Quand une adresse IP suspecte apparaît dans vos logs, la première question qui vient est simple : à qui appartient cette machine ? Le registre WHOIS répond à cette interrogation depuis les années 1980, mais la lecture d’un enregistrement moderne va bien au-delà d’un simple nom de propriétaire. Deux notions concentrent aujourd’hui l’essentiel de la valeur pratique : le contact abuse, qui désigne le responsable désigné pour traiter les signalements d’abus, et la plage CIDR, qui délimite précisément le bloc d’adresses IP associé à une organisation.
Ces informations sont devenues des outils quotidiens pour les équipes de sécurité, les administrateurs réseau et même les particuliers confrontés à du spam persistant ou à des tentatives d’intrusion. Ignorer leur fonctionnement, c’est se priver d’un levier d’action concret et souvent rapide.
Les chiffres qui alertent
En 2026, les attaques réseau restent massives. D’après les données consolidées des principaux CERT européens, plus de 4,2 milliards d’adresses IPv4 font l’objet d’au moins une tentative de scan malveillant par mois. Les abus signalés via les contacts abuse des registres régionaux (RIPE NCC pour l’Europe, ARIN pour l’Amérique du Nord) ont progressé de 34 % entre 2023 et 2025.
Côté CIDR, la fragmentation des plages d’adresses s’est accélérée avec la pénurie d’IPv4 : on recense désormais plus de 900 000 préfixes annoncés dans la table de routage globale BGP, contre 650 000 en 2019. Chaque préfixe représente un bloc alloué à une entité spécifique, et comprendre sa notation est indispensable pour interpréter correctement un résultat WHOIS.
Pourquoi ça vous concerne directement
Un particulier recevant des tentatives de connexion répétées sur sa box peut identifier l’hébergeur responsable et lui adresser un signalement formel en moins de dix minutes. Un responsable informatique en entreprise peut bloquer un bloc entier d’adresses malveillantes dès qu’il comprend la logique CIDR. Un webmaster peut protéger son formulaire contre un spam organisé provenant d’un seul opérateur.
Dans tous ces cas, WHOIS est le point de départ. Savoir lire un contact abuse et interpréter une notation CIDR, c’est transformer une information brute en action concrète.
Qu’est-ce que le contact abuse et la plage CIDR exactement ?
Le protocole WHOIS existe depuis 1982. À l’origine conçu par Elizabeth Feinler au SRI International, il permettait de retrouver les coordonnées des responsables de machines connectées à ARPANET. Sa structure a évolué considérablement, mais son principe reste identique : fournir des informations d’enregistrement sur des ressources réseau (adresses IP, noms de domaine, numéros d’AS).
Le contact abuse est un champ spécifique de l’enregistrement WHOIS. Il contient l’adresse e-mail (et parfois un numéro de téléphone) du service désigné par l’opérateur pour recevoir les signalements d’usage abusif de ses ressources IP. Ce n’est pas le contact technique général ni le contact administratif : c’est le canal dédié aux plaintes relatives au spam, aux attaques DDoS, aux scans malveillants ou aux activités illicites hébergées sur l’infrastructure concernée.
La plage CIDR (Classless Inter-Domain Routing) désigne un bloc d’adresses IP représenté sous la forme d’une adresse de base suivie d’un préfixe numérique, par exemple 185.220.100.0/24. Ce préfixe indique combien de bits sont fixes dans l’adresse réseau. Un /24 couvre 256 adresses, un /16 en couvre 65 536, un /8 en couvre plus de 16 millions. Cette notation remplace depuis 1993 l’ancien système de classes A, B, C qui gaspillait des blocs d’adresses entiers.
Les mécanismes cachés
Ce que la plupart des gens ignorent, c’est qu’un enregistrement WHOIS peut contenir plusieurs niveaux d’information sur une même adresse IP. Il y a d’abord l’allocation du registre régional (RIR) vers l’opérateur, puis souvent une sous-allocation de cet opérateur vers un client. Un hébergeur peut allouer un /27 (32 adresses) à un client professionnel tout en gérant lui-même un /19 (8 192 adresses). La plage CIDR visible dans WHOIS correspond à l’allocation la plus spécifique disponible.
