Resumo

  • O grupo de trabalho da ICANN propõe que um registrador examine domínios associados quando tiver evidência acionável de que um nome patrocinado por ele está sendo usado para uma forma definida de abuso de DNS. O texto prevê uma investigação, não a punição automática de todos os nomes ligados.
  • Quarenta e duas manifestações públicas produziram 533 respostas classificadas; cerca de 85% apoiaram algum aspecto das treze recomendações e orientações. Esse resultado alimenta a etapa seguinte, mas não é uma regra final nem uma votação de todos os titulares de domínios e usuários da Internet.

Além da resposta a um único nome

O atual Contrato de Credenciamento de Registradores já exige que o registrador aja quando possui evidência acionável de que um domínio patrocinado por ele está sendo usado para abuso de DNS. A resposta deve ser rápida e apropriada, considerando o dano e os possíveis efeitos colaterais. O aviso de conformidade da ICANN de 2024 explica essa obrigação; a emenda global do contrato define abuso de DNS como malware, botnets, phishing, pharming e spam quando este é usado para distribuir alguma das outras formas.

Essa obrigação hoje se aplica ao nome coberto pela evidência. Uma campanha pode, porém, usar vários domínios: um é denunciado, enquanto outros ligados ao mesmo agente continuam ativos sem análise. O relatório inicial do grupo de trabalho da GNSO, de 18 de agosto, propõe as verificações de domínios associados (ADCs) para enfrentar essa lacuna. Se houver evidência acionável de abuso em um nome que patrocina, o registrador teria de investigar se domínios associados dentro da sua própria carteira também estão sendo usados para isso.

Investigar não é aplicar uma sanção. Um vínculo indica onde procurar; não determina o que o próximo domínio faz. O texto requer uma apuração razoável para verificar se os nomes associados são usados para abuso. Não manda suspender um domínio só porque ele compartilha conta, dados de titular, servidor de nomes ou revendedor com o nome que iniciou a checagem. Também não exige pesquisa entre registradores nem cria uma base central com todos os domínios de cada titular.

Ainda se trata de uma proposta. A página de consulta da ICANN publicou um relatório de síntese em 9 de outubro, informando que o grupo não havia adotado alterações a partir dos comentários e começaria a analisá-los na ICANN87, em Bali. O grupo ainda precisa entregar um relatório final à GNSO; depois, o Conselho da GNSO deve considerá-lo e, se aprovar as recomendações, encaminhá-las à Diretoria da ICANN. Só então a Diretoria poderá considerar a adoção de uma política consensual. A descrição oficial do processo deixa claras essas etapas distintas.

Associação é uma hipótese a testar

O texto não fixa um teste universal de identidade. Entre os indicadores possíveis estão informações do titular ou da conta, atividade técnica ou coordenada, padrões de registro, servidores de nomes e dados razoavelmente acessíveis ao registrador. O relatório reconhece que os critérios úteis variam conforme o caso e que nenhum dado isolado determina a associação em todas as situações. A apuração deve ser viável e proporcional à evidência e à escala aparente do abuso.

Essa flexibilidade responde a um problema concreto. Algumas campanhas coordenam muitos nomes; clientes sem relação entre si também podem usar a mesma hospedagem, serviço de privacidade, revendedor ou infraestrutura. Um atributo comum pode ser uma pista, mas também pode ser corriqueiro entre usuários legítimos. Dois domínios registrados na mesma conta não provam, por si só, que ambos estejam sendo usados para fins maliciosos.

O gatilho exige mais do que uma acusação. A Recomendação preliminar 1 se apoia na evidência acionável já prevista no contrato e exclui domínios comprometidos do início de uma ADC. O relatório distingue um domínio registrado para fins abusivos de outro originalmente legítimo, mas depois invadido ou explorado sem o conhecimento ou consentimento do titular. A orientação aceita evidência recente, intermitente ou recorrente; quando a atividade não é observável continuamente, a denúncia deve demonstrar o padrão. O objetivo é evitar tanto ignorar uma campanha plausível quanto iniciar uma busca ampla com base em suspeita especulativa.

As Recomendações 2 a 4 mantêm o passo seguinte como uma investigação. O registrador revisaria as informações razoavelmente disponíveis na operação normal, incluindo dados contratuais, sistemas técnicos e denúncias. Não é necessário examinar todas as fontes em todo caso, nem gerar dados que o registrador não costuma possuir. Tampouco se propõe revisar toda a carteira de forma rotineira. Uma análise mais ampla pode se justificar se a evidência apontar para uma campanha maior; o tamanho da busca deve decorrer da evidência.

Essa ordem importa porque associação e abuso são conclusões diferentes. Dois domínios na mesma conta podem justificar verificar se há um controlador comum. Isso não mostra que o segundo seja usado para phishing, malware, pharming, botnet ou distribuição de spam. A checagem só cumpre seu papel se cada nome associado for avaliado frente à definição de abuso, e não se o processo parar na descoberta de um campo coincidente.

O registrador continua responsável quando há revendedor

A proposta coloca a obrigação na carteira de nomes patrocinados pelo registrador. Ele pode recorrer a um revendedor para executar etapas com os dados disponíveis ao revendedor, mas continua responsável pelos deveres contratuais. Isso mantém um responsável claro perante a conformidade da ICANN, embora o trabalho possa ocorrer onde estão as informações do cliente.

A manifestação do Registrar Stakeholder Group apoia em linhas gerais a proposta e pede ajustes de redação. Para medir o resultado, defende observar mudanças no panorama de ameaças de abuso de DNS, em vez de contar verificações, suspensões ou casos de conformidade. É uma distinção importante: atividade processual não equivale a impacto.

