RPKI protège désormais 70 % des routes Internet, en hausse d'un an
Sommaire
En bref
- Le RPKI (Resource Public Key Infrastructure) valide désormais 70,3 % des préfixes routés sur Internet, contre 54 % il y a un an, soit une progression de 30 % en un seul exercice.
- La Chine a porté la majorité du gain : ses adresses IPv4 valides sont passées de 3,7 % à 83 % en douze mois.
- Les routes non valides ne se propagent presque pas : typiquement vues par 2 points de vantage contre 596 pour les routes valides, ce qui signifie que les vérifications RPKI fonctionnent.
- Cinq mécanismes restent lacunaires : les ROA trop permissives (16,2 % des routes couvrent des détournements potentiels), la perte silencieuse de certificats, et l'ASPA qui déploie rapidement mais ne sécurise encore que 3,5 % du routage.
Ce que dit la source
IPinfo documente une accélération spectaculaire de la sécurisation du routage BGP par RPKI. Depuis 2011, la validation par certificat des annonces de routes progresse, mais l'adoption était lente (3-4 points annuels jusqu'en 2025). Cette année marque un tournant : 16,4 points gagnés, dont 11,9 rien que sur les adresses IPv4. L'auteur attribue ce saut surtout à la Chine, qui a massif adopté RPKI entre 2025 et 2026, mais aussi à d'autres pays (Égypte 23 % → 99 %, Kazakhstan 16 % → 84 %). L'enjeu est concret : le cas YouTube-Pakistan 2008 ou Hetzner 2024 montrent que sans vérification, un AS malveillant ou mal configuré redirige le trafic global.
- Routes RPKI valides et non valides se propagent aussi loin (595-596 vantage points en moyenne), mais les routes invalides tombent à 2 points, ce qui prouve que les filtres des opérateurs fonctionnent.
- Les statistiques par pays sont trompeuses : l'Espagne affiche 28,2 % de préfixes invalides en comptage simple, mais seulement 0,057 % une fois pondéré par le nombre de vantage points qui les reçoivent.
- Les ROA mal configurées restent le principal trou de sécurité : 16,2 % des routes couverte laissent de la place pour un détournement qui reste valide au regard du RPKI.
- ASPA (protocole de validation du chemin AS) croît rapidement de 131 à 3 272 réseaux mais ne valide que 3,5 % du routage global ; une ROA incomplète d'un opérateur cause environ 25 % des défaillances en chemin.
- La perte de certificats peut survenir silencieusement : SEACOM, Saudi Telecom et Orange Maroc ont chacun perdu leurs ROA pendant des mois.
- En dehors de la Chine, l'adoption n'a gagné que 5,2 points, à peine moins qu'en 2025 : la croissance du pays asiatique concentre le gros du progrès.
Dans les commentaires
Débat technique limité mais révélateur de deux préoccupations réelles : la centralisation des décisions de routage (le contrôle des registries par un gouvernement) et la qualité du contenu publié (plusieurs commentateurs critiquent le style dense de l'article, suspecte d'être généré). Peu de friction sur le fond de RPKI lui-même.
- Quelques commentateurs soulèvent un risque géopolitique : en centralisant les certificats RPKI dans les registres régionaux (basés en Europe ou Asie), on crée un point de contrôle où un État pourrait imposer des filtres ou des coupures.
- Plusieurs critiquent le style lourd et creux de l'article source, soupçonné d'être généré par un modèle de langage, et demandent à IPinfo de publier les données brutes plutôt que du texte verbeux.
- Un commentateur note que internet.nl a joué un rôle d'accélérateur en donnant un score de 100 % seulement aux adresses avec RPKI, créant un effet de compétition entre opérateurs.
- L'adoption rapide de la Chine suscite des spéculations : certains y voient une préparation à des attaques cybers imminentes ou une anticipation de rétaliation, sans certitude sur les motivations réelles.
Notre lecture
RPKI a franchi un seuil critique cette année : 70 % du routage valide, et surtout, la propagation des routes invalides est devenue négligeable (2 vantage points en moyenne). Cela signifie que les DSI et opérateurs qui implémentent les contrôles RPKI obtiennent un bénéfice concret. La montée en charge est donc à prendre au sérieux pour tout AS qui veut éviter les détournements. Reste deux limites : premièrement, les ROA trop permissives continuent de laisser des brèches (16 % de l'espace couvert), ce qui exige une discipline opérationnelle en plus du déploiement technique ; deuxièmement, le risque géopolitique (contrôle centralisé des certificats) n'est pas marginal si on considère l'infrastructure critique que représente le routage. À surveiller plutôt qu'à ignorer, mais aussi à tester sur ses propres routes avant que cela devienne obligatoire par effet de norme.