Resumo

  • A política atual da APNIC verifica se um contato IRT pode ser alcançado. A prop-171 faz outra pergunta: quando um recurso é repassado a uma rede downstream, a denúncia consegue chegar a quem pode investigar?
  • A APNIC 62 devolveu o texto à lista de discussão sem consenso. Continuam em aberto a definição de “caminho operacional confiável”, a evidência de encaminhamento e o papel de verificação da Secretaria.

A mensagem chega, mas a responsabilidade pode parar antes

Um e-mail pode ser entregue e até receber uma confirmação sem que o destinatário tenha acesso à rede afetada, autoridade para pedir uma mudança ou um canal definido até o operador downstream. O registro sugere que o contato está ativo. A cadeia de atendimento talvez não chegue a ninguém capaz de investigar.

A prop-171 da APNIC, “Operational Accountability for Abuse Contacts in Sub-Allocated Address Space”, parte dessa diferença. A APNIC-127 exige um objeto Incident Response Team (IRT) para cada registro de recursos e valida periodicamente o contato informado. Responder à validação demonstra que o endereço funciona; não mostra que a denúncia será encaminhada à organização que conhece o cliente, prefixo, roteador ou serviço envolvido.

Isso ocorre quando o titular de recursos fornece conectividade ou espaço de endereçamento a outra organização. O provedor upstream pode manter o objeto no registro e uma equipe central de abuso, enquanto a organização downstream opera a rede de fato. Intermediários adicionais ampliam a distância. O registro público ajuda a localizar uma entrada, mas não explica o que acontece depois dela.

Os autores da proposta afirmam, com base em dados operacionais, que parcela significativa de certos relatos recebidos pela APNIC sobre contatos IRT sem resposta ou inoperantes vem de espaço subalocado. O texto não oferece contagens, denominador, período, método de amostragem ou dados verificáveis por terceiros. A afirmação deve ser atribuída aos proponentes; não é uma estimativa comprovada para a região ou para todas as denúncias de abuso.

O que a proposta mudaria — e o que não mudaria

O princípio da prop-171 é que, quando uma organização downstream usa os recursos, o titular upstream assegure um caminho operacional confiável entre o contato de abuso/IRT registrado e a parte responsável por tratar relatos referentes àquele espaço. O desenho fica em aberto. O operador downstream pode manter o contato; uma equipe central upstream pode identificar o cliente e encaminhar o caso; outro arranjo também pode servir, desde que denúncias legítimas cheguem sem demora indevida à parte responsável.

Essa flexibilidade importa porque hospedagem, atacado, redes empresariais e serviços gerenciados organizam suas operações de formas diferentes. A proposta tampouco exige a publicação de todos os contatos de clientes downstream. É possível localizar uma equipe de segurança sem divulgar e-mails pessoais ou mapas internos de escalonamento.

O texto não altera o intervalo de validação existente nem cria uma auditoria ou um novo mecanismo de conformidade. A APNIC não passaria a investigar abusos, e a Secretaria não receberia novos poderes de execução. Essas exclusões, porém, não mostram como provar que a rota funciona. Se a APNIC não lê o conteúdo das denúncias nem audita os operadores, o que o titular upstream deve guardar? Um teste controlado do encaminhamento, um registro de escalonamento, uma confirmação de recebimento ou uma atribuição formal de responsabilidades são possibilidades diferentes, com custos, impactos de privacidade e riscos de conformidade apenas documental.

Um campo cadastral não revela o próximo passo.

A avaliação da Secretaria aponta a lacuna de definição

A avaliação de impacto da Secretaria diz que a questão não é alterar o esquema do Whois: é definir “caminho operacional confiável” e como verificá-lo. A proposta também não fixa um tamanho mínimo para a subdelegação. Em uma organização grande, pequenos segmentos podem ter operadores e contatos distintos; um mesmo endereço pode apontar para várias opções. Quanto mais granular a obrigação, mais importante é dizer o que o titular upstream precisa manter e que evidência comprova o encaminhamento.

A avaliação identifica duas tensões. Primeiro, a política atual talvez já cubra parte dos arranjos: o titular pode criar objetos IRT por cliente ou usar o próprio IRT quando continua responsável. A prop-125 mantém no titular upstream a responsabilidade de validar o contato caso o contato downstream seja inválido ou não responda. Segundo, a regra atual não define claramente quem responde pelo que ocorre depois que uma denúncia chega a um contato válido. A prop-171 busca ocupar esse espaço, mas seu texto pode ser interpretado como uma expectativa adicional de execução, apesar de negar a criação desse mecanismo.

Não é uma disputa de redação secundária. Trata-se da fronteira de controle. Se a APNIC tiver de confirmar que a denúncia chegou a um operador capaz de agir, pode ser chamada a examinar procedimentos de encaminhamento, responsabilidades downstream e reclamações de atraso. Se o titular upstream for responsável, a política precisa indicar quais registros e medidas dão efeito a essa obrigação. Se a equipe downstream tratar o caso, o registro deve comunicar essa responsabilidade e preservar um caminho confiável de escalonamento.

A falta de consenso deixa um trabalho de desenho

Na APNIC 62, o Policy SIG não chegou a consenso e devolveu a prop-171 à lista de discussão. Isso não equivale à adoção nem à conclusão de que o problema descrito não existe. A página individual ainda mostra “For Discussion at APNIC62 OPM”, enquanto a listagem geral registra o resultado posterior. É uma diferença de atualização editorial; o relatório da reunião e a lista atual de propostas são as referências para o status.

Uma versão revisada seria mais verificável se separasse quatro questões: quem aparece como titular do recurso; quem opera a rede afetada; quem recebe e encaminha a denúncia; e que registro demonstra a transferência. Também precisaria explicar como aplicar “sem demora indevida”. Incidentes diferentes não precisam de um prazo idêntico, mas a regra precisa oferecer um processo que possa ser analisado.

Receber não é resolver. Um registro pode facilitar a descoberta do contato e manter os dados válidos. Não pode decidir se a denúncia é correta, se a providência solicitada é adequada ou o que uma equipe deve divulgar durante sua investigação. A confirmação de encaminhamento deveria provar que a parte responsável foi alcançada sem transformar a APNIC em árbitro do mérito nem expor dados sensíveis de clientes.

A APNIC-127 já exige contatos monitorados e validação a cada seis meses. É uma base concreta. A prop-171 pergunta se a responsabilidade que torna útil esse contato também inclui o próximo repasse. Sem consenso na APNIC 62, “alcançável” e “responsável” continuam sendo afirmações diferentes.

Fontes

  • APNIC, página da prop-171 e status publicado. Página
  • APNIC, texto v001 da prop-171 e avaliação da Secretaria. Texto
  • APNIC 62, relatório oficial. Relatório
  • APNIC Blog, resultados das propostas do Policy SIG na APNIC 62, 25 de setembro de 2026. Artigo
  • APNIC-127, política em vigor. Políticas
  • APNIC, registro da prop-125. Página
  • APNIC, lista atual de propostas. Lista
  • APNIC, processo de desenvolvimento de políticas. Processo
  • Heng Lu, Note 65, “Running-Code Primacy” (somente como lente editorial). Artigo