meramente porque o serviço mudou. Se o provedor acreditar que a ordem não o vincula ou conflita com outra obrigação, uma rota definida de reconhecimento e revisão se aplica. O titular recebe aviso na medida permitida por lei.

Essa abordagem separa a saída institucional do apagamento factual. Um titular pode deixar um serviço ruim enquanto uma transferência contestada permanece bloqueada. Recursos limpos no mesmo portfólio podem ser movidos quando a restrição é separável. Objetos de segurança de rota existentes podem continuar enquanto uma mudança de alto risco aguarda decisão.

Os tribunais se beneficiam de registros exatos. Eles podem ver qual ato é proposto, qual provedor o controla, qual estado o precedeu e qual impacto de continuidade uma restrição teria. A portabilidade deve tornar as ordens legais mais precisas, não menos eficazes. O design mais forte protege tanto a autoridade legal revisável quanto a continuidade do operador.

Jurisdição deve ser visível em vez de oculta dentro da geografia

Mudar de provedor de serviço pode mudar a lei contratual, localização de dados, vias de execução e exposição a demandas governamentais. Portabilidade não abole jurisdição. Exige que as consequências jurisdicionais sejam divulgadas e atribuídas ao relacionamento correto.

Cada provedor deve publicar sua entidade legal, pessoas controladoras, locais de serviço, contrato regente, compromissos de tratamento de dados, subcontratados, foro de reclamações e abordagem a demandas legais conflitantes. Os titulares podem então selecionar serviço adequado para seus deveres operacionais e públicos. As regras comuns de autoridade ainda vinculam todo provedor.

Alguns atos permanecem conectados à incorporação da AFRINIC, reconhecimento regional ou à própria jurisdição do titular. Um provedor não pode prometer que escolhê-lo remove essas conexões. Nem a AFRINIC deve reivindicar exclusividade permanente de serviço meramente porque sua sede legal é Maurício. A questão relevante é qual lei se aplica a qual ato, evidência e parte.

Demandas conflitantes precisam de um protocolo restrito: verificar a autoridade, identificar o recurso e serviço afetados, preservar o estado atual, notificar partes permitidas, buscar revisão e evitar ação irreversível enquanto a jurisdição não estiver resolvida. Isso é mais crível do que tratar um bloco de endereços como se estivesse fisicamente localizado em um território judicial.

Provedores qualificados devem ser capazes de serviço à prova de falhas

Portabilidade é tão forte quanto os provedores receptores. Qualificação deve testar garantia de identidade, proteção de registro, resposta a incidentes, qualidade de exportação, continuidade de serviço, capacidade legal, segurança financeira, controles de conflito e capacidade de encerrar autoridade de forma limpa. A admissão deve ser baseada em função demonstrada, em vez de patrocínio político ou pedigree geográfico.

Todo provedor deve passar por um teste de migração antes de servir detentores reais. Deve ingerir um registro realista, identificar evidências desatualizadas ou conflitantes, preservar histórico, continuar dependências selecionadas, rejeitar uma instrução desatualizada e produzir um pacote de saída completo e assinado. O teste deve incluir sua própria perda de pessoal ou infraestrutura primária.

A qualificação não deve criar um cartel. Requisitos devem ser proporcionais, públicos e passíveis de recurso. Provedores especializados menores podem usar infraestrutura compartilhada se controle, responsabilidade e subcontratação forem transparentes. Um nível de entrada supervisionado pode limitar o tamanho do portfólio enquanto a capacidade é comprovada.

O desempenho deve permanecer visível após a admissão. Métricas incluem tempo de correção, completude da exportação, sucesso de troca, incidentes de segurança, resultados de reclamações, disponibilidade de serviço e concentração. Falha repetida deve restringir novos negócios e, finalmente, desencadear remoção ordenada. Os detentores existentes devem reter a saída mesmo quando um provedor é sancionado.

A AFRINIC poderia se qualificar como provedora dentro deste modelo e pode continuar sendo a escolha preferida para a maioria dos membros regionais. A portabilidade testa sua proposta de serviço sem negar sua experiência acumulada.

