¿Qué es una Carta de Autorización (LOA) en el arrendamiento de propiedad intelectual? LOA vs. ROA y qué verificar

Una Carta de Autorización (LOA) es un documento formal mediante el cual el titular registrado de un bloque de direcciones IP autoriza a otra parte a anunciar ese espacio de direcciones desde un Número de Sistema Autónomo especificado. Es el permiso escrito que conecta el derecho contractual de utilizar un espacio de direcciones con el acto técnico de enrutarlo y, sin él, los proveedores upstream generalmente se negarán a aceptar tus anuncios.

Esa negativa es precisamente lo que hace que la LOA sea decisiva desde el punto de vista operativo y no meramente administrativo. Los proveedores de tránsito, centros de datos y operadores requieren una prueba de que quien anuncia un prefijo está realmente autorizado para hacerlo, porque aceptar un anuncio no autorizado significa participar en un secuestro de rutas. La documentación BYOIP de Cloudflare establece claramente este requisito: sus proveedores de tránsito exigen una LOA antes de aceptar las rutas que Cloudflare anuncia en nombre de un cliente, y el documento debe especificar los prefijos autorizados y el ASN desde el que se anunciarán. La misma expectativa se aplica en todo el sector. Una empresa puede tener un contrato de arrendamiento firmado, sus routers configurados y aun así no poder poner sus servicios en línea porque la LOA todavía no ha llegado.

También existe un punto conceptual que el documento deja claro y que es importante para cualquiera que arriende espacio de direcciones: una LOA autoriza el anuncio; no transfiere la propiedad ni modifica el registro. El espacio permanece registrado a nombre del titular; lo que la LOA concede es permiso para enrutarlo. Este artículo explica qué contiene una LOA, por qué los proveedores la exigen, en qué se diferencia de una ROA y de un objeto de ruta IRR, quién puede emitirla legítimamente y exactamente qué debes verificar antes de pagar por un espacio de direcciones que pretendes anunciar.

¿Qué es una Carta de Autorización?

Una LOA es una declaración firmada por el titular registrado de un espacio de direcciones IP que concede a una parte identificada permiso para anunciar prefijos específicos desde un ASN determinado. A veces denominada Letter of Agency, es un documento contractual destinado a personas — redactado, firmado y leído por el personal de los proveedores upstream — y no un registro técnico procesado por routers.

Su función es responder a una pregunta que el sistema de enrutamiento no puede resolver por sí solo. Los datos públicos del registro muestran qué organización posee un bloque, pero no indican a quién ha autorizado ese titular para anunciarlo. Cuando una red distinta del titular registrado quiere originar un prefijo — un arrendatario anunciando espacio alquilado, un proveedor anunciando el bloque de un cliente o una plataforma anunciando los prefijos BYOIP de un cliente — el upstream necesita pruebas de que la operación está autorizada. La LOA es esa prueba.

Dos propiedades la definen:

• • La emite el titular, no quien realiza el anuncio. La parte con autoridad para conceder el permiso es quien posee el espacio. Un arrendatario no puede redactar su propia LOA.

• • Es específica. Identifica prefijos concretos y un ASN concreto. Una declaración general de buena reputación no es una LOA; el documento debe coincidir exactamente con lo que se va a anunciar.

¿Por qué los proveedores upstream exigen una LOA?

Los proveedores exigen una LOA porque aceptar un anuncio de una parte no autorizada es precisamente como se produce un secuestro de prefijos, y ninguna red responsable quiere ser quien lo propague.

Como explicamos en nuestra guía sobre cómo funciona BGP, el sistema de enrutamiento acepta anuncios en gran medida basándose en la confianza, y las redes filtran lo que aceptan precisamente porque un anuncio falso puede redirigir el tráfico de otra persona. Ese riesgo no es teórico: los anuncios no autorizados son el mecanismo detrás de los incidentes descritos en nuestra guía sobre secuestro BGP. Un proveedor upstream que acepta un anuncio sin verificar la autorización se convierte en participante involuntario de lo que ocurra después.

