Resumo

  • A Draft 2, publicada em 9 de novembro de 2021, propôs um painel privado para mostrar a cada membro seu estado de conformidade com o RSA e as políticas de recursos, com verificações periódicas e o máximo possível de automação.
  • O exemplo de um bloco IPv6 não anunciado, mas usado legitimamente em rede interna, demonstra que uma observação automática pode pedir explicação sem provar infração.
  • O texto previa avisos, lembretes e encaminhamento à equipe após três meses sem resolução; também tratava mais de três violações confirmadas em doze meses como não conformidade persistente.
  • A proposta não definiu quem confirmaria uma violação, qual prova seria suficiente, como contestar uma marcação, se a contestação pausaria os prazos nem como um falso positivo corrigido sairia da contagem.
  • Publicação para recuperação, remoção de registros NS, retenção de serviços, recuperação de recursos, revogação e encerramento da condição de membro são consequências de natureza diferente de um aviso administrativo.
  • Um desenho seguro manteria o painel como instrumento de evidência, aviso e correção: controvérsias pausariam relógios e contagens, revisores humanos fundamentariam decisões e nenhum estado do painel teria acesso direto a ações operacionais.

O alerta que já traz a própria ressalva

Em 16 de novembro de 2021, uma discussão na lista RPD chegou ao exemplo que deveria governar toda a leitura da Draft 2. Uma verificação automática poderia observar que uma atribuição IPv6 não estava anunciada publicamente. A ausência seria visível nos dados que a AFRINIC já mantinha e poderia aparecer no painel privado do membro. Mas o recurso talvez estivesse sendo usado apenas dentro da rede dessa organização. Nesse caso, não haveria necessariamente descumprimento algum; haveria um fato incompleto à espera de contexto.

A primeira reação útil a essa diferença é notificar. O membro pode confirmar o uso interno, corrigir um registro, apresentar informação que o sistema não enxerga ou descobrir um problema real que deseja resolver. A primeira reação perigosa é permitir que a observação envelheça até ganhar outro nome. Um sinal que o software classificou como “não anunciado” não se torna violação simplesmente porque continua na tela. O tempo não supre a informação ausente, e a falta de resposta não transforma automaticamente uma hipótese técnica em conclusão contratual.

Essa distinção ganhou importância especial na Policy Compliance Dashboard Draft 2, identificada como AFPUB-2021-GEN-003-DRAFT02, versão 2.0. Jordi Palet Martinez, Frank Habicht, Mark Elkins e Haitham El Nakhal constam como autores da proposta publicada pela AFRINIC em 9 de novembro de 2021. O texto previa aviso automático quando fosse detectada uma desconformidade, lembretes e comunicação à equipe da AFRINIC se a situação permanecesse sem solução por três meses.

Previa também considerar persistente a não conformidade quando houvesse mais de três violações confirmadas em doze meses, com reinício do critério depois de doze meses sem violações de política.

O risco, portanto, não estava escondido numa possibilidade abstrata. Estava na junção de dois mecanismos expressos: um relógio de três meses e uma contagem anual de ocorrências confirmadas. Mais adiante, a proposta descrevia investigação, publicação de recursos para recuperação, remoção de registros NS, retenção de serviços, recuperação de recursos, revogação e encerramento da condição de membro. O texto, porém, não completava a passagem entre a marcação inicial e a “violação confirmada”. É nesse espaço vazio que uma ferramenta de informação pode mudar de natureza.

O serviço que a Draft 2 pretendia oferecer

A ideia básica tinha mérito operacional. A Draft 2 propôs incluir no Consolidated Policy Manual uma seção para um painel que mostraria a cada membro sua situação diante do Registration Services Agreement, o RSA, e das políticas aplicáveis a recursos numéricos. A revisão seria periódica e tão automatizada quanto possível. Mudanças no RSA ou nas políticas exigiriam revisão do próprio painel. Segundo a discussão registrada, cada organização veria seus dados em área privada, sem exposição aos demais membros.

