WHOIS et GeoIP : deux réponses à deux questions différentes

WHOIS, et son successeur RDAP, répond à la question « qui s’est vu allouer cet objet », en lisant une base déclarative tenue par un registre. GeoIP répond à « d’où semble sortir ce paquet », en interrogeant une base d’inférences commerciale qui n’a aucune valeur juridique et se trompe régulièrement au niveau ville.

WHOIS et GeoIP ne répondent pas à la même question

Une adresse IP a deux identités. Celle qui est déclarée dans un registre, et celle qu’un moteur d’inférence lui attribue. WHOIS lit la première : le RIPE NCC, l’ARIN ou l’APNIC publient qui s’est vu allouer un bloc, sous quel numéro d’AS, avec quel contact abuse. GeoIP fabrique la seconde, en rapprochant le préfixe d’un pays et parfois d’une ville, à partir de traceroutes, de latences, de déclarations d’opérateurs et de signaux d’usage.

La conséquence pratique tient en une phrase : le WHOIS est opposable, la géolocalisation ne l’est pas. Quand vous déposez une plainte abuse, vous citez l’objet inetnum et l’adresse abuse-c. Quand vous bloquez un pays au niveau du WAF, vous vous appuyez sur une estimation qui se trompera sur une fraction de votre trafic, et il vous faut un chemin de recours pour l’utilisateur mal classé.

	WHOIS / RDAP	GeoIP
Nature de la donnée	déclarative, saisie par le titulaire du bloc	inférée, recalculée par le fournisseur
Source	RIR (RIPE, ARIN, APNIC, LACNIC, AFRINIC) et registres de domaines	MaxMind, IP2Location, IPinfo, DB-IP et autres
Accès	TCP/43 pour WHOIS, HTTPS pour RDAP	base MMDB locale ou API HTTP
Norme	RFC 3912 pour WHOIS, RFC 7480 et 9082/9083 pour RDAP	aucune, sauf le format d’échange RFC 8805
Fraîcheur	à la main du titulaire, parfois inchangée depuis dix ans	quotidienne à hebdomadaire selon l’offre
Valeur en cas de litige	pièce recevable	indice, jamais une preuve

Croiser les deux en trois commandes

Prenez 8.8.8.8. La chaîne complète tient en quelques appels, sans compte ni clé d’API pour les trois premiers.

Le reverse DNS reste le meilleur départage quand WHOIS et GeoIP se contredisent sur un routeur. Les opérateurs de transit encodent la ville ou le code aéroport dans leurs PTR : un saut nommé ae-3.a00.parsfr07.fr.bb.gin.ntt.net dit Paris avec bien plus de fiabilité qu’une base commerciale. Ça ne vaut que pour les IP d’infrastructure, jamais pour une IP client.

Si vous scriptez du volume, lisez d’abord les règles d’usage du registre. Le RIPE plafonne à 1000 par 24 heures et par adresse source les objets contenant des données personnelles renvoyés par le WHOIS ; au-delà, votre IP est bloquée et le déblocage se demande à la main. Pour du massif, on ne lance pas 100 000 requêtes whois : on récupère le fichier de délégation du RIR (ftp.ripe.net/pub/stats/ripencc/delegated-ripencc-latest) ou une base MMDB, et on interroge en local.

• whois 8.8.8.8 : le client suit la référence de l’IANA jusqu’à whois.arin.net et rend le NetRange, l’organisation et le contact abuse.
• whois -h whois.cymru.com ' -v 8.8.8.8' : le service IP-to-ASN de Team Cymru renvoie sur une ligne l’AS, le préfixe BGP réellement annoncé, le code pays du registre et la date d’allocation.
• curl -s https://rdap.org/ip/8.8.8.8 | jq .country : RDAP répond en JSON, ce qui vous évite de parser le texte libre du WHOIS dont le format change d’un registre à l’autre.
• mmdblookup --file GeoLite2-City.mmdb --ip 8.8.8.8 city names en : lecture locale de la base MaxMind, sans requête réseau. Le téléchargement de GeoLite2 exige un compte et une clé de licence depuis le 30 décembre 2019.
• dig -x 8.8.8.8 +short : le PTR, à lire avant de conclure quoi que ce soit sur un équipement réseau.

Le champ country: du WHOIS n’est pas une géolocalisation

C’est l’erreur la plus fréquente sur ce sujet. L’objet inetnum du RIPE porte un attribut country: obligatoire, et quantité de scripts le traitent comme la localisation du bloc. Il ne décrit pas ça. Le RIPE NCC documente lui-même que cet attribut ne renseigne pas de façon fiable l’emplacement physique des adresses. Un hébergeur néerlandais qui déclare country: NL peut router la moitié de son /19 vers un datacenter à Singapour, sans rien changer à son objet registre.

La réponse propre existe depuis 2020 et s’appelle le geofeed. La RFC 8805 définit un simple CSV public : préfixe, pays ISO 3166-1, région ISO 3166-2, ville, code postal. La RFC 9092 explique comment le référencer depuis l’objet du registre, via l’attribut geofeed: ou une ligne remarks: Geofeed https://… Apple publie le sien pour iCloud Private Relay sur mask-api.icloud.com/egress-ip-ranges.csv, et les principaux fournisseurs de GeoIP le consomment.

Vous gérez un bloc et vos utilisateurs se plaignent d’être vus dans le mauvais pays ? Publier un geofeed est le seul levier qui agit sur toutes les bases en même temps. Prévoyez plusieurs semaines de propagation avant de constater l’effet, et gardez l’URL stable.