La LOA resuelve una carencia concreta. Los registros identifican al titular, pero en un arrendamiento los registros siguen mostrando al titular mientras otra parte realiza el anuncio, por lo que el upstream no puede verificar al arrendatario únicamente mediante una consulta a la base de datos. La LOA aporta el vínculo que falta: una confirmación escrita por parte de la entidad identificada en los registros de que la parte que realiza el anuncio tiene permiso.

La consecuencia práctica es que la LOA se encuentra en la ruta crítica del despliegue. Routers configurados, contrato firmado, bloque asignado: nada de eso produce conectividad hasta que el upstream acepta el anuncio, y normalmente no lo hará sin el documento.

¿Qué contiene una LOA?

Una LOA identifica al titular que concede la autorización, la parte autorizada y el ASN, los prefijos exactos y la firma de una persona facultada para otorgar dicha autorización. Los componentes estándar, normalmente consistentes entre proveedores, son:

• • La parte autorizante. El titular registrado del espacio de direcciones, identificado por el nombre de la empresa y datos que coincidan con los registros.

• • La parte autorizada y el ASN. Quién puede anunciar el espacio y, de forma crítica, desde qué Número de Sistema Autónomo. La documentación de Cloudflare especifica que la LOA debe indicar tanto los prefijos autorizados como el ASN desde el que se anunciarán; el ASN no es un detalle opcional.

• • Los prefijos exactos. Los bloques de direcciones específicos cubiertos, escritos con precisión, por ejemplo, un /24 concreto. Los anuncios fuera de lo especificado en la LOA no están autorizados por ella.

• • Periodo de validez. La duración de la autorización, que para espacio arrendado debería coincidir con la duración del contrato.

• • Firmante autorizado. El nombre, cargo y firma de una persona facultada para firmar en nombre del titular, junto con información de contacto para que el upstream pueda verificarlo si es necesario.

• • Membrete y formato de la empresa. Se espera que las LOA sean documentos formales emitidos en papel membretado del titular. Cloudflare señala que los proveedores de tránsito pueden rechazar una LOA enviada como archivo de imagen y exigir un PDF, y que las firmas digitales son aceptables siempre que el firmante esté claramente identificado.

Estos requisitos no son simples adornos burocráticos. El membrete, los datos de empresa coincidentes y un firmante autorizado identificable permiten al proveedor receptor comprobar que el documento es auténtico y que el firmante realmente tiene autoridad para conceder el permiso declarado.

¿Cuándo se requiere una LOA?

Se requiere una LOA siempre que una parte distinta del titular registrado vaya a anunciar el espacio de direcciones, lo que incluye la mayoría de los escenarios de arrendamiento, BYOIP y anuncios realizados por proveedores. Los casos más comunes son:

• • Anunciar IPv4 arrendada desde tu propio ASN. El caso clásico: alquilas un bloque y lo anuncias tú mismo, por lo que tu upstream necesita la autorización del titular. El proceso general de arrendamiento se explica en nuestra guía de arrendamiento IPv4 y en nuestra explicación de cómo funciona el arrendamiento de direcciones IP.

• • Hacer que un proveedor anuncie el espacio en tu nombre. Cuando tu proveedor de hosting, centro de datos o plataforma anuncia tus prefijos desde su ASN, necesita tu autorización para hacerlo, y sus propios proveedores upstream necesitan verla.

• • Incorporación BYOIP. Llevar tu propio espacio IP a una plataforma cloud o edge requiere autorizar a esa plataforma para anunciar tus prefijos, tal como ilustra el requisito de Cloudflare.

• • Cambios de enrutamiento de emergencia. Configuraciones como la mitigación o limpieza de DDoS, en las que un proveedor debe anunciar tu prefijo durante un ataque, dependen de que la autorización esté establecida previamente, un punto que tratamos en nuestra guía sobre mitigación de DDoS.

La regla común es sencilla: si el ASN que realiza el anuncio no pertenece al propio titular registrado, casi con toda seguridad se necesita una LOA.

