Resumo

  • O rascunho AFPUB-2018-GEN-001-DRAFT01 propôs tornar obrigatório o contato abuse-c nos registros inetnum, inet6num e aut-num diretamente emitidos pela AFRINIC, substituindo uma referência anterior baseada em IRT que era incentivada, mas opcional.
  • A validação exemplificada enviaria dois e-mails consecutivos, um com endereço de confirmação e outro com código único. O contato teria até dois dias úteis para usar um formulário protegido por CAPTCHA e declarar que a caixa era monitorada, que medidas eram tomadas e que as denúncias recebiam resposta; depois haveria uma escalada de até três dias úteis.
  • Exigir um endereço funcional e testar objetivamente sua capacidade de receber mensagens é manutenção legítima de um registro. Exigir intervenção manual, proibir filtros e formulários, avaliar promessas de ação e associar a falha a infração e procedimentos de revogação é supervisão de conduta.
  • O reparo correto é estreito: teste de entrega, aviso previsível, prazo significativo para correção e indicação pública, datada, de qualidade do dado. Uma falha de contato jamais deve, por si só, ameaçar controle de recursos numéricos, voto, transferência, RPKI, DNS reverso, roteamento ou atendimento a clientes.

L3 — A máquina de validação de cinco dias úteis

Dois e-mails em texto simples chegariam em sequência. O primeiro traria um endereço de confirmação; o segundo, um código único. A pessoa responsável pela caixa de abuso precisaria abrir um formulário protegido por CAPTCHA, colar o código e marcar uma declaração. Não bastaria provar que a mensagem fora entregue. O clique confirmaria que a caixa era monitorada regularmente, que medidas eram tomadas e que uma denúncia receberia resposta. O prazo inicial seria de no máximo dois dias úteis.

Se o código continuasse sem uso, o contato passaria a ser temporariamente inválido, a equipe procuraria o LIR e se abriria uma segunda janela, de no máximo três dias úteis. Sem correção, a condição se tornaria permanente; uma nova reprovação seria considerada descumprimento de política. Em apenas cinco dias úteis, uma verificação de endereço podia caminhar da entrega de correio até uma exposição ligada a procedimentos que tratavam, em especial, de revogação de recursos.

Esse era o mecanismo mais revelador do Abuse Contact Policy Update Draft 1, identificado como AFPUB-2018-GEN-001-DRAFT01 e apresentado por Jordi Palet Martinez em 12 de agosto de 2018. O texto propunha substituir a seção 8.0 do manual de políticas. Sua inovação central era mudar a natureza da publicação do contato. Desde a política anterior, ratificada em 2011 e implementada segundo a AFRINIC em 5 de maio de 2012, já existia um objeto dedicado, baseado em IRT, para reunir informações de atendimento a abuso. Registros inetnum, inet6num e aut-num podiam fazer referência a esse objeto. O uso era recomendado como boa prática, porém a referência continuava opcional. O primeiro rascunho de 2018 trocava esse arranjo de adesão por uma obrigação comum: todo recurso alocado diretamente pela AFRINIC teria de incluir um contato abuse-c no objeto correspondente do WHOIS.

O núcleo dessa mudança era defensável. Um endereço IP ou número de sistema autônomo pode aparecer em uma investigação de spam, fraude, invasão, distribuição de malware, varredura hostil ou outro incidente. Quem tenta avisar a rede precisa encontrar rapidamente o balcão operacional adequado. Se cada titular publica a informação de modo diferente, ou se alguns não publicam nada, a busca custa tempo e multiplica encaminhamentos errados. Uma referência uniforme reduz a incerteza: o reclamante consulta o registro, encontra a função responsável e entrega evidências ao ponto que pode triá-las.

Um endereço vinculado ao recurso também evita que uma página institucional genérica se torne a única pista para incidentes urgentes. Para equipes de resposta, redes vizinhas e usuários afetados, a diferença entre uma caixa atual e uma caixa abandonada é real.

O rascunho exigia ao menos uma caixa válida, monitorada e administrada ativamente. Nos registros dos recursos diretamente emitidos, o abuse-c seria obrigatório; objetos filhos poderiam herdar o contato do registro superior ou publicar um contato próprio. Essa possibilidade de herança reconhecia uma característica normal da operação de redes. Nem toda subalocação precisa manter um balcão independente, e o titular que centraliza a triagem pode oferecer uma rota mais segura do que dezenas de endereços pouco acompanhados. Ao mesmo tempo, uma rede com equipes distintas poderia apontar o objeto filho para quem tivesse conhecimento mais próximo do serviço ou cliente envolvido.

