Todos los dominios de Internet se registran a través de un registrador: GoDaddy, Namecheap, Google Domains y miles de otros. Cuando registra un dominio, proporciona información de contacto: su nombre, correo electrónico, número de teléfono, dirección.

WHOIS es el sistema que históricamente ha hecho que la mayor parte de esa información sea consultable públicamente por cualquier persona. Escriba un dominio en una búsqueda de WHOIS y podrá averiguar quién lo registró, cuándo se registró, cuándo caduca, qué servidores de nombres utiliza y con quién contactar si hay algún problema.

O al menos así funcionaba antes de que el RGPD cambiara todo.

Qué contiene un registro WHOIS

Un registro WHOIS completo tiene varias secciones:

Información del dominio:

  • Nombre de dominio
  • Registrador (a través de quién se compró el dominio)
  • Fecha de registro
  • Fecha de caducidad
  • Última fecha de actualización
  • Estado del dominio (activo, caducado, bloqueado, etc.)

Servidores de nombres:

  • Qué servidores DNS tienen autoridad para este dominio
  • Esto le indica quién aloja el DNS (Cloudflare, AWS Route 53, el DNS de su registrador, etc.)

Contacto del registrante:

  • Nombre, organización, correo electrónico, teléfono y dirección postal del propietario del dominio

Contactos administrativos y técnicos:

  • A veces, separados del registrante: la persona que administra técnicamente el dominio versus el propietario legal

A continuación se muestra un ejemplo simplificado de lo que vería en una empresa legítima:

Comando 
Domain Name: EXAMPLE.COM
Registry Domain ID: 2336799_DOMAIN_COM-VRSN
Registrar: Example Registrar, Inc.
Registrar URL: http://www.example-registrar.com
Updated Date: 2023-08-14T07:00:00Z
Creation Date: 1995-08-14T04:00:00Z
Registry Expiry Date: 2024-08-13T04:00:00Z
Registrar Iana ID: 376

Name Server: A.IANA-SERVERS.NET
Name Server: B.IANA-SERVERS.NET

Registrant Name: Internet Assigned Numbers Authority
Registrant Organization: Internet Assigned Numbers Authority
Registrant Email: noc@iana.org

Qué le hizo el RGPD a WHOIS

En 2018, el GDPR entró en vigor en Europa y cambió fundamentalmente los datos de WHOIS. Ahora los registradores estaban obligados legalmente a dejar de exponer la información de contacto personal de los propietarios de dominios individuales (no comerciales).

El resultado: la mayoría de los registros de WHOIS actuales se ven así para la sección de registrantes:

Comando 
Registrant Name: REDACTED FOR PRIVACY
Registrant Organization: Privacy service provided by Withheld for Privacy ehf
Registrant Email: Please query the RDDS service of the Registrar of Record

Esto se aplica a nivel mundial, no solo en Europa, porque la mayoría de los principales registradores optaron por implementar protección de la privacidad para todos los clientes en lugar de intentar segmentar por jurisdicción.

Lo que aún es visible después del RGPD:

  • El nombre del registrador
  • Fechas de registro, actualización y caducidad
  • Indicadores de estado del dominio
  • Servidores de nombres
  • El contacto de abuso del registrador

Qué está oculto ahora:

  • Nombre del registrante (para individuos)
  • Correo electrónico, teléfono y dirección del registrante (para particulares)

Los registros de empresas son diferentes: las empresas no están protegidas como personas físicas según el RGPD, por lo que es posible que aún aparezcan los detalles del registro de empresas.

Cuando los datos de WHOIS aún son reveladores

Incluso con protección de la privacidad, los registros de WHOIS le dicen una cantidad sorprendente.

La fecha de registro revela edad y credibilidad. Un sitio de phishing que se hace pasar por un banco registrado ayer es una señal de alerta, sin importar cuán convincente sea el diseño. Es casi seguro que un dominio registrado en 1998 es una infraestructura legítima. La fecha de creación nunca se oculta.

Las fechas de vencimiento son importantes para la diligencia debida. El dominio de una empresa que vence en dos semanas es motivo de preocupación. Si está a punto de firmar un contrato o realizar un pago, una verificación rápida de WHOIS del dominio en la dirección de correo electrónico vale 30 segundos.

Los servidores de nombres indican el proveedor de hosting. Incluso sin los detalles del registrante, los servidores de nombres le indican quién aloja el DNS. ns1.cloudflare.com significa DNS de Cloudflare. awsdns-xx.com significa AWS Route 53. Esto es útil para informar abusos y comprender la infraestructura detrás de un dominio.

Contactos de abuso del registrador. Si un dominio se utiliza para spam, phishing o malware, el correo electrónico de abuso del registrador siempre estará en el registro de WHOIS. Este es el lugar indicado para denunciarlo.

Coincidencia de patrones entre registros. Si está investigando una campaña de dominios de phishing, a menudo comparten características: registrados en el mismo registrador, servidores con el mismo nombre y fechas de registro agrupadas. Los datos de WHOIS (incluso los redactados) pueden revelar estos patrones.

Cómo hacer una búsqueda de WHOIS

El método más sencillo: utilizar el Herramienta WHOIS y escriba cualquier dominio o dirección IP.