LOA vs ROA vs objeto de ruta IRR

Una LOA, una ROA y un objeto de ruta IRR indican quién puede anunciar un prefijo, pero lo hacen para audiencias diferentes, en formatos distintos y en capas diferentes. Son complementarios, no alternativas, y un prefijo correctamente desplegado normalmente necesita que los tres estén alineados.

Aspecto	LOA	ROA	Objeto de ruta IRR
Qué es	Un documento firmado que concede permiso para anunciar	Un registro firmado criptográficamente en RPKI	Una entrada en una base de datos de Internet Routing Registry
Audiencia	Personas — personal de aprovisionamiento upstream y NOC	Routers que realizan validación de origen	Sistemas automatizados de generación de filtros
Formato	Legible por humanos, contractual	Criptográfico, verificado por máquinas	Registro de base de datos
Quién lo crea	El titular registrado o un representante autorizado	El titular registrado, a través de su RIR	El titular o mantenedor del objeto
Efecto si falta o es incorrecto	El upstream se niega a configurar el anuncio	El anuncio puede ser rechazado como RPKI-Invalid por redes que realizan validación	El anuncio puede ser filtrado por proveedores que generan filtros a partir de datos IRR

La forma más clara de entender la diferencia es esta: la LOA es lo que permite a una persona de tu upstream decidir si configura la sesión; la ROA es lo que permite a los routers de Internet decidir si aceptan el anuncio; y el objeto de ruta es lo que permite a los filtros automatizados decidir si lo admiten. Cada uno puede fallar de manera independiente y cada fallo produce un síntoma diferente, por eso los despliegues pueden bloquearse de formas aparentemente distintas dependiendo de qué registro falte.

Los tres elementos también interactúan cada vez más. El proceso de LOA generado automáticamente por Cloudflare, por ejemplo, se basa en ROA firmadas mediante RPKI y comprobaciones de validación de propiedad: registros criptográficos que respaldan el documento humano en lugar de sustituirlo. Para comprender cómo funcionan las ROA, incluido cómo autorizan un ASN de origen específico y qué ocurre cuando están mal configuradas, consulta nuestra guía sobre RPKI y ROA.

¿Quién puede emitir legítimamente una LOA?

Solo el titular registrado del espacio de direcciones — o una persona autorizada para actuar en su nombre — puede emitir legítimamente una LOA. Este es el punto en el que el significado del documento debe expresarse con precisión, porque a menudo se confunde.

Tres distinciones que conviene mantener separadas:

• • Una LOA autoriza el anuncio; no transfiere la propiedad. Firmar una LOA concede permiso para enrutar el espacio de direcciones. No convierte a la parte autorizada en titular de ese espacio, no modifica los registros y no transfiere ningún derecho a nivel de registro. Cuando termina la autorización, también termina el permiso.

• • El registro permanece a nombre del titular durante todo el arrendamiento. En un acuerdo de arrendamiento, el registro sigue mostrando al titular como parte registrada. Esto no es una deficiencia del acuerdo, sino su propia estructura. El derecho del arrendatario a anunciar deriva de la autorización concedida, no de un cambio en el registro.

• • Anunciar no es lo mismo que ser titular. Una red que anuncia un prefijo lo está originando, lo cual refleja una autorización. No es una prueba de propiedad, una distinción importante tanto conceptual como prácticamente, ya que un anuncio no autorizado es precisamente lo que constituye un secuestro.

Para el upstream receptor, estas diferencias se traducen en una pregunta de verificación: ¿el firmante tiene realmente la autoridad que afirma tener? Por eso se espera que las LOA estén emitidas en papel membretado del titular, con datos de empresa que coincidan con los registros y firmadas por una persona identificable con un cargo concreto. Un documento que no pueda vincularse con el titular registrado no es una autorización, sino una afirmación.

LOA e IPv4 arrendada: qué verificar antes de pagar

Dado que la LOA se encuentra en la ruta crítica del enrutamiento, su gestión debe resolverse antes de que se realice el pago, no descubrirse después. El fallo es bien conocido en el sector: una empresa firma un contrato, configura el enrutamiento, notifica a su upstream y entonces se le solicita una LOA que nunca se mencionó en el contrato y que el arrendador tarda en proporcionar. Las direcciones ya están pagadas, pero no pueden utilizarse hasta que llegue el documento.

