Comment trouver le propriétaire d’une adresse IP avec WHOIS
Contexte et problématique
Chaque jour, des millions d’internautes se posent la même question : à qui appartient cette adresse IP qui apparaît dans leurs logs, leurs rapports de sécurité ou les tentatives d’intrusion qu’ils ont détectées ? La réponse n’est jamais triviale. Derrière une suite de chiffres comme 185.220.101.47 peut se cacher un particulier malveillant, une entreprise légitime, un hébergeur complice ou un relais Tor.
En 2026, la question du traçage des adresses IP dépasse largement le cadre technique. Elle touche à la sécurité informatique, à la protection des données personnelles, aux litiges commerciaux et aux enquêtes judiciaires. Le protocole WHOIS, créé dans les années 1980, reste l’un des premiers outils consultés par les professionnels et les curieux.
Les chiffres qui alertent
Les cyberattaques documentées ont progressé de 38 % entre 2024 et 2025 selon les rapports des principaux CERT européens. En France, l’ANSSI recense chaque trimestre plusieurs dizaines de milliers d’incidents signalés par des entreprises et des administrations. Les adresses IP impliquées dans ces incidents proviennent majoritairement de pays hors Union européenne, ce qui complique considérablement l’identification des responsables.
Par ailleurs, 67 % des PME françaises déclarent avoir subi au moins une tentative d’intrusion en 2025, sans disposer des outils ni des compétences pour remonter à la source. WHOIS représente souvent leur premier réflexe, parfois leur seul recours avant de faire appel à un prestataire spécialisé.
Pourquoi ça vous concerne directement
Que vous soyez administrateur réseau, responsable de la sécurité d’une TPE, ou simplement un particulier qui a remarqué des connexions suspectes sur sa box, connaître le propriétaire d’une adresse IP change tout. Cela permet de qualifier la menace, de contacter l’hébergeur concerné, de constituer un dossier de preuves ou de décider s’il faut bloquer un bloc d’adresses entier.
Ignorer cette information, c’est naviguer à l’aveugle face à une menace potentiellement sérieuse.
Qu’est-ce que WHOIS exactement ?
WHOIS (prononcé « who is », soit « qui est » en anglais) est un protocole de requête et de réponse qui permet d’interroger des bases de données publiques contenant des informations sur les ressources Internet enregistrées : noms de domaine, adresses IP et systèmes autonomes (AS).
Né en 1982 au sein d’ARPANET, ce protocole a été formalisé par la RFC 812, puis largement révisé au fil des décennies. Sa logique reste simple : une entité qui obtient des ressources Internet (blocs d’adresses IP, noms de domaine) doit fournir des informations d’identification à l’organisme de registration. Ces informations sont ensuite consultables par quiconque souhaite les vérifier.
Depuis l’entrée en vigueur du RGPD en 2018, et plus encore avec les révisions successives des politiques d’accès aux registres régionaux, les données WHOIS ont été partiellement masquées pour les personnes physiques. Mais pour les blocs d’adresses IP, les informations restent globalement accessibles car elles concernent le plus souvent des entités morales : opérateurs télécoms, hébergeurs, entreprises.
Les mécanismes cachés
Derrière une requête WHOIS se cache une infrastructure distribuée. Les adresses IP mondiales sont gérées par l’IANA (Internet Assigned Numbers Authority), qui délègue leur allocation à cinq registres régionaux, appelés RIR :
RIPE NCC : Europe, Moyen-Orient et Asie centrale
ARIN : Amérique du Nord
APNIC : Asie-Pacifique
LACNIC : Amérique latine et Caraïbes
AFRINIC : Afrique
Ces RIR attribuent ensuite des blocs d’adresses aux opérateurs nationaux (FAI, hébergeurs) qui, eux, les sous-allouent à leurs clients. La traçabilité s’arrête souvent à ce deuxième niveau : WHOIS vous dit que telle plage d’adresses appartient à OVHcloud ou à Free, mais pas nécessairement à quel client final elle a été attribuée.
