摘要

  • 合理的责任上限可以保护一个薄弱的、低费用的注册服务免受其既未造成也无法控制的开放式索赔。当机构获得对转让批准、安全凭证、暂停、路由干预或稀缺号码资源处置的独家权力时，这种合理性会减弱。
  • 当前的区域互联网注册机构协议说明了为什么合同文本本身无法解决机构合法性问题。ARIN 2025 年 8 月的注册服务协议使用了一个以六个月费用或一百美元中较高者为基础的总上限，而 RIPE NCC 标准服务协议将责任限于相关的年度服务费，APNIC 发布的标准协议在法律允许的范围内规定了广泛的免责。这些是合同立场，而非公平责任的普遍衡量标准。
  • 资源号协会应按控制程度对每项职责进行分类：记录发布、证据保管、转让协调、权威提交、RDAP 引用、反向 DNS、RPKI 签发、紧急暂停、路由行为和资源处置。不同的功能需要不同的上限、排除和补救措施。
  • 金钱限制不得限制更正不准确记录、遵守有效中止、恢复服务、保存证据或转让给后续提供者。这些是绩效补救措施，在计算损害赔偿之前保护连续性。
  • 欺诈、故意不当行为、滥用机密证据、未经授权的处置、明知违反具有约束力的中止以及鲁莽损害签名权应置于普通服务上限之外（若适用法律允许）。重复分配和不可逆转的安全故障需要专门更高的上限，即使没有故意行为。
  • 共享事件需要共享责任，而不强制持有人解决每个内部分配争议。索赔人应能够向控制决定性失误的行为人追偿，而提供者根据记录的责任保留相互分摊的权利。
  • 最强有力的事前约束包括：特定功能的保险、分离储备、经过测试的恢复、可审计的权限、事件证据和公布的总体风险敞口。没有资产或运营恢复支持的上限只是合同中的一个数字。

价格条款不能替代责任理论

责任条款通常是在服务协议的末尾起草的，然后被视为揭示了机构的性质。六个月费用上限暗示订阅。间接损失免除暗示普通供应商。客户赔偿暗示客户的行为造成了大部分风险。这些选择对于某些行为可能是合理的，但它们并不能证明协议下的每一项行为都具有相同的风险。

互联网号码服务结合了普通软件合同经常分离的功能。机构可以接收关于持有人的证据、维护权威注册、发布 RDAP 信息、批准转让、托管资源认证、委托反向 DNS 以及决定有争议的账户是否保持活跃。未来的提供者还可能提供路由监控或紧急干预。为基本会员支付的价格并不能衡量所有这些权力所危及其价值。

核心问题不在于提供者收费多少。而在于提供者是否控制了决定性步骤。它是否能防止错误？它是否是唯一能够授权更改的行为人？持有人在相关时刻是否有其他选择？提供者是否能在没有他人合作的情况下逆转效果？外部方是否依赖其签名或权威输出？

忽视这些问题的上限奖励机构扩张。提供者可以增加权力，同时将责任与旧的、狭窄的费用挂钩。控制增长，责任却不增长。一个合法的资源号协会必须做出相反的承诺：每一次独家控制的扩张都会引发对风险敞口、保障措施和财务能力的可见重估。

上限的存在有合理原因

无限责任并非全球注册机构的严重违约。网络损失可能是巨大的，因果关系可能受到质疑，一条不准确的公共记录可能会在涉及运营商配置、上游过滤、客户安全、软件缺陷和独立路由决策的事件之后被引用。如果每次远程损失都可以无限制地向注册提供者索赔，那么没有非营利或竞争性注册机构能够负责任地为服务定价。

上限还保护共享资金。一个由成员支持的机构不应允许一个联系薄弱的索赔耗尽维持对所有人服务所需的储备。可预测的风险敞口支持保险、连续性规划和较小提供者的进入。它防止市场仅对主权担保人或拥有庞大资产负债表的科技公司开放。

当服务薄弱时，上限的论点最强。假设注册商根据公布的规则验证权限，将签名指令传输给共同协调员，保留证据，并发布已接受状态的准确副本。它不决定分配政策，不控制共同签名权，不运营网络，也不阻止持有人更改注册商。其费用可以合理地锚定一个普通的总限额，同时附带有意义的最低限额和不当行为排除条款。

这不是豁免。注册商仍然欠其所控制的义务：安全的身份验证、及时的传输、准确的处理、保密、通知和与审查的合作。但它不应仅仅因为其名称出现在链条中而为自主网络做出的路由决策的所有后果投保。目标是有限的责任，而非象征性的惩罚。

当前的 RIR 合同显示了基线问题

目前的协议在措辞和管辖范围上有所不同，但每份协议都展示了普通合同分配与号码记录的经济重要性之间可能存在的巨大差距。ARIN 的注册服务协议，2025 年 8 月 15 日第 14.0 版规定了总限额，即事件发生前六个月内支付的费用与一百美元中的较高者。它还排除了间接和后果性损失的广泛类别。

RIPE NCC 标准服务协议规定其责任限于相当于成员相关财政年度服务费的最高金额，并受协议和适用法律约束。APNIC 发布的标准会员协议在法律允许的范围内排除了因协议、APNIC 文件或委托资源而产生的责任，并将该排除与成员赔偿配对。