Há valor concreto nesse tipo de serviço. Uma organização pode não perceber que um contato está desatualizado, que um documento deixou de corresponder ao registro ou que uma mudança de política criou uma obrigação verificável. Equipes de rede não vivem dentro do manual de políticas. Responsabilidades podem estar distribuídas entre engenharia, finanças, jurídico e administração. Uma indicação clara, entregue cedo ao destinatário correto, reduz o tempo gasto procurando a origem de uma divergência. Também pode diminuir trocas repetitivas com a equipe do registro e criar um histórico comum da correção.

Automação ajuda sobretudo quando o fato observado é estreito. O sistema pode registrar qual consulta realizou, em que momento, contra qual versão de uma regra e com que resultado. Pode repetir a checagem de modo consistente. Pode apresentar ao membro o dado que precisa de atenção e oferecer um caminho simples para atualizá-lo. Nada disso exige que a máquina resolva a importância jurídica ou operacional do fato. O bom painel economiza investigação; não pretende encerrá-la.

O melhor argumento a favor da proposta, portanto, merece ser levado a sério. Avisar antes é melhor que surpreender depois. Tornar uma pendência visível ao próprio membro é melhor que mantê-la dispersa em mensagens ou arquivos internos. Lembretes podem evitar que um problema corrigível se perca por troca de pessoal. Uma visão organizada pode ajudar tanto o membro quanto a equipe da AFRINIC a distinguir o que foi resolvido do que ainda precisa de esclarecimento. Se o painel terminasse nessa função, ele seria uma melhoria de atendimento e de escrituração técnica.

O problema começa quando a consistência da interface é confundida com uniformidade da prova. O painel pode reunir observações de naturezas muito diferentes. Um campo ausente, um pagamento pendente, uma rota não visível, uma interpretação sobre uso de recursos e uma suspeita de documento fraudulento não respondem à mesma pergunta, não exigem o mesmo conjunto probatório e não justificam o mesmo procedimento. Colocá-los em linhas semelhantes não os torna equivalentes. Exibi-los sob uma noção geral de conformidade não cria uma verdade única.

Cinco estados que não podem ser comprimidos

Para entender a lacuna da Draft 2, é preciso separar cinco estados: observação, contestação, confirmação, reincidência e consequência. Cada um responde a uma questão diferente e depende de uma autoridade diferente.

A observação diz apenas o que uma verificação encontrou. No exemplo do IPv6, a frase rigorosa seria: “na data e na fonte consultadas, não foi observado anúncio público desta atribuição”. Ela não deve avançar para “a atribuição não é usada” nem para “o membro violou a política”. O primeiro enunciado é reproduzível; os dois seguintes exigem contexto e interpretação. Registrar o dado bruto, o horário e a fonte preserva essa diferença.

A contestação surge quando o membro fornece uma explicação ou nega a leitura do sistema. Ela não prova por si só que o membro tem razão. Mas muda o caráter do item: já não há uma simples pendência silenciosa; há uma questão controvertida. A partir daí, continuar a tratar o marcador como fato adverso definitivo seria apagar do registro uma informação material — a existência da disputa.

A confirmação requer um padrão. Alguém precisa identificar a regra aplicável, examinar a evidência, responder à manifestação do membro, declarar conflitos e explicar por que o fato observado satisfaz ou não aquela regra. Em questões interpretativas, confirmar não é clicar novamente na saída do mesmo sistema. É produzir uma decisão fundamentada por uma pessoa que não esteja apenas repetindo a classificação inicial.

A reincidência exige comparabilidade e encerramento. Para contar um quarto episódio em doze meses, é preciso saber se os três anteriores foram realmente confirmados, se continuam válidos, se dizem respeito a obrigações comparáveis e se algum foi corrigido ou anulado. Uma contagem não é mais sólida que seus componentes. Se um falso positivo permanece no total, o número apresenta como história de conduta o que pode ter sido apenas história de erro administrativo.

A consequência, por fim, não é uma nova cor no painel. Publicar recursos numa página de recuperação, retirar registros NS, reter serviços, recuperar endereços ou encerrar a relação de membro altera a posição operacional de uma organização. Essas medidas exigem fundamento e processo próprios. Mesmo quando um contrato prevê medidas diante de descumprimento, um estado produzido por painel não pode ser considerado, sem mais, a conclusão contratual que autoriza executá-las.

