摘要

  • AFRINIC称，其董事会在2026年2月4日批准了AFPUB-2018-GEN-001-DRAFT07；这是与同日资源转移政策相互独立的“滥用联系政策更新”。
  • 规则要求inetnum、inet6num和aut-num对象必须关联一个有效、有人监看并被主动管理的abuse-c邮箱，而且要求收件人介入、接收日志等材料并对报告作出响应。
  • AFRINIC可在新建、更新时验证，也要至少每六个月验证一次，并可在其认为适当时再次验证。第三方对不响应、错误响应或选择性响应的投诉可以触发复核。
  • 随提案公布的员工影响评估称，支持服务只向合规成员提供；持续不合规可能导致注册服务协议（RSA）被撤销。本事实包没有证明任何成员已经因此被撤销。
  • 可联系的公开邮箱属于合理的登记职能。治理风险在于，一个可纠正的数据问题可能进入影响支持服务乃至合同存续的自由裁量流程，而公开材料没有给出独立复核和连续性保护的完整防火墙。

一封退信，能否成为资源连续性的起点

设想一个普通故障：公司更换邮件供应商，旧的滥用邮箱在迁移中退信；安全网关把带附件的外部邮件隔离；值班团队要求投诉者走经过身份验证的表单。对网络运营者来说，这是一个应当尽快修正的联系问题。它本身不能说明欺诈、放弃资源，也不能说明企业纵容网络滥用。

AFRINIC批准的第7版政策却把这一类问题接入了更长的制度链。所有由AFRINIC分配或指派的inetnum、inet6num和aut-num记录，都必须引用abuse-c；其中至少有一个邮箱必须有效、被监看并被主动管理。该邮箱需通过WHOIS、API及未来技术不受限制地公开。

这部分有清楚的公共价值。银行、上游运营商、反欺诈团队或安全研究人员遇到攻击、垃圾邮件或恶意软件时，需要找到负责的联系窗口。注册机构维护一个准确的目录，是协调而不是主权。

问题出在规则没有停留在“能否送达”。

从可送达性跨到响应行为

第7版规定，发往滥用邮箱的邮件必须需要收件人介入；报告者不能被强制填写表单；邮箱必须保证能够接收报告以及相关日志、示例或邮件头。AFRINIC制定的验证程序还要确认资源持有人读过程序和政策、定期查看邮箱、采取措施，并对滥用报告作出响应。

这些要求把两类判断混在一起。邮件服务器是否接受一封测试信，可以客观测量。一项投诉是否真实、证据是否充分、应当多久回复、运营商能否处分下游客户，则取决于合同链、司法辖区、隐私义务、客户角色和事件严重程度。

政策自己承认这一边界。它明确说不定义“滥用”，因为定义不属于AFRINIC的职责，各参与者还可能受本地法规和内部流程约束。然而，同一文本允许第三方举报一个不响应的邮箱、一个只回复AFRINIC测试信的邮箱，或者对实际案件“错误或没有响应”的成员。这些举报会触发重新验证。

这并不能证明员工一定会任意执法。本报道没有指控任何成员、员工或董事实施不当行为。它揭示的是文本上的权力矛盾：机构说实体问题不在自身管辖范围内，却保留了对处理结果进行合规复核的入口。

“AFRINIC认为适当时”没有上限

规则设置了四类验证时点：创建联系对象时、更新时、周期性验证，以及AFRINIC认为适当时。周期不得少于每六个月一次。第一次验证期最长15天；失败后转向其他LIR联系人，并再给不超过15天。

AFRINIC还可以每年调整初始期、升级期和验证频率，只要把理由告诉“社区”。对覆盖大量旧记录的迁移而言，弹性可能有实际必要。员工评估的历史数据确实显示，旧机制采用率很低：1,857个资源成员中只有28个采用，139,268个inetnum对象中只有232个、31,230个inet6num中只有33个、1,915个aut-num中只有32个受MNT-IRT保护。

这些是当时的基线，不是今天的覆盖率。它们能说明数据工程规模，不能自动证明开放式裁量合理。“认为适当时”没有列出触发证据、最高频率、误报标准或针对性复核的外部批准。AFRINIC同时设计测试、选择时间并判断是否通过。

