Le WHOIS est né en 1982, à une époque où l’Internet tenait dans un annuaire et où personne n’imaginait qu’un nom, une adresse postale et un numéro de téléphone puissent finir dans les mains de démarcheurs ou de fraudeurs. Quarante ans plus tard, ce protocole existe toujours, mais il a perdu son rôle de vitrine publique. Depuis l’entrée en application du RGPD en mai 2018, la plupart des données personnelles des titulaires de noms de domaine sont masquées. L’annuaire ouvert à tous est devenu un guichet à accès contrôlé.
En 2026, la question n’est plus de savoir si le WHOIS survit, mais sous quelle forme. Depuis le 28 janvier 2025, l’ICANN n’exige plus des registres de domaines génériques (.com, .net, .org et leurs cousins) qu’ils maintiennent un service WHOIS classique sur le port 43. Le protocole RDAP, plus moderne, est devenu le canal officiel. Pourtant, le mot « WHOIS » reste dans le langage courant, dans les outils et dans les réflexes des professionnels.
Le sujet est sensible parce qu’il oppose deux exigences légitimes : la transparence nécessaire à la lutte contre la fraude et la cybercriminalité, et le droit des personnes à protéger leurs données. Le débat est loin d’être clos, puisque le système d’accès aux données non publiques mis en place par l’ICANN a été prolongé jusqu’en décembre 2027.
Les chiffres qui alertent
Plus de 360 millions de noms de domaine sont enregistrés dans le monde, dont environ 4 millions en .fr : autant de fiches d’identité potentielles.
Selon plusieurs observateurs du secteur, le volume de requêtes RDAP a dépassé celui des requêtes WHOIS pour la première fois en juin 2025.
En janvier 2026, l’ICANN a retiré son accréditation à un bureau d’enregistrement qui n’avait pas déployé le RDAP, ce qui prouve que la migration n’a rien de facultatif.
Une violation du RGPD peut coûter jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel.
Pourquoi ça vous concerne directement
Si vous possédez un site, même modeste, votre nom figure quelque part dans une base d’enregistrement. Selon l’extension choisie, le prestataire retenu et vos réglages, ces informations sont soit protégées, soit exposées. Une erreur de paramétrage suffit pour que votre adresse personnelle apparaisse dans un annuaire que consultent des robots toute la journée.
Qu’est-ce que le WHOIS exactement ?
Le WHOIS est un protocole de requête et de réponse, décrit à l’origine dans la RFC 954 puis révisé dans la RFC 3912. Il permet d’interroger une base de données pour savoir qui est derrière un nom de domaine ou une adresse IP : titulaire, bureau d’enregistrement, dates de création et d’expiration, serveurs de noms, statuts techniques. La réponse arrive sous forme de texte brut, sans structure imposée. Chaque registre formate les champs à sa façon, ce qui complique tout traitement automatique.
Jusqu’en 2018, ces données étaient publiques par défaut. Le RGPD a changé la donne : l’ICANN a imposé une politique temporaire qui masque les données personnelles dans les réponses publiques. Les professionnels ont parlé de « WHOIS blackout ». Le RDAP, standardisé en 2015 puis consolidé dans les RFC 9082 et 9083, a pris le relais avec des réponses au format JSON et des droits d’accès différenciés.
Les mécanismes cachés
Derrière une simple requête se cachent plusieurs couches. Pour un .com, par exemple, les informations sont réparties entre le registre, qui détient les données techniques, et le bureau d’enregistrement, qui garde les coordonnées du client. La rédaction (le masquage) peut donc intervenir à deux niveaux. S’ajoutent les services de confidentialité proposés par les hébergeurs, qui remplacent vos coordonnées par celles d’un mandataire.
Autre mécanisme peu connu : la politique de données d’enregistrement de l’ICANN impose une conservation des données pendant une durée minimale de deux ans après la fin du contrat. Masquer une donnée ne signifie donc pas la supprimer.
Les acteurs principaux
L’ICANN, qui fixe les règles pour les extensions génériques.
Les registres, comme Verisign pour le .com, et l’Afnic pour le .fr.