A Draft 2 usava expressões como detecção, questão sem solução, violação confirmada, não conformidade persistente e descumprimento contratual confirmado. Mas não apresentava uma máquina de estados completa que mostrasse como a informação passaria de uma categoria para outra. Essa omissão é mais importante que qualquer escolha visual do painel. O que protege o membro não é a aparência amigável da primeira tela; é a impossibilidade técnica e procedimental de saltar etapas.

O ponto cego da confirmação

Quem confirma uma violação? A proposta publicada não respondia. Qual nível de evidência torna uma marcação confirmada? Também não. Como o membro contesta uma conclusão automática, em quanto tempo recebe resposta e quem revisa o caso? O texto não completava esse caminho. Tampouco esclarecia se uma contestação tempestiva pausaria o prazo de três meses ou impediria que o item entrasse na contagem de doze meses.

Essas não são minúcias que possam ser resolvidas depois da implantação. Elas definem o significado das palavras centrais da regra. Sem uma porta formal entre “detectado” e “confirmado”, o sistema tende a preencher o vazio por conveniência. Uma equipe pode considerar confirmada a ocorrência que permaneceu aberta. Outra pode exigir documento adicional. Um fluxo automatizado pode interpretar ausência de resposta como aceitação. Um membro pode acreditar que sua explicação suspendeu o caso enquanto o relógio continua correndo nos bastidores. A mesma linha pode ter estados diferentes para quem opera e para quem é avaliado.

O próprio exemplo do IPv6 mostra por que o silêncio não basta. Talvez a mensagem tenha chegado ao contato errado; talvez a equipe esteja reunindo dados; talvez o uso interno seja legítimo, mas difícil de demonstrar no formato solicitado; talvez a checagem tenha consultado uma fonte que não mede o comportamento relevante. Nenhuma dessas possibilidades comprova conformidade. Todas, porém, impedem que o simples decurso do tempo seja usado como substituto da prova.

Também falta a regra de correção retroativa. Se o membro demonstra que o alerta era falso, o item apenas recebe a etiqueta “resolvido”, ou desaparece de toda contagem adversa? A resposta precisa ser inequívoca: um falso positivo corrigido não pode continuar compondo a narrativa de reincidência. Preservar o histórico de auditoria é legítimo; preservar o efeito adverso do erro não é. O sistema pode registrar que uma observação foi feita e depois superada, mas a contagem aplicável a consequências deve voltar ao estado que teria existido se a conclusão correta estivesse disponível desde o início.

Há ainda uma diferença crucial entre defeito objetivo de registro e interpretação. Um campo obrigatório vazio pode ser verificado diretamente. Uma suposta incompatibilidade entre uso técnico e finalidade contratual pode depender de contexto, documentos e leitura do texto aplicável. A Draft 2 não oferecia uma classificação completa que separasse esses domínios. Sem ela, a precisão de checagens simples pode emprestar credibilidade excessiva às checagens controversas. O painel parece igualmente exato em todas as linhas, embora a incerteza seja radicalmente diferente.

Três meses: um relógio não é uma prova

O prazo de três meses tinha uma função administrativa compreensível: evitar que um aviso desaparecesse sem acompanhamento. A proposta previa notificação da equipe da AFRINIC quando o problema permanecesse sem solução durante esse período. Como mecanismo de fila, isso pode ser útil. Uma pendência antiga merece atenção humana. O erro seria tratar o envelhecimento como aumento da certeza.

Tempo e evidência são grandezas distintas. A ausência de resposta pode elevar a prioridade de contato, mas não fortalece automaticamente a hipótese original. Se uma observação começou com baixa confiança, noventa dias sem solução não a tornam precisa. Se houve contestação no décimo dia, os oitenta dias seguintes não podem ser contados como resistência a uma conclusão que ainda não foi produzida. Se a explicação depende de análise humana, o membro não deve suportar o custo do atraso do próprio revisor.

Um relógio seguro precisaria de eventos explícitos. O início só ocorreria após entrega comprovada do aviso, com descrição suficiente para permitir resposta. Uma manifestação tempestiva mudaria o estado para “contestado” e pausaria o prazo. Pedidos razoáveis de informação teriam datas e responsáveis. O relógio seria retomado apenas após uma decisão fundamentada e comunicada, se ainda houvesse uma providência concreta ao alcance do membro. Correções do sistema ou da fonte encerrariam o item sem saldo adverso.