在可替代服务市场，这种裁量会受到客户退出约束。区域注册机构掌握的是难以立即替换的识别层，退出并不对称，所以程序边界格外重要。

最严重的后果写在影响评估里

提案本身说，不合规的后果由RSA的一般条款处理。随政策公布的员工影响评估把这座桥说得更直接。

评估称，包括帮助台和资源申请在内的支持服务，只应向遵守政策的成员提供。法律影响部分又称，成员不合规将被视为违反RSA；成员会被鼓励补救；持续不合规可能导致RSA被撤销。

“可能”不等于自动撤销，“鼓励补救”也表明存在纠正阶段。本事实包没有发现AFRINIC已依据第7版终止某个RSA、撤销某项资源或拒绝某个成员获得支持。政策还把完整实施时间交给AFRINIC的运营优先级，因此不能报道为已经全面执行。

但是，书面路径已经具有治理后果。RSA不是普通的服务订阅，它是成员与注册机构关系的合同底座。终止关系可能触及资源登记、维护能力和业务连续性。NRS认为AFRINIC拥有这种高后果控制，却可能只承担低至100美元的责任；LARUS公开的合同风险分析也把终止与资源后果同有限责任放在一起。这是NRS和LARUS的立场，不是法院对本政策的裁判。

真正需要回答的问题是比例性：为什么一个可修复的邮箱缺陷，能够从数据质量标记一路升级到合同存续？在升级期间，MyAFRINIC、帮助台、反向DNS、RPKI和正常记录维护是否继续？谁在机构外复核？不可逆行动是否自动停止？公开政策没有把这些问题完整回答。

两次上诉都没有审理实体争议

AFRINIC把政策称为开放、共识驱动的“社区”成果。程序记录需要更准确地读。

2021年的一次上诉因申请人没有先与政策工作组主席讨论、支持者没有参与讨论等可受理性原因被搁置。2022年的另一份裁决也因未能证明先行解决争议而认定不可受理。两份决定都明确表示没有必要进入实体问题。

2022年的上诉材料主张，滥用在不同司法辖区含义不同，原有联系机制已经足够，强制回复增加运营成本，而且注册机构正越过记账边界。这些只是上诉方的论点，并非已确认事实。但可受理性裁决同样没有反驳这些实体问题，因为裁决者说自己没有审理。

因此，“程序已经走完”不能被写成“权力范围已经过实体检验”。参与程序的人也不能自动代表所有承担成本与风险的运营者。

权力环境仍未最终安定

AFRINIC目前可访问的批准页面称，董事会在“功能性治理结构恢复”后批准了第7版。这一页面证明机构做了什么，也证明机构怎样描述自己的合法性。

AFRINIC在3月12日的更新中同时称，2025年9月当选的董事已经履职，法院指定的receiver仍等待正式解除，并且有人提起程序要求使这些任命无效。本报道不裁判这些案件，也不声称董事会违法。能够确定的是：一项具有合同尾部风险的规则，是在AFRINIC自己也承认权力争议尚存的环境下获得批准。

这会提高而不是降低程序门槛。机构说“网络安全”“稳定”“共识”或“stewardship”，只能证明它的自我叙述。真正的合法性应当来自有限职能、可验证授权、相称后果与可执行救济。

把邮箱规则重新压回目录层

较窄的政策并不困难。AFRINIC可以验证邮件能否客观送达，允许多个联系人和经过认证的表单，公布固定触发条件与最大频率，并在失败后向所有管理联系人发出两次通知，给予至少30天纠正时间。

纠正期间，成员必须保留解决问题所需的仪表盘和支持服务。最后一次已验证的资源状态、WHOIS/RDAP、反向DNS与RPKI应保持连续。验证失败可以显示为数据质量标记，但不能自行证明欺诈、遗弃或资源权利消失。

只有独立的严重事由——例如登记欺诈、重复主张、明确放弃、法院命令或注册系统安全紧急情况——才应进入终止层。不可逆决定应有书面理由、独立复核，并在复核期间自动中止执行、保障网络连续性。

这正是Heng Lu doctrine强调的权力—责任关系。运营商融资、建设并承担网络失败的后果；注册机构提供唯一性和记录服务。后者不能因为掌握登记点，就把联系数据上的裁量扩展为不受约束的经济控制。

AFRINIC批准的是一项具有合理核心、却带有厚重合同尾部的政策。没有证据证明它已经伤害某个成员，也不能据此宣告非法。可以确认的是，从邮箱到RSA的通道已经写进公开文件。最好的治理不是等第一次争议发生后再补救，而是在通道启用前安装防火墙。

关于通知、补救、独立复核与运营连续性的完整分析，可参阅BTW的独立研究：AFRINIC不利决定中的正当程序与申诉。

来源