Registro.id da PANDI opera no AS132647 enquanto AS56088 está ausente do BGP público

Resumo

• A PANDI é o registro sem fins lucrativos do domínio de código de país.idda Indonésia, não um registrador que vende registros de varejo comuns e nem um provedor de nuvem ou hospedagem. As regras indonésias, a descrição atual da PANDI e a delegação da zona raiz da IANA convergem para esse papel institucional.
• As evidências da rede em operação apontam para o AS132647. Em uma visão do RIPE NCC de 15 de julho de 2026, ele originava oito prefixos IPv4/24e sete prefixos IPv6/48com total visibilidade observada, enquanto o AS56088 não originava nada e foi visto pela última vez nesses dados em 15 de fevereiro de 2024.
• A PANDI descreveu uma ampla cobertura anycast, um sistema de registro projetado para dois milhões de nomes, DNSSEC, serviço secundário independente da APNIC e um histórico de expansão de nós. Esses fatos sustentam uma substância operacional real, mas o material público não revela endereços de rack atuais, alimentações de energia, topologia de geração de zona, limites de replicação de banco de dados ou objetivos de recuperação testados.
• O incidente de DNS de Semarang em 2023 demonstra tanto o valor quanto o limite do anycast. A PANDI e a APJII retiraram o caminho BGP afetado, restaurando o serviço para os usuários impactados e, em seguida, repararam o nó no local. Isso é um desvio de rota na prática, não uma prova de que cada cidade, instalação e sistema de controle seja fisicamente independente.

O número no nome não é a rede que serve o.id

Um pesquisador de infraestrutura que comece pelo rótuloPANDI-IDpode facilmente cair no AS56088. O registro na APNIC é real: o sistema autônomo foi registrado em 2011, continua marcado como ativo no registro e nomeia a PANDI como titular. No entanto, registro e operação são questões diferentes. Avisão de status de roteamento do RIPE NCC para o AS56088não mostrou prefixos IPv4 ou IPv6 visíveis em 15 de julho de 2026. Seus campos históricos colocaram o último anúncio observado,203.119.112.0/24, em 15 de fevereiro de 2024.

Agora siga o DNS em vez do rótulo. Oregistro de delegação da IANA para o.idlista cinco nomes autoritativos:b.dns.id,c.dns.id,d.dns.id,e.dns.idens4.apnic.net. Os quatro nomes da PANDI resolvem para endereços dentro de103.19.176.0/22,45.126.56.0/22,2402:ee80::/32e2001:df5:4000::/48. Os registros da APNIC associam esses recursos à PANDI. As observações de rota atuais colocam seus anúncios/24e/48visíveis atrás do AS132647, não do AS56088.

Esse segundo sistema autônomo não é um resíduo obscuro. Oregistro RDAP da APNIC para o AS132647o chama deIDNIC-PANDI-AS-ID, marca-o como ativo e registra uma alteração tão recente quanto 3 de junho de 2026. Oresultado de status de roteamento do RIPE NCCcontou oito prefixos IPv4 visíveis cobrindo 2.048 endereços e sete prefixos IPv6/48. Cada peer do RIPE RIS representado nesse resultado viu o espaço IPv4 e IPv6. Essa é uma forte evidência de uma pegada de roteamento público atual.

A distinção importa porque um ASN pode sobreviver como um objeto administrativo após o tráfego se mover para outro lugar. Também importa porque uma declaração de importação ou exportação registrada não é o mesmo que um caminho BGP ativo. A conclusão responsável é restrita: o AS56088 ainda existe, mas não demonstra atualmente a entrega do.id; o AS132647 sim. O motivo da divisão, o histórico de migração e qualquer função privada mantida pelo AS56088 não são divulgados no registro público.

Isso faz da PANDI um estudo de caso útil sobre por que a identidade da infraestrutura deve ser montada a partir de controle, endereçamento e operação em tempo real, em vez de um único nome. O objeto importante não é qualquer ASN que apareça primeiro em um diretório. É a instituição que controla a política e os sistemas de registro, mais o conjunto de redes e fornecedores que realmente entregam o serviço autoritativo.

Um registro nacional, não um host de varejo

A identidade da PANDI está excepcionalmente bem ancorada. Suaprópria descrição institucionaldiz que é uma associação sem fins lucrativos e o registro do domínio de topo da Indonésia. Cita o Decreto Ministerial nº 806 de 2014, atualizado pelo Decreto nº 218 de 2023. O registro independente da zona raiz nomeia Perkumpulan Pengelola Nama Domain Internet Indonesia como o gerente do.id. Umrelatório de redelegação da ICANNregistra como a PANDI se tornou a organização patrocinadora em 2013, após anos de operação técnica sob um mandato do governo indonésio.

A lei indonésia traça explicitamente os limites dos papéis. ORegulamento Ministerial nº 23 de 2013define um registro como o operador responsável por gerenciar, operar e manter o sistema eletrônico de nomes de domínio. Ele distingue essa função do registrador, que fornece serviços de registro aos usuários. Atribui ao registro responsabilidades de política, infraestrutura, supervisão e resolução de disputas, e exige arranjos de continuidade se o registro parar de operar.

