Metodologie
Versiunea 0.1, septembrie 2026. Se va schimba; modificările sunt consemnate la final.
Principii
- Echivalent-browser, nimic mai mult. Interogări DNS publice, o conexiune securizată standard și o cerere pe pagina principală, o dată pe lună, cu agent declarat: exact ce face un browser la prima vizită. Redirectările anunțate de server le urmăm, ca un browser, cel mult cinci și doar spre adrese publice din Internet. Nu încărcăm resurse secundare. Tot restul vine din surse publice: jurnale de certificate, DNS, whois, istoric de rutare. Orice ar afla mai mult decât e disponibil public cere o decizie explicită, per caz, și e exclus până atunci.
- Două puncte de observație. Același site poate răspunde diferit în funcție de locul din care e accesat. Măsurăm dintr-o sondă identificată public și de pe o conexiune casnică și raportăm separat rezultatele lor. Detalii în Cum observăm.
- Reproductibil. Fiecare rezultat vine cu comanda echivalentă (
dig,openssl s_client, adresa RIPE Stat) cu care poate fi verificat de oricine. - Ritm blând. Cel mult o interogare pe secundă către același domeniu; o rundă completă pe lună. Identificare explicită:
User-Agent: PulseRomania/0.1 (+https://pulse-romania.ro/metodologie.html). - Transparent. Adresele de la care măsurăm sunt publicate. Cine vrea să fie exclus ne scrie.
Verificări pe domeniu
Opt verificări, fiecare cu un rezultat de trei trepte. Verde înseamnă „bine", galben „merge, dar se poate mai bine", roșu „lipsește sau e greșit".
| Verificare | Cum | Rezultate posibile |
|---|---|---|
| IPv6 | Trei verigi, din DNS: situl (AAAA pe domeniu sau www), serverele de nume (AAAA pe NS) și poșta (AAAA pe MX). Se raportează separat, nu ca un procent. La poștă, dacă MX-ul e la un furnizor care nu oferă IPv6 (de exemplu Microsoft 365), verdictul e „veriga care cade e furnizorul", nu „instituția nu a implementat" | da parțial nu |
| DNSSEC | DS în zona părinte; validare printr-un resolver validator | semnat, valid semnat, invalid nesemnat |
| HTTPS | 443 răspunde, certificat valid pentru nume, HTTP redirecționează la HTTPS | da certificat invalid nu |
| TLS | Versiunea negociată de un client modern, din același handshake. Un server care alege 1.2 în loc de 1.3 pentru un client modern e deja un semnal; dacă mai acceptă 1.0 pentru clienți vechi nu măsurăm noi (vezi „Surse secundare") | 1.2 / 1.3 mai veche |
| HSTS | Antet Strict-Transport-Security cu max-age de cel puțin 6 luni | da slab nu |
| SPF | TXT v=spf1, terminație și număr de lookups (max 10) | strict (-all) moale (~all) lipsă / invalid |
| DMARC | TXT _dmarc, politica p= și adresa de rapoarte | reject quarantine none / lipsă |
| CAA | Înregistrare CAA prezentă (cine are voie să emită certificate) | da nu |
Verificări pe ASN
Nu atingem deloc rețelele operatorilor: totul vine din datele publice RIPE Stat și din lista participanților MANRS.
| Verificare | Cum |
|---|---|
| Acoperire RPKI | Procent din prefixele anunțate (RIPE RIS) cu ROA valid; lista prefixelor invalide |
| MANRS | Prezența în lista publică a participanților MANRS |
| IPv6 | ASN-ul anunță cel puțin un prefix IPv6 |
| IRR | Prefixele anunțate au obiecte route / route6 în baza RIPE |
Igiena DNS (prototip)
Verificăm, doar din surse publice (DNS și jurnalele publice de certificate), dacă numele din zona unei instituții mai indică spre adrese pe care instituția le folosește efectiv. Un nume uitat în DNS e o problemă de întreținere, ca o adresă veche rămasă pe un formular. Nu contactăm nicio gazdă pentru asta.
Ce facem cu rezultatele. Instituția e anunțată și are cel puțin 30 de zile să corecteze înainte de orice publicare; dacă situația e urgentă, o anunțăm imediat, împreună cu DNSC. În rapoarte apar doar cifre agregate.
