摘要

  • LACNIC 现行第 2.21 版《政策手册》要求资源记录具备有效、有人值守的滥用联系人，规定首个十五天验证期和另一个十五天升级期，并界定何时构成不合规；手册没有写明因此锁定 MiLACNIC。
  • LACNIC 仍在公开提供的操作指引则明确说，在完成验证前，组织进入 MiLACNIC 的权限将被锁定。页面提供三种修复办法，却没有列出哪些功能被停、哪些功能保留。
  • LAC-2018-5 的早期版本曾把锁定范围、NIR 的同等措施以及合同、付款和联系人修改等例外写进“不合规”章节；最终版本的变更说明明确删除了该章节。
  • 验证滥用邮箱本身有合理的安全目的。真正需要补上的，是一份有版本号的“控制—后果清单”，把权限来源、触发条件、影响范围、复核和恢复过程公开连起来。

手册停在“不合规”，系统从“锁定”开始

LACNIC 的政策文本对邮箱要求写得并不含糊。使用其注册系统的资源必须有 abuse-c 联系人，邮箱要真实存在、持续监控并得到妥善处理。举报人应能直接发送日志、邮件头和其他证据，而不是被迫为每一家网络学习一套专用表单。

验证过程也有明确时钟。组织先获得十五天；未完成时，LACNIC 应通过其他可用联系人继续升级，再给十五天。验证至少每年进行两次，新建或更改联系人属性时也要进行。两个期限都未通过，组织就属于不合规。

到这里，读者自然会问：不合规会触发什么？现行手册下一节写的是如何向 LACNIC 举报虚假应付验证、或者不妥善处理滥用事件，从而启动重新验证。它没有写“锁定 MiLACNIC”。这个结构同时出现在 LACNIC 声明具有最终效力的西班牙语 PDF 和英文译本中。LACNIC 第 2.21 版西班牙语政策手册 英文译本

另一张页面给出了答案。它的标题就是如何验证滥用联系人、解除 MiLACNIC 访问锁定。正文说，“在现阶段”，如果组织尚未验证滥用联系人，进入 MiLACNIC 将被锁定，直到验证完成。MiLACNIC 解锁操作指引

这不是两件互不相干的事。手册定义状态，帮助页执行后果。对会员来说，它们共同决定能否使用管理界面；对公共审计来说，它们却没有共享同一个版本、同一个权限说明或者同一张功能范围表。

被删掉的章节，曾经把后果写得很具体

如果锁定从未进入过政策讨论，人们还可以把它看成普通界面设计。LACNIC 自己的提案版本历史排除了这种解释。

LAC-2018-5 的早期文本设有独立的“不合规”章节。它写明：初始期和追加期之后仍未验证，将锁定 MiLACNIC，并在 NIR 系统中采取同等措施，范围覆盖与该组织关联的全部资源。同时，严格属于合同和付款的事项不受影响；用于更新 abuse-c 或 abuse-mailbox、从而再次验证和解锁的操作也应保留。早期文本还描述了登录警告和持续不合规时可能采取的后续步骤。

这说明锁定的范围与例外曾经被视为应当写进规则的内容。最终版本的修改说明随后写道，删除题为“Failure to comply”的章节。现行手册也确实只保留了不合规的定义，没有保留锁定、NIR 同等措施和例外条款。LAC-2018-5 提案及版本记录

这里必须守住证据边界。不能因为手册没有这段话，就断言 LACNIC 违法、无权或违约。会员协议、服务条款或其他程序可能另有授权，本次冻结的五份资料并不能排除这些可能。能够成立的结论更窄：实际公开的控制后果，没有出现在规定义务的权威政策文本里；而且早期草案曾经展示过如何把两者写在一起。

先承认验证机制解决了真问题

滥用邮箱不是装饰。钓鱼、恶意软件、扫描、账号攻击或者垃圾邮件出现时，受影响者首先需要知道证据应送到哪里。邮箱失效，会把寻找责任人的成本转给上游、平台、安全团队和受害者。

LACNIC 要求人工参与也有道理。自动回复只能证明服务器接受了邮件，不能证明有人看过日志、找到相关客户并采取措施。政策要求接收人理解流程、定期查看邮箱、处理并回应举报，目的显然不只是让数据库显示一个绿色标记。实施公告也把保持 Whois 滥用联系人最新状态列为会员应履行的责任。滥用联系人注册与验证公告

操作页面提供的修复路径同样合理。已有其他验证联系人时可以替换；可以重发验证邮件；旧地址失效时可以更换。会员不需要先证明某一宗滥用投诉是错的，才能处理联系人状态。

因此，本文不是要求取消验证，也不是把每次未回复都合理化。它只坚持一条简单边界：验证的是通知渠道，锁定的是行政控制面。后者的范围和依据不能由前者的价值自动推导出来。

“不能进入”究竟影响哪些动作

MiLACNIC 不是一扇只有一个按钮的门。资源持有人可能在其中维护联系人、查看记录、处理合同和付款，也可能执行与路由授权、反向 DNS、IRR 或转移有关的管理动作。不同动作面对不同的时间压力。

帮助页只说“进入”被锁定。公开资料没有告诉读者，会员是否还能读取信息、只能修改联系人、能够付款、能够提交安全工单，或者在网络事件中维护紧急技术记录。也无法从页面确定，锁定针对单个用户、整个组织，还是与组织相关的全部资源。

早期草案提到合同、付款和联系人更新的例外，却不能据此推断这些例外现在仍然存在。草案还提到 NIR 的同等措施，也不能据此断言巴西或墨西哥的具体界面今天采取相同做法。历史文本是历史证据，不是当前系统截图。

恰恰因为不能猜，LACNIC 才应当提供功能级说明。若锁定非常狭窄，公开范围可以减少不必要的担忧；若影响较广，会员则需要提前安排第二管理员、备用邮箱和事件处理路径。两种情况都不涉及公开认证细节或攻击面。

一张“控制—后果清单”就够了

这份清单不需要变成厚重的新制度。第一行写权限来源：政策哪一节、合同哪一条，或哪一项正式授权的程序。第二行写触发条件：十五天初始期、十五天升级期、向其他联系人的通知证据，以及状态真正切换的时间。

清单的核心是两列动作。一列列出被暂停的 MiLACNIC 功能，另一列列出仍可使用的功能。联系人修复已经是确定项；付款、合同、只读查看、应急安全支持以及各项技术维护，则应按照真实系统逐项填写。NIR 不应只用“同等措施”带过，应分别说明适用范围。

恢复也要留下记录。点击验证链接后，是立即解锁、等待同步，还是由工作人员复核？若联系人被误判，谁负责审查？有没有最长响应或恢复目标？即使答案是“尽力而为”，也比让会员把“直到验证”为止理解成任意时长更可用。

最后，页面需要有效日期、版本号、负责人和替代历史。“在现阶段”出现在一条 2021 年发布的 CMS 记录里，既不像临时措施，也不像永久规则。一个要求会员定期更新联系人状态的机构，也应当定期更新自己控制门槛的状态。

不要把文件缺口写成事故

资料没有列出任何遭锁定的会员，没有数量、持续时间、误判率或恢复时间，也没有路由、ROA、反向 DNS、转移或者客户服务受损的证据。我们没有使用会员账号测试门户。

所以，不能写“全部资源无法管理”，也不能写“LACNIC 没有任何授权”。可以写、而且应当写的是：权威手册止于不合规定义，操作页面另行宣布访问锁定，早期版本曾经把范围和例外明确写入政策，而最终版本删除了该章节。

来源