A PANDI explica os limites comerciais em termos mais simples. Seuguia sobre registro, registrador e registrantediz que um registro geralmente não comercializa nem vende nomes de topo diretamente ao público; os registradores credenciados oferecem registros aos registrantes. A PANDI mantém a autoridade compartilhada, credencia os registradores e governa o espaço de nomes. O suporte de varejo, hospedagem web integrada, e-mail, construtores de sites e cobrança ao cliente podem ser fornecidos pelos registradores, mas isso não é evidência de que a própria PANDI venda capacidade de computação.

É por isso que a classificação como serviço de nuvem falha. Nada na delegação da IANA, na estrutura legal indonésia, na missão atual da PANDI, em suas políticas de registro ou na rede DNS observada apoia a conclusão de que a PANDI é principalmente um fornecedor de IaaS, VPS, bare-metal ou hospedagem gerenciada. Ela opera infraestrutura crítica de internet e uma superfície de controle institucional regulamentada. Seus produtos públicos além do registro, como encurtador de links e serviços de abuso de domínio, não alteram a natureza do papel do.id.

A diferença não é semântica. Um cliente de hospedagem pergunta onde uma máquina virtual funciona e como exportar seus dados. Um usuário de registro precisa saber se um nome pode ser criado, renovado, transferido, delegado e resolvido; se a zona permanece autêntica; se uma falha de registrador pode ser contida; e se uma interrupção em uma rota ou cidade deixa outras autoridades disponíveis. A infraestrutura da PANDI deve ser julgada em relação a essas dependências.

O que a PANDI realmente controla

A superfície operacional do registro tem várias camadas. A primeira é o banco de dados de registro autoritativo: o registro canônico de objetos de domínio, patrocínio de registrador, códigos de status, servidores de nomes, dados de expiração e delegação de segurança. A PANDI chama sua plataforma interna de Sistem Registri Mandiri, ou SRM. Os registradores transacionam com esse sistema; os usuários públicos veem dados de registro selecionados por meio de WHOIS e RDAP. O endpoint RDAP atual da PANDI aparece no registro de delegação da IANA, confirmando que o serviço de dados de registro faz parte da fronteira pública.

A segunda é a produção de zona. Os dados do registro devem ser transformados na zona.idque os servidores DNS autoritativos publicam. Uma transação de varejo bem-sucedida não é suficiente se a delegação resultante nunca chegar à zona, se a geração da zona for atrasada ou se os servidores secundários receberem versões inconsistentes. Os relatórios públicos nomeiam os serviços, mas não documentam a cadeia de produção, a colocação do assinante, a topologia de transferência ou o intervalo máximo de propagação. Essas permanecem incógnitas operacionais.

A terceira é o DNS autoritativo. Os cinco nomes na delegação raiz são identidades lógicas de serviço. Quatro são nomes da PANDI e um é ons4.apnic.netda APNIC. Um resolvedor pode perguntar a qualquer autoridade responsiva pelos dados do.id. Vários nomes, IPv4 e IPv6, roteamento anycast e um secundário externo criam vários tipos de diversidade, mas não são intercambiáveis. Um nome de host diferente ainda pode compartilhar uma rede de origem, uma imagem de software, um sistema de assinatura, um provedor ou uma instalação com outro nome de host.

A quarta é a integridade criptográfica. No ponto de corte da pesquisa, umaanálise do DNSViz do.idexpôs o caminho de autenticação DS-para-DNSKEY e forneceu uma superfície de inspeção independente para a cadeia assinada. O DNSSEC protege a autenticidade e a integridade dos dados DNS; ele não mantém um servidor online, adiciona largura de banda ou corrige uma delegação ruim. O gerenciamento de chaves é, portanto, tanto um controle de segurança quanto um domínio de falha.

A quinta é a governança do registro. A PANDI credencia registradores, define requisitos técnicos e operacionais, monitora a conformidade, lida com reclamações e fornece um mecanismo de disputas. Seurelatório de autoavaliação de registradores de 2024diz que 25 registradores credenciados participaram do programa, com resultados mistos e uma pontuação média de conformidade de 85,92%. Esses registradores são uma interface de cliente distribuída, mas a PANDI permanece como a dependência comum de registro por trás deles.

Finalmente, há serviços de suporte: helpdesk, monitoramento, avaliação de segurança, inteligência de abuso de domínio e administração de disputas. Eles importam porque um incidente de registro não é apenas um problema de pacote. Um registrante pode precisar de uma escalada humana quando um registrador fecha, uma transferência fica travada, o uso abusivo é contestado ou os dados de registro estão errados. A resiliência inclui a capacidade de fazer mudanças controladas sob estresse sem enfraquecer a segurança ou perder a responsabilização.

O DNS delegado tem cinco nomes, mas mais de cinco máquinas

A delegação de cinco nomes da IANA é o contrato público estável. Ela não revela a contagem de máquinas. A PANDI descreveu repetidamente uma implantação anycast e unicast maior por trás desses nomes. Seurelatório anual de 2022disse que instalou nós domésticos em Jacarta, Bandar Lampung, Balikpapan, Bandung e Semarang, juntamente com nós existentes em Jacarta, Bogor, Yogyakarta, Surabaya, Bali e Makassar. Também nomeou novas instalações no exterior na Índia e na Coreia do Sul e as existentes nos Estados Unidos, Países Baixos, Austrália, China e Rússia.