Continuidade de emergência deve ser limitada e reversível

O segundo rascunho do propostoDocumento de Governança de RIRinclui um conceito de continuidade de emergência sob o qual outros RIRs e a ICANN poderiam autorizar um operador temporário quando um RIR não pode fornecer adequadamente serviços afetados. Ele pede escopo e justificativa publicados, engajamento da comunidade e revisão eventual. Em meados de 2026, essa revisão mais ampla permanecia em desenvolvimento, não uma substituição final do ICP-2.

Este é um reconhecimento importante de que a continuidade do RIR não pode depender apenas da recuperação interna. O design ainda precisa de detalhes operacionais: quais serviços recebem prioridade, como a autoridade é ativada, quais dados e chaves estão disponíveis, como o operador temporário é supervisionado, como as extensões funcionam e como o serviço retorna.

A autoridade de emergência deve ser mais restrita que a governança ordinária do RIR. Um operador temporário mantém serviços afetados e protege o estado atual. Não reescreve a política regional, redistribui recursos contestados ou se entrincheira. Atos materiais recebem revisão adicional, e cada extensão carrega evidência.

A reversibilidade importa tanto quanto a ativação. Quando a AFRINIC restaurar a capacidade, o operador de emergência deve entregar registros atuais, retirar credenciais e cessar a publicação de acordo com uma devolução ordenada. Um relatório pós-evento independente deve reconciliar cada ato. Uma medida de continuidade que não pode retornar a autoridade de forma limpa é um mecanismo de tomada de controle, não uma salvaguarda.

Portabilidade ordinária preenche o espaço antes da emergência

A continuidade de emergência é projetada para incapacidade institucional grave. Muitas falhas de serviço prejudiciais ficam abaixo desse limiar. Um membro pode enfrentar meses de atraso, recuperação de conta inacessível, erro de registro não resolvido ou suporte precário enquanto a AFRINIC permanece amplamente operacional. Outros RIRs e a ICANN dificilmente ativarão arranjos regionais de emergência para um único detentor.

A portabilidade ordinária dá ao detentor um remédio proporcional. Pode transferir serviço definido para um provedor qualificado após autenticação, aviso e um período limitado de objeção. O estado autoritativo permanece intacto. A AFRINIC pode corrigir uma preocupação legítima sem prender o membro indefinidamente.

Esta rota normal também prepara a rota de emergência. Exportações comuns, interfaces de provedor, eventos versionados, destinatários qualificados e transições rotineiras são exercitadas regularmente. Em uma crise, a continuidade usa capacidades já comprovadas com detentores consentidos, em vez de documentação aberta pela primeira vez durante a falha institucional.

A relação se assemelha à segurança contra incêndio. Serviços de emergência permanecem necessários, mas os edifícios também mantêm saídas usadas e inspecionadas em condições ordinárias. Uma porta que é legalmente prometida mas nunca aberta é proteção fraca. A portabilidade de registro torna a saída uma capacidade operacional antes que a região dependa dela.

Detentores do setor público precisam de opções de continuidade antes da crise

Redes governamentais, hospitais, universidades, redes de pesquisa e serviços públicos podem depender de recursos numéricos para serviços que não podem esperar por uma longa disputa institucional. Regras de licitação, leis de registro público, deveres de segurança nacional e obrigações de continuidade também podem restringir qual provedor pode manter evidência de identidade ou operar serviços críticos.

Um modelo portátil permite que um órgão público escolha um provedor qualificado com arranjos legais e operacionais adequados, permanecendo dentro de um sistema numérico autoritativo. Pode designar um provedor de reserva, manter exportações testadas e pré-aprovar contatos de emergência. Esses arranjos devem ser visíveis para órgãos de supervisão sem expor detalhes sensíveis de rede.

