Accueil / Politique
Qui décide de quoi
Aucun État ni aucune entreprise ne contrôle Internet. Ce n'est pas une formule : c'est une architecture, construite par accumulation, où chaque fonction critique est confiée à une organisation différente, avec des règles de décision différentes. Cette dispersion est le premier mécanisme de sécurité du système — et la cause principale de sa lenteur.
Six familles d'organisations
IETF
Le groupe de travail sur l'ingénierie d'Internet écrit les protocoles, publiés sous forme de RFC. Il n'a ni membres ni votes : les décisions se prennent par « consensus approximatif et code qui fonctionne ». N'importe qui peut participer aux listes de discussion et proposer un document.
Pouvoir réelDéfinit ce qui est techniquement possible. Ne peut obliger personne à déployer.ICANN et IANA
L'ICANN coordonne les noms de domaine de premier niveau et les politiques associées. Les fonctions IANA — tenue des registres de noms, de numéros et de paramètres de protocoles — sont opérées par PTI, une filiale dédiée. C'est l'IANA qui gère l'ancre de confiance DNSSEC de la racine.
Pouvoir réelDécide de l'existence d'une extension. Ne décide pas du contenu des sites.Les cinq registres régionaux
RIPE NCC pour l'Europe et le Moyen-Orient, ARIN pour l'Amérique du Nord, APNIC pour l'Asie-Pacifique, LACNIC pour l'Amérique latine, AFRINIC pour l'Afrique. Ils attribuent les adresses IP et les numéros d'AS, et opèrent les autorités de certification de la RPKI.
Pouvoir réelDétiennent la source d'autorité sur « qui possède quelle adresse ». Fonction structurante pour la sécurité du routage.Les douze opérateurs racines
Ils servent la zone racine mais ne la fabriquent pas. Leur coordination technique passe par la Root Server Technical Operations Association, et leur relation avec la communauté par le comité consultatif RSSAC de l'ICANN.
Pouvoir réelChacun décide de son propre déploiement. Aucun ne peut modifier le contenu servi.CA/Browser Forum
Réunit autorités de certification et éditeurs de navigateurs. Publie les exigences que toute autorité doit respecter pour rester dans les magasins de confiance. Décisions par bulletins numérotés et votes publics.
Pouvoir réelConsidérable et peu connu : c'est là qu'a été décidée la réduction à 47 jours.Registres et bureaux d'enregistrement
Chaque extension a son opérateur : DNS Belgium pour .be, l'Afnic pour .fr, Verisign pour .com. Les bureaux d'enregistrement vendent les noms au public. Les extensions nationales relèvent souvent d'un cadre juridique national spécifique.
Comment se prend réellement une décision
Trois modèles de décision coexistent
Le consensus technique
À l'IETF, une proposition circule sur une liste publique, est débattue, révisée, mise en œuvre, testée entre implémentations indépendantes, puis publiée. Il n'y a pas de vote formel. Une objection technique argumentée doit être traitée, pas comptée. Ce modèle produit des normes solides et lentes.
Le vote pondéré par intérêt
Au CA/Browser Forum, autorités et navigateurs votent séparément ; un bulletin doit recueillir une majorité dans chaque collège. Ce mécanisme donne aux éditeurs de navigateurs un pouvoir de blocage de fait, puisqu'ils contrôlent les magasins de confiance.
Le multipartisme institutionnel
À l'ICANN, gouvernements, entreprises, société civile et communauté technique participent à des organes distincts, dont un comité consultatif gouvernemental dont les avis ont un poids particulier. Les processus sont longs, formalisés, et documentés publiquement.
Ce que ça donne en pratique
Une correction technique urgente peut être déployée en quelques jours quand elle relève d'un éditeur de logiciel. Une évolution structurelle — changement d'algorithme de la racine, réduction de la durée des certificats — se compte en années, avec des périodes de consultation publique et des calendriers annoncés très en avance. La bascule d'octobre 2026 a été annoncée deux ans à l'avance : ce délai n'est pas de la lenteur administrative, c'est le temps nécessaire pour que des centaines de milliers d'opérateurs indépendants s'adaptent.
La transition de 2016
Jusqu'en 2016, les fonctions IANA étaient exercées sous contrat avec le département du commerce des États-Unis. Ce contrat a pris fin, transférant la supervision à la communauté multipartite via une structure de responsabilité renforcée. C'est l'évolution institutionnelle la plus significative de l'histoire de la gouvernance d'Internet, et elle est passée presque inaperçue du grand public.
Le débat de fond
Deux visions s'opposent depuis vingt ans. Le modèle multipartite actuel donne voix aux entreprises, aux techniciens et à la société civile à égalité formelle avec les États. Le modèle multilatéral, défendu par plusieurs pays au sein de l'Union internationale des télécommunications, voudrait confier la gouvernance aux États dans un cadre intergouvernemental classique. L'argument technique en faveur du premier est simple : les protocoles n'ont pas de frontières, et une gouvernance par traité produirait des règles nationales divergentes appliquées à un système unique.