Essa arquitetura não estimula protelação ilimitada. Contestação não precisa significar paralisia sem deveres. O membro pode ser obrigado a apresentar elementos mínimos e responder a perguntas pertinentes. O revisor pode rejeitar alegações genéricas, desde que explique por quê. A diferença é que o procedimento acompanha o fato real: enquanto o significado da observação estiver em exame, ela não é contada como violação. Administração de prazo continua possível; presunção automática de culpa, não.

Doze meses: quando o contador fabrica uma narrativa

A segunda engrenagem da Draft 2 era mais sensível. Mais de três violações confirmadas em doze meses seriam tratadas como não conformidade persistente. O critério seria reiniciado depois de doze meses sem violações de política. Um limite desse tipo promete consistência: em vez de decidir caso a caso se um comportamento é persistente, o sistema usaria uma regra conhecida. Mas a aparente objetividade do número desloca toda a disputa para a qualidade do que entra na contagem.

Quatro itens confirmados podem indicar repetição. Também podem reunir ocorrências incompatíveis entre si, revisões ainda pendentes ou marcações que deveriam ter sido anuladas. O total esconde essa composição. Ao chegar ao limiar, o membro deixa de ser visto como alguém com quatro questões distintas e passa a carregar um estado agregado de não conformidade persistente. Essa mudança de linguagem afeta a forma como a equipe lê o próximo evento. Uma nova observação pode parecer confirmação de um padrão antes mesmo de ser examinada.

Por isso, a elegibilidade para contagem precisa ser mais rigorosa que a elegibilidade para exibição. O painel deve poder mostrar uma observação assim que ela é útil ao membro. O contador adverso só poderia receber um item depois de decisão final no processo apropriado, esgotada a revisão disponível e preservada uma trilha de razões. Questões contestadas ficariam fora. Falsos positivos e conclusões revogadas seriam excluídos retroativamente. Eventos derivados do mesmo fato não poderiam ser fracionados para inflar o número.

Também é necessário definir o que significa “doze meses sem violações”. Se um item antigo é corrigido depois de meses, o período limpo começa na data da correção, na data do fato ou na data da decisão? Se a AFRINIC demora para decidir, esse atraso prolonga artificialmente a condição adversa? Sem regras de temporalidade, um mecanismo anunciado como previsível pode produzir resultados diferentes conforme a velocidade administrativa.

A contagem deve ser auditável pelo membro. Cada componente precisa apontar para a regra e a versão aplicadas, o fato observado, a decisão que o confirmou, a data em que se tornou final e o motivo pelo qual ainda é elegível. O total não pode ser uma caixa-preta. Embora a Draft 2 não propusesse um índice numérico composto, seus estados e limites poderiam ser vividos como um estado semelhante a uma pontuação. Justamente por isso, o sistema deveria mostrar menos síntese e mais proveniência.

O salto da tela privada para a infraestrutura

O painel descrito na discussão seria privado, e essa privacidade reduz um risco imediato: uma marcação preliminar não ficaria visível para outros membros. Mas a privacidade da tela não resolve o problema se o estado interno alimentar uma cadeia externa. Uma informação pode permanecer secreta e, ainda assim, produzir efeitos graves.

A Draft 2 dizia que evidências de falta persistente de conformidade poderiam levar a uma investigação mais exaustiva e a outras providências de acordo com o RSA. Também tratava de descumprimentos contratuais confirmados, citando transferências não autorizadas, falta de pagamento ou fraude documental, e associava esse tipo de conclusão à revogação de serviços e ao encerramento da condição de membro. Repetição ou continuidade de descumprimentos do RSA ou de políticas poderia levar à retenção de serviços e à revogação de recursos.

O texto descrevia uma sequência adicional. Primeiro haveria contato e tentativa de correção. Persistindo a situação, recursos propostos para recuperação poderiam ser colocados numa página pública por até três meses. Depois de dois meses de publicação, os registros NS pertinentes poderiam ser copiados e removidos, com possibilidade de restauração após contato e solução. Após três meses na página pública, os recursos poderiam ser recuperados e os registros de seu detentor retirados da base da AFRINIC.