Umaapresentação posterior da PANDI sobre resolução DNSdescreveu 17 nós domésticos e 23 no exterior. Associou os nomes da PANDI a várias cidades e países, e listou separadamente os locais da APNIC parans4.apnic.net. Também nomeou pesquisas com BIND9, Knot, NSD e CoreDNS, além de BIRD, Quagga e FRRouting no ambiente mais amplo de DNS e BGP. Esta é uma divulgação significativa porque mostra que um nome lógico pode se espalhar por muitos sistemas e sessões de roteamento.

Mas não é um inventário de instalações. Um rótulo de cidade não informa ao leitor qual data center abriga um nó, quem é o dono do rack, qual operadora fornece a conexão cruzada, se dois nós listados compartilham um prédio ou se suas redes de energia e gerenciamento são independentes. A contagem também combina diferentes fronteiras operacionais: o secundário da APNIC não é uma máquina operada pela PANDI simplesmente porque serve a zona.id. Os locais em uma apresentação podem mudar após a publicação, e o anycast direciona o usuário para uma instância selecionada por rota, em vez de um ponto final geográfico fixo.

O quadro de roteamento público reforça a existência de dispersão geográfica e de fornecedores sem localizar os racks. Oresultado de prefixos anunciados do RIPE NCC para AS132647retornou os oito prefixos IPv4/24e sete IPv6/48visíveis durante a primeira metade de julho. Os caminhos BGP para103.19.179.0/24e45.126.57.0/24mostraram conjuntos diferentes de redes adjacentes nos coletores públicos. Isso é consistente com a entrega anycast de vários provedores. Isso não prova que cada nó está ativo, saudável ou fisicamente separado.

O PeeringDB ilustra a lacuna de divulgação. Seuperfil do AS132647identifica a PANDI, fornece contatos de NOC e abuso e descreve uma política aberta, mas lista zero pontos de troca públicos e zero instalações de interconexão. O PeeringDB é voluntário, portanto, campos de instalação vazios não anulam a conectividade BGP observada. Eles significam que o público não pode usar esse perfil para mapear os racks da PANDI ou verificar a diversidade de sites alegada.

O incidente de Semarang mostra como funciona o desvio de rota

Em 15 de junho de 2023, a PANDI publicou umaviso excepcionalmente concreto sobre um incidente de DNS em Semarang. Ele dizia que o serviço BIND9 no servidor anycast de Semarang não estava funcionando corretamente. Alguns provedores de internet que alcançavam o.idpor meio do Indonesia Internet Exchange foram afetados. A PANDI contatou a equipe da APJII Semarang para desconectar a conectividade BGP, após o que o acesso afetado voltou ao normal. A PANDI então realizou um reparo no local e restaurou o caminho BGP.

O episódio revela um mecanismo de recuperação real. Uma instância anycast não saudável pode ser removida do roteamento para que as consultas escolham outros caminhos disponíveis. Isso é materialmente melhor do que um único servidor fixo cuja falha continua a atrair tráfego. Também mostra uma fronteira operacional: a PANDI dependia do pessoal da APJII que controlava a conectividade do lado do intercâmbio e de mão de obra local para reparo físico ou do sistema.

Seria errado transformar o aviso em uma alegação de uma interrupção nacional do.id. A PANDI descreveu o impacto em alguns ISPs que usavam um caminho de intercâmbio específico, não uma falha universal. Outros nós DNS continuaram servindo. Também seria errado dizer que a rede se curou automaticamente. O relato descreve coordenação humana, uma retirada de BGP e trabalho no local. A velocidade de recuperação, portanto, dependeu da detecção, diagnóstico correto, contatos acessíveis e autoridade para alterar o roteamento.

O incidente também separa a redundância de software da redundância de rota. Ocorreu uma falha de daemon em um nó. O BGP ainda era capaz de atrair usuários até que os operadores retirassem o caminho. A disponibilidade do anycast requer monitoramento de integridade que possa suprimir uma rota ruim automaticamente ou alertar as pessoas com rapidez suficiente para fazê-lo. O material público não declara se a PANDI agora usa verificações automatizadas de integridade de rota, quantas falhas de consulta disparam a retirada, se cada nó tem um caminho fora de banda ou se a restauração da rota requer aprovação manual.

Para os usuários, a lição não é que o anycast falhou. É que o anycast é um sistema operacional feito de software DNS, política de roteamento, relacionamentos de intercâmbio, monitoramento e pessoas. O mesmo endereço IP pode levar a diferentes instâncias físicas, mas um erro de configuração compartilhado ainda pode afetar muitas instâncias de uma só vez. A dispersão geográfica aborda algumas falhas; não elimina riscos comuns de software, assinatura, configuração ou governança.

AS132647 fornece diversidade de rota visível

O registro público atual do AS132647 é mais forte do que um ASN típico de empresa enxuta. A APNIC vincula o ASN e seus blocos de endereços à PANDI. O RIPE RIS vê ambas as famílias de endereços. Os endereços IPv4 autoritativos nomeados estão dentro dos prefixos visíveis da PANDI, e os endereços IPv6 equivalentes também são roteados publicamente. Umavisão de estado BGP do RIPE NCC para103.19.179.0/24continha centenas de caminhos de coletores terminando no AS132647.

