WHOIS Lookup

Получите подробную информацию о регистрации домена

Доменное имя

КАК ЭТО РАБОТАЕТ

Процесс WHOIS lookup

ВВОД ДОМЕНА

Введите доменное имя

ЗАПРОС WHOIS

Запрашиваем WHOIS-серверы

ПАРСИНГ ДАННЫХ

Парсим данные регистрации

ОТЧЁТ

Отображаем детальную информацию

WHOIS после GDPR: что от него осталось

WHOIS когда-то был самым большим открытым телефонным справочником владельцев доменов. Имена, email-ы, номера телефонов, почтовые адреса, всё доступно бесплатно через TCP-протокол образца 80-х. Потом 25 мая 2018 года вступил в силу GDPR, и большая часть этих данных ушла во тьму. Шесть лет спустя WHOIS всё ещё основной инструмент для исследования доменов, drop-catching-а, расследования мошенничества и контроля регистраторов. Просто показывает теперь другие вещи. Сам протокол всё ещё RFC 3912, plain TCP на порту 43, без схемы, без JSON. Каждый оператор TLD держит свой сервер, отдаёт текст в своём формате, и нет никакого стандарта на парсинг. RDAP (JSON-over-HTTPS замена, специфицированная в 2015) принят частично: большинство gTLD его отдают, половина ccTLD игнорирует, тулинг отстаёт от обоих протоколов. Дальше: как реально маршрутизируется WHOIS-запрос, что GDPR вырезал и что выжило, и для чего эти данные годятся когда большая часть полей теперь говорит REDACTED FOR PRIVACY.

Как маршрутизируется WHOIS-запрос на самом деле

Первый WHOIS-запрос по умолчанию летит в никуда полезное. Вы запрашиваете whois.iana.org. IANA возвращает referral на реальный WHOIS-сервер этого TLD: `whois.verisign-grs.com` для .com/.net, `whois.nic.io` для .io, `whois.tcinet.ru` для .ru. Клиент идёт по referral-у и запрашивает второй сервер. Ответ Verisign для .com сам по себе минимален: регистратор владеющий доменом, плюс referral на WHOIS-сервер этого регистратора. Полный лукап .com это три последовательных TCP-43 запроса: IANA, Verisign, регистратор (whois.namecheap.com или whois.godaddy.com). Каждый регистратор форматирует вывод по-своему. Поведение ccTLD расходится. .ru идёт напрямую в whois.tcinet.ru, без переадресации к регистратору, отдаёт всё одним запросом. Nominet у .uk возвращает полные данные. DENIC у .de вырезал всё в 2018, и ответ сейчас это около 10 строк метаданных регистра. AFNIC у .fr строго следует GDPR, редактирует персональные но показывает организационные данные. Отсутствие структурированного ответа это реальная проблема. Каждый WHOIS-парсер в продакшене это какая-то комбинация регулярок, шаблонов под конкретного регистратора и фолбэк-эвристик. Новые TLD приходят с новыми форматами. Старые регистраторы меняют формат без предупреждения. Сопровождение библиотек python-whois, go-whois, ruby-whois в основном это "формат X сломался опять, вот патч". RDAP лечит это возвратом JSON. IETF специфицировал его в 2015 (RFC 7480-7484). ICANN обязал поддержку RDAP для всех gTLD к 2025. Большинство gTLD-регистратур выполняют. Большинство ccTLD нет. Ответ структурирован, парсится машинно, ограничен документированной схемой. Загвоздка: данные которые RDAP отдаёт после GDPR это те же данные что отдаёт распарсенный WHOIS. Редакция работает на уровне данных, не протокола.

Что GDPR вырезал и что осталось

25 мая 2018 это день когда WHOIS потерял большую часть персональных данных. Temporary Specification от ICANN, потом результаты EPDP Phase 1 в 2019 формализовали правила. Персональные данные субъектов EU должны быть отредактированы если нет документированного legitimate interest. Большинство регистраторов применяют редакцию глобально потому что разделять EU и не-EU регистрантов на каждый запрос сложнее, чем просто редактировать всех. Что раньше было видно на персональной регистрации домена: - Имя регистранта - Email регистранта - Телефон регистранта - Уличный адрес регистранта - Те же поля для admin и tech контактов (часто идентичны регистранту) Что вы видите сейчас: - "REDACTED FOR PRIVACY" или пустые поля - Email-форвардер от регистратора типа proxy-1234@privacyguard.org (у некоторых), или просто ничего (у других) Что пережило редакцию: - Регистратор записи (всегда видим) - Дата создания (всегда видна) - Дата истечения (всегда видна) - Время последнего обновления (всегда видно) - Name servers (всегда видны) - Статус DNSSEC (всегда виден) - Status-коды домена: clientHold, serverTransferProhibited, redemptionPeriod, pendingDelete (всегда видны) - Имя организации, иногда. Корпоративные домены часто его сохраняют; для .com/.net зависит от политики регистратора Скрытые контакты не удалены физически. Регистраторы их хранят, ICANN может потребовать раскрытия по формальному запросу, правоохранительные органы могут запросить через ордер. Фреймворк SSAD от ICANN должен был стандартизировать раскрытие для легитимных исследователей (правообладатели, security-исследователи, специалисты по abuse) к 2020 году. Сейчас 2026, SSAD заморожен бессрочно. Реальное раскрытие идёт через неформальные отношения с регистраторами и юридический процесс. Для до-GDPR данных платные сервисы вроде DomainTools и WhoisXML держат исторические архивы. Они выкачали всё до мая 2018 и теперь обслуживают запросы по снепшоту. Так phishing-исследователи трассируют доменные кампании 2014 года. Современный WHOIS показывает REDACTED, архив показывает оригинального регистранта. Privacy-активисты считают это постоянной записью нарушающей дух GDPR. Архивы легальны там где они хранятся. Данные в них никуда не денутся.