A continuidade do setor público também precisa de regras de prioridade. A prioridade deve refletir a consequência do serviço, não a influência política ou o tamanho do portfólio. Uma rede hospitalar pode exigir restauração mais rápida de DNS reverso ou controle RPKI do que uma holding inativa, mas ambas retêm o mesmo direito a registros precisos e revisão devida.

Exercícios anuais devem incluir cenários do setor público: fechamento de escritório, rotatividade de liderança, licitação restrita, desastre nacional, demandas governamentais conflitantes e perda de um contato primário. O teste pergunta se a autoridade pode ser recuperada sem contornar a lei. Esperar até uma emergência para negociar jurisdição, evidência e pagamento não é resiliência.

Pequenos operadores não devem receber apenas uma saída teórica

Grandes redes podem contratar advogados, manter múltiplos contatos e construir continuidade personalizada. Pequenos provedores de acesso e redes comunitárias são mais propensos a depender do portal padrão, de um membro da equipe e do suporte padrão. Eles precisam mais de portabilidade e podem ser menos capazes de usar uma versão complexa dela.

O serviço básico deve, portanto, incluir uma exportação simples, inventário claro de dependências, taxas previsíveis, recuperação de identidade assistida e acesso a pelo menos um provedor receptor qualificado. Nenhum incumbente deve cobrar uma taxa de saída punitiva ou exigir negociação personalizada. Dívidas podem seguir remédios contratuais ordinários, a menos que uma regra restrita as torne relevantes para o ato específico.

Os custos de qualificação do provedor não devem ser repassados a pequenos detentores através de pacotes premium obrigatórios. Um mínimo comum pode ser financiado através de taxas de registro ordinárias ou uma taxa de continuidade compartilhada. Serviços de maior garantia e personalizados podem custar mais, mas a saída prática deve permanecer disponível para todo detentor reconhecido.

Métricas de sucesso devem ser segmentadas por escala do detentor. Um sistema que funciona apenas para operadores multinacionais não reduziu o risco de concentração regional. Casos de teste devem incluir contatos desatualizados, proficiência limitada em inglês, acesso de baixa largura de banda, um portfólio misto de recursos e uma solicitação enviada fora do horário comercial local do provedor.

Um teste de estresse de portabilidade deve preceder alegações de resiliência

A AFRINIC e qualquer provedor qualificado devem completar um exercício anual observado independentemente. O portfólio de teste deve conter registros de recursos realistas e dependências sem colocar em risco redes de produção. A equipe ordinária deve lidar com isso através dos canais normais de serviço. A intervenção sênior deve ser registrada em vez de usada invisivelmente para resgatar o resultado.

O exercício começa com uma exportação autenticada pelo titular e uma solicitação de troca de provedor. Testa completude da evidência, tratamento de objeções, prontidão do provedor receptor, controle de versão autoritativo, convergência de serviços públicos, escolhas de dependência e acesso pós-transição. Um segundo cenário ativa serviço temporário de emergência após perda simulada da instituição primária.

Limites de tempo devem seguir a consequência. A continuidade pública de RDAP e WHOIS pode tolerar apenas breve interrupção. Mudanças de alto risco podem pausar com segurança enquanto a identidade é resolvida. A publicação RPKI existente pode precisar de disponibilidade contínua mesmo quando novas autorizações são restritas. O teste deve publicar tanto os alvos quanto os resultados observados.

Um exercício passa apenas quando evidência independente mostra uma autoridade corrente em cada estágio, nenhuma mudança de identidade do titular, nenhuma perda de histórico, nenhum controle duplo ilimitado e um encerramento limpo. A entrega de um arquivo de backup não é uma aprovação. O lado receptor deve usá-lo para fornecer serviço definido.

Sete casos de falha revelam se a recuperação é estrutural

O primeiro caso é a perda do portal do membro por vários dias enquanto o registro público permanece disponível. Titulares autorizados podem submeter correções urgentes através de um canal alternativo verificado? O segundo é a corrupção de um conjunto recente de transações. Réplicas e recibos podem identificar o último bom estado sem apagar mudanças aceitas?