IPv6: o hartă, nu un procent (direcție)
„Adopție IPv6: X%" e cifra pe care o publică toată lumea și care nu ajută pe nimeni. Ce contează e la a câta verigă se face trecerea înapoi pe IPv4: dispozitivul, echipamentul din casă, provizionarea operatorului, rețeaua lui, un intermediar, sau serverul de destinație. Un lanț care începe pe IPv6 și se termină pe IPv4 nu e un eșec, e starea normală a Internetului de azi; ca să-l îmbunătățești trebuie să știi unde cade, nu doar că a căzut.
Ce măsurăm de pe server, pasiv, sunt ultimele verigi: situl, serverele de nume și poșta instituției (de exemplu MX-ul Outlook nu are AAAA, Gmail are, deci chiar o instituție complet trecută pe IPv6 trimite pe IPv4 către o parte mare din corespondenți, nu din vina ei). Primele verigi, cele de la client, nu se pot măsura de la noi: se măsoară din case, pe linii reale, pas cu pas. O primă măsurătoare pe o linie rezidențială a arătat operatorul anunțând IPv6, linia negociindu-l, și provizionarea nelivrându-l: ruptura la a patra verigă, exact cea pe care niciun procent n-o arată. E o linie, un router, nu o afirmație despre un operator; dar e o ipoteză testabilă la scară și, dacă se confirmă, probabil cel mai util lucru pe care l-ar putea publica un observator românesc: distanța dintre „operatorul a implementat" și „omul folosește", măsurată pe verigi. Direcție pentru o sondă de casă, voluntară, cu metodologie publicată înainte de prima măsurătoare.
Cine deține veriga. O instituție fără AAAA pe MX nu e neapărat în urmă: dacă poșta ei e la Microsoft 365, nu poate avea MX pe IPv6, fiindcă Microsoft nu oferă. Dacă scorul ar penaliza-o, am măsura cota de piață a unui furnizor în administrația românească și am prezenta-o ca performanță a instituțiilor. De aceea la fiecare verigă spunem a cui e: a instituției, a furnizorului ei, a operatorului. O hartă de blocaje, nu o listă de vinovați; cine arată unde se blochează lucrurile are altă greutate decât cine arată cine e codaș, mai ales când codașul n-are ce face în privința aia.
Surse secundare
Pentru ce nu măsurăm noi, putem cita rezultate agregate publicate de măsurători publice ale Internetului. E consum de date publice, deci în interiorul regulii. Cu o condiție de rigoare: au dată și acoperire proprie, deci se citează ca sursă secundară, cu vechimea declarată, și nu se amestecă niciodată în aceeași coloană cu ce am măsurat noi luna aceasta.
De unde plecăm
- Lista instituțiilor publice urmărite e întreținută intern și validată prin DNS. Rezultatele pe domenii se publică doar agregat.
- Lista ASN-urilor: RIPE Stat (country-asns RO), ordonată după spațiul de adrese anunțat, nume din baza RIPE, tip din PeeringDB.
- Resolvere folosite: 1.1.1.1 (răspunsuri) și 9.9.9.9 (validare DNSSEC). Pentru DNSSEC întrebăm de două ori, cu și fără verificare (CD), ca să deosebim „semnătură invalidă" de „server care nu răspunde".
Istoric modificări
- 2026-11-01 — Al doilea punct de observație (conexiune casnică); redirectările urmate ca de un browser, doar spre adrese publice; rezultatele pe domenii publicate doar agregat; pagina Cum observăm.
- 2026-09-17 — v0.1, schița inițială; listele publicate; prima măsurătoare de referință.
- 2026-09-19 — IPv6 raportat pe trei verigi (sit, NS, MX), nu ca procent; direcția „hartă pe verigi" pentru măsurători din case.
- 2026-09-18 — Regula „echivalent-browser": retras testul de acceptare TLS 1.0/1.1 (singura verificare care nu era comportament de browser); rezultatele lui din prima rundă nu se publică.
- 2026-09-17 — Indicator de igienă DNS (prototip); angajament de notificare înainte de publicare.
- 2026-09-17 — DNSSEC: interogare dublă (AD și CD) ca SERVFAIL să nu fie confundat cu „server jos"; HTTPS: verdict „nemăsurabil" pentru servere care refuză handshake-ul clienților ne-browser; MANRS din Observatory API v2.