Esses caminhos tinham várias redes penúltimas. Na amostra, grandes grupos chegavam por meio do AS29802 e AS20473, enquanto outros caminhos usavam diferentes ASNs indonésios e internacionais. Umavisão separada para45.126.57.0/24mostrou uma mistura diferente de AS adjacentes, incluindo AS58396, AS56630, AS34927 e AS38496. Esse padrão é compatível com implantações anycast distintas e vários fornecedores de entrega, mas apenas o instantâneo de rota não estabelece o nome do titular ou a função comercial de nenhum ASN adjacente.

É mais seguro chamá-los de caminhos adjacentes observados do que de upstreams contratuais. Um coletor vê o caminho selecionado em um momento de um ponto de observação. Ele não revela o acordo comercial, se o relacionamento é trânsito pago, peering sem acordo, peering remoto ou um arranjo anycast hospedado. Também não pode provar que os caminhos usam dutos, entradas ou domínios de energia fisicamente diversos.

A autorização de rota adiciona outra camada. Umresultado de validação RPKI do RIPE NCC para103.19.177.0/24encontrou autorizações de origem de rota válidas para AS132647 no momento da observação. Esta é uma evidência para um prefixo IPv4 amostrado, não uma auditoria de todos os prefixos. Para essa rota, a validação reduz a chance de que redes que aplicam validação de origem de rota aceitem uma origem não autorizada. Isso não impede a PANDI de anunciar uma rota ruim, um fornecedor autorizado de configurar incorretamente a propagação ou uma falha de aplicativo por trás de uma rota válida.

A autoridade externa da APNIC cria uma separação útil. Os resultados de informações de rede do RIPE NCC colocaram oendereço IPv4 do NS4delegado e oendereço IPv6atrás do AS18366 em vez do AS132647 no momento da observação. Apágina de status do serviço da APNICidentifica o NS4 como um serviço anycast para registros regionais e domínios de código de país e o mostrou operacional durante a pesquisa. Isso significa que pelo menos uma autoridade delegada na raiz cruza as fronteiras organizacionais e de rede. O que permanece desconhecido é como os dados da zona são transferidos, autenticados e monitorados entre a PANDI e a APNIC, e qual comportamento de dados obsoletos se aplica se as transferências pararem.

DNSSEC torna o plano de controle mais seguro e menos tolerante

O DNSSEC é central para o.idporque um espaço de nomes nacional é um alvo de alto valor para envenenamento de cache e modificação não autorizada. O registro DS da raiz informa aos resolvedores de validação em qual chave.idconfiar; as assinaturas na zona filha então autenticam as respostas. A PANDI também tornou o suporte a DNSSEC parte do credenciamento de registradores e continua a realizar treinamentos para governo e registradores, incluindo umworkshop de DNS e DNSSEC em fevereiro de 2026.

O benefício de segurança traz disciplina operacional. Se a PANDI publicar assinaturas que expiram, perder o acesso à chave de assinatura ou coordenar incorretamente uma troca de chaves com a raiz, os resolvedores de validação poderão rejeitar dados que, de outra forma, seriam alcançáveis. Uma rota pode estar saudável enquanto as respostas falham na validação. Por outro lado, uma cadeia DNSSEC válida não diz nada sobre se o serviço web subjacente é seguro ou se um nome registrado é abusivo.

As evidências públicas confirmam a assinatura, mas não descrevem a custódia das chaves. Não declara se as chaves de assinatura de chaves são mantidas em módulos de segurança de hardware, quantas pessoas autorizadas são necessárias para uma troca, se a assinatura é online ou offline, onde o material da chave de backup é armazenado ou quando ocorreu o último exercício completo de recuperação. Esses detalhes não precisam ser todos públicos, mas uma garantia independente poderia estabelecer a qualidade do controle sem expor dados de implementação sensíveis.

A fronteira do registrador também importa aqui. Um registrante que deseja DNSSEC para um domínio filho normalmente envia dados DS por meio de um registrador para o registro. A interface do registrador, a transação SRM, a lógica de validação e a publicação da zona.iddevem preservar os valores corretos. Osrequisitos de credenciamento da PANDIdizem que os sistemas dos registradores devem oferecer suporte ao gerenciamento de DNSSEC e a equipe deve ter a experiência relevante. Essa é uma linha de base útil, embora osresultados da autoavaliação de 2024mostrem que a maturidade de conformidade entre os registradores não é uniforme.

O ponto de observação operacional, portanto, é ponta a ponta: DS raiz, chaves.id, assinaturas, publicação de DS filho e manuseio pelo registrador. Contar apenas domínios assinados não provaria um gerenciamento seguro do ciclo de vida das chaves. Uma medida pública mais forte relataria validação bem-sucedida, exercícios de troca de chaves, taxas de erro de transação DS e a parcela de registradores credenciados que passam nos testes técnicos de DNSSEC.

