Resumo

  • A Resolução 202101.596, registrada em 20 de janeiro de 2021, aprovou a publicação do Relatório de Exatidão da Base de Dados WHOIS da AFRINIC. O ato abriu afirmações institucionais à verificação pública, mas não converteu uma autoavaliação retrospectiva em certificação independente.
  • Segundo a AFRINIC, foram examinados 2.824 prefixos IPv4 delegados a membros de recursos entre 2005 e 2019. Os números e as situações publicados são relevantes, inclusive quando medidos por volume de endereços, mas continuam sendo resultados atribuídos à própria instituição.
  • A distinção decisiva é entre livro-registro e autoridade: WHOIS e RDAP precisam ser exatos, rastreáveis e contestáveis para apoiar a coordenação. A entrada visível descreve uma afirmação administrativa; não prova, sozinha, quem tinha direito de fazê-la nem amplia os poderes de um registro privado.
  • A resposta proporcional não é expor credenciais, denunciantes ou processos individuais. É publicar um comprovante de exatidão versionado, com população e data de corte, classes de evidência, exceções por quantidade e volume, controles responsáveis, escopo de asseguração independente, correções e via de contestação.

L3 — O dia em que o livro-registro se tornou verificável

Uma resolução de publicação pode parecer um ato administrativo modesto. Neste caso, foi mais do que isso — embora tenha sido muito menos do que uma absolvição institucional. Em 20 de janeiro de 2021, ao aprovar a divulgação do Relatório de Exatidão da Base de Dados WHOIS, o Conselho da AFRINIC permitiu que leitores externos examinassem uma descrição formal de como o registro havia procurado conferir seus próprios dados. A partir daquele ato, população examinada, tipos de documentação, exceções encontradas, situações de remediação e controles anunciados deixaram de existir apenas como conhecimento interno.

Tornaram-se proposições públicas, passíveis de comparação, pergunta e correção.

É justamente por isso que a resolução deve ser lida com precisão. Ela demonstra que o Conselho aprovou a publicação do relatório. O relatório, por sua vez, demonstra o que a AFRINIC declarou sobre seu exame retrospectivo. Nenhum dos dois documentos demonstra que um terceiro reproduziu integralmente o trabalho, reabriu todos os arquivos, validou cada classificação ou concordou com cada conclusão. O valor da divulgação está em expor afirmações antes fechadas, não em encerrar o debate sobre elas.

Essa diferença é central porque WHOIS não é apenas uma vitrine de nomes e números. Para operadores e outras partes que consultam seus dados, ele funciona como um registro administrativo público: ajuda a identificar contatos, relacionar recursos a responsáveis declarados e orientar verificações. O sistema pode apoiar resposta a incidentes, diligência, transferências, avaliações de segurança e decisões de continuidade. Quando uma entrada está errada, desatualizada ou não pode ser ligada a uma alteração autorizada, o custo da dúvida não permanece dentro do escritório do registro.

Ele se espalha para quem precisa decidir se um contato é confiável, se um pedido merece prosseguir ou se uma mudança observada tem uma explicação legítima.

Mas utilidade não equivale a autoridade absoluta. Uma entrada em WHOIS ou RDAP é uma afirmação administrativa feita e mantida por um coordenador. Ela descreve o que o livro-registro diz; não cria, por si só, toda a realidade operacional, jurídica ou econômica a que se refere. Tampouco autentica sozinha a cadeia de autoridade por meio da qual foi inserida. A exatidão visível da linha final é importante, mas não responde automaticamente a perguntas anteriores: quem solicitou a alteração, com que autorização, apoiado em quais documentos, sob qual controle e com qual possibilidade de contestação?

O melhor modo de compreender a decisão de 2021 é separar duas coisas que frequentemente são confundidas. A primeira é o desempenho de uma função delimitada: manter registros únicos, coerentes, rastreáveis e corrigíveis. A segunda é a pretensão de que o desempenho dessa função confirme todas as demais alegações da organização que a executa. O relatório diz respeito à primeira. Não poderia, mesmo se fosse tecnicamente impecável, decidir a segunda.