O Board poderia, depois de avaliação da equipe, estender o período de revogação para infraestrutura estratégica essencial ou em circunstâncias excepcionais, como desastre natural ou instabilidade política.

Nada no registro examinado prova que essa proposta tenha sido ratificada pelo Board, adquirido força efetiva, sido implementada ou causado qualquer dessas medidas a um membro. É essencial não transformar uma análise do texto em relato de um evento que não foi demonstrado. Mas é igualmente essencial ler o desenho antes que uma consequência aconteça. O risco institucional está na possibilidade de conexão: uma marcação privada, se promovida sem salvaguardas, pode participar de um processo que termina em exposição pública e mudança operacional.

Essas etapas não são versões mais intensas de um lembrete. Publicar recursos para recuperação comunica ao mundo que a relação está em processo adverso. Remover registros NS mexe numa camada técnica. Reter serviços altera a capacidade de o membro lidar com o registro. Recuperar recursos e remover registros de titularidade modifica a escrituração que sustenta coordenação. Fechar a condição de membro encerra uma relação institucional. Cada ato exige fundamento separado, proporcionalidade, proteção de continuidade e oportunidade real de revisão.

A existência de uma prorrogação discricionária para infraestrutura essencial reconhece, de modo indireto, que a recuperação não é apenas uma mudança de cadastro. A continuidade pode ser afetada. Mas uma exceção decidida depois de avaliação da equipe não substitui uma barreira anterior contra conclusões erradas. O sistema não deve chegar à beira da medida grave para então perguntar se a infraestrutura é importante. A disputa sobre o fato básico precisa ser resolvida antes que o caso entre nessa trilha.

A recomendação de separar visibilidade e contrato

O material oficial da reunião AFRINIC-34 registrou uma recomendação da equipe que vai ao centro do problema: limitar a proposta a uma ferramenta de melhor visibilidade para a AFRINIC e para o membro detentor de recursos, deixando a gestão contratual fora do objeto do painel. Essa recomendação não prova que o desenho tenha sido adotado ou implementado. Ela comprova, contudo, que a separação funcional foi reconhecida no próprio processo de avaliação.

É uma divisão sensata porque preserva o benefício sem importar uma autoridade que o painel não possui. A interface pode ajudar a identificar e corrigir divergências. A administração contratual pode seguir o procedimento adequado às questões contratuais, com prova, resposta, decisão e revisão próprias. O painel pode fornecer evidência para essa análise, assim como uma planilha, uma mensagem ou um registro de sistema. Não pode substituir a análise.

Separar os fluxos também melhora a qualidade interna. Quando cada alerta é projetado para desembocar em sanção, equipes têm incentivo para reduzir a sensibilidade do detector a fim de evitar falsos positivos. Quando o painel é um serviço de aviso, pode ser mais aberto sobre incerteza e mostrar sinais fracos úteis. A organização recebe informação cedo sem que a mera existência do sinal a coloque sob ameaça. Precisão administrativa e proteção procedimental deixam de competir.

O limite institucional da AFRINIC

NRS descreve a AFRINIC como uma organização sem fins lucrativos, baseada em membros e incorporada em Maurício, cuja função central envolve a administração de recursos numéricos da Internet. Essa forma institucional importa. A AFRINIC é uma entidade privada de coordenação técnica. Seu trabalho legítimo inclui manter registros únicos, exatos e auditáveis, coordenar mudanças necessárias, conservar contatos úteis e comunicar diferenças corrigíveis.

Ela não é soberana, legisladora, reguladora, polícia, promotoria, instância punitiva, poder confiscatório nem tribunal de direito público. Uma reunião de política não fabrica esses poderes. Consenso entre participantes não converte um painel privado em lei. Discricionariedade do Board não transforma uma linha da base de dados em decisão judicial. Repetição de uma prática não cria soberania por costume.