Les bureaux d’enregistrement (registrars), qui détiennent la relation avec vous.
Les autorités de protection des données, dont la CNIL en France.
Les demandeurs légitimes : avocats de marques, équipes de cybersécurité, forces de l’ordre.
Les impacts concrets en 2026
Le premier effet visible tient en une phrase : les fiches sont plus sobres, mais le volume de demandes d’accès a explosé. Les ayants droit se tournent vers le RDRS, le service de demande d’accès aux données d’enregistrement de l’ICANN, avec des délais de réponse qui varient fortement d’un bureau d’enregistrement à l’autre. En parallèle, la directive européenne NIS2 impose aux registres et aux bureaux d’enregistrement de collecter des données exactes et de les communiquer aux demandeurs légitimes, ce qui crée une tension permanente avec le RGPD.
Pour les particuliers
Pour une personne physique qui détient un .fr, la protection est la règle depuis plusieurs années : l’Afnic masque par défaut les données des particuliers. Pour un .com ou un .shop, tout dépend du bureau d’enregistrement. Un blogueur qui a laissé son adresse personnelle dans ses coordonnées ne verra pas toujours l’information disparaître d’elle-même. Vérifier sa propre fiche prend deux minutes et évite bien des désagréments, du démarchage commercial aux tentatives d’hameçonnage ciblées.
Pour les entreprises
Pour une société, l’équation est différente. Les données des personnes morales ne sont pas couvertes par le RGPD, mais elles restent liées à des personnes physiques dès qu’un nom de dirigeant ou une adresse e-mail nominative est renseigné. Une PME française qui enregistre ses domaines avec l’e-mail personnel de son gérant prend un risque inutile. Les grandes marques, elles, surveillent le RDAP pour repérer les enregistrements frauduleux (typosquatting, faux sites de paiement) et ont besoin d’identifier rapidement le titulaire.
Les risques juridiques
Un registrar qui publie des données personnelles sans base légale s’expose à une sanction de l’autorité de contrôle. Inversement, un titulaire qui fournit de fausses informations risque la suspension de son nom de domaine pour données inexactes, un point que NIS2 rend plus sérieux. En France, la CNIL peut être saisie en cas d’exposition injustifiée, et les titulaires de marques disposent des procédures de résolution de litiges (UDRP, Syreli pour le .fr) pour obtenir la levée de l’anonymat dans les cas de contrefaçon.
Comment ça fonctionne techniquement
Imaginez un standard téléphonique d’entreprise. Autrefois, quiconque appelait obtenait directement le nom et le numéro de l’employé recherché. Désormais, le standard filtre : il donne le service, vérifie qui appelle et pourquoi, puis transmet ou non les coordonnées personnelles. Le RDAP joue ce rôle de standard intelligent.
Étape 1 : La requête
Vous saisissez un nom de domaine dans un outil de recherche. Le client RDAP consulte d’abord le fichier d’amorçage de l’IANA, qui indique quel serveur est compétent pour l’extension demandée. Il envoie ensuite une requête HTTPS classique, par exemple vers une URL de type /domain/exemple.com. Le WHOIS historique, lui, ouvrait une connexion TCP sur le port 43 sans chiffrement.
Étape 2 : La réponse filtrée
Le serveur renvoie un document JSON structuré : statuts, événements (création, expiration), serveurs de noms, entités liées. Les champs personnels sont soit absents, soit remplacés par une mention de rédaction. Un utilisateur authentifié et reconnu comme légitime peut, selon les politiques en vigueur, obtenir davantage de détails. Cette gradation, impossible dans l’ancien protocole, est la raison d’être du RDAP.
Les failles de sécurité
Les anciens serveurs WHOIS toujours actifs, sans chiffrement ni contrôle d’accès, et parfois mal configurés.
L’aspiration massive de données par des robots lorsque la limitation de débit est insuffisante.
Les fiches d’archives conservées par des sites tiers, qui continuent d’afficher d’anciennes coordonnées.
L’ingénierie sociale : un attaquant utilise les données visibles pour usurper votre identité auprès de votre registrar et tenter un transfert de domaine.