Le contact abuse, lui, suit une logique similaire. Si un client abusif opère sur une sous-allocation, le contact abuse de l’hébergeur reste souvent le point d’entrée, car c’est lui qui contractuellement contrôle son client.
Les acteurs principaux
Cinq registres régionaux (RIR) se partagent la gestion mondiale des adresses IP :
RIPE NCC : Europe, Moyen-Orient, Asie centrale
ARIN : Amérique du Nord
APNIC : Asie-Pacifique
LACNIC : Amérique latine et Caraïbes
AFRINIC : Afrique
En France, la quasi-totalité des adresses IP est donc enregistrée auprès du RIPE NCC. Les opérateurs comme Orange, Free, SFR, OVHcloud ou Scaleway y déclarent leurs allocations et maintiennent leurs contacts abuse.
Les impacts concrets en 2026
La théorie mis à part, voilà ce que ces notions changent dans la réalité quotidienne.
Pour les particuliers
Imaginez recevoir chaque jour des dizaines de tentatives de connexion SSH sur votre NAS depuis le même sous-réseau. Une recherche WHOIS sur l’une de ces adresses vous indique immédiatement la plage CIDR complète concernée et le contact abuse de l’hébergeur. Vous pouvez alors bloquer l’ensemble du bloc sur votre pare-feu et envoyer un signalement documenté. Sans cette information, vous seriez réduit à bloquer adresse par adresse, sans fin.
Les utilisateurs de messagerie confrontés à du spam persistant utilisent de plus en plus les données WHOIS pour identifier les opérateurs complaisants et les signaler aux listes noires comme Spamhaus ou SURBL, qui opèrent largement en croisant des signalements abuse.
Pour les entreprises
Les équipes SOC (Security Operations Center) intègrent systématiquement les lookups WHOIS dans leurs playbooks de réponse à incident. Quand une alerte se déclenche sur une connexion suspecte, l’opérateur vérifie automatiquement la plage CIDR source pour déterminer s’il s’agit d’un cloud provider légitime, d’un hébergeur connu pour ses pratiques laxistes, ou d’un opérateur associé à des pays sous surveillance.
Des outils comme AbuseIPDB, GreyNoise ou Shodan croisent constamment ces données WHOIS avec des flux de threat intelligence. Une PME peut ainsi configurer son pare-feu pour bloquer automatiquement des plages CIDR entières associées à des comportements malveillants documentés.
Les risques juridiques
Côté légal, la question est moins évidente qu’il n’y paraît. En France, depuis la transposition de la directive NIS2 en 2024, les opérateurs d’importance vitale (OIV) et les entités essentielles ont l’obligation légale de maintenir un contact abuse fonctionnel et réactif. Un contact abuse injoignable ou silencieux peut constituer un manquement aux obligations de sécurité.
Pour les entreprises victimes d’attaques, les données WHOIS constituent souvent une pièce essentielle du dossier de plainte. Identifier précisément l’opérateur responsable d’une infrastructure utilisée pour une attaque permet d’engager sa responsabilité civile, notamment si le contact abuse a été notifié sans réaction dans un délai raisonnable.
Comment ça fonctionne techniquement
Décortiquons le processus de A à Z, sans jargon inutile.
Étape 1 : La requête WHOIS et la lecture de l’enregistrement
Quand vous saisissez une adresse IP sur un outil comme whoisip.fr, la requête est transmise au serveur WHOIS du registre régional compétent. Pour une IP française, ce sera généralement le serveur RIPE NCC à l’adresse whois.ripe.net.
La réponse contient plusieurs blocs d’information. Le plus important est l’objet inetnum (pour IPv4) ou inet6num (pour IPv6), qui délimite la plage allouée. Vient ensuite le bloc route, qui correspond à la plage CIDR effectivement annoncée dans le routage BGP. Ces deux informations ne coïncident pas toujours : un opérateur peut avoir reçu une allocation plus large qu’il n’en annonce réellement.
Le champ abuse-mailbox dans l’objet role associé à l’organisation est le contact abuse. Il peut figurer directement dans l’enregistrement ou être accessible via un objet référencé par le champ abuse-c.
Étape 2 : Interpréter la notation CIDR et agir
Prenons un exemple concret. L’adresse 51.68.45.12 appartient à OVHcloud. Le WHOIS indique la plage 51.68.0.0/16, soit 65 536 adresses. Le contact abuse est abuse@ovhcloud.com.