这些规定应被准确理解，而非戏剧化。它们源于不同的法律、版本和机构历史。条款可能受到强制法限制。法院可能区分过失、故意行为、法定义务、第三方索赔和非金钱救济。文本本身不能预测所有结果。

比较也不能证明任何 RIR 造成了损失或特定上限不可执行。它揭示了一个设计问题。持有人可能依赖于注册及相关服务，其运营重要性超过年度费用多个数量级。如果未来的机构增加更强的转让、认证或干预权力，重复继承的基于费用的上限将保留旧的风险分配，同时改变服务的性质。

合同可执行性因司法管辖区而异

没有全球性文章可以宣布某一责任条款在所有地方有效或无效。合同法在整合、解释、过失、故意不当行为、公共政策、标准条款、议价能力和强制救济方面存在差异。成员、商业客户、消费者、受益人或第三方的地位也会改变分析。

英国的1977 年不公平合同条款法说明了这一点，但不提供全球答案。它防止排除因过失造成的死亡或人身伤害的责任，并将某些其他过失限制和标准条款限制置于合理性要求之下。法定测试考虑了合同订立时已知或预期的情况。其他司法管辖区使用不同的原则和法定界限。

资源号协会不应依赖在某个选定论坛中最有利于提供者的解释。它应发布一个实质性的责任标准，该标准可以跨提供者适用，同时承认当地法律。该标准将说明哪些故障有上限，哪些有更高的专用限制，哪些保持在普通上限之外，以及哪些纠正义务根本不是金钱索赔。

这种方法提高了确定性。提供者知道合格所需的最小风险分配。持有人可以在不解析截然不同的排除项的情况下比较报价。独立审查员可以确定争议涉及因果关系、金额、排除条款还是立即恢复。地方法律仍将决定可执行性，但机构不利用法律碎片化来隐藏其意图的分配。

控制测试始于五个问题

每项功能应通过五个实际问题进行审查。首先，谁拥有进行相关更改的独家权力？仅仅是提交请求的注册商不同于能够将其作为当前状态接受的协调员。报告异常情况的监控公司不同于可以撤销凭证的机构。

其次，谁拥有决定性的证据？如果一家提供者持有持有人和其他提供者无法获得的身份记录、授权历史或签名日志，它就控制了确定事实的能力。证据保管产生了责任，即使其他行为体做出了最终决定。

第三，谁能阻止或逆转效果？能够立即冻结、恢复先前记录或签发替换凭证的提供者比只能发送支持请求的提供者拥有更多的控制权。未能使用可用的逆转机制不应被视为无能为力。

第四，在损害发生时，该行为体的可替代性如何？客户可能名义上有提供者选择，但在争议期间缺乏可行的退出方式。独家控制加上艰难的退出支持更高的上限。

第五，第三方合理依赖谁的输出？RDAP 用户、对手方和路由安全系统可能依据记录或加密声明。权威断言的依赖面比咨询报告更大。这些问题共同产生了一个功能地图。公司形式、非营利地位和低费用仍然相关，但它们不能抹去实际控制。

注册服务属于阶梯的低端

最低责任层级涵盖在共同规则下准确接收、保存和发布注册事实。提供者检查所需字段和证据是否完整，保护机密材料，提交允许的更改，维护历史并回应持有人请求。它不决定谁拥有共同权或改变路由。

这里合理的上限是合适的，因为风险敞口必须可保，且准入必须可能。但几乎无经济价值的上限会削弱谨慎。NRS 应要求一个下限，即年度费用的倍数、每事件固定金额和与提供者客户数量或管理资源挂钩的总金额中的较高者。具体数字应基于保险证据进行审查，而非作为政治戏剧虚构。

提供者应完全负责退还未交付服务的费用、更正自身记录、导出持有人材料以及配合转让。仅费用退款不是对不准确记录的充分答复。金钱赔偿和绩效是分开的。

提供者可以通过证明其准确传输了授权指令、遵循了要求的控制并且对后来的网络事件没有权力来为自己辩护。这是控制敏感模型保护良好注册商的地方。它不会仅仅因为每个参与者都接触了同一资源而使每个参与者共同承担责任。它询问哪项义务失败以及谁拥有该义务。

证据保管先于权力产生责任

注册商可能声称它没有做出最终决定，但仍持有质疑该决定所需的唯一证据。身份文件、公司授权、转让同意书、安全警报、时间戳和通信可以确定行为是否被授权。丢失或扣留这些材料可能将可逆争议转变为不可逆结果。

因此，证据保管高于单纯的发布。选择独家存储的提供者必须维护完整性、访问控制、保留、导出和法律保留。如果它委托存储，除非持有人有意与托管人作为独立服务签约，否则它仍应对选择和监督托管人负责。

责任应反映材料的敏感性和不可替代性。普通文员延误可能仍在基础上限内。在争议通知后销毁、鲁莽暴露机密证据或拒绝提供所需记录供及时审查应触发更高层级或排除条款。区别取决于行为和效果，而非文件是否被称为支持数据。

NRS 应最小化收集，因为责任不能替代约束。注册商不应仅仅为了使文件看起来全面而收集商业计划、个人文件或网络细节。收集所确定义务要求的内容，说明保留期限，并允许验证更正。证据持有越窄，就越容易保护和转移。责任随后追踪必要的保管，而非由机构胃口创建的监视。

