Poprosiłem zatem BOK tej firmy o przeprowadzenie weryfikacji abonenta – m.in. ze względu na to, że w regulaminie świadczenia usług tej firmy znajduje się stosowny zapis o tym, że klient powinien podać prawdziwe dane w momencie rejestracji domeny (czyli standardowy punkt regulaminu). I co? I, parafrazując kultowy już film Psy – jajco.

Korespondencja z pracownikiem BOK tej „firmy z literką N w nazwie” wyglądała tak:

Zapytałem ogólnie (nie podając nazw domen) jakie są zasady postępowania w przypadku, gdy dostają sygnał o podejrzeniach złamania regulaminu. Dostałem odpowiedź (plus za szybkość odpowiedzi):

BOK: Dane Abonentów domen zarejestrowanych u nas są (oczywiście w miarę możliwości) sprawdzane. W przypadku wykrycia błędnych lub fikcyjnych danych prosimy o ich poprawienie. Każdy Klient rejestrujący się u nas zobowiązał się do podawania prawidłowych danych w procesie rejestracji domen (akceptując odpowiedni regulamin). Tym samym brak poprawienia danych Abonenta może skutkować nawet usunięciem domeny.

Odpowiedziałem, że mam uzasadnione podejrzenia, że dane dla domen (tu ich lista) są fikcyjne i poproszę o ich zweryfikowanie.

Przyszła odpowiedź:

BOK: W przypadku Abonenta w/w domen nie posiadamy podstaw do przeprowadzenia weryfikacji. Dane nie są ewidentnie błędne (np. losowy ciąg znaków) ani fikcyjne. Weryfikację możemy przeprowadzić w jeszcze jednym przypadku – mianowicie wtedy gdy zgłosi się do nas osoba twierdząca, iż jego dane (lub jego firmy) zostały bezprawnie wykorzystane. Osoba taka musi oczywiście przedstawić nam dokumenty potiwerdzające taki stan rzeczy. Niestety żadna z tych sytuacji nie zachodzi w podanym przykładzie.

Zaskoczyło mnie to stwierdzenie pracownika firmy X, że „dane nie są fikcyjne” – ale skąd on o tym wie, skoro właśnie prawdopodobnie są, a cały problem polega na tym, że X nie chce ich zweryfikować?

Zapytałem zatem tak:

dl: Czyli bez problemu można w XXXXX zarejestrować domenę na dane np. Wieńczysława Nieszczególnego i Państwo, w sytuacji gdy ktoś Wam sugeruje nieprawdziwość takich danych (czyli, że to nie p. Wieńczysław Nieszczególny, ale ktoś inny kupił domenę) NIE weryfikujecie tego np. przez wysłanie do abonenta listu poleconego za potwierdzeniem odbioru, aby te dane zweryfikować?

Przyszedł komentarz:

BOK: W stosownych regulaminach mamy zastrzeżoną możliwość weryfikacji danych, jednak tylko w sytuacji, kiedy „stwierdzimy” nieprawidłowości. Niestety zgłoszenie z zewnątrz nie poparte dokumentacją nie jest dla nas wystarczające, aby dokonać weryfikacji danych Abonenta. Opierając się na Pana przykładzie – jeżeli zgłosi się do nas Pan Wieńczysław Nieszczególny i przedstawi (np. poprzez faks) kserokopię swojego dokumenty tożsamości, z adnotacją, iż nie rejestrował domen, ani nie zlecał nikomu rejestracji domen, to możemy rozpocząc proces weryfikacji. Klient rejestrujący domeny dla swojego Abonenta jest zobowiązany regulaminem do podania prawidłowych danych: „Klient zobowiązany jest do podania prawdziwych danych Abonenta w procesie rejestracji domeny.

Tu już do mnie dotarło, że X wcale nie ma zamiaru zweryfikować tego abonenta – po prostu „nie bo nie”, bo tak wygodnie – po co się męczyć? Kontynuowałem jednak polemikę w celach „poznawczych”:

dl: [...] ja właśnie sugeruję, że osoba taka nie istnieje. Podobnie jak wspomniany p. Nieszczególny – przykład z powieści. Z książki. Osoba fikcyjna. Zatem oczywistym jest, że osoba taka NIE może się zgłosić, bo nie istnieje i innego „zgłoszenia” niż „zewnętrzne” być nie może. Czyli piszę do Was: „sprawdźcie czy ta osoba istnieje bo wydaje się, że nie”, a Wy odpowiadacie: „jeśli ta osoba nieistniejąca się z nami skontaktuje, to my to sprawdzimy”. I to jest właśnie powodem mojego zaskoczenia. Oczywiście, dlatego pytałem o mechanizm tej weryfikacji – jak widać, można u Was całkowicie bezkarnie kupić domenę na nieistniejącego aboneta, byle dane nie były zupełnie „z czapki”, czyli zamiast aaaaa bbbbb wystarczy wpisać jakiekolwiek wymyślone ale brzmiące prawdziwie dane – jak wspomniany Wieńczysław i „X sięnie czepi”. Pytanie jak się to ma do np. Porozumienia z NASK…