Lo que debes establecer desde el principio:

1. 1. Obtén la LOA antes de pagar o consigue un compromiso escrito de entrega. Debes tener el documento en mano o una cláusula del contrato que especifique su entrega dentro de un plazo corto y definido. Un arrendador que no quiera comprometerse con ninguna de las dos opciones ya te está diciendo algo sobre cómo funcionará el resto de la relación.

1. 1. Verifica que mencione los prefijos correctos. Exactamente los bloques que estás arrendando, escritos con precisión. Una LOA que cubra un rango diferente o más amplio será cuestionada; una que cubra menos de lo necesario no autorizará el resto.

1. 1. Verifica que mencione el ASN correcto. El ASN que realmente originará el anuncio: el tuyo o el de tu upstream, dependiendo de la configuración. Un ASN incorrecto es una de las razones más comunes por las que una LOA técnicamente válida no consigue desbloquear un despliegue.

1. 1. Comprueba el periodo de validez frente a la duración del contrato. Una autorización que expira antes que el arrendamiento crea una dependencia de reemisión durante el despliegue.

1. 1. Confirma que procede del titular registrado. El membrete y los datos de empresa deben coincidir con los registros y debe estar firmado por una persona autorizada identificable.

1. 1. Confirma el proceso de reemisión. Si cambias de upstream, cambias de ASN o necesitas una LOA adicional para un segundo proveedor, ¿con qué rapidez puede emitirse un documento actualizado? Los despliegues cambian y la autorización debe poder adaptarse.

1. 1. Pregunta cómo se coordina con la ROA y los objetos de ruta. Una LOA por sí sola no es suficiente; como muestra la comparación anterior, la alineación con ROA e IRR también importa. Es mucho más fácil desplegar con un arrendador que gestione las tres cosas de manera coherente que con uno que solo entregue un documento y deje el resto en tus manos.

Estas preguntas no cuestan nada antes de firmar y pueden resultar caras después. En conjunto, también son una señal fiable de la calidad del arrendamiento: un acuerdo que trata la autorización de enrutamiento como un entregable definido está estructurado para uso en producción, mientras que uno que la deja para más adelante terminará mostrando esa carencia en el peor momento.

Problemas comunes con las LOA

La mayoría de los problemas con las LOA no son disputas sobre la autorización, sino documentos que llegan tarde, contienen errores o han expirado. Los casos recurrentes son:

• • Retrasos en la entrega. El problema más común y más costoso. Cada día sin el documento es un día en el que el espacio no puede anunciarse, independientemente de lo preparado que esté todo lo demás.

• • ASN incorrecto. La LOA autoriza un ASN diferente del que realmente origina el anuncio, a menudo porque la configuración cambió después de redactar el documento o porque se entendió mal la configuración upstream del arrendatario.

• • Prefijos incorrectos o imprecisos. El documento menciona otro bloque, un rango más amplio de lo acordado o está redactado de forma suficientemente ambigua como para que el upstream no actúe sobre él.

• • Autorización expirada. Un periodo de validez vencido, normalmente detectado cuando un proveedor vuelve a revisar la documentación o cuando se añade un nuevo upstream durante el contrato.

• • Firmante no autorizado o no verificable. Firmado por alguien cuya autoridad el upstream no puede confirmar o mediante documentación que no puede relacionarse con el titular registrado.

• • Nunca se contempló en el contrato. El contrato no menciona en absoluto la emisión de la LOA, dejando tanto el plazo como la obligación sin definir, que es como suele comenzar el problema de los retrasos de entrega.

Los seis problemas pueden evitarse en la fase contractual, por eso la lista de verificación anterior es más importante que cualquier resolución de problemas posterior.

Lista de verificación práctica

1. 1. Confirma antes de firmar que el acuerdo obliga al titular a emitir una LOA y establece un plazo de entrega definido.

1. 1. Obtén la LOA — o una garantía escrita de entrega — antes de pagar.

1. 1. Verifica que los prefijos exactos coincidan con los que estás arrendando o adquiriendo.