O terceiro é uma ordem judicial restringindo um ato definido da AFRINIC. A restrição pode ser aplicada estritamente enquanto o serviço não relacionado do titular continua? O quarto é o comprometimento suspeito de uma chave de serviço RPKI. A publicação e revogação podem ser gerenciadas sem dar a um operador temporário poder irrestrito de autorização de rota?

O quinto é insolvência ou incapacidade súbita de pagar fornecedores críticos. Os dados, domínios, certificados e contratos de serviço estão isolados o suficiente para ativar a continuidade? O sexto é a perda de vários membros-chave da equipe. Outra equipe pode reconstruir a autoridade a partir de registros, em vez de memória privada?

O sétimo é uma troca voluntária ordinária por um titular insatisfeito mas incontestado. A mudança pode ser concluída no prazo prometido enquanto a AFRINIC permanece totalmente operacional? Este último caso é especialmente revelador. Uma instituição que pode apoiar apenas a substituição de emergência, mas não a saída normal, ainda controla a continuidade como um favor.

Os resultados devem declarar quais atos tiveram sucesso, falharam ou exigiram intervenção extraordinária. Variação de cenário impede teatro ensaiado. Falha repetida deve mudar prioridades de qualificação, financiamento e remediação.

Métricas devem medir o controle do titular e o estado público coerente

A métrica primária é o tempo de ponta a ponta desde um gatilho válido de troca ou continuidade até o serviço verificado independentemente. Medidas de estágio incluem autenticação, exportação, objeção, prontidão do receptor, commit autoritativo, convergência pública e conclusão de dependência. Casos de cauda longa devem ser visíveis em vez de ocultos por médias.

Medidas de qualidade incluem completude do registro, consistência de versão, precisão das restrições ativas, acesso do titular, ausência de autoridade corrente conflitante e retirada correta de credenciais de saída. Serviços públicos devem ser consultados de diversas redes. Resultados RPKI devem ser observados por sistemas dependentes, não inferidos de uma mensagem interna de sucesso.

Medidas de continuidade incluem ponto de recuperação, tempo de recuperação, porcentagem de serviços críticos restaurados, duração da autoridade temporária e completude da devolução. Medidas de experiência do titular incluem clareza do aviso, requisitos estáveis, tempo de reclamação e passos manuais inesperados.

Medidas de mercado também importam: número de provedores qualificados, concentração de recursos atendidos, taxas de troca, taxas de falha e custo efetivo para pequenos detentores. Alta troca não é automaticamente boa, e baixa troca não é prova de satisfação. O principal é se uma troca segura está disponível e testada.

Toda métrica precisa de um denominador e uma fonte de evidência independente. Alegações como todos os serviços críticos restaurados são sem sentido a menos que a lista de serviços e funções excluídas sejam nomeadas. Resiliência deve ser uma propriedade observada, não uma descrição escolhida pelo incumbente.

A responsabilidade deve seguir a função falha

A portabilidade divide funções entre a camada de autoridade comum, o provedor servidor, o custodiano da caução, o verificador de identidade, o operador de emergência e o titular. A prestação de contas deve seguir essa divisão. Um provedor que perde uma exportação não deve culpar o registro comum. Uma autoridade que comete um estado conflitante não deve transferir a responsabilidade ao provedor que submeteu uma instrução válida.

Contratos devem definir deveres de correção, indenizações, seguros ou reservas, custódia de evidência e compensação por níveis de serviço perdidos. Remédios básicos podem ser automáticos para atraso mensurável ou falha de dados, enquanto perdas maiores comprovadas seguem revisão. Limites de responsabilidade não devem tornar má conduta deliberada ou falha grave de custódia economicamente inócua.

O titular também tem deveres: manter contatos atuais, proteger credenciais, divulgar mudanças de controle e responder à verificação. Falha pode justificar uma pausa limitada. Não deve permitir que provedores confiscam o controle prático para sempre.