Odpowiedź oczywiście w stylu poprzednich:

BOK: Jeżeli dane Abonenta nie są fikcyjne, ani błędne to zakładamy, że Klient w imieniu Abonenta podał prawidłowe dane (zgodnie z regulaminem, który akceptował). Nie jesteśmy w stanie weryfikować wszystkich danych podawanych w naszym systemie. Poza tym nasz system weryfikuje poprawnośc wprowadzanych numerów PESEL oraz REGON/NIP (przy użyciu walidatora), w związku z czym jeżeli dana osoba poda fikcyjne dane Abonenta, posługując się czyimś numerem identyfikacyjnym, to może mieć z tego tytułu problemy w przyszłości (włącznie z odebraniem praw do domeny).

No tak, algorytm do sprawdzania poprawności PESEL (suma kontrolna) jako weryfikacja danych abonenta. No po prostu genialne.

Ostatnia próba:

dl: [...] ja właśnie staram się zwrócić uwagę, że prawdopodobnie są fikcyjne – skąd wiecie, że NIE są? Bo nie wyglądają? A jak wyglądają fikcyjne – tylko „dasdgasd dasdadsa”? Wieńczysław Nieszczególny JEST fikcyjny, ale wg Was takie dane nie byłyby podstawą do weryfikacji? Czy znacie wszystkie mozliwe fikcyjne dane jakie ktoś może wpisać? Piłka po Waszej stronie – sprawdźcie, czy tak faktycznie są to dane prawdziwe, czy jednak nie. Numer PESEL jest weryfikowany sumą kontrolną – jak numer konta bankowego, co nie daje nic w tym wypadku. Reasumują: mam rozumieć, że niniejszym odmawiacie Państwo zweryfikowania, czy abonent domen XXXXXXXXXXXx jest fikcyjny?

I tak, jak się spodziewałem, odpowiedź była jak poprzednie:

BOK: Przykro nam bardzo ale nie mamy podstaw do podjęcia weryfikacji. Pana zgłoszenie (jako osoby trzeciej) nie jest wystarczające do podjęcia działań.

Tak mniej więcej wyglądała cała korespondencja.

Jestem w szoku. Ciężkim. Nie wiem, jak ta sprawa wygląda „u innych”, ale na razie widzę, że bez problemu w „firmie z literką N w nazwie” można zarejestrować dowolną nazwę domeny na fikcyjne dane abonenta, byleby brzmiały jak prawdziwe i można spać właściwie spokojnie – firma nie sprawdzi, czy został złamany m.in. jej regulamin nawet jak ktoś to zasugeruje.

Firmy działające jedynie w sektorze domenowo-hostingowym muszą za wszelką cenę zwiększać ilość posiadanych domen (bo i tylko na tym zarabiają) i jeśli klient płaci, to po co się wychylać, sprawdzać i robić dym (bo usunięcie domeny, nawet na skutek złamania regulaminu, zapewne skończyłoby się szumem, który trzeba by było wyjaśniać itp), co nie jest na rękę w sytuacji, gdy konkurencja na rynku olbrzymia i walczy się o tego klienta dopłacając nawet do niego przez jakiś czas (groszowe promocje…). Może więc słusznie ta „firma z N w nazwie” zlewa tego typu zgłoszenia odpowiadając w zawoalowany sposób „spadaj na drzewo, nie chce nam się sprawdzać”? A może to wcale nie jest problem i powinno się na takie coś pozwalać?

Moim zdaniem niereagowanie w takich sytuacjach przeprowadzaniem weryfikacji może doprowadzić do sytuacji, gdy każdy będzie mógł posiadać dowolną domenę kupioną na dowolne, fikcyjne dane. I żeby było jasne: nie chcę sytuacji jaka jest nadal w NASK, czyli rejestracji domeny na podstawie papierków – mówię o późniejszym reagowaniu na sygnały o nadużyciach, czyli weryfikacji w trakcie korzystania z usługi.