Votre réseau dépend de ses adresses. Qui tient les commandes ?

Alerte sur la sécurité des infrastructures Internet nationales

Pour NRS, le différend autour d’AFRINIC dépasse la gestion technique d’un registre. Cette déclaration met en garde contre la concentration du pouvoir d’enregistrement, la protection contre les recours et le verrouillage régional des ressources dont dépendent les États, les opérateurs, les banques, le cloud et les systèmes essentiels en Afrique.

Premier risque

Des dommages majeurs, une responsabilité potentiellement minime

Une décision du registre peut compromettre la valeur opérationnelle d’un réseau. Or l’article 10 du RSA retient, pour le montant de responsabilité, le plus élevé des paiements effectués durant les six mois précédant l’événement et de 100 USD. Ce montant peut donc descendre à 100 USD dans les cas concernés, sans que ce soit un plafond applicable à tous. Les conditions et exceptions de la clause comptent aussi.

Deuxième risque

La recherche d’une immunité juridique

La déclaration dénonçait de nouvelles démarches visant une immunité comparable à celle d’organisations internationales. Si elle était accordée, les décisions du registre pourraient être davantage soustraites aux recours. Le texte évoque ce risque ; il n’établit pas qu’une telle immunité a été obtenue.

Troisième risque

Des ressources enfermées dans une région

Associer un attribut régional aux ressources AFRINIC pourrait restreindre leur transfert hors de la région et réduire, voire supprimer, les possibilités réelles de sortie des opérateurs.

Ce que les décideurs doivent mesurer

Supporter les conséquences sans pouvoir sortir du système

Pour les gouvernements

Un verrouillage régional peut maintenir les opérateurs sous la compétence d’un seul registre. Une fois ce verrou en place, les voies de sortie peuvent disparaître.

Pour les opérateurs télécoms

La responsabilité contractuelle peut rester très inférieure aux pertes d’exploitation causées par une décision du registre. Il faut appliquer la formule de l’article 10 — le plus élevé des paiements des six mois précédents et de 100 USD — et non isoler le chiffre de 100 USD cité dans l’alerte.

Pour le cloud, les banques et les points d’échange Internet

Si le registre devient un moyen de pression, la reconnaissance des adresses, les transferts, la confiance dans le routage et la continuité des services deviennent autant de points de vulnérabilité.

Les questions à poser avant qu’une crise survienne

Un opérateur peut-il accepter qu’une société privée établie à Maurice détienne une autorité administrative susceptible d’affecter la reconnaissance des adresses de son réseau, tout en assumant une responsabilité contractuelle potentiellement dérisoire au regard des pertes ?

Des adversaires géopolitiques auraient-ils intérêt à perturber l’Internet national ? S’ils influençaient la gouvernance d’AFRINIC, qu’est-ce qui empêcherait d’utiliser ce levier contre les télécoms, le cloud, les banques ou les réseaux publics ?
La déclaration affirmait également que sept des huit personnes présentées comme administrateurs étaient liées à un bloc de gouvernance issu du Rwanda. Elle invitait les pays en désaccord diplomatique ou stratégique avec ce pays à en mesurer les implications. Il s’agit de l’allégation et de la question formulées à l’époque, non d’une nouvelle constatation de ces liens.

Le contexte juridique de la déclaration

Pourquoi NRS évoquait un vide dans la gouvernance

Selon la déclaration, le conseil présenté comme celui d’AFRINIC n’avait pas encore été validé par le tribunal.

Le texte indiquait que l’administrateur judiciaire avait demandé cette validation et qu’aucun jugement n’avait encore été rendu sur cette demande.

Il rapportait aussi que l’administrateur judiciaire considérait sa mission principale comme l’organisation de l’élection et la présentation des résultats au tribunal.

NRS en tirait cette question : si cette mission était terminée sans validation du conseil, qui pouvait exercer légitimement la gouvernance ? C’est sur cette hypothèse que reposait son constat de vide institutionnel.