Lu Heng formula a fronteira como separação entre administração e punição: um registro pode cuidar do livro de endereços e executar procedimentos técnicos estreitos, mas não deve usar esse controle para castigar condutas. A distinção não impede toda ação administrativa. Ao contrário, ela torna claro por que a precisão do registro, a entrega de avisos e a correção documentada são tarefas centrais. Também explica por que uma controvérsia sobre significado contratual ou conduta não pode ser decidida pelo simples poder de alterar o registro.

Contratos privados criam deveres e remédios, mas não mudam a natureza institucional das partes. O RSA pode ser relevante para uma controvérsia entre a AFRINIC e um membro. Isso não faz de qualquer inferência produzida pela AFRINIC uma conclusão irrecorrível, nem autoriza uma interface automatizada a decidir o que o contrato significa num caso contestado. Quanto mais severo o efeito pretendido, mais importante é uma instância competente e independente para resolver a controvérsia.

Essa independência não precisa apagar o conhecimento técnico do registro. A AFRINIC pode apresentar dados, explicar suas verificações e corrigir fatos sob seu controle. O que não pode fazer é acumular, sem separação, os papéis de detector, acusador, confirmador, revisor e executor. Um processo em que a mesma observação atravessa todos esses papéis sem uma ruptura real apenas reproduz a primeira classificação com crescente autoridade aparente.

Como o custo chega a quem opera redes

O problema pode parecer jurídico até que se observe a operação. A LARUS descreve caminhos pelos quais decisões de governança chegam às redes: aumento de carga documental, atraso, incerteza do registro, dificuldade de planejamento e exposição da continuidade. Essa análise não prova que a Draft 2 tenha causado um custo, uma interrupção ou uma sanção específica. Ela explica a transmissão possível entre um processo administrativo e decisões cotidianas de infraestrutura.

Quando uma equipe não sabe se um alerta será contado contra ela, precisa reservar tempo de engenharia, administração e jurídico para tratar o risco. Quando não sabe se a contestação pausa o prazo, a urgência deixa de refletir a gravidade técnica e passa a refletir o medo do relógio. Quando a correção não elimina claramente o item da reincidência, o passado administrativo continua afetando planejamento futuro. A incerteza vira custo mesmo antes de qualquer ato final.

Há ainda um desequilíbrio de perdas. Um falso positivo pode ser barato para quem executa a checagem e caro para quem precisa provar o contexto. Se o erro alcança um processo de recuperação ou de alteração técnica, a entidade que mantém o painel não suporta toda a consequência operacional. Isso recomenda prudência estrutural, não benevolência caso a caso. A proteção precisa existir no desenho do fluxo, antes de depender da disposição de uma equipe específica.

Continuidade não significa imunidade a obrigações. Um defeito real deve ser corrigido, e uma controvérsia contratual pode ter desfecho contrário ao membro. Significa apenas que o estado técnico verificado não deve ser desfeito enquanto a base da medida grave continua em disputa, salvo decisão de autoridade competente sob procedimento apropriado. Preservar a última configuração confiável reduz a chance de que o mecanismo de coordenação seja usado como alavanca durante a própria discussão.

Um painel que sabe dizer “não sei”

A alternativa não exige abandonar a automação. Exige torná-la mais honesta. Cada linha deveria começar com a identidade da checagem e a versão exata da cláusula do RSA ou da política usada como referência. Em seguida viriam a fonte, o horário, o dado bruto observado e uma descrição limitada da diferença. O painel distinguiria verificações objetivas de inferências interpretativas e mostraria o nível de incerteza sem convertê-lo em semáforo de culpa.

O membro receberia o aviso por canal verificável e veria quem deveria responder. Poderia corrigir um dado de registro, anexar evidência ou contestar a interpretação. A tela preservaria sua manifestação junto à observação original, sem enterrá-la em uma troca separada de mensagens. Cada atualização teria data e versão; uma correção não apagaria a auditoria, mas marcaria a conclusão anterior como superada.

Uma máquina de estados segura poderia começar em “diferença observada” e passar a “aviso entregue”. Enquanto se aguarda manifestação dentro de prazo razoável, o item ficaria em “resposta do membro pendente”. Se houvesse contestação tempestiva, mudaria para “contestado, relógio pausado”. Então seguiria para “revisão humana pendente”, com nome do responsável, declaração de conflito e data prevista. O revisor responderia aos argumentos e indicaria a prova utilizada.