A capacidade do registro é medida em nomes e transações, não em máquinas virtuais

A PANDI afirmou no final de 2025 que o.idatingiu 1.431.960 nomes registrados. Oanúncio datadofornece uma linha de base mais clara do que um contador ao vivo sem um carimbo de data/hora de observação. Também estabeleceu uma ambição de 1,5 milhão de nomes para 2026. Os sistemas de registro e DNS instalados precisam suportar essa escala, mas a contagem de domínios não é equivalente à capacidade do servidor.

Orelatório anual de 2022 da PANDIdescreveu uma atualização do SRM destinada a acomodar pelo menos dois milhões de nomes.id. Mencionou um esquema de servidor mestre-mestre, conectividade do registro de até 1 Gbps, conexões de servidor local de até 100 Gbps e um firewall adicional. Em suarevisão de 2023, a PANDI disse novamente que o SRM foi aprimorado para comportar dois milhões de nomes, com mudanças de arquitetura e otimização de dados e aplicativos. Umaviso de fevereiro de 2024registrou então a conclusão de uma migração de infraestrutura e trabalhos de configuração pós-migração, com transações monitoradas normalmente.

Se o valor de projeto de dois milhões permanecer atual e a contagem de domínios de 2025 for diretamente comparável, os nomes registrados ocupam cerca de 71,6% desse limite nominal, restando aproximadamente 568.000 nomes antes do limite declarado. Essa aritmética é informativa, mas incompleta. Ela não contabiliza objetos excluídos retidos para auditoria, contatos, hosts, histórico, registros DNSSEC, rajadas de transações, réplicas para relatórios, retenções por disputas ou sobrecarga do banco de dados. Também não diz se dois milhões são um máximo testado, uma meta de engenharia ou um nível de operação confortável.

A capacidade do DNS autoritativo é uma quantidade diferente. A carga de consultas depende do comportamento do resolvedor, respostas negativas, TTLs, ataques e da popularidade de nomes específicos, não apenas do número de domínios registrados. Um nó anycast com capacidade de tráfego comum adequada pode saturar durante um evento de negação de serviço distribuída. A contagem de nós públicos e a diversidade de rotas sugerem uma estratégia para absorver e distribuir a carga, mas nenhuma capacidade atual de consultas por segundo, utilização normal, margem de segurança contra ataques ou limites por nó são divulgados.

A aquisição de hardware oferece apenas fragmentos históricos. Umaespecificação da PANDI de março de 2022para três servidores DNS exigia processadores de oito núcleos, 32 GB de memória, armazenamento de estado sólido espelhado de 480 GB e fontes de alimentação duplas. Isso prova um plano concreto de aquisição de equipamentos, não a frota total instalada ou a capacidade utilizável atualmente. As máquinas podem ter sido implantadas, substituídas, reatribuídas ou complementadas. A quantidade de aquisição nunca deve ser multiplicada por uma referência para inventar capacidade de serviço.

A conclusão sobre a capacidade prática é, portanto, mista. A PANDI divulgou uma escala de projeto de registro acima da contagem de domínios datada, uma alegação substancial de nós DNS e roteamento visível de vários provedores. Não divulgou o suficiente para calcular a margem de transação do registro, a margem de consulta autoritativa, o crescimento do armazenamento, a capacidade de failover após a perda de um site importante ou quanto da frota pode ser usado simultaneamente durante a manutenção.

A resiliência física continua sendo a maior incógnita pública

O endereço do escritório noregistro da IANAé um ponto de contato legal e administrativo em Tangerang. Não é prova de um data center de produção. Orelatório anual de 2020 da PANDIdisse que realocou a infraestrutura de um data center Tier 3 para um Tier 4, mas não identificou o provedor, endereço, escopo da certificação, projeto de energia ou se os rótulos se referiam a uma certificação formal. Orelatório anual de 2022e aapresentação de DNS de 2024identificam cidades e países, não edifícios.

Isso deixa perguntas importantes sem resposta. O SRM está dividido entre duas áreas metropolitanas ou apenas duas salas em um campus? O mestre-mestre descreve gravações ativas em domínios de falha ou servidores dentro de um único site? O banco de dados do registro, o gerador de zona e o assinante DNSSEC estão colocalizados? Os nós anycast domésticos recebem a configuração de um controlador central? Quais nós no exterior são hardware de propriedade da PANDI, sistemas virtuais alugados, instâncias anycast gerenciadas ou secundários operados por parceiros?

A redundância de energia é igualmente opaca. Fontes de alimentação duplas em um servidor só ajudam se estiverem conectadas a caminhos de distribuição independentes. Um rótulo de Tier não estabelece a configuração real do rack do cliente, o histórico de manutenção ou os arranjos de combustível. A diversidade física requer evidências de caminhos de concessionárias separados, geradores, resfriamento, zonas de incêndio, entradas de operadoras e arranjos de mão de obra local. Nada disso pode ser inferido do BGP.

O mapa público deve, portanto, ser lido como um mapa de presença de serviço, não um mapa de cabos ou instalações. O fato de Jacarta aparecer várias vezes naapresentação de 2024pode indicar vários nós, mas não prova vários edifícios. Os Estados Unidos aparecerem sob vários nomes DNS pode indicar diversidade de provedores, mas não identifica cidades ou fornecedores comuns. Cairo e São Paulo, adicionados norelatório de 2023da PANDI, demonstram expansão naquela data; não estabelecem a operação atual em julho de 2026.

