Resumo

  • A RIPE NCC informou que revogou 35 autoridades RPKI delegadas que continuaram inativas após avisos e uma última janela para reparo. O gatilho é a impossibilidade prolongada de localizar e validar um Manifest e uma Lista de Revogação de Certificados atuais, não uma interrupção breve ou a retirada de uma rota.
  • A comparação da NRO de outubro de 2026 registra 90 dias para a RIPE NCC e 60 dias para a APNIC. São regras regionais para uma condição específica de CA delegada, não um padrão global único.
  • O registro operacional precisa guardar a última validação bem-sucedida, o início das falhas, os avisos enviados, a resposta do operador e o estado final do certificado. Uma CA revogada pode ser recriada, mas não é possível desfazer o estado do certificado original.

Trinta e cinco revogações dão forma ao prazo

As datas tornam a notícia concreta. Em uma mensagem de 24 de setembro ao grupo de trabalho de Roteamento da RIPE, a RIPE NCC disse que começou a acompanhar CAs delegadas não funcionais em 9 de junho. Os usuários de um primeiro grupo receberam avisos em 14 de setembro; a organização deu mais uma semana para correção e depois revogou as 35 CAs que continuavam inativas. O número é o balanço divulgado pela própria RIPE NCC, não uma contagem independente de todas as CAs inativas da região.

Para os próximos casos, a RIPE NCC descreveu uma sequência: notificações aos usuários registrados nos dias 7, 30 e 60; se a CA continuar não funcional após 90 dias, o certificado será revogado. O painel de RPKI também passou a oferecer mais informações de diagnóstico. A regra agora pode ser acompanhada como uma linha do tempo operacional.

O que o prazo de 90 dias mede

O RIPE-847 define o gatilho de modo específico. Se a RIPE NCC não conseguir localizar e validar o Manifest e a Lista de Revogação de Certificados (CRL) atuais de uma CA delegada por mais de três meses, deverá revogar o certificado de recursos. A política também pede esforços razoáveis para localizar novos Manifests e avisar o operador quando os dados atuais não puderem ser validados e quando ocorrer a revogação.

O Manifest enumera objetos assinados publicados pela autoridade; a CRL registra certificados revogados. Um validador precisa de dados atuais e verificáveis para usar esse ramo da PKI de recursos. Nesse contexto, “não funcional” não exige que toda rota de acesso opere perfeitamente o tempo todo. A justificativa da RIPE distingue um ponto de publicação persistentemente desatualizado de um problema parcial de transporte quando outro caminho ainda entrega um Manifest atual e verificável.

Por isso, um prazo longo não é um cronômetro geral para qualquer queda. É uma regra de limpeza para um estado específico de uma CA delegada. A análise da RIPE diz que, após meses sem Manifest e CRL atuais, os objetos já estão desatualizados. Ela não afirma que a revogação, por si só, melhora a segurança do roteamento, nem que uma falha curta invalida imediatamente todas as autorizações de rota. As fontes consultadas não quantificam a economia de trabalho dos validadores nem mostram mudanças na aceitação de rotas.

Uma comparação, dois prazos regionais

O Comparativo de Políticas dos RIRs para o terceiro trimestre de 2026, publicado pela NRO em 9 de outubro, coloca lado a lado 90 dias para a RIPE NCC e 60 para a APNIC. O PDF se descreve como referência, não como declaração de política dos RIRs, e avisa que pode ficar desatualizado com novas implementações. A regra efetiva deve ser verificada nos documentos e no estado de serviço de cada região.

A proposta prop-166 da APNIC também cobre uma CA delegada, ou autogerida, cujo Manifest ou CRL atual não possa ser localizado e validado por um período prolongado. A análise usa 60 dias porque os meses do calendário variam. A proposta chegou a consenso na APNIC 60 e foi aprovada pelo Conselho Executivo em dezembro de 2025; materiais da APNIC 61 depois marcaram a implementação técnica como concluída. A política própria da RIPE NCC usa três meses, operacionalizados como 90 dias.