转让协调需要交易特定上限

转让改变了稀缺资源周围的服务提供者或公认持有人关系。它可能被延迟、盗窃、重复或错误拒绝。协调员可以验证指令、应用争议冻结、排序批准和发布最终结果。这些不是普通的支持行为。

ICANN 转让政策为域名市场中的提供者变更提供了有用的比较。获得注册商获得授权，注册局验证转让信息，失去注册商有定义义务和有限的拒绝理由，共享注册局更改赞助注册商。类比并不精确，但它表明责任可以按行为划分，而非完全分配给一个提供者。

对于号码资源，获得注册商应承担身份验证和准确提交风险。失去注册商应承担关于凭证释放、通知、证据保存和有限异议的义务。共同协调员应承担排序、唯一性、最终状态准确性和有效冻结的执行。如果它接受两个当前提供者或尽管有约束性中止仍进行转让，其控制是决定性的，其上限应远高于零售注册商的上限。

交易上限还应存续低费用。提供者不能廉价销售转让协调，然后使用价格来定义它可以误导的资源的最大价值。定价可能对上限有贡献，但权力、稀缺性和可逆性必须具有更大权重。

重复分配是体制性失败，而非文书错误

RFC 7020将注册准确性描述为核心要求，并指出唯一性意味着 IP 地址和 AS 号码不会同时分配给多个方。这一要求为共同协调功能提供了最强有力的理由。它也使得重复分配成为一个特殊的责任类别。

公共联系人中的打字错误可以以有限的直接损失进行更正。同一前缀的两个公认当前持有人可能污染转让、合同、RDAP 响应、反向 DNS 和资源认证。即使路由不自动跟随记录，冲突也可能在许多依赖方中产生不确定性。

因此，控制最终唯一性检查的行为人应为重复接受承担专门的更高上限。它应有足够的储备和保险用于紧急调查、通知、恢复、专业建议和直接证明的损失。重复失败应威胁资格，而不仅仅是消耗可预测的服务信用。

规则必须区分实际的双重分配与冲突的私人索赔或未经授权的路由公告。两家公司可能就控制权进行诉讼，而共同记录显示一个当前状态和争议标记。两个自治系统可能宣布重叠路由，而没有任何注册局将前缀分配两次。责任跟随实际发生的失败。精确性保护机构免受所有冲突的指责，同时确保其独特义务得到认真对待。

RDAP 权威创造了依赖面

RDAP 不分配资源或指导数据包，但它帮助用户定位和检索权威注册信息。RFC 9224解释了 IANA 维护的引导注册表如何将客户端指向 IP 空间和 AS 号码的权威服务。对于地址，客户端使用最长匹配逻辑；AS 号码条目将范围映射到服务位置。

这种设计将引用与底层注册分离。引导层的错误可能将用户发送到错误的服务。注册局的错误可能返回不准确的持有人或状态信息。客户端的陈旧缓存又造成了另一个原因。责任不应将其混为一谈。

NRS 应定义直接的 RDAP 义务：正确的权威范围、经过身份验证的传输、及时更新、可用性目标、清晰状态、保存历史和已证明错误的快速更正。普通上限可能涵盖短暂的 service 中断。更高上限应适用于提供者明知地提供虚假的权威范围、忽略已证实的腐败或造成持续引用冲突的情况。

公共依赖也支持非金钱救济。持有人或受影响的网络应能在未首先证明最终损害的情况下要求紧急更正或可见的争议通知。机构应保存之前的响应并公布更正时间。上限不能购买将权威错误留在网上的权利。

RPKI 使机构更接近路由后果

注册和路由是分开的。RFC 7020 指出地址是否被公布以及如何被广告是运营考虑，不在互联网号码注册系统范围内。这一边界保护注册局免受每一起路由泄漏都是其行为的索赔。然而，RPKI 在资源权力和路由决策之间建立了更紧密的联系。

RFC 6480描述了用于验证自治系统是否有权发起路由到前缀的资源证书、签名对象和存储库。路由源授权表达了持有人对源 AS 的授权。网络运营商仍选择验证策略并做出路由决策，但认证层级可能影响路由被视为有效、无效或未知。

托管委托 RPKI 但不控制持有人密钥的机构比能够代表持有人签发和撤销的托管服务拥有更少的直接权力。仅重新发布签名材料的提供者又与信任锚运营商不同。责任必须跟随这些区别。

托管签名、密钥恢复、撤销和存储库发布需要更高的安全层级。未经授权的撤销、错误的证书撤销、签名控制丢失或未能恢复已知腐败可能产生直接的运营影响。提供者不应为每个网络做出的每个过滤决策投保。它应对只有它才能执行的加密和发布行为承担重大责任。

直接路由控制将完全改变协议

资源号协会可能被诱惑提供紧急路由抑制、协调过滤或对网络合作伙伴的自动指令。这类服务可能在劫持或法院监督的紧急事件中有价值。它们也将跨越从记录权力到改变网络行为的边界。

如果机构能直接导致参与者拒绝公告、撤销路由或更改被广泛消费的路由馈送，其普通注册上限不能保持不变。相关风险敞口包括对持有人、下游客户和依赖该指令的网络的干扰。机构必须定义谁授权行动、适用什么证据门槛、持续时间如何限制、如何逆转行动以及受影响方如何获得即时审查。