Alerte sur l’intégrité du scrutin

Plus de 90 % dans une élection très disputée : un résultat à examiner

La déclaration rapportait que le conseil revendiquait plus de 90 % des voix dans une élection décrite comme l’une des plus disputées d’AFRINIC.

NRS disait avoir recueilli des éléments auprès de membres figurant dans le registre des votants alors qu’ils affirmaient ne pas avoir voté.

Lorsque le registre officiel et le témoignage d’un membre se contredisent sur sa participation, l’intégrité du scrutin doit faire l’objet d’un examen sérieux.

NRS estimait alors qu’un conseil dont la validation judiciaire et le scrutin restaient contestés ne pouvait être considéré comme disposant d’une légitimité incontestable sur les ressources de numérotation de tout un continent.

L’enjeu central

Contrôler AFRINIC, c’est contrôler la couche d’enregistrement des ressources de la région

Responsabilité contractuelle : un montant pouvant descendre à 100 USD selon la formule de l’article 10, pas un plafond universel.

Immunité éventuelle : des possibilités de recours qui pourraient se réduire.

Verrouillage régional : le risque de ne plus disposer d’une sortie viable si la gouvernance est captée.

Les opérateurs dépendent des ressources IP, dont l’enregistrement dépend à son tour d’AFRINIC.

La lettre d’alerte dans son intégralité

Aux membres d’AFRINIC : responsabilité limitée, immunité envisagée et verrouillage régional menacent ensemble la continuité des réseaux

La déclaration répondait à une lettre qu’AFRINIC venait de diffuser. Celle-ci présentait les actions en justice de Cloud Innovation, Larus et d’autres comme des tentatives de « paralyser l’unique registre Internet régional de l’Afrique ».

Avant d’accepter cette présentation, NRS demandait aux opérateurs, aux régulateurs télécoms et aux gouvernements d’examiner les conséquences structurelles du modèle de gouvernance alors promu par la direction d’AFRINIC.

Trois éléments, selon la déclaration, risquaient de se renforcer mutuellement :

D’abord, la limitation de responsabilité prévue par l’accord de services d’enregistrement d’AFRINIC (RSA). La lettre utilisait le chiffre de 100 USD pour souligner l’écart avec les pertes possibles d’un réseau. La règle exacte de l’article 10 retient toutefois le plus élevé des paiements des six mois précédents et de 100 USD. Ce n’est pas un plafond commun à tous les membres ; la norme de service, les conditions et les exceptions doivent être lues ensemble.

Ensuite, de nouvelles démarches en faveur d’une immunité comparable à celle des organisations internationales. NRS craignait qu’elle protège davantage les décisions du registre contre les recours.

Enfin, l’introduction d’un attribut régional attachant les ressources à la région AFRINIC, avec le risque d’empêcher leur transfert ou leur déplacement hors de sa compétence.

Pour NRS, chacun de ces éléments était préoccupant ; réunis, ils pouvaient créer une concentration de pouvoir sans précédent dans la gouvernance des ressources de numérotation.
Une société privée immatriculée à Maurice conserverait son autorité administrative sur les ressources IP utilisées par les télécoms, les FAI, le cloud, les centres de données, les établissements financiers, les universités et les réseaux publics, avec une responsabilité contractuelle potentiellement sans rapport avec les dommages. La formule « au plus 100 USD » de la lettre doit être corrigée par la règle du montant le plus élevé prévue à l’article 10.
Tout réseau utilisant des ressources AFRINIC dépend du registre pour la reconnaissance des attributions, la validation des transferts, les systèmes de certification comme RPKI et les données utilisées par l’écosystème mondial du routage.
Voilà pourquoi le contrôle de la gouvernance d’AFRINIC donne prise sur la couche d’enregistrement de toute la région.

Chaque opérateur et chaque gouvernement devrait se poser cette question :
Accepteriez-vous qu’une seule société puisse prendre des décisions affectant la reconnaissance des adresses de votre réseau, alors que sa responsabilité contractuelle pourrait rester très inférieure au préjudice ?