Les acteurs principaux
Trois types d’acteurs structurent l’écosystème WHOIS appliqué aux adresses IP :
Les registres régionaux (RIR) : ils maintiennent les bases de données autoritatives. La base RIPE pour l’Europe est librement consultable via un outil de recherche WHOIS.
Les opérateurs réseau : FAI, hébergeurs, fournisseurs de cloud. Ils sont les titulaires légaux des blocs IP et ont l’obligation de maintenir des informations de contact à jour.
Les outils de consultation : sites web, clients en ligne de commande, API. Ils interrogent les bases des RIR et restituent l’information de façon lisible.
Les impacts concrets en 2026
Le besoin d’identifier le propriétaire d’une adresse IP s’est considérablement diversifié ces dernières années. Ce qui était autrefois une pratique réservée aux ingénieurs réseau est devenu un réflexe courant dans de nombreux contextes professionnels et personnels.
Pour les particuliers
Un particulier qui consulte les logs de sa box internet peut y découvrir des tentatives de connexion répétées depuis la même adresse. Identifier l’hébergeur ou le FAI responsable de ce bloc lui permet de signaler l’abus directement via un formulaire d’abuse. Les grands opérateurs comme OVHcloud, Hetzner ou Scaleway disposent tous d’équipes dédiées à ces signalements.
Autre cas fréquent : les conflits entre particuliers suite à des menaces reçues en ligne. Dans ce contexte, WHOIS peut aider à identifier l’opérateur impliqué avant de saisir les autorités, qui disposeront ensuite des moyens légaux pour aller plus loin.
Pour les entreprises
Les usages professionnels sont nombreux et souvent critiques :
Identification des sources d’attaques DDoS pour bloquer des plages entières
Qualification des leads entrants (savoir si un visiteur provient d’un concurrent, d’un client ou d’un bot)
Conformité et audit de sécurité : tracer les connexions vers des systèmes sensibles
Lutte contre la fraude en ligne, notamment dans les secteurs e-commerce et fintech
Due diligence lors de partenariats : vérifier si un prestataire héberge ses services dans des juridictions problématiques
Les équipes SOC (Security Operations Center) utilisent WHOIS comme point de départ systématique dans leurs processus d’investigation. C’est la première couche d’un processus de géolocalisation IP plus complet.
Les risques juridiques
Utiliser WHOIS pour identifier un propriétaire d’adresse IP est parfaitement légal en France et dans l’Union européenne. Les données sont publiques et librement consultables. En revanche, ce que vous faites avec ces informations peut poser problème.
Plusieurs points méritent attention :
Utiliser des informations WHOIS pour harceler une personne ou une entreprise tombe sous le coup de la loi.
Se faire passer pour un enquêteur ou une autorité judiciaire pour obtenir des informations complémentaires est illégal.
Croiser des données WHOIS avec d’autres sources pour reconstituer un profil personnel peut constituer un traitement de données personnelles soumis au RGPD.
La règle de base reste simple : consulter, oui. Exploiter abusivement, non.
Comment ça fonctionne techniquement
Trouver le propriétaire d’une adresse IP via WHOIS repose sur un processus structuré que vous pouvez maîtriser en quelques minutes. Voici comment cela fonctionne concrètement.
Étape 1 : Identifier le registre régional compétent
Toute adresse IP appartient à un bloc géré par l’un des cinq registres régionaux. La première étape consiste donc à déterminer lequel est concerné. Des outils comme whoisip.fr effectuent cette détection automatiquement.
En ligne de commande, la requête de base s’écrit simplement :
whois 185.220.101.47
Le système interroge d’abord une base centrale (IANA), qui redirige vers le RIR compétent. Ce dernier retourne alors le bloc d’adresses dans lequel s’inscrit l’IP demandée, avec les informations du titulaire enregistré.
Le champ inetnum indique le bloc d’adresses. Le champ netname donne le nom du réseau. Le champ org renvoie à l’organisation titulaire. Et les champs abuse-c ou abuse-mailbox vous donnent le contact pour signaler des abus, ce qui est souvent l’objectif final de la démarche.