即使该功能作为可选销售，更高上限也应适用。一旦对手方自动化依赖，机构就控制了一个后果性的杠杆。小费用并不会使杠杆变小。

这并不要求对所有互联网可达性承担无限责任。网络保留自主权，独立故障可能打破因果关系。合同可以排除过于遥远的损失或由机构控制之外的运营商决策引起的损失。基本规则更窄：机构不能行使改变路由的权力，同时将它的责任定价得好像只是响应目录查询。

资源处置需要最高的私人责任层级

最具后果性的行为是决定一个持有人不再控制资源而另一个可以接收它。这可能通过转让、合并、破产、放弃、欺诈认定、法院命令或执法决定发生。这与更改注册提供者不同。

如果 NRS 仅声称薄弱的注册角色，它不应拥有单方面处置权。有争议的更改应要求经核实的持有人同意、有权限的外部命令或根据明确接受的规则做出的独立决定。机构可以记录和实施结果，而不假装拥有地址空间。

当机构仍然控制决定性的提交时，应面临最高的上限、快速的临时救济和广泛的排除条款。未经授权的处置可能剥夺网络的稀缺运营资源，扰乱合同并产生难以解除的竞争索赔。损失不能由一年的会员费公平衡量。

最高层级应涵盖合理的恢复成本、直接证明的中断、恢复控制所需的专业费用以及适用法律认可的其他损失。欺诈、故意转换权力、明知无视中止和串通应在合法时置于普通限制之外。资格机构还应有能力独立于赔偿暂停人员或提供者。事件发生后拿钱不能成为对稀缺资源权力的唯一约束。

间接损失排除需要功能边界

提供者经常排除利润损失、商誉以及间接、特殊或后果性损害，因为远程网络效应可能难以预测和量化。某些边界是必要的。没有它，轻微的延迟可能基于持有人声称本可赢得的每一份合同产生索赔。

困难在于连续性服务的直接目的是防止中断。如果提供者错误地撤销托管 RPKI 材料或进行未经授权的转让，服务损失可能是最可预见的结果，而非远程意外。将每一个运营效果称为间接后果将掏空核心义务。

NRS 合同应按功能定义可追偿的项目。对于薄弱的注册，直接更正、重新认证和转让成本可能是核心。对于可移植性服务，恢复、重复交易撤销和约定的连续性保证可能是直接的。对于托管 RPKI，紧急证书恢复和合理的事件响应可能是直接的。更广泛的失去机会和声誉索赔可保持限制，除非故意行为或强制法另有规定。

这种起草比通用标签更诚实。它告诉提供者要投保什么以及持有人要保留什么证据。它还帮助审查者区分夸大索赔与承诺连续性但排除其所有后果的合同。

服务信用不足以应对高控制功能

当损害大致跟踪订阅价值时，服务信用有效。延迟的控制面板或短暂的支持中断可以通过减少费用来回答。信用易于管理，避免了关于轻微损失的诉讼。

注册错误可能不同。年度费用可能是数百或数千，而受影响的网络支持医院、公共服务、商业平台或区域连接。信用不能恢复转让、更正虚假持有人条目或修复撤销的安全授权。

NRS 可以保留对未改变权威状态的可用性失误的信用。它不应使它们成为不当暂停、重复分配、未经授权转让、违反中止、签名权丢失或拒绝释放可携带记录的唯一补救措施。这些事件首先需要恢复，其次是在适用层级下的赔偿。

合同还应防止提供者将每个失败标记为可用性事件。如果服务在技术上是响应请求的同时返回损坏的权威数据，正常运行时间就不是相关义务。绩效衡量必须遵循功能：记录的准确性、转让的及时性、签名的完整性、冻结的合规性以及连续性的恢复时间。

纠正救济必须在金钱上限之外

损害限制不应限制做正确事情的义务。如果提供者持有不准确的记录，它必须更正或标记。如果它在失败前收到了有效的转让，后继者必须能够完成更改。如果审查者命令临时中止，共同协调员必须保持状态。如果凭证被错误撤销，责任行为体必须安全地恢复它们。

这些义务是绩效形式，而非对资金池的索赔。允许提供者支付小上限并保留错误状态的合同将把责任转化为购买控制权的价格。这与依赖准确性和连续性的注册机构不相容。

NRS 应将记录更正、证据保存、导出、可移植性合作、遵守约束性决定和紧急恢复明确置于总损害上限之外。提供者履行这些义务所产生的成本不应减少可用于有效金钱索赔的金额。

法院和仲裁机构在可授予的救济方面存在差异。机构规则仍可说明预期优先级。保持连续性，停止持续伤害，确定权威状态，然后才确定赔偿。这个顺序减少了各方的损失，并防止上限争议延迟技术修复。

排除条款应狭窄、严重且可见

普通上限不应在索赔人使用令人震惊的形容词时消失。过于宽泛的排除条款破坏可预测性，并邀请每起过失索赔被诉为重大过失。类别应与可识别的行为和功能挂钩。

最有力的候选是欺诈；故意不当行为；明知滥用机密证据；明知违反具有约束力的法院或独立审查中止；未经授权个人使用签名凭证；故意重复承认；以及串通资源转移。适用法律可能已经限制了对某些行为的排除。