O servidor externo da APNIC é a fronteira independente mais clara porque pertence a uma organização e ASN separados. Mesmo aí, a independência lógica não é o mesmo que independência total de falhas. A APNIC ainda precisa de uma cópia autêntica e oportuna da zona. Uma zona ruim gerada pela PANDI pode ser distribuída fielmente por todos os secundários. Um erro de assinatura DNSSEC pode ser replicado globalmente. As dependências comuns mais consequentes do registro provavelmente estão a montante da borda anycast.

Isso não é um argumento para publicar coordenadas de rack ou projetos de segurança sensíveis. Um registro pode demonstrar resiliência por meio de descrições de controle auditadas, divulgação ampla de áreas metropolitanas, resultados de testes de recuperação, categorias de dependência e disponibilidade agregada. A lacuna é que as evidências públicas atuais são ricas em expansão e escassas em domínios de falha testados.

A diversidade de registradores não é diversidade de registro

Os registradores credenciados da PANDI dão aos usuários escolha na camada de varejo. Eles competem em preço, suporte, serviços integrados e experiência do cliente. Também criam alternativas operacionais: se um registrador sai, os nomes podem, em princípio, ser movidos para outro. Oaviso de 2025 sobre o fim do credenciamento da PT Indonesia Satu Tujuhdescreveu um serviço de transferência para nomes afetados, ilustrando o papel de continuidade do registro.

Mas todos os registradores credenciados dependem, em última análise, do SRM e do sistema autoritativo.id. Vinte e cinco registradores não equivalem a vinte e cinco registros. Uma falha no banco de dados central do registro pode interromper as operações de criação, renovação, atualização e transferência em todo o mercado, mesmo enquanto os domínios existentes continuam resolvendo a partir da zona publicada. Por outro lado, uma interrupção na cobrança de um registrador pode bloquear seus clientes sem afetar o DNS ou outros registradores.

Ascondições de credenciamento publicadas pela PANDIexigem que os candidatos a registrador operem servidores de aplicação, banco de dados, web, e-mail e DNS na Indonésia; mantenham backups; ofereçam suporte a DNSSEC; forneçam pessoal mínimo; e tenham um plano para transferir nomes se não puderem continuar. Esses requisitos colocam alguns deveres de continuidade na borda. Aautoavaliação de 2024é valiosa porque reconhece que os requisitos documentados precisam de verificação.

Os modos de falha têm relógios diferentes. Se o portal de um registrador ficar inativo por uma hora, os clientes podem ser incomodados, mas os nomes existentes resolvem. Se permanecer indisponível durante um prazo de expiração ou uma alteração de segurança urgente, o impacto aumenta. Se o SRM estiver indisponível, os registros e alterações podem pausar enquanto o DNS continua. Se a produção da zona ou o DNS autoritativo falhar, os usuários podem perder a resolução mesmo que os registros do registro estejam intactos. O planejamento de recuperação deve declarar essas camadas separadamente.

A proteção do registrante também depende da portabilidade dos dados. A saída de um registrador exige registros de patrocínio precisos, controles de autenticação e um processo que impeça o sequestro e permita a transferência legítima. Apolítica de registro da PANDIe o aviso público de saída mostram que ela reconhece essa responsabilidade. As métricas públicas poderiam ir além, relatando os tempos de conclusão da transferência, casos de saída não resolvidos e se os processos de emergência são exercitados antes que um registrador realmente falhe.

Soberania não significa que cada pacote DNS permaneça na Indonésia

A PANDI descreve o.idcomo a identidade digital da Indonésia, e a estrutura legal coloca a responsabilidade do registro sob autoridade indonésia. Essa é uma forma significativa de soberania: política, delegação e responsabilidade institucional estão vinculadas a uma associação indonésia e à estrutura governamental. Isso não implica que cada cópia autoritativa da zona ou cada consulta permaneça dentro das fronteiras do país.

O anycast coloca deliberadamente o serviço perto dos usuários. Os relatórios da PANDI descrevem nós em toda a Ásia, Europa, Américas e Austrália, enquanto a autoridade independente da APNIC é globalmente distribuída. Um resolvedor fora da Indonésia pode alcançar um nó externo próximo. Um resolvedor indonésio também pode selecionar um caminho externo se a política de roteamento o tornar preferível. O BGP escolhe caminhos, não objetivos de política nacional.

Essa distinção deve ser explícita para a análise de localidade de dados. Os dados públicos da zona DNS devem ser amplamente servidos; eles não são equivalentes aos registros não públicos de clientes e operacionais do registro. As evidências públicas não localizam o banco de dados de registro autoritativo, backups, logs, dados de abuso, documentos de disputa ou sistemas de gerenciamento de chaves. Portanto, não podem estabelecer que todos os dados sensíveis do registro permaneçam na Indonésia, nem que saiam dela.

A arquitetura pode suportar tanto o controle nacional quanto a disponibilidade global. Um registro pode manter sistemas de gravação canônicos e dados sensíveis sob controle doméstico enquanto distribui dados de zona pública assinados para secundários no exterior. Esse design seria coerente, mas não deve ser presumido sem evidências. O operador deve distinguir dados canônicos do registro, cópias da zona pública, telemetria de monitoramento e registros de suporte ao discutir localidade.