Les cas où GeoIP répond faux avec aplomb

En 2016, les habitants d’une ferme proche de Potwin, au Kansas, subissaient depuis des années descentes de police et accusations diverses. MaxMind utilisait 38.0000, -97.0000 comme point par défaut pour le territoire américain, un centre géographique arrondi qui tombait sur leur propriété, et environ 600 millions d’adresses y étaient rattachées faute d’information plus fine. Les points par défaut ont depuis été déplacés au milieu de plans d’eau.

MaxMind écrit d’ailleurs dans sa propre documentation que ses données ne doivent pas servir à identifier une adresse précise ou un foyer. Pour une décision coûteuse, antifraude au paiement ou restriction de diffusion sous licence, le pays reste exploitable, la ville non.

• Anycast : 1.1.1.1 et 8.8.8.8 sont annoncés simultanément depuis des dizaines de sites. Une base qui vous rend une ville unique pour ces adresses se trompe pour la majorité des requêtes, par construction.
• Mobile et CGNAT : l’adresse publique est celle de la passerelle de l’opérateur. Sur un réseau 4G français, l’écart entre l’abonné et le point de sortie dépasse couramment 100 km.
• Relais chiffrés : Private Relay, VPN grand public et Tor déplacent la sortie ailleurs. Le geofeed d’Apple préserve au moins le pays d’origine, encore faut-il que votre fournisseur le lise.
• Blocs transférés : un /21 revendu par un opérateur allemand à un FAI brésilien conserve son ancienne géolocalisation pendant des semaines, alors que le WHOIS est à jour dès l’enregistrement du transfert.

Ce que le RGPD a retiré du WHOIS, et ce qui reste

Depuis la spécification temporaire de l’ICANN de mai 2018, le WHOIS d’un domaine ne montre plus le nom ni le courriel du titulaire lorsqu’il s’agit d’une personne physique. Vous récupérez des champs REDACTED FOR PRIVACY et un formulaire de contact anonymisé. L’AFNIC applique la même logique de diffusion restreinte sur le .fr. Les données existent toujours chez le bureau d’enregistrement, elles ne sont simplement plus publiques.

Trois recours, par coût croissant : le formulaire anonymisé du registrar, le RDRS ouvert par l’ICANN en novembre 2023 pour demander les données non publiques des gTLD, puis la réquisition judiciaire. Le RDRS ne contraint personne à répondre, il centralise la demande et trace son traitement.

Côté adresses IP, rien de tout ça. Les blocs sont alloués à des personnes morales, l’objet inetnum reste public avec son organisation, son pays déclaré et son contact abuse. C’est pour cette raison qu’un WHOIS d’IP est resté bien plus exploitable qu’un WHOIS de domaine.

Un point d’implémentation à anticiper : depuis le 28 janvier 2025, registres et bureaux d’enregistrement de gTLD ne sont plus tenus par leur contrat ICANN d’exposer un service WHOIS sur le port 43, RDAP étant devenu l’interface requise. Vos scripts qui appellent whois en dur sur des .com tomberont tôt ou tard sur des serveurs éteints ; ceux qui interrogent RDAP en HTTPS, non. Les RIR, eux, maintiennent toujours leur port 43.

Testez vos connaissances

Questions fréquentes

WHOIS et GeoIP me donnent deux pays différents, lequel croire ?

Aucun des deux ne ment, ils décrivent autre chose. Le WHOIS dit à qui le bloc a été alloué, souvent le siège social du titulaire ; GeoIP estime où le trafic sort. Cherchez un geofeed publié par le titulaire, référencé dans l’objet inetnum : quand il existe, il fait autorité sur les deux. À défaut, le PTR du dernier saut de traceroute départage bien mieux qu’une base commerciale.

Peut-on retrouver l’adresse postale de quelqu’un à partir de son IP ?

Non. Le WHOIS rend l’adresse de l’opérateur, pas celle de l’abonné, et GeoIP donne au mieux une estimation à l’échelle de la ville. Seul le fournisseur d’accès peut relier une adresse à un client, et il lui faut l’horodatage précis, plus le port source si l’abonné passe par du CGNAT. Sans le port source, l’opérateur lui-même ne sait pas répondre.

Le WHOIS d’un domaine indique-t-il où est hébergé le site ?

Non, ce sont deux registres sans rapport. Le WHOIS de domaine décrit le titulaire administratif et le bureau d’enregistrement. Pour l’hébergement, résolvez d’abord l’enregistrement A ou AAAA, puis faites le WHOIS et le GeoIP de l’adresse obtenue. Attention si le domaine est derrière un CDN : vous géolocaliserez le point de présence du CDN, pas le serveur d’origine.

La base gratuite GeoLite2 suffit-elle ?

Pour du pays, en général oui. Elle demande un compte MaxMind et une clé de licence depuis le 30 décembre 2019, se met à jour deux fois par semaine, et sa précision ville est en retrait de l’offre payante. Pour de l’antifraude qui décide au niveau ville ou qui a besoin d’un ASN à jour, la version commerciale ou un second fournisseur en recoupement se justifient.

Pourquoi mes visiteurs français apparaissent-ils tous au même endroit ?

Vous géolocalisez probablement votre propre proxy. Derrière un CDN ou un reverse proxy, l’adresse vue par l’application est celle du frontal ; l’adresse réelle est dans X-Forwarded-For, ou CF-Connecting-IP derrière Cloudflare. Vérifiez que votre serveur lit le bon en-tête et que la liste des proxys de confiance est renseignée, sinon un attaquant peut aussi forger cet en-tête.

À lire aussi

asn · cidr · anycast · bgp