重大过失或鲁莽漠视也可能证明排除合理，但合同应定义与适用法律的关系。未能及时修补一个系统并不自动构成鲁莽。忽略经反复验证的妥协警告而继续签署权威对象可能构成鲁莽。

某些事件应具有超级上限而非无限风险敞口。意外的重复分配、批量迁移失败或安全控制缺陷可能在没有故意行为的情况下产生相关损害。由保险和储备支持的专用限额比名义基础上限提供更现实的恢复，同时保持机构偿付能力。

时间表应公开且可读。持有人不应在事件后发现排除条款仅存在于私人提供者附录中。提供者可能提供更高级别的可选覆盖，但资格必须包括零售条款不能减少的共同最小值。

因果关系保护问责和公平

对控制敏感的责任不是对后续一切事物的严格责任。索赔人仍必须将违反义务与公认损失联系起来。虚假的 RDAP 记录可能令人尴尬但与由泄漏的 BGP 公告引起的路由中断无关。延迟转让可能与设备故障同时发生。有效的 ROA 可能被不执行路由源验证的网络忽略。

机构应保存使因果关系可测试的证据：请求和提交时间、授权结果、状态更改、凭证事件、发布历史、通知和恢复操作。索赔人应提供网络观察、合同、缓解步骤和其他与损失相关的材料。任何一方不应控制唯一账户。

在多重失败结合的情况下，责任可以分割。注册商可能错误处理认证，协调员可能忽略异常，运营商可能未能保护账户。损害评估应反映比较责任，若适用法律允许。

因此，该模型拒绝了两个极端。它拒绝基于路由总是他人行为的注册局豁免。它也拒绝每当资源出现在网络事件中就自动注册局责任。功能、违约、因果关系、可预见性和减轻仍然是必要的。控制移动上限使这些询问更精确，而非更少。

共享服务需要索赔人保护和提供者追索

号码服务将涉及链条：持有人、零售注册商、身份专家、共同协调员、RDAP 运营商、密钥保管人、云主机和独立审查者。失败可能跨越多个合同。要求持有人在收到恢复前在不同国家起诉每个行为体将使正式责任无用。

欧盟的一般数据保护条例第 82 条提供了一个有限的类比。它连接控制者和处理者的责任与其各自的责任，保护在涉及多个责任行为体时的有效赔偿，并允许支付全额赔偿的行为体根据另一行为体的份额寻求分摊。互联网号码服务不是数据保护索赔的类比，且该条不自动管辖它们。分配原则是有用的。

NRS 应为定义明确的共享事件给持有人提供一条索赔途径。控制决定性失败的行为体可以恢复服务并满足有效索赔，然后针对分包商或同行提供者使用分摊规则。提供者之间的合同应包括兼容的证据、保险和争议条款，以便内部分配不延迟持有人。

这种保护不得将每个提供者变成每个其他提供者的担保人。资格规则应确定联合责任何时适用：一项不可分割功能的共同交付、对决定性行为的共享控制或未能满足明确的监督义务。仅互操作性是不够的。

外包不能抹去保留的权力

提供者可能外包托管、身份检查、客户支持或密钥保管。它可能为此获得专业知识和弹性。它不能外包活动的同时保留客户权力，然后声称没有人负责。

欧洲银行管理局的外包安排指南使用关键性要求对重要外包功能进行更强治理，并强调受监管机构的管理层仍然负责。银行规则不类比管辖 NRS。它们展示了对责任洗钱的成熟回应：关键功能需要明确的权利、访问、审计、连续性和退出。

指定供应商的 NRS 注册商应对持有人负责其承诺的义务，同时保留对供应商的追索。如果供应商独立地与持有人签订单独的可选服务合同，责任可以明确分离。决定因素是谁选择了供应商、控制了指令并将服务呈现为注册商义务的一部分。

签名或权威状态的转包需要特别审查。共同协调员必须知道密钥和副本位于何处，控制如何分割，替换如何激活以及合同限制是否匹配功能。低供应商上限不能成为高控制机构失败的实际最大追索额。

可移植性法律表明赔偿可以跟随更换控制

欧洲电子通信法典提供了直接的行业比较。第 106 条保护提供者更换和号码可移植性，限制服务损失，禁止延迟和滥用，并要求成员国为失败、延迟、滥用和错过预约建立简单及时的赔偿规则。

教训不是 IP 地址是电话号码，也不是欧盟通信法管辖全球号码注册。而是如果控制更换的各方对延迟或滥用没有后果，更换权就不完整。接收提供者、传输提供者和可移植性管理机构各自控制不同的步骤。

NRS 应将可移植性截止日期与责任配对。提交虚假权力的接收注册商、扣留所需凭证的失去注册商以及提交重复状态的协调员不应共享一个未区分的上限。每种失败应有定义的补救和限制。持有人应因明显延迟获得自动最低赔偿，而不失去证明更大覆盖损失的权利。