Essa separação preserva o que há de valioso no papel da AFRINIC. O registro realiza trabalho técnico necessário quando mantém unicidade, atualiza dados de registro e contato, conserva histórico de mudanças autorizadas e oferece serviços públicos compatíveis de diretório. Essas tarefas precisam de regras claras e continuidade. A própria exigência de exatidão e unicidade aparece no entendimento técnico do sistema de registros numéricos da Internet. Nada disso exige tratar o escriturador como Estado, legislador, regulador, polícia, promotoria, autoridade punitiva, confiscadora ou tribunal. A AFRINIC é uma coordenadora técnica privada.

Sua competência legítima é real precisamente porque pode ser descrita de forma estreita.

O contraste também impede um erro comum de leitura. Se o relatório encontrou numerosos registros com documentação identificável, isso pode aumentar a confiança naquela conclusão específica, dentro do método descrito. Não segue daí que toda decisão institucional esteja correta. Se a publicação expôs falhas e ações de remediação, isso pode ser sinal de uma abertura útil. Não segue daí que a instituição tenha certificado a si própria para exercer poder sobre propriedade, modelos de negócio, sanções ou disputas. Um bom livro-registro não coroa o guardião do livro.

Os números divulgados ajudam a tornar a distinção concreta. A AFRINIC afirmou ter conferido registros de 2.824 prefixos IPv4 delegados a membros de recursos entre 2005 e 2019. Nove não tinham número de ticket e foram associados a alocações da Fiber Grid realizadas em 2012–2013. Entre os 2.815 registros com referência a ticket, 2.800 continham uma solicitação de recursos avaliada. As inconsistências em 15 diziam respeito, segundo o relatório, a prefixos importados de outros registros em um projeto anterior de transferência de registros.

Esses números são informativos por vários motivos. Eles dão uma definição observável da população que a instituição disse ter examinado; distinguem a existência de uma referência a ticket da existência de uma solicitação avaliada; e isolam exceções cuja origem administrativa foi descrita. Ao mesmo tempo, não devem ser convertidos em uma taxa universal de confiabilidade. A população estava delimitada por tipo de recurso, vínculo com membros e período de delegação. O fato de um ticket existir não prova, sozinho, a autoridade material de cada alteração.

E este artigo não reproduziu os documentos subjacentes para confirmar independentemente as classificações.

O relatório também descreveu um conjunto amplo de fontes usadas no exame posterior: arquivos internos de recursos, registros e histórico de WHOIS, estatísticas delegadas, tickets, dados de membresia e solicitações de recursos, DNS reverso, o Internet Routing Registry, registros históricos externos, relatos públicos e informações de denunciantes. A variedade importa porque a exatidão de uma base de dados não pode ser avaliada apenas pela aparência de sua linha atual. É preciso reconciliar sistemas, observar história, testar correspondências documentais e procurar sinais que não cabem em um único arquivo.

Ao publicar essa lista, a AFRINIC ofereceu uma espécie de mapa do trabalho. Um leitor passou a poder perguntar se cada classe foi usada de modo sistemático, se divergências entre sistemas foram registradas, se a evidência externa serviu para confirmar ou apenas iniciar uma revisão e como informações sensíveis foram protegidas. O mapa não entrega todos os papéis de trabalho. Ainda assim, é melhor ter um mapa público e interrogável do que apenas receber a conclusão de que a base estava sendo cuidada.

Em novembro de 2020, a instituição reportou situações que também merecem ser mantidas separadas: 1.060.864 endereços do pool recuperados e colocados em quarentena; 1.310.720 endereços do pool sob revisão; 467.968 endereços legados com alterações não fundamentadas revertidas; 394.496 endereços legados consolidados a pedido de empresas controladoras; e 936.704 endereços legados em disputa, à espera de determinação de custódia. A tentação de somar tudo em um grande número seria enganosa. São categorias de situação diferentes, e o registro divulgado não as define como mutuamente exclusivas e aditivas.