Pour calculer l’étendue d’un bloc CIDR sans calculatrice :
Soustraire le préfixe de 32 (pour IPv4) : 32 – 16 = 16
Élever 2 à cette puissance : 2^16 = 65 536 adresses
L’adresse de début est la première adresse du bloc (bits hôtes à 0)
L’adresse de fin est la dernière (bits hôtes à 1)
Pour un signalement efficace, incluez dans votre message au contact abuse : la date et l’heure des incidents (avec fuseau horaire), les adresses IP sources, les ports et protocoles utilisés, et si possible des extraits de logs bruts. Un signalement vague sera ignoré ; un signalement précis sera traité.
Les failles de sécurité
Le système WHOIS présente des vulnérabilités connues. La première est l’obsolescence des enregistrements : certaines organisations ne mettent pas à jour leurs contacts abuse pendant des années. Le RIPE NCC a lancé en 2023 une campagne de nettoyage qui a abouti à la suppression ou la correction de plus de 180 000 objets invalides, mais le problème persiste.
La deuxième faille est le hijacking de préfixes BGP. Un acteur malveillant peut annoncer une plage CIDR légitime depuis son propre AS, détournant temporairement le trafic. Dans ce cas, le WHOIS pointe vers le propriétaire légitime tandis que le trafic est réellement traité par un tiers. Des mécanismes comme RPKI (Resource Public Key Infrastructure) visent à sécuriser ces annonces, avec un taux d’adoption en Europe qui dépasse désormais 60 % selon les statistiques RIPE NCC 2026.
Solutions et bonnes pratiques
Voici comment passer de la connaissance à l’action.
Protection immédiate (3 étapes)
Identifiez la plage CIDR complète avant de bloquer. Bloquer une seule IP n’a généralement aucun effet si l’attaquant contrôle un bloc entier. Utilisez un outil WHOIS pour obtenir la plage complète, puis bloquez-la au niveau de votre pare-feu ou de votre fichier .htaccess.
Signalez au contact abuse avec un dossier complet. Un signalement bien documenté peut aboutir à la suspension du compte malveillant chez l’hébergeur, protégeant ainsi d’autres cibles potentielles. Conservez une copie de votre signalement et notez la date d’envoi.
Croisez avec les bases de réputation. Avant de bloquer massivement, vérifiez sur AbuseIPDB ou GreyNoise si la plage en question est effectivement connue pour des comportements malveillants, ou s’il pourrait s’agir d’un faux positif (certains scanners de sécurité légitimes opèrent depuis des plages qui semblent suspectes).
Outils et services pros
Pour une consultation ponctuelle, whoisip.fr offre une lecture claire et structurée des données WHOIS, avec extraction automatique du contact abuse et de la plage CIDR. C’est le point de départ le plus simple pour un particulier ou une PME.
Pour des besoins récurrents ou automatisés, plusieurs solutions complémentaires existent :
AbuseIPDB : base collaborative de signalements d’adresses malveillantes, consultable via API
Whois XML API : accès programmatique aux données WHOIS pour intégration dans des outils de sécurité
Team Cymru IP to ASN : mapping rapide d’une IP vers son numéro d’AS et sa plage CIDR
BGPView : visualisation des annonces BGP et des allocations CIDR en temps réel
Fail2ban + WHOIS : combinaison classique pour bannir automatiquement les plages sources d’attaques répétées sur les serveurs Linux
Pour les entreprises disposant d’un SIEM, l’enrichissement automatique des alertes avec des données WHOIS (plage CIDR, organisation, pays, contact abuse) réduit significativement le temps de qualification des incidents.
Checklist de vérification
Avant d’agir sur une adresse IP suspecte, validez ces points :
L’IP est-elle dans une plage CIDR connue pour des abus documentés ?
Le contact abuse de l’enregistrement WHOIS est-il actif et joignable ?
S’agit-il d’une allocation directe ou d’une sous-allocation à un client de l’opérateur ?
La plage CIDR est-elle annoncée par l’AS déclaré (vérification anti-hijacking) ?
Avez-vous vérifié sur AbuseIPDB que l’IP n’est pas un scanner de sécurité légitime ?
Votre signalement abuse contient-il toutes les informations techniques nécessaires ?