Solutions et bonnes pratiques
La bonne nouvelle, c’est qu’une grande partie de la protection se règle en quelques minutes. Le reste relève de la discipline : choisir un prestataire sérieux, documenter ses pratiques et vérifier régulièrement ce qui est exposé.
Protection immédiate (3 étapes)
Interrogez votre domaine avec un outil RDAP et notez quelles informations apparaissent publiquement.
Activez dans l’espace client de votre registrar l’option de confidentialité ou de masquage, si elle n’est pas déjà active.
Remplacez les coordonnées personnelles par une adresse e-mail dédiée (par exemple domaines@votre-entreprise.fr) et un numéro professionnel.
Outils et services pros
Les clients RDAP en ligne et les interfaces de consultation, pour comparer ce que voit le public.
Le service RDRS de l’ICANN, pour les demandes d’accès à des données non publiques.
La console de votre bureau d’enregistrement, pour activer le verrouillage de transfert (clientTransferProhibited).
Les services de veille de marque et de surveillance de noms de domaine pour les entreprises exposées au typosquatting.
La double authentification sur le compte registrar, indispensable pour éviter le détournement.
Checklist de vérification
Mes coordonnées personnelles sont-elles absentes de la réponse publique ?
L’adresse e-mail de contact est-elle surveillée et fonctionnelle ?
Le verrouillage de transfert est-il actif ?
Mon compte registrar est-il protégé par une double authentification ?
Mes domaines expirent-ils tous à des dates connues et renouvelables automatiquement ?
Ai-je documenté qui, dans l’entreprise, est responsable des noms de domaine ?
FAQ : Toutes vos questions
Le WHOIS existe-t-il encore en 2026 ? Oui, mais son rôle diminue. Pour les extensions génériques, le RDAP est le seul protocole obligatoire depuis 2025. Le WHOIS survit surtout chez certains registres nationaux et dans le langage courant.
Mes données sont-elles totalement invisibles ? Pas nécessairement. Le masquage dépend de l’extension, de votre registrar et de vos réglages. Seule une vérification manuelle permet d’en être sûr.
Le RGPD interdit-il toute publication de données de domaine ? Non. Il interdit la diffusion de données personnelles sans base légale. Les données techniques et celles des personnes morales restent publiables dans de nombreux cas, avec des nuances si un nom de personne est présent.
Qui peut obtenir mes données masquées ? Les demandeurs légitimes, après examen : forces de l’ordre, titulaires de droits, équipes de sécurité, via les procédures des registrars, le RDRS ou une décision de justice.
Quelle différence entre WHOIS et RDAP ? Le WHOIS renvoie du texte brut sans contrôle d’accès fin. Le RDAP renvoie du JSON structuré via HTTPS et permet de moduler les informations affichées selon le profil du demandeur.
Agissez maintenant
Trois idées à retenir :
Le WHOIS n’a pas disparu, il s’est effacé derrière le RDAP, plus respectueux de la vie privée.
Le RGPD protège les particuliers, mais ne vous dispense pas de vérifier vos propres réglages.
Un compte registrar protégé et des coordonnées dédiées valent mieux que n’importe quel correctif a posteriori.
Prenez dix minutes aujourd’hui : interrogez vos noms de domaine sur WhoisIP.fr et contrôlez ce que le public peut lire sur vous. Si une information personnelle apparaît, corrigez-la dès ce soir.
Côté 2027, la prolongation du RDRS jusqu’en décembre 2027 laisse prévoir un système d’accès unifié, probablement influencé par NIS2. Les registres nationaux devraient poursuivre leur alignement sur le RDAP. Mieux vaut s’y préparer dès maintenant que subir la bascule.
Meta title : WHOIS RGPD 2026 : Guide complet + solutions
Meta description : WHOIS, RDAP et RGPD en 2026 : ce qui change pour vos données de domaine, les risques juridiques et étapes concrètes pour protéger votre identité en ligne.
Remarque : les chiffres sur le nombre de domaines (360 millions, 4 millions en .fr) sont des ordres de grandeur. Vérifiez-les auprès de Verisign et de l’Afnic avant publication.