1. 1. Verifica que el ASN coincida con el que realmente originará el anuncio.

1. 1. Comprueba que el periodo de validez cubra toda la duración del arrendamiento o despliegue.

1. 1. Confirma que el documento utiliza el membrete del titular registrado, contiene datos de empresa coincidentes y está firmado por una persona autorizada identificable.

1. 1. Entrégalo en el formato esperado por tu upstream: PDF es la opción predeterminada más segura; los formatos de imagen suelen rechazarse.

1. 1. Confirma el proceso de reemisión y los plazos de respuesta para cambios de upstream, ASN o alcance.

1. 1. Alinea la LOA con tu ROA y tu objeto de ruta IRR para que los tres registros de autorización coincidan.

1. 1. Conserva una copia archivada: proveedores adicionales, auditorías y cambios futuros pueden volver a requerirla.

Nota práctica de i.lease

La LOA es un documento pequeño con un peso operativo desproporcionado. No es técnicamente compleja, puede producirse en cuestión de minutos cuando existe una persona autorizada y dispuesta a hacerlo y, sin embargo, es una de las razones más comunes por las que un bloque arrendado o recién adquirido permanece inactivo mientras la empresa sigue pagando por él. La razón casi nunca es una disputa real sobre la autorización; suele ser que nadie definió antes de firmar el acuerdo quién emitiría el documento, con qué rapidez y qué debía contener.

Eso convierte la gestión de la LOA en un buen indicador de la calidad general de un acuerdo de direcciones. Un arrendador que emite rápidamente una LOA correcta, incluye el ASN y los prefijos adecuados sin necesidad de tres rondas de correcciones, vuelve a emitirla con rapidez cuando cambia tu upstream y mantiene la ROA y los objetos de ruta alineados está demostrando exactamente la disciplina operativa que requiere el enrutamiento en producción. Uno que trate la LOA como simple papeleo para resolver más adelante probablemente gestionará el resto de la relación de la misma manera. El documento en sí es trivial; la coordinación que hay detrás no lo es, y esa coordinación es lo que convierte el espacio de direcciones en infraestructura operativa. Tanto si arriendas como si adquieres el espacio de forma permanente, conviene tratar la autorización de enrutamiento como un entregable definido con un plazo determinado, no como una suposición.

Conclusiones

Una Carta de Autorización es el permiso escrito del titular registrado para que una parte identificada anuncie prefijos específicos desde un ASN determinado. Los proveedores upstream la exigen porque no pueden verificar únicamente a partir de los datos del registro si quien realiza el anuncio está autorizado, y aceptar un anuncio no autorizado significa participar en un secuestro de rutas. El documento identifica al titular, la parte autorizada y el ASN, los prefijos exactos y el periodo de validez, y está firmado por una persona con autoridad para conceder ese permiso; por ello se encuentra directamente en la ruta crítica entre disponer del espacio de direcciones y poder enrutarlo.

La distinción más importante es entender lo que una LOA hace y lo que no hace. Autoriza el anuncio; no transfiere la propiedad, no modifica el registro ni concede derechos a nivel de registro. En un arrendamiento, el espacio permanece registrado a nombre del titular mientras que el derecho del arrendatario a anunciar deriva de la autorización concedida, que es precisamente la razón por la que existe el documento y por la que debe proceder del titular. Junto con la ROA que validan los routers y el objeto de ruta que consultan los filtros, la LOA completa el conjunto de registros que convierten un derecho contractual en un anuncio aceptado. Alinea los tres antes del despliegue, verifica los detalles de la LOA antes de pagar y el espacio que has contratado se convertirá en infraestructura que realmente puedes utilizar.

También puedes leer

¿Qué es el secuestro BGP? Cómo funcionan los secuestros de rutas, incidentes conocidos y cómo las redes los previenen

RPKI y ROA explicados: cómo la autorización de origen de rutas protege tus prefijos IPv4

¿Qué es BGP? Cómo Border Gateway Protocol convierte las direcciones IP en servicios accesibles

Alquilar una dirección IP: guía de arrendamiento IPv4

 

Frequently Asked Questions