Étape 2 : Interpréter et approfondir les résultats
Les résultats bruts d’une requête WHOIS peuvent paraître austères. Un enregistrement RIPE typique contient une vingtaine de champs. Certains sont fondamentaux, d’autres purement techniques.
Les champs à retenir en priorité :
inetnum : la plage d’adresses attribuée
netname : le nom du réseau, souvent explicite
country : le pays d’enregistrement du bloc
org : l’organisation responsable
admin-c / tech-c : les contacts administratif et technique
abuse-mailbox : l’adresse de signalement des abus
Si l’adresse IP appartient à un grand opérateur cloud (AWS, Azure, OVHcloud), vous trouverez souvent une sous-allocation à un client. Le RIR n’en sait rien : c’est l’opérateur qui gère en interne. Dans ce cas, seul un contact direct avec l’opérateur ou une réquisition judiciaire permettra d’aller plus loin.
Les failles de sécurité
WHOIS n’est pas infaillible. Plusieurs limites techniques fragilisent sa fiabilité :
Données obsolètes : rien n’oblige un titulaire à mettre à jour ses informations de contact. Des enregistrements datant de plusieurs années restent courants.
Informations volontairement fausses : des acteurs malveillants enregistrent des blocs IP avec des données fictives, parfois dans des pays à faible coopération judiciaire.
Adresses IP partagées : derrière un même bloc, des milliers d’utilisateurs distincts peuvent coexister. Identifier l’IP ne suffit pas à identifier l’individu.
VPN et proxies : un utilisateur se connectant via un VPN apparaît sous l’adresse IP du fournisseur VPN, pas la sienne.
Fragmentation des sous-allocations : un hébergeur peut avoir sous-alloué une plage sans que cela soit reflété dans les bases WHOIS publiques.
Solutions et bonnes pratiques
Identifier le propriétaire d’une adresse IP requiert souvent de combiner plusieurs approches. WHOIS est le point de départ, rarement le point d’arrivée.
Protection immédiate (3 étapes)
Si vous êtes confronté à une activité suspecte et souhaitez agir rapidement :
Documentez tout d’abord : notez l’adresse IP complète, l’heure exacte (avec timezone), le type d’activité observée. Ces éléments sont indispensables pour tout signalement ou dépôt de plainte ultérieur.
Lancez une requête WHOIS : utilisez l’outil WHOIS de whoisip.fr ou la commande en ligne. Identifiez l’opérateur responsable du bloc et récupérez l’adresse abuse-mailbox.
Signalez à l’opérateur : envoyez un email à l’adresse d’abus avec vos logs en pièce jointe. Les grands hébergeurs ont l’obligation de traiter ces signalements. En cas d’inaction, vous pouvez escalader vers le RIR compétent ou saisir les autorités.
Outils et services pros
Au-delà du WHOIS basique, plusieurs outils complètent l’investigation :
Whoisip.fr : interface française combinant WHOIS, géolocalisation IP et réputation. Idéal pour une consultation rapide sans maîtriser la ligne de commande.
Shodan : moteur de recherche spécialisé qui expose les services ouverts sur une adresse IP. Utile pour comprendre l’infrastructure derrière l’adresse.
VirusTotal : analyse la réputation d’une IP en croisant des dizaines de bases de données antivirus et threat intelligence.
AbuseIPDB : base communautaire recensant les IP signalées pour des comportements abusifs. Gratuit jusqu’à un certain volume de requêtes.
BGPView : permet de visualiser les systèmes autonomes (AS) et les routes BGP associées à une IP, utile pour les analyses réseau avancées.
Pour les entreprises qui traitent un volume significatif de requêtes, les API des RIR (RIPE Database API notamment) permettent d’intégrer ces lookups directement dans les outils de sécurité internes.
Checklist de vérification
Avant de conclure qu’une IP est malveillante ou appartient à un acteur précis, vérifiez systématiquement :
La date de l’enregistrement WHOIS est-elle récente ou ancienne ?