Pour les États, l’enjeu touche les infrastructures nationales. Les télécoms, les systèmes financiers et les services publics numériques reposent sur un registre stable et neutre.
Une gouvernance captée ou influencée par des acteurs hostiles leur donnerait un levier sur les ressources d’adressage de la région. Même face à des dommages catastrophiques, le montant contractuel peut, dans les cas couverts par la formule du RSA, descendre à 100 USD. NRS situe le risque dans le cumul du pouvoir administratif, de la responsabilité limitée, d’une immunité éventuelle et du verrouillage régional.
La lettre invitait aussi à examiner la dimension géopolitique. Elle affirmait que sept des huit administrateurs présentés étaient associés à un bloc issu du Rwanda, et demandait aux pays entretenant des tensions avec ce pays d’évaluer les conséquences d’une influence extérieure sur l’enregistrement de leurs ressources nationales. Cette allégation est conservée comme telle ; la présente édition ne la vérifie pas indépendamment.
Le statut juridique du conseil occupait une place tout aussi importante. Selon la déclaration, il attendait encore sa validation judiciaire : l’administrateur désigné par le tribunal avait organisé l’élection, puis demandé la validation des élus, sans décision encore rendue. Dans le récit de l’époque :

Le conseil n’avait pas encore été validé par le tribunal.

L’administrateur judiciaire indiquait que sa mission se limitait à organiser le scrutin et à en présenter les résultats.
NRS estimait donc qu’une mission achevée, dans l’attente de la décharge de l’administrateur et sans validation du conseil, laissait un vide dans la gouvernance.
Sur cette base, l’organisation contestait que les annonces relatives à la révision des statuts, au recrutement du directeur général, à la gestion intérimaire et aux réformes puissent constituer les décisions définitives et contraignantes d’un organe valablement confirmé. Selon la lettre, elles restaient tributaires des procédures judiciaires à Maurice.
Le scrutin lui-même appelait un examen. Le conseil revendiquait plus de 90 % des voix dans une élection fortement disputée ; NRS jugeait ce résultat suffisamment inhabituel pour exiger des vérifications. L’organisation disait détenir des témoignages de membres inscrits comme votants mais niant avoir participé. Si cette contradiction était avérée, l’intégrité du processus devait être examinée.
NRS appelait donc à la prudence face aux communications de l’époque. Le différend dépassait les affaires internes d’une société : il concernait le registre dont dépend l’infrastructure Internet d’un continent.

NRS rassemble les opérateurs, les fournisseurs d’infrastructures et les parties prenantes qui veulent une gouvernance des ressources de numérotation responsable, neutre et capable de résister aux abus structurels de pouvoir.

Que vous exploitiez un réseau télécom, gériez des infrastructures ou représentiez un État chargé de la stabilité de l’Internet national, ces risques méritent une évaluation concrète.

La question est simple :

Êtes-vous prêt à laisser une société privée, dont la responsabilité contractuelle peut être très faible, détenir une autorité décisive sur les adresses dont dépendent votre réseau et, peut-être, l’Internet de votre pays ?

Si la réponse est non, il faut organiser une action collective.

Défendre ensemble les intérêts des réseaux

Rejoindre NRS pour agir de façon organisée

Isolés, les opérateurs peuvent subir chacun à leur tour des frais, des restrictions de sortie, des décisions imposées et des pertes. Se défendre ensemble change ce rapport de force.

NRS coordonne les actions juridiques, le partage d’informations, la représentation du secteur et l’entraide afin que les États et les opérateurs ne restent pas seuls. La lettre présentait NRS comme le seul dispositif organisé disposant des moyens juridiques d’agir ; cette formule militante de l’époque ne lui confère aucun pouvoir légal exclusif et ne garantit pas l’issue d’une procédure.

Se renseigner sur les actions juridiques collectives de NRS

Faire part de votre intérêt pour NRS

Number Resource Society (NRS)
info@NRS.help

Cordialement,
Number Resource Society (NRS)