Для чего WHOIS всё ещё годится

Поля пережившие GDPR несут большую часть практического сигнала и так. Возраст домена это самый предсказательный признак для детекции scam-сайтов. Phishing-кампании регистрируют свежие домены под каждую кампанию потому что старые домены копят репутацию. .com зарегистрированный 8 дней назад и отдающий "PayPal login" страницу почти наверняка вредоносный. Браузеры, антивирусы, корпоративные фильтры все смотрят дату создания. Датасет Spamhaus показывает что домены младше 30 дней в 50 раз чаще вредоносные чем домены старше года. Выбор регистратора говорит о среде риска. Namecheap, Tucows, GoDaddy, Hostinger, Cloudflare и бюджетные китайские регистраторы все имеют разную репутацию по abuse-handling. Phishing-кампании тяготеют к регистраторам со слабыми abuse-отделами. Домен на Namesilo или NameCheap не значит мошенничество, но домен на AlpNames (закрылся, был известным abuse-убежищем) когда-то это значил. Name servers выдают инфраструктуру. Общие NS могут связать сестринские домены: если attacker.com и victim-cdn.net оба указывают на ns1.evilhost.tld, они связаны. Это был крупный провал OPSEC в ранних ransomware-кампаниях. Современные операторы используют Cloudflare или дефолтные NS регистратора чтобы слиться с фоном. Status-коды несут инцидентные сигналы. clientHold означает что регистратор приостановил домен (часто за abuse). serverTransferProhibited это нормальная защита. redemptionPeriod означает что домен истёк и в 30-дневном окне восстановления. pendingDelete означает что вот-вот дропнет и станет доступен. Drop-catching сервисы следят за pendingDelete и гонятся за регистрацией в момент релиза. Та же логика что у таксистов в очереди у аэропорта: первый кто заявит, получает пассажира. Наличие DNSSEC слабый security-индикатор. Принятие около 7-8% глобально на 2024 год. Большинство легитимного бизнеса его не использует. Большинство атакующих тоже его не использует. Сигнал шумный, но не нулевой. WHOIS в 2026 это то что выжило после большой регуляторной чистки. Персональные данные ушли по большинству доменов. Инфраструктурные данные (тайминг регистрации, регистратор, name servers, статус) видны как и раньше, и это данные которые большинство реальных задач и так использует. Спор приватности против прозрачности, который ICANN проигрывал десять лет, в итоге убрал ту часть WHOIS которая всегда была полезнее для harvesting-а спам-листов чем для легитимных исследований. WHOIS lookup в WHOX напрямую опрашивает соответствующий реестр, следует за referral-ами регистраторов где это применимо, парсит и классические WHOIS, и RDAP-ответы, выводит поля которые ещё что-то значат в пост-GDPR мире.

ЧАСТО ЗАДАВАЕМЫЕ ВОПРОСЫ

Что такое WHOIS privacy?

WHOIS privacy (также называется защита домена или прокси-защита) заменяет вашу личную контактную информацию в записях WHOIS на данные сервиса приватности. Это защищает вас от спама, кражи личных данных и нежелательных обращений. Большинство регистраторов предлагают эту услугу бесплатно или за небольшую плату.

Почему часть информации скрыта?

Из-за GDPR и других законов о защите данных многие регистраторы теперь по умолчанию скрывают личную информацию в WHOIS, особенно для доменов, зарегистрированных физическими лицами в ЕС. Вы можете увидеть 'REDACTED FOR PRIVACY' в полях владельца.

Насколько точны данные WHOIS?

Точность данных WHOIS зависит от владельца. Хотя регистраторы требуют достоверную контактную информацию, некоторые владельцы доменов предоставляют неточные данные. Кроме того, данные WHOIS кэшируются и могут не отражать недавние изменения. Наш сервис кэширует результаты на 48 часов.

Все наши тесты

Запускайте весь набор WHOX из одного блока: проверки утечек, fingerprint-пробы, сетевую диагностику, репутацию IP и тесты приватности.