O tópico também atinge a camada do registrador. Apágina de credenciamento da PANDIdefine requisitos de servidor e data center indonésios para candidatos, enquanto provedores de varejo podem integrar outros serviços com locais diferentes. Um nome.idnão diz nada por si só sobre onde o site, e-mail ou dados do cliente associados estão hospedados. A identidade do espaço de nomes nacional e a localidade da carga de trabalho são propriedades separadas.

Os caminhos de falha credíveis

O primeiro caminho de falha é uma instância anycast ruim. Oaviso de recuperação de Semarangda PANDI mostra o mecanismo: um daemon DNS falha, a rota continua atraindo alguns usuários, o monitoramento identifica o problema e os operadores retiram o BGP até o reparo. Os controles relevantes são verificações de integridade cientes do serviço, supressão rápida de rota, acesso local, consistência de configuração e reintrodução cautelosa.

O segundo é uma falha de rota ou fornecedor. Avisão de status de roteamento do RIPE NCCmostra o AS132647 alcançando coletores públicos por meio de muitos caminhos observados, reduzindo a dependência de um único caminho visível. No entanto, os prefixos amostrados mostram diferentes conjuntos de AS adjacentes, e as alternativas de um nó podem ser mais restritas do que o gráfico amplo do ASN sugere. Um host anycast comercial, ponto de troca, rede de trânsito ou servidor de rota pode falhar. A recuperação depende de onde cada prefixo é anunciado e se outra instância saudável permanece atraente para os resolvedores afetados.

O terceiro é uma falha de configuração comum. Uma zona malformada, controle de acesso incorreto, versão de software quebrada ou política de roteamento ruim podem se propagar por muitos nós. A replicação geográfica então espalha o erro. Implantação em estágios, implementações diversas, validação antes da publicação e reversão rápida são mais relevantes do que a contagem de nós para essa classe de incidente. Aapresentação de 2024 da PANDImenciona várias famílias de software DNS, mas não diz quais nomes de produção usam qual software ou se as atualizações são escalonadas; a diversidade de implementação, portanto, permanece não verificada.

O quarto é uma falha de geração de zona, assinatura ou transferência. Isso fica entre o SRM e a borda. Uma zona obsoleta, mas assinada corretamente, pode continuar resolvendo até que as assinaturas ou a política operacional expirem; uma zona ruim recém-gerada pode se espalhar rapidamente. O secundário da APNIC ajuda apenas se tiver uma cópia boa. Controles úteis incluem monitoramento serial, alarmes de expiração de assinatura, validadores independentes, canais de transferência protegidos e uma forma ensaiada de reter ou reverter a publicação.

O quinto é um evento de chave DNSSEC. Perda, comprometimento ou erro na troca pode afetar todos os usuários de validação. Hardware, cerimônias e backups são importantes, mas também a coordenação com a IANA e o tempo permitido para caches. Oworkshop de DNSSEC de 2026 da PANDImostra atenção institucional ao DNSSEC; não substitui evidências sobre os próprios testes de recuperação de chaves da PANDI.

O sexto é a falha ou comprometimento do registrador. Um registrador falho pode deixar clientes sem suporte; um comprometido pode enviar alterações maliciosas. Credenciamento, autenticação, controles de alteração, detecção de anomalias e bloqueios de registro podem limitar os danos. Os procedimentos de transferência precisam preservar a continuidade sem se tornarem um caminho de aquisição.

O sétimo é a concentração humana e organizacional. A rede pode ser distribuída enquanto o conhecimento e a autoridade permanecem concentrados em uma pequena equipe. A resposta a incidentes pode exigir a PANDI, APJII, APNIC, um provedor de data center, um host anycast e uma ou mais redes de trânsito. A atualidade dos contatos, os direitos de escalada e os exercícios determinam se a diversidade técnica é utilizável sob pressão.

Uma resposta ao vivo é evidência de operação, não uma garantia de disponibilidade

Os registros públicos pontuais de 15 de julho de 2026 acrescentaram uma confirmação útil. Oregistro de delegação da IANAlistou as cinco autoridades esperadas do.id; aanálise do.iddo DNSVizexpôs a delegação assinada e a cadeia DNSKEY; e aresposta RDAP da PANDI parapandi.idretornou um registro estruturado com um carimbo de data/hora de atualização do banco de dados do mesmo dia. Avisão de status de roteamento do RIPE NCCmostrou todos os peers representados vendo o espaço IPv4 e IPv6 do AS132647. Juntos, esses endpoints públicos estabelecem que as superfícies de delegação, dados de registro e roteamento do registro estavam observáveis por volta do ponto de corte da pesquisa.

Eles não estabelecem um nível de serviço anual. Uma resposta DNS recursiva pode vir do cache. Mesmo uma consulta autoritativa bem-sucedida provaria apenas que a instância alcançada respondeu, não que todas as instâncias anycast estivessem saudáveis. Um coletor de rotas amostra o BGP de peers participantes, não de todas as redes na internet. Uma resposta RDAP diz que o serviço de leitura funcionou naquele momento; não testa gravações do registrador, publicação de zona, failover ou recuperação de banco de dados.