自动金额可以减少争议成本。它们应适度到易于管理，足够大到改变行为。高后果事件仍受更高层级和证据约束。这种组合使普通服务失败易于补救，同时为罕见事件保留严肃审查。

保险应跟随功能，而非公司标签

资格应要求证明承诺的限额能够被支付。合同慷慨但没有保险或储备的提供者可能提供少于有可靠支持且适度上限的提供者的保护。因此，保单应按功能指定覆盖范围。

薄弱的注册商需要专业赔偿、网络保险以及用于更正和转让合作的资源。转让协调员需要身份验证、重复提交、错误冻结和批量迁移的保险。托管 RPKI 提供者需要网络和技术保险，不排除其控制的签名和发布风险。拥有处置权的机构需要更强的储备和保险安排。

应检查保单的排除条款、地域范围、集合、分包商、密钥泄露、人员故意行为和提供者失败后的连续性。仅存在保险证书不足够。NRS 应接收保密细节并发布覆盖范围和续约状态的摘要。

自保对于资本充足的机构可以是合法的，但储备应分离并根据模拟事件衡量。日常运营所需的成员资金不应被重复计算为连续性储备和索赔能力。目标是在不暴露敏感保单条款的情况下实现可信支付。

总上限必须考虑相关事件

年度总上限可能在共享失败后由第一个索赔人耗尽。这制造了持有人之间的竞赛，即使一次损坏的更新影响了数百个资源。它还允许提供者将相关事件视为许多无关的小事件，或者反过来说，作为一个受一个微小限制的事件。

NRS 应按原因和功能定义集合。源于一个受损签名密钥的索赔可能构成一个安全事件，但专用总额必须反映受影响资源的数量和规模。提供者范围的迁移错误可能需要单独的灾难层。普通无关的文书错误可保持在年度基础总额下。

合同应说明索赔如何优先排序，恢复费用是否在资金池之外，以及晚发现的索赔如何处理。基本公共服务运营商不应秘密地在其他人之前获得所有赔偿，尽管连续性行动可以在公布的紧急标准下适当优先考虑即时人类影响。

总风险敞口应进行压力测试。模型应包括同时的转让损坏、密钥保管人丢失、虚假 RDAP 范围、提供者破产和迁移期间的法院争议。结果应影响储备、保险范围和提供者集中度。如果一个供应商支持大多数注册商，名义上独立的上限可能隐藏一个相关依赖。

索赔窗口必须尊重延迟发现

注册机构需要终局性，证据不能永久保存。然而，有些失败数月后才被发现，特别是未经授权的更改被受损账户隐藏，或历史证据丢失仅在转让中暴露。极短的索赔窗口将奖励隐瞒并削弱审查。

普通窗口应从持有人知道或理应知道事件时运行，受法律允许的较长最终限制。欺诈和故意隐瞒可能需要不同处理。不应仅仅因为损害通知迟到而拒绝立即更正请求；权威准确性仍然是持续义务。

提供者应将通知发送给后果性更改的多个验证角色。静默记录更新不应针对未收到有效通知的持有人启动时限。通知应标识资源、行动、时间、权力类别和质疑路径，而不暴露机密材料。

NRS 还应保存防篡改事件历史足够长以评估索赔。保留期限需要与转让、安全和法律风险相关的理由。个人文件的无限期存储不必要。通过加密承诺和独立见证记录，可持久证明所更改的内容可以比更敏感的证据存续更久。

持有人和运营商保留注意义务

随机构控制移动的责任并不免除持有人自身的义务。运营商控制账户管理员、联系准确性、凭证安全、路由配置、ROA 内容、监控和及时响应警报。忽略反复妥协通知的持有人可能促成损失。

合同应确定合理的安全义务，而不使它们成为不可能保证。多因素认证、角色分离、及时联系更新、转让凭证保护、后果性更改确认和事件合作是适当的。标准应考虑小型网络和紧急情况，而非假定每个持有人都有银行级别的安全团队。

持有人失败应仅在与事件相关时减少追偿。过时的账单联系不应借口协调员的重复分配。弱密码可能涉及账户接管，但如果提供者通过内部权限绕过所需批准，则无关。

网络运营商也保留路由自主权。注册局声明不强制每个 BGP 决策。运营商决定是否以及如何使用路由源验证、过滤器和警报。索赔应审查这些选择，同时承认权威安全错误仍可能是实质性原因。

紧急权限需要短时钟和高义务

紧急情况诱惑机构结合控制。疑似劫持、密钥受损、制裁命令或欺诈指控可能导致提供者冻结转让、暂停凭证或发布警告。延迟可能放大损害，然而不正确的紧急行为可能中断合法网络。

NRS 应狭窄定义紧急权限。行为人必须记录法律或技术基础，识别授权决策者，限制持续时间，在合法时通知受影响方，并在短时间内获得独立审查。临时冻结不是最终处置。

责任应区分善意、基于证据的临时行为与疏忽或战略滥用。标准下的普通紧急行动可以获得受保护的上限，因为决策者必须能够行动。在证据崩溃后继续限制、忽视强制性审查或使用紧急权力谋取商业利益应触发更高层级或排除条款。

事件期间最有力的补救是快速审查。多年后的损害索赔不能在不合理暂停期间恢复网络。机构应维护一个始终可用的审查员，能够保护状态、命令有限恢复和保护机密证据。

法院命令不消除准确执行的需要

注册机构将收到法院和合法当局的命令。当命令有效且具有约束力时，机构不仅仅因为遵守影响持有人而承担责任。它仍控制解释、范围、时间和技术执行。

提供者应通过合格建议验证真实性和管辖权，执行命令所要求的范围，保存证据，并在目标不明确时寻求澄清。关于一个组织的指令不应无声地影响无关资源。如果通知被禁止，应跟踪限制及其到期。