A diferença não é uma contradição. Os dois sistemas definem uma condição semelhante de inatividade persistente, mas seus processos de política escolheram prazos diferentes. A tabela tampouco cria um parâmetro mundial para todos os RIRs, todas as CAs hospedadas ou qualquer falha de publicação. A NRO oferece uma visão resumida; APNIC e RIPE NCC publicam as regras que regem seus serviços.

A notificação faz parte do controle

O prazo só funciona se o operador puder entender o que foi medido. O registro deve indicar o último Manifest e a última CRL validados, quando falhou a validação de dados atuais, quais contatos receberam avisos, que resposta chegou e se a CA foi corrigida, migrada ou revogada voluntariamente. Sem esses horários, “90 dias sem funcionamento” pode esconder uma falha da CA, do caminho de descoberta, de um endereço de contato ou da própria observação.

Os avisos também criam uma janela de intervenção. O operador pode restaurar a publicação, conferir se o sistema-pai voltou a localizar os dados ou decidir que não precisa mais da CA delegada. A RIPE NCC diz que uma nova CA pode ser criada pelo procedimento normal do painel após a revogação. Isso permite recuperação, mas não reativa o certificado anterior.

A Nota 70 de Heng Lu oferece uma lente editorial, não uma fonte factual sobre essas regras: preservar a continuidade da função do registro e delimitar a autoridade exercida pela instituição. Aqui, o controle é mais restrito que uma afirmação institucional ampla: condição publicada, período monitorado, notificações e mudança do estado do certificado. A credibilidade depende de cada etapa poder ser verificada.

O que os operadores devem acompanhar

Quem usa RPKI delegado precisa saber qual limite se aplica ao RIR-pai e ao modelo de implantação. Vale registrar responsáveis e contatos da CA, última validação do Manifest e da CRL, primeiro erro, avisos, respostas e estado final. Ao receber um aviso, a pergunta é se a autoridade consegue publicar dados atuais e verificáveis — não apenas se uma página ou um transporte responde.

Se a publicação foi abandonada, a revogação voluntária pode ser melhor que esperar uma ação do RIR-pai. Se a CA ainda é necessária, o operador deve corrigir e validar o ponto de publicação cedo o bastante para que a monitorização do pai perceba a recuperação. Os prazos de 60 e 90 dias não autorizam deixar um ponto crítico sem acompanhamento; são limites para um estado persistente de falha.

A decisão por trás do relógio

A regra distribui custos. Uma CA adormecida pode gerar tentativas repetidas de busca e ruído de estado antigo. Removê-la evita que validadores continuem percorrendo um ponto de publicação sem dados úteis. O titular dos recursos, por sua vez, depende do registro para detectar a falha corretamente, encontrar os contatos certos e preservar uma rota de recuperação.

Por isso, notificações e evidências fazem parte da substância da regra. Um prazo baseado em data só é objetivo se a data corresponder a uma condição verificável. Os RIRs podem reduzir ambiguidades publicando o método de medição, distinguindo falhas de publicação e de descoberta, guardando avisos e respostas e separando um objeto expirado de um certificado revogado administrativamente.

A conclusão não é que todos os RIRs devam usar o mesmo número. O operador precisa conhecer o prazo aplicável, a condição medida e o momento em que o certificado muda de estado. As 35 revogações iniciais da RIPE NCC mostram a regra em operação. Os 60 dias da APNIC mostram que comparar não é harmonizar. Para cada CA, as perguntas permanecem locais: quais dados deixaram de ser validados, quando o relógio começou e que evidência ainda poderia evitar a revogação?

Fontes consultadas: aviso da NRO para 2026-Q3; comparativo Q3; comparativo Q2; estado de implementação da RIPE NCC; relato operacional da RIPE NCC de 24 de setembro; RIPE-847; proposta APNIC prop-166; atualização de implementação da APNIC 61; Heng Lu, Note 70.