Para um registro, o monitoramento significativo precisa de diversidade tanto geográfica quanto funcional. As sondas devem consultar todas as autoridades lógicas via IPv4 e IPv6, validar DNSSEC, comparar seriais SOA, testar TCP e UDP, observar rotas, consultar RDAP e realizar transações controladas de registrador. Os resultados devem ser correlacionados para que um operador possa distinguir entre um nó inalcançável, uma zona obsoleta, uma assinatura quebrada, um vazamento de rota e um problema central no registro.

É por isso que o artigo se baseia mais fortemente em registros públicos convergentes do que em um único ping ou consulta. A IANA prova o contrato de delegação; a APNIC prova o registro de recursos; o RIPE RIS mostra a visibilidade pública da rota; o DNSViz expõe a cadeia de confiança observável; os relatórios da PANDI explicam a arquitetura pretendida; e o aviso de Semarang expõe um mecanismo de incidente real. Cada tipo de evidência responde a uma pergunta diferente, e nenhuma deve ser esticada além disso.

O que as evidências sustentam e o que não sustentam

O veredito operacional é positivo quanto à identidade e à função de rede observável. Oregistro da IANAidentifica a PANDI como o registro do.ide delega a zona para quatro autoridades da PANDI e o secundário da APNIC. OAS132647 tem ampla visibilidade de rota dual-stack, os endereços autoritativos estão dentro de seus recursos anunciados e oDNSViz expôs uma cadeia assinadano ponto de corte da pesquisa. Os relatórios datados da PANDI mostram investimento sustentado em SRM, nós DNS, segurança e supervisão de registradores.

As evidências são médias quanto à resiliência física atual. Relatórios históricos e umaapresentação técnica de 2024descrevem muitos locais. Oaviso de Semarangprova que pelo menos um nó anycast nomeado existiu e foi reparado no local em 2023. O BGP mostra vários ASNs adjacentes. Nada disso revela a matriz atual de instalações, domínios de energia independentes ou topologia do sistema central.

As evidências também são médias quanto à capacidade. Orelatório de 2022 da PANDIdeclarou um design de SRM para dois milhões de nomes, e suacontagem de 2025de 1,431 milhão de registros ficou abaixo desse número. No entanto, não são públicos testes de transação atuais, utilização, capacidade de consulta DNS, margem de ataque ou capacidade de failover. O registro pode ter adicionado capacidade após 2023; também pode ter restrições que uma simples contagem de nomes não detecta.

As evidências são fortes de que a tese original de hospedagem está errada. Registro e registrador são expressamente separados na lei e no próprio material da PANDI. Os recursos de rede públicos suportam DNS autoritativo e serviços de registro. Nenhuma evidência credível estabelece capacidade de computação voltada para o cliente, VPS, bare-metal ou nuvem vendida pela PANDI. Tratar a associação como um fornecedor de nuvem obscureceria a infraestrutura que realmente importa.

As próximas divulgações que melhorariam o quadro

A melhoria mais útil seria uma topologia de serviço atual no nível de domínios de falha, em vez de endereços exatos. A PANDI poderia declarar quantas instâncias anycast domésticas e no exterior estão ativas por nome lógico, quais são operadas pela PANDI versus operadas por parceiros, quantas áreas metropolitanas independentes hospedam serviços centrais de registro e se o assinante e o gerador de zona compartilham um site com o SRM.

Em segundo lugar, os relatórios de disponibilidade devem separar DNS, RDAP/WHOIS, transações SRM, publicação de zona e suporte. Orelatório anual de 2022 da PANDIfez isso até certo ponto, publicando resultados de nível de serviço para DNS, WHOIS e SRM. Números contínuos atuais, definições de incidentes e tratamento de manutenção mostrariam se o crescimento preservou a confiabilidade.

Em terceiro lugar, a divulgação de capacidade deve usar unidades de serviço. A margem de nomes registrados é útil para o SRM. Transações por segundo, sessões de pico do registrador, tempo de construção da zona, margem de validade da assinatura, consultas autoritativas por segundo e absorção de ataque testada descrevem restrições diferentes. Um teste de perda do maior site revelaria a capacidade utilizável após uma falha, não apenas a capacidade instalada antes dela.

Em quarto lugar, a organização poderia publicar evidências agregadas de recuperação: a data e o escopo dos últimos exercícios de failover do registro, reversão de zona, recuperação de chave DNSSEC e saída de registrador; se os objetivos foram atingidos; e quais melhorias se seguiram. Esses relatórios podem proteger detalhes sensíveis, ao mesmo tempo em que fornecem aos registrantes e partes interessadas do governo evidências de que a redundância funciona.

Finalmente, a divisão dos números AS merece explicação. Uma declaração concisa do propósito mantido do AS56088, por que a origem pública mudou para o AS132647 e se ainda há dependências conectando os dois evitaria uma classificação obsoleta. Os dados atuais já contam a história essencial: o registro.idé um serviço institucional distribuído e ativo, mas seu centro de gravidade operacional é o AS132647. Ler apenas o AS56088 perde a rede; chamar a PANDI de provedor de nuvem perde a instituição.