En 2026, le système d’information sur les enregistrements de noms de domaine a connu un basculement historique. Le 28 janvier 2025, l’ICANN a officiellement mis fin à l’obligation pour les registres et bureaux d’enregistrement de maintenir le protocole WHOIS historique sur les generic top-level domains (gTLD). Le Registration Data Access Protocol (RDAP) est devenu la source définitive et obligatoire pour accéder aux données d’enregistrement des domaines comme .com, .net ou .org. Cette évolution répond à des exigences de sécurité, de respect de la vie privée et de structuration des données qui n’étaient plus tenables avec l’ancien système textuel non chiffré.
Le sujet est crucial car les données WHOIS/RDAP restent au cœur de nombreuses activités : cybersécurité (identification de domaines malveillants), protection des marques (détection de cybersquatting), enquêtes judiciaires, due diligence commerciale et simple curiosité légitime. En France, la distinction entre les gTLD et le .fr géré par l’AFNIC ajoute une couche de complexité réglementaire. Les particuliers comme les entreprises doivent comprendre ce qui est visible publiquement, comment y accéder légalement et comment protéger leurs propres informations.
Concrètement, si vous possédez un domaine, gérez un site ou menez des investigations en ligne, ces changements impactent directement votre quotidien. Ignorer la transition expose à des données exposées inutilement, à des difficultés pour identifier des fraudeurs ou à des risques de non-conformité RGPD lorsque vous traitez des informations issues de lookups.
Les chiffres qui alertent
Le 28 janvier 2025 marque la fin de l’obligation contractuelle de fournir un service WHOIS (port 43) pour la plupart des gTLD.
En février 2025, 74 registres gTLD ont fermé leur service WHOIS dans le mois suivant le sunset.
En septembre 2025, 374 gTLD ne proposaient plus de WHOIS traditionnel.
Dès juin 2025, le volume de requêtes RDAP a dépassé celui des requêtes WHOIS historiques.
En 2026, le parc mondial de noms de domaine dépasse largement les 400 millions d’enregistrements, avec une croissance continue des nouvelles extensions et du .fr (environ +2 % par an selon les observatoires AFNIC).
Ces chiffres traduisent une adoption rapide mais aussi une période de transition où de nombreux outils et scripts legacy deviennent obsolètes ou incomplets.
Pourquoi ça vous concerne directement
Que vous soyez un particulier avec un blog ou un site vitrine, un entrepreneur gérant plusieurs domaines ou un professionnel de la cybersécurité, la maîtrise du WHOIS/RDAP en 2026 est indispensable. Pour un particulier, cela signifie protéger son identité contre le spam, le phishing ciblé ou le doxxing. Pour une entreprise, cela implique de surveiller efficacement son portefeuille de domaines, de mener des due diligences fiables avant un rachat ou un partenariat, et de garantir la conformité lorsque des données personnelles sont traitées. Les forces de l’ordre et les équipes juridiques doivent par ailleurs connaître les canaux d’accès légitimes aux données non publiques. Enfin, tout utilisateur d’Internet bénéficie indirectement d’un écosystème plus sécurisé et respectueux de la vie privée lorsque les données sont correctement gérées.
Qu’est-ce que WHOIS exactement ?
Le WHOIS désigne à la fois un protocole historique (défini notamment dans la RFC 3912) et le système de bases de données qui permettait de rechercher les informations d’enregistrement associées à un nom de domaine ou à une adresse IP : identité du titulaire, contacts administratifs et techniques, dates de création et d’expiration, serveurs de noms, statut du domaine, etc. À l’origine, ces données étaient largement publiques et non structurées.
Historiquement, le système remonte aux années 1980 sur l’ARPANET. Il a été standardisé puis confié à l’ICANN à partir de 1998. Pendant des décennies, les données étaient publiées de manière exhaustive (« thick WHOIS »). L’arrivée du RGPD en 2018 a imposé une vaste redaction des données personnelles des personnes physiques sur la plupart des extensions. En 2025, la transition vers RDAP (RFC 9082 et 9083) a marqué une rupture technologique majeure pour les gTLD : passage au format JSON structuré, transport HTTPS chiffré, support natif des noms de domaine internationalisés (IDN), découverte automatique des serveurs et possibilité d’accès différencié selon le profil de l’utilisateur.