Revisão independente resolve disputas de função e preserva a continuidade enquanto a responsabilidade é determinada. O revisor pode ordenar acesso temporário, correção de registro ou serviço limitado sem decidir cada pedido de danos. Resultados agregados públicos revelam se uma função falha repetidamente.

Responsabilidade clara torna a portabilidade mais crível e menos política. Provedores competem em serviço enquanto sabem o custo da má custódia. A autoridade comum permanece responsável pela coerência. Os titulares sabem qual promessa se aplica quando algo quebra.

A governança da camada comum deve resistir à captura pelo provedor

Um mercado de serviço portátil ainda depende de regras comuns e ordenação autoritativa. Os provedores não devem controlar essas regras na proporção dos recursos que servem ou das taxas que cobram. Caso contrário, as maiores empresas podem excluir rivais, enfraquecer a saída ou escrever padrões de qualificação em torno de si mesmas.

A governança deve separar interesses de provedores, representação de titulares, expertise técnica, supervisão do interesse público e revisão independente. Conflitos são divulgados. Decisões que afetam troca, taxas ou qualificação exigem razões e análise de impacto. O operador da autoridade comum não deve vender secretamente serviço privilegiado.

Os membros da AFRINIC devem reter influência regional significativa sobre políticas que afetam alocação e uso. Portabilidade não exige fusão institucional ou perda de conhecimento local. Exige que o cativeiro de serviço não seja usado como mecanismo para preservar a voz regional.

A camada comum deve ser estreita o suficiente para auditar: identidade do recurso, titular atual, funções atuais do provedor, eventos ordenados, restrições ativas e recibos verificáveis. Expandir para cada função de atendimento ao cliente recria a mesma concentração em um novo nível. Reduzir a um diretório solto permite reivindicações conflitantes. Restrição constitucional é um controle técnico de resiliência.

Uma transição pode fortalecer a AFRINIC em vez de contorná-la

A primeira fase é a prontidão da evidência. A AFRINIC identifica serviços críticos, publica metas de recuperação, verifica backups, inicia caução protegida, documenta custódia de chaves e dá a cada titular uma exportação de conta portátil. Nenhuma escolha de provedor é necessária ainda. Testes de restauração independentes estabelecem a linha de base.

A segunda fase é a interoperabilidade. Um pequeno número de organizações qualificadas implementa as regras comuns de registro e eventos assinados em um ambiente de teste. Demonstram importação, convergência de serviços públicos, seleção de dependência e retirada de autoridade. A AFRINIC participa tanto como instituição reconhecida quanto como provedora servidora.

A terceira fase é um piloto voluntário com detentores de baixo risco e incontestados. Portfólios movem serviço de registro enquanto a identidade do titular e a autoridade pública permanecem constantes. Métricas, reclamações e descobertas de segurança são publicadas. O piloto pausa se autoridade conflitante ou sobreposição de chaves ilimitada aparecer.

A quarta fase adiciona continuidade de emergência e arranjos de reserva do setor público. Exercícios independentes ativam serviço temporário limitado e depois o devolvem. Apenas após repetição limpa o modelo deve expandir.

Esta sequência preserva a confiança acumulada e evita fragmentação súbita. Também dá à AFRINIC uma conquista concreta de recuperação: não meramente tornar-se o único guardião novamente, mas ajudar a estabelecer um sistema regional que pode sobreviver à falha temporária de qualquer provedor, incluindo ela mesma.

As objeções mais fortes podem ser testadas em vez de afirmadas

A objeção de fragmentação é séria. Se a portabilidade produzir registros de titular concorrentes, ela falha. A resposta é um estado autoritativo ordenado, mudanças vinculadas à versão e testes de conformidade independentes. Nenhum provedor recebe poder para criar um histórico de alocação paralelo.

A objeção de segurança também é séria. Mais provedores criam mais superfícies de ataque. Qualificação, funções limitadas, aprovação multipartidária, credenciais revogáveis e histórico de eventos visíveis abordam esse risco. A comparação relevante não é entre um monopólio perfeito e uma pluralidade arriscada; é entre comprometimento concentrado e substitutibilidade controlada.