Se a observação estivesse errada ou fosse explicada por uma situação legítima, o estado seria “corrigido, sem contagem adversa” e depois “resolvido”. Se houvesse defeito objetivo de registro, poderia passar para “correção verificada em aberto”, sempre com a providência específica que o membro pode adotar. Questões contratuais ou interpretativas que não fossem resolvidas iriam para “processo externo ou independente pendente, continuidade preservada”. Esse último estado é importante: ele reconhece a existência da controvérsia sem fingir que o painel tem poder para julgá-la.

O sistema precisaria de uma barreira imutável entre esses estados informativos e os comandos operacionais. Nenhuma linha do painel poderia publicar recursos, apagar registros NS, reter serviços, recuperar blocos, revogar recursos ou encerrar a condição de membro. Se uma decisão válida em procedimento separado autorizasse uma providência, outro sistema receberia o fundamento, verificaria a autoridade e aplicaria controles próprios. A separação deveria ser técnica, e não apenas uma promessa em manual.

Os relógios também ficariam visíveis. O membro saberia quando um prazo começou, qual evento o pausou, quando foi retomado e por quê. Tempo gasto pela AFRINIC em revisão não seria lançado contra o membro. Uma decisão corrigida recalcularia os prazos e retiraria o item da contagem desde a origem. Essa transparência permitiria auditoria sem revelar o painel a terceiros.

A contagem de reincidência, se ainda considerada necessária em algum processo separado, mostraria todos os componentes. Cada um apontaria para decisão final, regra, versão, data e relação com os demais eventos. Itens contestados, anulados ou derivados do mesmo fato seriam inelegíveis. O número total nunca substituiria a leitura dos casos. A função do contador seria recuperar decisões válidas, não fabricar um perfil moral do membro.

Esse desenho responde à defesa mais forte da Draft 2. Sim, membros podem perder mudanças de política, manter contatos antigos, atrasar pagamentos ou deixar defeitos mensuráveis sem atenção. Sim, uma visão privada pode antecipar correções e reduzir trabalho repetitivo. Precisamente por ser útil, o painel deve acolher sinais antes que tenham certeza suficiente para consequências. Para fazer isso sem causar dano, ele precisa declarar a incerteza e impedir que sinais preliminares escapem para outro domínio.

Testes que revelam a qualidade do desenho

Alguns cenários simples mostram se a barreira funciona. No caso do IPv6 interno, a checagem registra a ausência de anúncio público. O membro explica o uso privado e fornece elementos compatíveis. Um revisor reconhece que o indicador não demonstrava violação. O item permanece no histórico técnico como observação superada, não entra na contagem e nunca inicia uma trilha adversa.

Num segundo caso, um contato obrigatório realmente está desatualizado. O painel indica o campo, a regra e a data da checagem. O membro atualiza o registro, o sistema verifica a mudança e encerra a ocorrência. O procedimento produz valor sem investigação ampla. Mesmo aqui, uma falha temporária de entrega do aviso não pode ser tratada como recusa; prova de notificação é parte do estado.

Num terceiro, a divergência depende de interpretação contratual. O membro contesta, e a equipe técnica não consegue resolver apenas com dados de registro. O relógio para. O caso sai do fluxo de correção automática e vai a uma instância independente capaz de examinar texto, prova e argumentos. Enquanto isso, a última situação operacional verificada é preservada. O painel mostra “processo pendente”, não “violação confirmada”.

Num quarto, três ocorrências aparecem ligadas ao mesmo erro de fonte. Corrigir a fonte supera todas. O contador não pode transformar três manifestações do mesmo defeito de medição em três violações do membro. A trilha de auditoria deve permitir descobrir a correlação. Métricas internas podem registrar que o detector falhou repetidamente, mas essa informação serve para melhorar o sistema, não para agravar a posição da organização observada.

Num quinto, uma violação é confirmada pelo procedimento competente e uma providência de correção é determinada. O membro sabe o que deve fazer, em que prazo e como pedir revisão. Se não age, o processo adequado avalia o próximo passo. Ainda assim, a consequência não é disparada pelo painel. A legitimidade da medida vem da decisão independente e de seu fundamento, não da cor, idade ou posição de uma linha na interface.