协议可以保护善意遵守，但不应该原谅针对错误资源执行、命令到期后的行动或明知无视中止。这些失败源于机构控制，而非司法命令。

跨境冲突需要一条通往独立审查的公开路线。NRS 不能承诺每个司法管辖区都同意。它可以承诺一个提供者不会将最广泛的可能解释私下转化为永久全球效果而不受审查。责任和纠正救济随后附着于提供者的执行义务，而非法院权力。

控制矩阵使协议可检查

每个合格提供者应发布一个控制矩阵，每项功能一行。该行应标识授权行为的行动者、执行行为的行动者、谁可以逆转、预期效果、依赖项、基础上限、更高上限、排除条款、恢复义务、保险和审查路线。

对于注册发布，注册商可能在中等上限下授权和执行更正。对于提供者可移植性，接收注册商进行身份验证，共同协调员提交，两者都有各自的上限。对于托管 RPKI，持有人授权而签名提供者执行，信任锚运营商可能控制撤销。对于资源处置，外部决定可能授权而协调员在最高层级下执行。

矩阵防止模糊捆绑。提供者不能为了逃避责任而自称单纯中介，同时又为了要求尊重而自称权威守护者。其角色在事件前已声明。

对矩阵的更改需要通知和独立审查。添加自动路由控制功能、集中密钥保管或取得最终转让权力将在启动前触发新的保险和储备要求。当控制移动时，责任移动，而非在第一个索赔人证明机构已悄悄改变之后。

场景一：普通注册商错误

考虑注册商在入门持有人时将一个非公共联系人字段转置。共同权威状态保持正确，没有转让发生，RDAP 公共输出不受影响，注册商在收到通知后几小时内更正了字段。持有人证明了员工时间但没有服务中断。

这属于基础服务上限。注册商应更正错误、记录、改进验证并偿还任何约定的直接金额。无限风险敞口不会改善结果。机构既未改变资源控制也未造成路由影响。

现在改变一个事实。同一注册商在提交转让时使用了错误组织标识符，尽管收到矛盾证据。共同协调员捕获了不匹配并拒绝请求。持有人遭受短暂延迟。身份验证和提交是注册商的义务，因此转让层级和自动延迟补救适用。协调员不为拒绝不一致指令负责。

该场景显示了为什么事件标签不够。两者都始于数据错误。它们的责任不同，因为第二个触及了后果性交易。功能和控制（而非词汇）设定了层级。

场景二：共同协调员接受不兼容状态

持有人更改注册提供者。接收注册商验证授权官员，失去注册商发送了审查后到期的有限反对。共同协调员提交了新提供者但未能收回前提供者的授权令牌。两者都可以提交更改，冲突的 RDAP 和 RPKI 行动随之而来。

这不是两个普通注册商错误。协调员控制了序列化和令牌收回。双重权力是共同层的体制性失败。专用更高上限适用，同时立即冻结、恢复到最后无争议状态、通知依赖方、保存每个事件和独立审查。

接收注册商如果在检测后利用双重令牌仍应负责。失去注册商如果提交未经授权的更改仍应负责。分摊可以分割金钱结果，但协调员不能将其责任降低到低服务费，因为只有它才能确保一个当前权力。

持有人不应等待三家公司决定哪份合同响应。共同索赔途径恢复状态并支付有效金额。内部追索跟随证据。

场景三：托管 RPKI 撤销

提供者为运营商运营托管 RPKI。安全警报错误地将持有人账户标记为受损。自动规则在未要求第二次批准的情况下撤销了资源证书，路由源授权变得不可用。一些网络拒绝运营商的公告，而其他继续载送。

提供者未指挥每个路由决策，因此它不自动对所有流量损失负责。它确实控制了撤销、自动化规则和恢复。更高安全层级适用。直接恢复、事件支持和覆盖的运营损失可用。提供者可以质疑远程或推测性索赔，并显示哪些网络未依赖验证。

如果提供者要求双人批准，且持有人自己的授权官员使用持有人未能保护的受损凭证确认了撤销，责任可以共享。如果雇员故意撤销证书以在费用纠纷中施压持有人，普通上限不应保护该行为。

同一功能因此支持多个结果。控制矩阵、事件证据和明确行为排除允许审查者区分它们，而不假装 RPKI 要么控制所有路由，要么没有路由后果。

场景四：命令针对错误前缀

法院命令识别一家公司和争议资源。机构的法律团队验证了命令，但运营商在执行期间选择了相邻前缀。错误在事件记录中可见。机构随后延迟恢复，因为其合同排除了因法律合规产生的损失。

排除不应适用。法院未命令对相邻前缀采取行动。机构控制了映射和执行。立即恢复在上限之外，高控制层级适用于覆盖损失。如果员工知道不匹配并继续，排除条款可能适用。

这一结果不挑战司法权威。它保护准确执行。提供者应能遵守合法命令而不成为争议的保险人，但它必须对仅由其执行的技术行为负责。

该场景也说明了为什么推理和事件历史重要。模糊的记录仅说发生了法律行动将掩盖命令还是执行造成了损害。精确的权力、范围和执行证据保护法院、机构和持有人。

治理应在事件前而非之后审查上限

NRS 应建立一个独立责任委员会，具有精算、网络、安全、保险、合同和运营商专业知识。它应每年以及在重大变化后审查功能层级。提供者不应控制判断其自身新权力是否应获得更高上限的机构。