Si prefieres la línea de comando:

Comando 
whois example.com

En Windows (si el comando whois no está integrado, consíguelo en Sysinternals):

Comando 
whois.exe example.com

Para las direcciones IP, WHOIS funciona de manera diferente: consulta el registro regional de Internet (ARIN para América del Norte, RIPE para Europa, APNIC para Asia-Pacífico) para obtener información sobre quién es el propietario del bloque de IP.

Comando 
whois 8.8.8.8

Esto devuelve la organización que posee ese rango de IP; en este caso, Google LLC.

WHOIS para direcciones IP frente a dominios

Vale la pena entender que el WHOIS de dominio y el WHOIS de IP son sistemas separados administrados por diferentes organizaciones.

Dominio WHOIS es administrado por ICANN y se accede a él a través de registradores. Cada registrador mantiene su propio servidor WHOIS para los dominios que administra.

WHOIS IP está gestionado por los Registros Regionales de Internet:

  • ARIN — América del Norte
  • RIPE NCC — Europa, Medio Oriente, Asia Central
  • APNIC — Asia-Pacífico
  • LACNIC — América Latina y el Caribe
  • AFRINIC — África

Cuando buscas una IP, estás consultando el registro que contiene ese bloque de IP. La información devuelta incluye la organización que posee el bloqueo, su contacto de abuso y, a veces, datos de asignación más granulares.

RDAP: El reemplazo moderno

WHOIS es un protocolo de la década de 1980 que se ejecuta en el puerto 43: no cifrado, con un formato inconsistente y cada vez más obsoleto. Su reemplazo moderno es RDAP (Protocolo de acceso a datos de registro), que:

  • Utiliza HTTPS (cifrado)
  • Devuelve JSON estructurado en lugar de texto de formato libre
  • Admite autenticación para acceder a datos no redactados (para aplicación de la ley, etc.)
  • Tiene un formato estandarizado en todos los registros

La mayoría de las herramientas de WHOIS (incluida la nuestra) consultan tanto WHOIS como RDAP cuando están disponibles y devuelven la que proporcione más datos. Si está creando algo mediante programación, RDAP es la API adecuada para usar.

Punto final RDAP de ICANN para dominios: https://rdap.org/domain/example.com RDAP de ARIN para IP: https://rdap.arin.net/registry/ip/8.8.8.8

Casos de uso prácticos

Due diligence de dominio antes de una transacción. Antes de pagarle a alguien por un dominio, servicio o producto, verifique el dominio en el correo electrónico. ¿Coincide la fecha de registro cuando afirman que se fundó la empresa? ¿Están utilizando un registrador grabador? ¿Los servidores de nombres parecen legítimos?

Investigación de spam o phishing. Encuentre el contacto de abuso del registrador y presente un informe. La mayoría de los registradores toman medidas contra los dominios de phishing dentro de las 24 a 48 horas posteriores a un informe de abuso creíble.

Investigar un competidor o contacto. Si estás tratando de entender quién está detrás de una empresa, los datos de WHOIS (especialmente para dominios más antiguos o mal mantenidos) pueden revelar nombres de organizaciones, contactos o dominios relacionados.

Comprobando la caducidad de tu propio dominio. Problema vergonzosamente común: los dominios caducan porque el propietario olvidó renovarlos. Una búsqueda de WHOIS en su propio dominio tarda dos segundos y le indica exactamente cuándo caduca y si la renovación automática está configurada en el registrador.

Verificando la configuración de DNS. Los servidores de nombres en un registro WHOIS deben coincidir con lo esperado. Si acaba de apuntar un dominio a un nuevo proveedor de DNS y nada funciona, verifique WHOIS para confirmar que la actualización del servidor de nombres se haya propagado a nivel de registro.

Lo que WHOIS no puede decirte

Para evitar un mal uso de los datos de WHOIS, vale la pena tener claros sus límites:

  • La información del registrante puede ser incorrecta. La gente pone información falsa al registrar dominios todo el tiempo. Históricamente, esto constituía una violación de los términos del registrador, pero su aplicación era mínima.
  • Es posible que el propietario indicado no sea el operador real. Los servicios de estacionamiento, revendedores y corredores a menudo aparecen como registrantes de dominios que no utilizan activamente.
  • WHOIS protegido por privacidad no significa anónimo. El registrador todavía tiene los datos reales del registrante. Las autoridades pueden citarlo. Los registradores lo proporcionan en respuesta a solicitudes legales legítimas.
  • IP WHOIS no le dice quién está usando una IP en este momento. Te indica quién es el propietario del bloque de IP. Ese bloque podría ser un ISP, y el usuario real detrás de una IP específica en la red de ese ISP requiere una citación al ISP.

Conclusión

WHOIS ya no es el directorio completo que alguna vez fue: GDPR ha redactado gran parte de la información de identificación personal de los propietarios de dominios individuales. Pero incluso redactado, un registro de WHOIS le brinda fechas de registro, servidores de nombres, identidad del registrador y contactos de abuso, que a menudo es exactamente lo que necesita para investigaciones de seguridad, diligencia debida de dominios e informes de abuso.

Ejecute una búsqueda en cualquier dominio o IP con el Herramienta WHOIS. Tarda unos tres segundos y puede brindarle más información sobre el historial de un dominio que la mayoría de las otras fuentes de información en la web.