A objeção legal pergunta se acordos existentes e reconhecimento global permitem separação de serviço. Algumas mudanças podem exigir contratos, política e coordenação mais ampla. Isso é uma razão para design deliberado, não para assumir que exclusividade permanente é tecnicamente inevitável. Escopos piloto podem começar com funções de suporte e custódia que não alteram o reconhecimento.

A objeção de custo pergunta quem financia capacidade duplicada. Sistemas de reserva custam dinheiro. Também custam anos de litígio, reconstrução de emergência e serviço atrasado. Infraestrutura compartilhada e níveis de serviço baseados em risco podem limitar despesas. Relatórios públicos devem comparar custo com benefício de recuperação observado.

A objeção de soberania regional teme controle externo. Um modelo limitado pode preservar a autoridade política africana enquanto permite que os titulares selecionem serviço qualificado e suporte de emergência. Cativeiro a uma entidade legal não é a única maneira de preservar o autogoverno regional.

O teste 2025-2027 é se as reformas mudam o contrafactual

O conselho da AFRINIC pode apontar auditorias, nomeações, reuniões de políticas renovadas, tecnologia aprimorada e procedimentos estabelecidos. Essas conquistas importam. A questão de resiliência pergunta o que aconteceria se um choque institucional comparável ocorresse após as reformas.

Os operadores esperariam novamente por tribunais, um administrador judicial, órgãos de coordenação estrangeiros e esforço excepcional da equipe para preservar o serviço? Ou um arranjo de continuidade pré-autorizado ativaria a partir de caução atual, credenciais limitadas e provedores qualificados? Um detentor individual poderia mover serviço ordinário antes da falha institucional? Os registros públicos convergiriam sem incerteza?

A discussão global emergente sobre auditorias de RIR, continuidade de emergência e descaracterização mostra que a suposição antiga de saúde institucional permanente não é mais suficiente. No entanto, um mecanismo regional de emergência continua sendo um último recurso de alto limiar. A direção da NRS adiciona o meio faltante: saída rotineira e escolha de provedor sob uma verdade autoritativa.

Até 2027, a AFRINIC deve ser julgada não apenas por evitar outra crise, mas por reduzir o dano que uma crise poderia causar. Prevenção sem substitutibilidade deixa os membros expostos a eventos raros mas severos. Substitutibilidade sem prevenção desperdiça capacidade institucional. Um programa de recuperação maduro combina ambos.

A recuperação torna-se crível quando a falha é sobrevivível

A AFRINIC merece uma avaliação justa de seu conselho restaurado e da equipe que manteve o serviço através de condições extraordinárias. A crítica institucional não deve apagar a continuidade bem-sucedida ou presumir que outro colapso é inevitável. O propósito da portabilidade é precisamente evitar fazer a resiliência depender de uma previsão sobre a próxima equipe de liderança.

Um detentor deve poder dizer: este é o mesmo recurso, a mesma organização reconhecida e o mesmo histórico ordenado; apenas o provedor de serviço qualificado mudou. Em uma emergência, um operador temporário deve poder preservar funções definidas sem assumir a política. Quando a AFRINIC se recuperar, a autoridade deve retornar através de uma devolução testada. Em cada estágio, as redes dependentes devem ver um estado corrente coerente.

Esse é um padrão mais alto do que restaurar o antigo normal. Trata os anos de administração judicial, litígio e interrupção de governança como evidência sobre concentração institucional, em vez de um desvio único causado apenas por pessoas particulares. Também dá à AFRINIC um papel construtivo no próximo acordo.

Sem portabilidade, pede-se aos membros que confiem que o reparo da governança evitará toda falha composta futura. Com portabilidade, a confiança permanece valiosa, mas não é mais o único controle de continuidade. O primeiro é uma aposta em gestão durável. O segundo é uma arquitetura para sobreviver à decepção.

Recuperação da AFRINIC sem portabilidade de registro ainda é uma aposta