委员会应审查索赔经验而不暴露私人方、接近失误、保险排除、恢复测试、集中度和受管理资源经济价值的变化。它应公布更改最低限额的理由。仅成员投票不足，因为小型持有人和第三方用户承受后果。

压力测试应包括提供者破产和机构失败。高上限在提供者消失时无意义。托管证据、可携带凭证、后继安排和分离储备减少损害和索赔。责任设计和连续性设计相互加强。

委员会还应防范过度纠正。过高的上限可能消灭小型注册商，增加集中度并使共同协调员成为唯一可行提供者。目标不是最大名义敞口。它是每个功能与权力、后果、保险市场和可信恢复相一致的最低限制。

责任不证明所有权

机构可能认为承担责任意味着对号码资源的所有权或主权控制。事实并非如此。责任跟随机构执行的行为，而非声称拥有前缀或 ASN。

港务局可以对疏忽处理负责而不拥有货物。证券中介可以对结算错误负责而不拥有投资者的资产。注册商可以对未经授权的更改负责而不成为持有人。号码资源机构应接受同样区别。

持有人仍然是适用分配和转让框架下的公认方。网络保留路由自主权。IANA 根据适用安排保留其顶级编号角色。NRS 和注册商提供有限服务。当他们在这些服务中犯下后果性错误时，责任标志着对行为的问责，而非对基础资源的产权。

这一区别在政治上很重要。机构不应使用托管语言要求尊重，同时使用供应商语言避免责任。它可以是一个狭隘的服务提供者，仍对其独家行为承担强义务。它可以承担重大责任而不声称政治主权。

合同应包含责任时间表

操作条款应附加时间表，而非将所有事件埋在一个段落中。时间表应定义至少六个层级：普通注册；敏感证据保管；提供者转让；权威协调和唯一性；托管安全权力；以及资源处置或直接路由干预。

每个层级应说明每事件最低、年度总额、灾难总额、排除损失、直接损失定义、自动补救、恢复义务、排除条款、索赔窗口、证据义务和保险要求。当涉及多个 NRS 附属机构或供应商时，应指定责任实体。

时间表应说明最高适用层级管辖混合事件。提供者不能将一个高控制行为分割成几个低控制子任务。同时，无关损失不应仅仅因为提供者其他地方提供该功能而被拉入更高层级。

条款应仅在对等控制下对称。持有人可以赔偿注册商其提供的虚假信息或非法指令。注册商不应因自己的未经授权转让或安全失败获得赔偿。相互措辞可能看起来公平，同时隐藏截然不同的控制。

未来 NRS 的承诺是有限责任且无责任缺口

资源号协会应从适度角色开始：可验证的注册、可携带服务、连续性以及当前控制的一个全球一致视图。这一狭窄使命支持有限责任。它不支持空的上限。

随着 NRS 增加功能，责任时间表必须改变。证据保管产生保密和保存义务。转让协调产生身份验证和时限义务。共同状态产生唯一性义务。托管 RPKI 产生签名和发布义务。紧急路由行动产生中断风险。资源处置产生最高义务，因为机构可以改变谁被公认为控制稀缺资源。

原则可以简单表述：任何行为体不应承担其无法防止的损失，任何行为体不应逃脱仅由其控制的杠杆所产生的损失。费用、保险和非营利地位影响金额。它们不定义功能。

该模型保护注册商免受不可能索赔，同时保护持有人免受机构免罚。它鼓励角色分离，因为权力带来成本。它使外包透明，因为保留控制保留责任。它偏好恢复而非诉讼，证据而非指责。最重要的是，它防止未来的 NRS 继承广泛权力和薄弱服务上限，仿佛两者自然属于一起。

证据和分析限制

本分析使用官方 RIR 协议显示当前的合同方法，而非裁决争议或声称特定条款无效。合同版本变化，适用法律重要，强制权利可能改变排除条款的效果。ARIN、RIPE NCC 和 APNIC 文本应与其完整条款和任何后续修订一起阅读。

RFC 7020 提供了注册准确性、唯一性和路由操作之间的技术区别。RFC 6480 提供了资源认证和路由源授权的架构。RFC 9224 解释了权威 RDAP 发现。这些文件均未为 NRS 创建民事损害赔偿法典。

GDPR、EBA 外包指南、ICANN 域名转让规则、英国不公平合同条款法和欧洲通信规则是比较对象。它们的直接法律适用取决于主题、管辖权和方。提议的责任阶梯是源自控制、关键性、更换和有效补救等共同问题的制度设计；它并非声明号码注册局在每种情况下都是银行、电信提供商、域名注册商或数据控制者。

文章未指定金钱数额，因为可信限制需要索赔数据、保险报价、提供者集中度、资源规模和管辖权审查。它规定了金额应如何移动。任何未来的 NRS 时间表应在提供者或持有人依赖前进行独立审查和测试。

来源