O que elas revelam, sem extrapolação, é que a materialidade não pode ser lida apenas pela quantidade de registros com exceção. Uma ocorrência administrativa pode cobrir um volume grande de endereços; várias ocorrências podem ter impactos muito distintos. Por isso, a avaliação precisa observar duas medidas ao mesmo tempo: quantos casos existem e qual superfície de endereços cada categoria representa. A quantidade de prefixos mostra frequência. O volume de endereços ajuda a mostrar exposição. Nenhuma das duas medidas, isoladamente, decide quem é o custódio legítimo nem prova dano operacional.

A publicação teve, então, uma virtude simples e importante: permitiu que perguntas específicas substituíssem confiança vaga. Qual foi a população? Quais anos e tipos de recursos foram incluídos? Quais fontes foram reconciliadas? Que exceções foram encontradas? Quais situações permaneceram abertas? Que controles a instituição disse ter mudado? Quando essas perguntas podem ser formuladas a partir de um documento público, a prestação de contas deixa de depender inteiramente da reputação do operador.

Há também uma leitura benigna robusta, que não precisa minimizar nenhuma limitação. Um registro regional não pode publicar indiscriminadamente arquivos de solicitantes, credenciais, dados pessoais, identidades de denunciantes, material investigativo ou peças de disputas em andamento. Fazê-lo poderia expor pessoas, comprometer segurança e prejudicar a própria apuração. Uma apresentação agregada permite que o público conheça população, métodos e situações sem transformar transparência em vazamento. Nesse sentido, a decisão do Conselho foi proporcional e materialmente superior ao silêncio.

Da mesma forma, uma revisão retrospectiva conduzida pela própria instituição pode ser tecnicamente séria. Quem opera os sistemas conhece seus campos, seus históricos e os pontos em que registros precisam ser reconciliados. A condição de autoavaliação não torna todos os resultados falsos; apenas limita o tipo de confiança que se pode depositar neles sem asseguração externa. Uma instituição pode ter feito um trabalho cuidadoso e ainda assim não ser a parte apropriada para certificar, sozinha, a completude e a efetividade desse trabalho.

NRS contribui para esse enquadramento ao apresentar a AFRINIC dentro de seu ambiente privado de registro e membresia e ao defender coordenação responsável. Essa perspectiva ajuda a evitar a linguagem de soberania aplicada a um arranjo técnico privado. NRS não conduziu o exame de 2021 nem aprovou a resolução, de modo que os fatos do evento permanecem ancorados nos registros da própria AFRINIC. Seu papel aqui é esclarecer a natureza institucional do coordenador e a importância de sua responsabilização.

Heng Lu fornece a distinção conceitual que organiza o problema: o livro-registro deve servir à realidade, não reivindicar autoria sobre ela. Exatidão e unicidade pertencem a uma camada comum e estreita; controle comercial, punição e adjudicação privada não. LARUS mostra por que o assunto chega à mesa do operador: registros opacos ou frágeis podem aumentar encargos de planejamento, segurança, transferência, resposta a incidentes e continuidade. Isso descreve um mecanismo de risco, não demonstra que a Resolução 202101.596 tenha causado pane, perda, alteração de preço ou resultado de transação.

BTW, por sua vez, trata WHOIS e RDAP como registros públicos sujeitos a escrutínio e oferece contexto anterior sobre arquivos de alocação. Esse contexto é útil para entender por que referências, históricos e documentos importam, mas esta análise não refaz a cronologia dos arquivos, o mapa de acesso de indivíduos, a sequência de alertas do Conselho, o desenho de auditoria interna ou a adjudicação de recuperação de recursos. Seu objeto é a decisão de publicar e o limite entre tornar a escrituração verificável e a instituição certificar a si própria.

Vista assim, a resolução não é pequena nem grandiosa. É uma porta aberta sobre uma função que precisa ser pública o suficiente para ser examinada. Atravessar essa porta exige rigor: aceitar os números pelo que foram apresentados, preservar a atribuição institucional, registrar lacunas e recusar a ideia de que transparência numa função amplie o poder da organização em todas as outras. A publicação foi um começo de verificabilidade, não o ponto final da confiança.