L’IP apparaît-elle dans AbuseIPDB ou d’autres listes noires ?
S’agit-il d’une adresse appartenant à un grand cloud provider ?
Le pays d’enregistrement correspond-il à l’activité géographique attendue ?
Y a-t-il un historique de changements d’allocation sur cette plage ?
Les informations de contact sont-elles cohérentes et complètes ?
FAQ : Toutes vos questions
WHOIS permet-il d’identifier une personne physique derrière une adresse IP ? Non, pas directement. WHOIS identifie l’opérateur ou l’entreprise titulaire du bloc d’adresses, pas l’utilisateur final. Pour identifier une personne physique, seul l’opérateur concerné dispose de cette information, et ne peut la communiquer que sur réquisition judiciaire. C’est une limite fondamentale du système, renforcée par le RGPD depuis 2018.
Est-ce légal de faire une recherche WHOIS sur une adresse IP ? Oui, totalement. Les données WHOIS sont publiques par conception. Consulter ces informations ne nécessite aucune autorisation particulière, ni en France ni dans l’Union européenne. La légalité concerne l’usage que vous faites ensuite de ces informations, pas la consultation elle-même.
Pourquoi certaines recherches WHOIS ne retournent-elles aucune information utile ? Plusieurs raisons peuvent expliquer un résultat vide ou incomplet : l’adresse peut appartenir à un espace privé (RFC 1918), les données peuvent avoir été masquées par l’opérateur, ou l’enregistrement peut être délibérément incomplet. Les adresses appartenant à de grands hébergeurs cloud renvoient souvent uniquement les informations génériques de l’opérateur, sans détail sur l’utilisateur final.
Quelle est la différence entre WHOIS IP et WHOIS domaine ? La démarche est similaire mais les bases interrogées diffèrent. Pour un nom de domaine, la requête s’adresse au registre du TLD concerné (.fr, .com, .org…). Pour une adresse IP, elle s’adresse aux registres régionaux (RIR) comme RIPE NCC pour l’Europe. Les informations retournées sont également différentes : le WHOIS domaine inclut les dates d’expiration et les serveurs DNS, tandis que le WHOIS IP se concentre sur les blocs réseau et les contacts de l’opérateur.
Comment signaler un abus après avoir identifié le propriétaire d’une IP ? Une fois l’adresse abuse-mailbox récupérée dans les résultats WHOIS, envoyez un email structuré comportant : l’adresse IP concernée, la date et l’heure précises de l’incident (avec timezone), vos propres logs en pièce jointe, et une description claire de l’activité problématique. La plupart des opérateurs sérieux répondent sous 48 à 72 heures. Sans réponse, vous pouvez escalader vers le RIR (formulaire de signalement RIPE pour l’Europe) ou porter plainte auprès des autorités compétentes.
Agissez maintenant
Trois points à retenir de ce guide :
WHOIS identifie l’opérateur responsable d’un bloc d’adresses IP, pas l’utilisateur final. C’est une distinction fondamentale qui conditionne toute votre stratégie d’investigation.
Le protocole reste accessible et gratuit, mais ses résultats doivent être croisés avec d’autres sources pour avoir une réelle valeur opérationnelle.
La légalité de la démarche est claire : consulter est libre, exploiter abusivement ne l’est pas.
Commencez maintenant : interrogez l’outil WHOIS de whoisip.fr pour toute adresse IP qui vous préoccupe. Le résultat s’affiche en quelques secondes et vous donne déjà un premier niveau de qualification indispensable.
En 2027, les pressions réglementaires européennes devraient renforcer l’obligation pour les opérateurs de maintenir des données WHOIS à jour et accessibles pour les usages légitimes. Le débat entre transparence et protection de la vie privée reste ouvert, mais la tendance est à une meilleure traçabilité des ressources réseau, notamment dans le cadre de la lutte contre la cybercriminalité. Autant maîtriser ces outils maintenant.