O texto também pretendia tornar a caixa disponível sem restrição por WHOIS, por interfaces de programação e por técnicas futuras. A ambição de acesso amplo fazia sentido como desenho de diretório: a utilidade do campo depende de poder ser consultado. Um contato secreto ou acessível apenas por uma interface privada não resolve a busca do denunciante. Contudo, exposição ampla e validade operacional não são conceitos idênticos. Publicar um endereço facilita relatos legítimos, mas também atrai spam, anexos maliciosos, testes automatizados, mensagens repetidas e acusações sem evidência.

A política precisava, portanto, preservar a capacidade do operador de defender o próprio sistema de atendimento. Foi justamente nesse ponto que o primeiro rascunho começou a sair do terreno da exatidão cadastral.

A seção sobre tratamento das mensagens determinava que o correio enviado à caixa exigisse intervenção manual em algum momento. Uma confirmação automática inicial seria permitida, mas a mensagem não poderia ser filtrada. O denunciante tampouco poderia ser obrigado a preencher um formulário na internet. Essas exigências tentavam impedir contatos de fachada: caixas que respondessem automaticamente e descartassem tudo, filtros montados para reconhecer apenas mensagens de teste ou páginas que criassem obstáculos até o reclamante desistir. A preocupação era compreensível.

Um campo público que leva a um beco sem saída é um dado formalmente preenchido e materialmente inútil.

Ainda assim, proibir filtragem não mede se um endereço existe. Prescreve a arquitetura de segurança da organização. Filtros separam spam, isolam executáveis, limitam mensagens grandes, detectam repetição, rejeitam tipos de arquivo perigosos e classificam prioridade. Uma pequena operadora pode depender deles para manter uma equipe reduzida funcional; uma rede maior pode integrar correio, plataforma de chamados, análise automática e filas especializadas. Exigir que toda mensagem alcance uma etapa humana sem admitir triagem técnica não distingue uma denúncia documentada de um ataque contra a própria caixa.

O registro conhece o endereço publicado, mas não conhece o modelo de ameaças, o volume de correio, o idioma, a escala nem as obrigações contratuais de cada titular.

A vedação ao formulário obrigatório produzia problema semelhante. Um formulário pode ser usado de maneira abusiva para afastar reclamantes, mas também pode padronizar os elementos mínimos de uma denúncia: horário, fuso, IP de origem, cabeçalho completo, registros, categoria do incidente e meio seguro para anexos. Pode ocultar endereços de funcionários, limitar conteúdo ativo e enviar o caso diretamente ao sistema de chamados. A pergunta registral legítima é se existe um meio alcançável de contato. A pergunta sobre qual canal organiza melhor evidências e reduz risco pertence à operação.

Ao escolher correio sem filtros e rejeitar uma modalidade de entrada, o rascunho deixou de verificar o mapa e passou a administrar a recepção.

O procedimento de validação tornava essa passagem ainda mais explícita. A AFRINIC faria a checagem na criação do contato ou na atualização do registro, periodicamente pelo menos uma vez a cada três meses e sempre que considerasse adequado. O rascunho admitia variar domínios de envio, assuntos e corpo das mensagens em algumas validações, uma tentativa de evitar que o titular configurasse uma resposta especial apenas para testes reconhecíveis.

O objetivo de combater uma simulação é benigno, mas a autorização aberta para testar quando a organização julgasse conveniente retirava previsibilidade de um procedimento que podia gerar consequências graves. Uma verificação extraordinária poderia coincidir com troca de equipe, incidente, feriado local, falha temporária do provedor de correio ou mudança de regras antispam. Nenhuma dessas circunstâncias demonstraria desinteresse por abusos na rede.

A técnica das duas mensagens também merece precisão. Enviar o endereço de confirmação separado do código pode mostrar que a pessoa controla a caixa, e o CAPTCHA reduz algum uso automatizado indevido do formulário. Se o único resultado fosse “mensagem entregue, código confirmado”, o teste permaneceria próximo da manutenção de dados. Mas a caixa de seleção carregava uma afirmação mais ampla. Ao aceitá-la, o destinatário confirmaria que conhecia o procedimento e a política, que monitorava regularmente a caixa, que tomava medidas e que uma denúncia recebia resposta.

As primeiras confirmações dizem respeito à existência de uma função e à compreensão do teste. As últimas falam sobre o comportamento da organização diante de fatos ainda desconhecidos.

“Tomar medidas” parece simples até se perguntar quais medidas, diante de qual evidência e contra quem. Uma denúncia pode estar correta, incompleta, duplicada, fora de competência, tecnicamente impossível de verificar ou dirigida ao titular errado. O endereço observado pode pertencer a cliente, serviço compartilhado, equipamento comprometido, tradução de endereço, infraestrutura terceirizada ou fonte falsificada. Responder também não significa necessariamente concordar.

Uma equipe pode preservar evidências sem informar o denunciante imediatamente; pode precisar de autorização legal; pode encaminhar o caso ao cliente; pode bloquear um indicador sem revelar o resultado; ou pode concluir que os dados não sustentam ação. Uma marcação genérica não resolve essas diferenças. Ela apenas converte a promessa de diligência em condição associada ao registro.