Avez-vous conservé une trace horodatée de votre démarche ?
FAQ : Toutes vos questions
Le contact abuse est-il obligatoire dans un enregistrement WHOIS ?
Pour les membres du RIPE NCC (les opérateurs européens), oui. Depuis 2011, le RIPE NCC exige que chaque objet inetnum soit associé à un contact abuse valide via le champ abuse-c. En pratique, des enregistrements anciens ou mal maintenus peuvent ne pas respecter cette exigence. Le RIPE NCC effectue des vérifications périodiques et peut suspendre les allocations non conformes.
Que faire si le contact abuse ne répond pas à mon signalement ?
Si l’opérateur ne réagit pas sous 7 à 10 jours ouvrés, plusieurs recours existent. Vous pouvez signaler l’inactivité du contact abuse directement au RIPE NCC via leur portail de gestion des abus. Vous pouvez aussi publier un rapport sur AbuseIPDB, qui agrège les signalements non traités et les rend visibles aux administrateurs réseau du monde entier. Pour les cas graves, un dépôt de plainte auprès de l’ANSSI ou de la CNIL peut être envisagé si des données personnelles sont impliquées.
Quelle différence entre une plage CIDR et un numéro d’AS ?
Ce sont deux niveaux d’information complémentaires. La plage CIDR (ou préfixe IP) désigne un bloc d’adresses alloué à une organisation. Le numéro d’AS (Autonomous System) identifie l’entité réseau qui annonce et gère ce bloc dans le protocole BGP. Un opérateur peut avoir un seul AS et plusieurs plages CIDR, ou inversement sous-traiter l’annonce de ses préfixes à un AS tiers. Dans WHOIS, le champ route lie une plage CIDR à l’AS qui l’annonce.
Peut-on bloquer une plage CIDR entière sans risque de faux positifs ?
Cela dépend de la granularité du bloc. Bloquer un /32 (une seule IP) est sans risque. Bloquer un /24 (256 IP) est généralement acceptable. Bloquer un /16 ou plus large peut impacter des utilisateurs légitimes partageant la même infrastructure, notamment dans le cas des grands clouds comme AWS, Azure ou OVHcloud qui hébergent à la fois des acteurs malveillants et des milliers de clients normaux. La recommandation est de commencer par les blocs les plus spécifiques et d’élargir seulement si l’activité malveillante persiste.
Les données WHOIS sont-elles fiables en 2026 ?
Partiellement. Pour les allocations IPv4 récentes et les membres actifs des RIR, les données sont généralement à jour. La situation se complique avec les anciens blocs IPv4, parfois transférés plusieurs fois depuis la pénurie d’adresses, et avec certaines régions où la discipline d’enregistrement reste faible. Pour les adresses IPv6, les enregistrements sont globalement plus propres car les allocations sont récentes. Une bonne pratique consiste à croiser les données WHOIS avec BGPView pour vérifier que l’AS déclaré correspond bien à celui qui annonce réellement le préfixe.
Agissez maintenant
Trois points à retenir de cet article.
Premièrement, le contact abuse n’est pas qu’un champ administratif : c’est votre levier d’action direct contre les abus réseau. Un signalement bien rédigé, envoyé au bon interlocuteur, peut aboutir à la suspension d’un acteur malveillant en 24 à 48 heures.
Deuxièmement, comprendre la notation CIDR vous permet de passer d’une approche IP par IP à une gestion par blocs, ce qui est la seule façon efficace de traiter les attaques organisées et les campagnes de spam structurées.
Troisièmement, ces outils sont accessibles à tous, sans compétences réseau avancées, dès lors qu’on sait où chercher l’information et comment la lire.
Pour toute adresse IP suspecte, commencez par une recherche WHOIS sur whoisip.fr : vous obtenez en quelques secondes la plage CIDR, l’organisation responsable et le contact abuse opérationnel.
À l’horizon 2027, l’adoption massive de l’IPv6 et le déploiement généralisé de RPKI vont modifier la manière dont ces informations sont structurées et consultées. Les outils WHOIS évolueront, mais la logique restera identique : identifier, localiser, signaler. Ceux qui maîtrisent ces mécanismes aujourd’hui seront les mieux armés pour naviguer dans le paysage réseau de demain.