A contribuição da Openprovider apoia uma referência comum baseada em evidências, mas expõe uma dificuldade operacional. Em modelos de atacado, o registrador pode manter os dados técnicos e de registro, enquanto o revendedor tem a relação com o cliente, a estrutura da conta e outras informações. Assim, o registrador pode responder por um processo cujos indícios úteis estão em outra empresa. A Openprovider também questiona por quanto tempo evidências antigas continuam relevantes e quem deve determinar se um domínio foi comprometido ou registrado com intenção abusiva. A taxa geral de apoio não responde a essas questões.

A regra de responsabilidade só funciona quando autoridade e capacidade se alinham. O registrador não consegue demonstrar uma apuração proporcional se a política pressupõe acesso a dados que ele não pode obter legal ou contratualmente. Mas entregar a tarefa ao revendedor também não elimina a responsabilidade do registrador. A versão final precisa definir quais evidências mínimas ele pode razoavelmente obter, quais etapas pode delegar e quando a falta de um dado limita a investigação sem ser tratada como prova de culpa.

Salvaguardas sob pressão de execução

O texto traz algumas barreiras: cumprir a lei e os contratos aplicáveis, respeitar proporcionalidade e minimização de dados, evitar associações indevidas por serviços de privacidade, revendedores ou infraestrutura compartilhada e considerar o impacto sobre o titular. Propõe ainda revisar a política depois de dois anos para verificar se há um padrão mínimo consistente, se a conformidade pode ser avaliada e se as checagens ajudam a identificar e interromper campanhas.

O relatório também prevê registros da operação normal: o que iniciou a checagem, quando ela começou, quais informações foram examinadas, quantos domínios associados apareceram, que ação foi tomada e por que o escopo foi proporcional. Não exige um formato específico nem um novo sistema de dados de grande porte. O registrador manteria uma descrição do processo interno para apresentar à ICANN quando solicitada. Essa trilha permite auditoria somente se distinguir um indício de associação de uma constatação de abuso.

A diferença atinge serviços concretos. Um domínio pode sustentar e-mail, contas de clientes, informação pública ou outros usos legítimos, mesmo que parte dele tenha sido invadida ou abusada. O aviso da ICANN de 2024 ressalta que a suspensão pode interromper conteúdo legítimo e serviços associados. A ADC acrescenta um dever de investigar; não substitui a obrigação existente de escolher uma medida adequada para cada nome e considerar danos colaterais. Usar uma correspondência na carteira como motivo suficiente para suspender ampliaria a checagem para uma sanção mais abrangente do que o relatório propõe.

A medição permanece como ponto de atenção. O texto propõe uma análise após dois anos e considera dados agregados da área de conformidade contratual da ICANN, do escritório técnico e dos registradores. Também reconhece que o abuso muda e que é difícil atribuir a variação total a uma só política. Contar verificações ou notificações mostraria que um processo foi executado; não demonstraria que campanhas foram interrompidas, que titulares legítimos não sofreram danos ou que os agentes não migraram para outros registradores e táticas.

O que os 85% mostram — e o que não autorizam

O relatório de síntese da ICANN registrou 42 contribuições. Quarenta e uma enviaram respostas classificadas para as oito recomendações e cinco orientações, somando 533 respostas. Cerca de 85% apoiavam o texto ou sua intenção com mudanças de redação; 3% pediam alterações substanciais; nenhuma resposta escolheu “não apoiar / excluir”; e 12% ficaram em “outros”. O apoio a cada item variou aproximadamente de 78% a 90%.

Os números importam: mostram apoio amplo entre quem participou e deixam um registro substancial para o grupo analisar. Mas 533 é a quantidade de respostas a itens individuais, não de 533 pessoas distintas, e o relatório reconhece que as categorias não capturam todas as nuances. Vinte e seis contribuições acrescentaram observações fora do formulário estruturado; apoiadores também levantaram questões sobre escopo, salvaguardas, revendedores, documentação e métricas. Comentários informam a decisão; não a substituem.

Essa distinção institucional não descarta a participação. O grupo de trabalho da GNSO pode desenvolver recomendações dentro do mandato que recebeu. Os participantes podem testar premissas, apontar impactos ausentes e propor redação. O Conselho e a Diretoria ocupam etapas posteriores do processo publicado. Separar participação de autorização dá uma função própria a cada ato; não torna os comentários irrelevantes. O relatório afirma expressamente que nenhuma alteração havia sido adotada por causa deles até então.

A próxima versão precisa responder às perguntas que esse registro levanta. A associação se apoia em evidência relevante para a campanha ou em um atributo comum apenas por ser fácil de consultar? Cada domínio investigado recebe uma avaliação própria de abuso? O registrador consegue explicar o que examinou e por que o escopo foi proporcional? A delegação ao revendedor preserva o acesso à evidência e uma linha clara de responsabilidade? A análise futura distinguirá interrupção efetiva de volume de procedimentos e de dano colateral?

A melhor ideia da proposta não é “verificar todos os nomes ligados a um domínio denunciado”. É uma escalada limitada: evidência acionável sobre um nome patrocinado pode justificar investigação proporcional de outros nomes que ela relacione à mesma atividade, mas cada conclusão posterior ainda precisa de suporte próprio. Se a política final preservar essa linha, poderá lidar com campanhas de carteira sem transformar uma ligação fraca em culpa por associação. Se não preservar, a flexibilidade criada para encontrar campanhas tornará difícil saber quando uma pista virou veredicto.