Le cas particulier de la racine
La gouvernance de la racine mérite un examen séparé, parce qu'elle est l'exemple le plus abouti de séparation des pouvoirs dans une infrastructure technique.
| Fonction | Qui | Contre-pouvoir |
|---|---|---|
| Décider du contenu de la zone | IANA / PTI, sur demande des opérateurs d'extensions | Processus documenté, journal public des modifications |
| Fabriquer et signer le fichier | Verisign, mainteneur de la zone racine | Ne décide pas du contenu ; le fichier est public et comparable |
| Détenir la clé de signature de clés | IANA, dans deux installations distinctes | Contrôle réparti entre représentants bénévoles de plusieurs pays |
| Servir la zone | Douze organisations indépendantes | Aucune ne peut modifier ce qu'elle sert sans être immédiatement détectée |
| Vérifier les signatures | Chaque résolveur du monde, individuellement | C'est le contre-pouvoir final : une racine falsifiée serait rejetée partout |
La question qui revient toujours
Un État pourrait-il forcer la suppression d'une extension nationale de la zone racine ? Techniquement, la modification serait possible. Pratiquement, elle serait visible instantanément par le monde entier, contredirait les procédures publiées, et provoquerait probablement le déploiement de contournements par les opérateurs concernés. Le mécanisme de protection n'est pas l'impossibilité technique mais le coût politique d'une action publique et irréversiblement documentée.
C'est un modèle de sécurité par la transparence plutôt que par le contrôle d'accès, et c'est ce qui distingue cette infrastructure de la plupart des autres.
Ce que le droit impose désormais
NIS2
La directive européenne sur la sécurité des réseaux et des systèmes d'information, transposée dans les droits nationaux depuis 2024, étend fortement le périmètre des entités soumises à des obligations de cybersécurité. Elle vise explicitement les fournisseurs de services DNS, les registres d'extensions, les points d'échange Internet et les fournisseurs de services de confiance.
Les obligations portent sur la gestion des risques, la notification d'incidents dans des délais courts, la sécurité de la chaîne d'approvisionnement, et la responsabilité des organes de direction. Pour un opérateur DNS ou un point d'échange européen, ce n'est plus une bonne pratique mais une contrainte juridique assortie de sanctions.
Les autres textes
- Le règlement sur la résilience opérationnelle numérique impose au secteur financier des exigences comparables, avec un accent sur les prestataires tiers critiques.
- Le règlement sur la cyberrésilience porte sur les produits comportant des éléments numériques : il rendra obligatoires les mises à jour de sécurité pendant une durée définie, ce qui touche directement le problème des équipements jamais mis à jour évoqué à propos de la bascule d'octobre 2026.
- Aux États-Unis, la commission fédérale des communications a proposé des obligations de déclaration sur la gestion du risque de routage et le déploiement de la RPKI pour les principaux fournisseurs d'accès.
Ce que la réglementation peut et ne peut pas
Elle peut imposer des obligations à des entités identifiables sur un territoire donné : signaler un incident, tenir un inventaire, désigner un responsable. Elle est efficace sur ce terrain.
Elle ne peut pas imposer un comportement à l'ensemble des soixante-quinze mille réseaux mondiaux, dont l'immense majorité échappe à toute juridiction commune. C'est pourquoi les mécanismes réellement structurants — RPKI, DNSSEC, transparence des certificats — reposent sur des incitations techniques et des effets de réseau plutôt que sur la contrainte juridique.
Un effet indirect notable
L'obligation de notifier les incidents produit un corpus de données publiques qui n'existait pas. Les analyses trimestrielles de perturbations, les rapports d'incident détaillés publiés spontanément par certains opérateurs, et les mesures d'adoption des registres régionaux constituent aujourd'hui une base d'observation sans équivalent dans d'autres infrastructures critiques.
Souveraineté, dépendances et fragmentation
Le débat sur la souveraineté numérique porte, en matière d'infrastructure, sur trois dépendances concrètes.
La résolution
Le déplacement vers quelques résolveurs publics mondiaux a concentré une part considérable des requêtes DNS chez un très petit nombre d'acteurs, majoritairement non européens. DNS4EU, lancé en juin 2025 par un consortium de dix pays, propose une alternative opérée dans l'Union, soumise au droit européen, sans monétisation des données, avec partage de renseignement sur les menaces entre équipes nationales de réponse aux incidents. Le service est volontaire et n'est pas contrôlé par la Commission.
Le transport
La propriété des câbles sous-marins est passée en une décennie des consortiums d'opérateurs régulés aux grandes plateformes numériques. Plusieurs États européens ont classé ces infrastructures parmi leurs installations critiques et investissent dans des moyens de surveillance et d'intervention en grande profondeur.
Les identifiants
Les adresses IP européennes sont attribuées par un registre européen, et les extensions nationales sont opérées par des organisations nationales. Sur ce point, l'autonomie est réelle et ancienne.
Le risque de fragmentation
La tentation existe, dans plusieurs régions du monde, de construire des espaces de nommage ou de routage distincts. Le coût technique en serait considérable : un même nom pourrait désigner des choses différentes selon l'endroit, les certificats ne seraient plus mutuellement reconnus, et la propriété qui fait la valeur du réseau — la joignabilité universelle — disparaîtrait.
L'argument en faveur de l'unicité n'est pas idéologique. Il est que la résolution d'un nom donne le même résultat depuis Bruxelles, Lagos ou Séoul, et que cette propriété est ce qui distingue Internet d'une collection de réseaux nationaux interconnectés par des passerelles.