O relógio agravava a confusão. Após dois dias úteis, o código não utilizado levaria à condição temporariamente inválida e ao contato da equipe com o LIR. O prazo adicional seria de até três dias úteis. Se o problema persistisse, a condição se tornaria permanentemente inválida. A repetição de uma falha em validação posterior seria tratada como descumprimento. O texto também previa acompanhamento mais exaustivo segundo políticas ou procedimentos relevantes da AFRINIC, com referência especial àqueles relacionados à revogação de recursos. A parte de escalada contemplava intermediação pela organização e a possível utilização desses procedimentos.

É essencial não transformar proposta em fato consumado. O primeiro rascunho permaneceu em discussão. Não há base para afirmar que ele tenha sido adotado, colocado em operação, usado contra um membro específico ou causado revogação. Seu significado está no poder que o texto pretendia construir, não em uma punição comprovadamente aplicada. A exposição era prospectiva: uma caixa não confirmada podia produzir um rótulo de invalidade, reincidência podia ser qualificada como infração e a apuração podia alcançar procedimentos de revogação.

Essa cadeia basta para avaliar a categoria institucional da proposta, desde que não se invente uma vítima ou um ato de execução.

A própria avaliação da equipe, datada de 12 de agosto de 2018, confirmou como a AFRINIC entendia os pontos centrais. O abuse-c seria obrigatório nos objetos inetnum, inet6num e aut-num diretamente emitidos; objetos filhos continuariam com opção de herança ou contato próprio; a verificação ocorreria na criação e pelo menos trimestralmente; e uma reprovação seria entendida como descumprimento sujeito às medidas usuais. A estimativa era de no mínimo um mês e meio de trabalho para desenvolvimento, testes e implantação. A avaliação não registrou comentários da assessoria jurídica. O dado é importante não porque a ausência de comentário prove ilegalidade, mas porque um mecanismo que aproximava qualidade cadastral de consequências sobre recursos não vinha acompanhado, naquele documento, de uma justificação jurídica para poder coercitivo.

O custo de um mês e meio também revela que o desenho não era apenas a adição de uma coluna. Seriam necessários disparos de mensagens, códigos, formulários, estados temporário e permanente, periodicidade, novas tentativas, acompanhamento da equipe e integração com a administração de registros. A infraestrutura implementaria uma sequência de decisões: quem estava no prazo, quem falhara, quando escalar e que consequência considerar. Quanto maior a consequência, mais importam critérios claros, registros auditáveis, meios de contestar erros e proteção contra falhas do próprio verificador.

O primeiro rascunho descrevia uma máquina de conformidade mais extensa do que a necessidade elementar de descobrir se uma caixa recebe correio.

Há uma diferença entre manter o registro correto e certificar a qualidade moral ou operacional do titular. O primeiro pode ser observado por sinais limitados: o endereço existe, a mensagem não retorna, uma pessoa com controle confirma o papel, o dado foi atualizado em data conhecida. O segundo exigiria apuração: a denúncia era autêntica, o evento ocorreu, o titular tinha capacidade de agir, a resposta foi adequada, o cliente colaborou, a prova satisfez o padrão aplicável. O teste de duas mensagens não podia responder a essas questões.

Mesmo assim, a declaração exigida e a consequência de reincidência importavam para dentro do registro uma expectativa sobre elas.

A evolução posterior não deve ser projetada para trás. O Draft 2 foi publicado em 20 de novembro de 2018. A discussão da AFRINIC-29, em 29 de novembro, registrou controvérsia sobre contatos verificados, restrição ao MyAFRINIC, efeitos sobre voto, proporcionalidade de punição e a objeção de que a organização estaria agindo como “polícia da Internet”. Os copresidentes anotaram ausência de consenso e devolveram a proposta à lista. O relatório anual de 2018 também descreveu o debate depois que a segunda versão já existia, inclusive medidas como bloqueio do acesso ao MyAFRINIC e ao voto.

Esses documentos ajudam a entender a trajetória e mostram que as consequências despertaram objeções, mas não são transcrições do instrumento de 12 de agosto.

Da mesma forma, o registro de versões mostra sete rascunhos, com o Draft 7 apresentado em 17 de maio de 2021 e descrito mais tarde como ratificado. Palavras, recursos, avaliações e desfechos posteriores pertencem às suas próprias datas. A análise do primeiro rascunho não pode tomar emprestado do sétimo um alcance que ele não tinha, nem usar o estado posterior para dizer que o texto inicial já era política vigente. Em 2018, o que existia era uma proposta em discussão.

Ela é relevante porque expõe, de forma particularmente nítida, como uma necessidade registral legítima pode receber uma camada comportamental e outra punitiva antes que a fronteira de autoridade seja examinada.