Esses testes revelam uma regra prática: o sistema deve ser projetado para o caso contestado, não apenas para a correção fácil. Em situações simples, quase qualquer fluxo parece justo. É quando o dado é ambíguo, a fonte erra ou as partes discordam que aparecem as permissões reais embutidas na arquitetura.

O que o registro posterior permite afirmar

A página oficial da proposta anotou consenso aproximado na AFRINIC-34 em 18 de novembro de 2021, um período de última chamada de 8 de dezembro de 2021 a 5 de janeiro de 2022 e anúncio de consenso em 14 de janeiro de 2022, quando um relatório de ratificação foi enviado ao Board. Também registrou recurso iniciado no mesmo dia e retirado em 9 de agosto de 2022.

Esses marcos provam o que a página registrou sobre o processo. Não provam ratificação pelo Board, vigência, implementação, existência de um painel individual, violação confirmada, publicação de recursos, remoção de NS, recuperação, revogação ou encerramento de membro. O recurso mostra que a determinação posterior foi contestada; seus fundamentos e seu mérito não pertencem a esta análise.

Manter essa fronteira probatória é parte do argumento, não uma cautela lateral. Seria incoerente criticar a promoção de sinais incompletos a conclusões e, ao mesmo tempo, promover uma sequência processual documentada a prova de implementação. O registro oficial é forte para demonstrar o texto proposto, as datas, as avaliações e as falas atribuídas. Não recebe força adicional para provar fatos que ele próprio não estabelece.

A disciplina de permanecer um registro

O painel mais responsável seria aquele que aumenta a capacidade de ver sem aumentar, por conta própria, a capacidade de punir. Ele faria a pergunta certa no momento certo. Primeiro: qual diferença foi observada? Depois: o membro recebeu informação suficiente? Em seguida: houve correção ou contestação? Somente um procedimento separado perguntaria se ocorreu violação confirmada e qual resposta, se alguma, é autorizada.

Essa sequência não enfraquece a conformidade. Ela a torna verificável. Um membro que entende a observação e a regra pode corrigir mais rapidamente. Uma equipe que precisa fundamentar confirmações produz decisões mais consistentes. Um histórico que retira falsos positivos da contagem gera informação melhor sobre recorrência. Uma barreira contra comandos operacionais reduz o incentivo para ocultar incerteza. A disciplina procedimental melhora o próprio dado.

A Draft 2 colocou lado a lado uma boa intuição e uma ponte incompleta. A boa intuição era dar ao membro uma visão privada de diferenças que talvez pudesse corrigir. A ponte incompleta ligava avisos a um prazo de três meses, violações confirmadas a um limite de mais de três em doze meses e a noção de persistência a uma cadeia de providências potencialmente públicas e operacionais, sem definir suficientemente a confirmação e a contestação.

A resposta não é fingir que toda diferença é irrelevante. É manter cada coisa em seu lugar. Observação é insumo. Contestação é informação material que suspende a promoção do item. Confirmação é uma decisão fundamentada. Reincidência é uma conclusão derivada apenas de decisões finais comparáveis. Consequência pertence a processo autorizado e independente. Nenhuma dessas etapas pode ser obtida simplesmente esperando a anterior envelhecer.

AFRINIC presta seu serviço mais importante quando funciona como escriturária técnica e coordenadora privada: mantém registros confiáveis, entrega avisos precisos e facilita correções que sustentam a interoperabilidade. Ela ultrapassa esse mandato quando um estado produzido sob seu controle pretende valer como acusação, julgamento e ordem de execução. O endereço no livro precisa continuar sendo um fato administrado, não uma alavanca sobre a pessoa que depende dele.

O exemplo do IPv6 não anunciado oferece o critério final. O sistema viu algo real, mas não viu tudo. Um painel maduro começa por reconhecer essa limitação. Ele mostra a diferença, convida a explicação, registra a resposta e melhora o cadastro. Se houver controvérsia, para o relógio e abre revisão. O que ele jamais faz é converter sua visão parcial, pelo efeito do tempo ou da contagem, em licença para punir.