Les mécanismes cachés
Les données sont collectées par le bureau d’enregistrement (registrar) lors de la création du domaine, puis transmises au registre (registry). Ce dernier les rend disponibles via un serveur WHOIS ou RDAP. Depuis les politiques ICANN (Temporary Specification puis Registration Data Policy), les informations personnelles des titulaires personnes physiques sont redactées par défaut. Elles sont remplacées par des mentions standardisées du type « REDACTED FOR PRIVACY » ou par les coordonnées du service de protection proposé par le registrar. Les données techniques (serveurs DNS, statut, registrar, dates) restent généralement publiques. Le RDAP ajoute une couche de métadonnées et de liens permettant une navigation structurée entre les objets (domaine, entité, serveur de noms).
Les acteurs principaux
ICANN : supervise les politiques contractuelles pour les gTLD et a piloté la transition RDAP.
Registries : gèrent le registre central d’une extension (Verisign pour .com/.net, AFNIC pour .fr, etc.).
Registrars : vendent les domaines aux utilisateurs finaux et collectent les données (OVH, Namecheap, GoDaddy, Gandi…).
RIR (RIPE NCC en Europe notamment) : gèrent les WHOIS/RDAP pour les adresses IP et numéros d’AS.
Utilisateurs : particuliers, entreprises, chercheurs en cybersécurité, titulaires de marques, forces de l’ordre et prestataires de services de protection.
Les impacts concrets en 2026
La transition vers RDAP renforce la sécurité des échanges et la protection de la vie privée, mais elle complexifie certains usages historiques. Les lookups manuels rapides via clients texte legacy fonctionnent moins bien sur les gTLD. Les outils doivent évoluer. En France, la coexistence des règles gTLD et des règles spécifiques AFNIC pour le .fr crée deux réalités distinctes.
Pour les particuliers
L’avantage principal est une protection renforcée de la vie privée. Vos nom, prénom, adresse postale, téléphone et email ne sont plus exposés publiquement sur la grande majorité des domaines. Cela réduit significativement le spam, les appels indésirables et les risques d’usurpation d’identité. En contrepartie, contacter le titulaire d’un domaine (pour une proposition d’achat, un signalement d’abus ou une simple question) devient plus difficile : il faut souvent passer par un formulaire chez le registrar. Vérifiez régulièrement ce qui apparaît réellement sur vos propres domaines.
Pour les entreprises
Sur les gTLD, les données des personnes morales sont souvent redactées par défaut, sauf si le titulaire choisit de les publier. Sur le .fr, les informations des organisations (raison sociale, adresse, SIRET dans certains cas) restent généralement visibles pour des raisons de transparence et de contrôle d’éligibilité. Les entreprises doivent donc adapter leur stratégie de veille : les recherches manuelles WHOIS ne suffisent plus pour détecter efficacement les domaines similaires ou les tentatives de cybersquatting. Des outils de surveillance automatisée intégrant RDAP deviennent indispensables. La due diligence avant rachat de domaine ou conclusion de partenariat nécessite désormais des sources croisées (RDAP + historique DNS + autres signaux).
Les risques juridiques
Le RGPD s’applique pleinement aux données issues des lookups WHOIS/RDAP. Même lorsque les informations sont publiquement accessibles, leur collecte massive, leur stockage ou leur réutilisation à des fins marketing sans base légale valide expose à des amendes de la CNIL. Pour les domaines .fr, l’AFNIC impose des règles strictes d’exactitude des données et d’éligibilité ; un manquement peut entraîner la suspension ou la suppression du nom de domaine. Les entreprises qui exploitent des bases de données WHOIS doivent documenter leurs traitements et garantir la minimisation des données. Enfin, l’utilisation de données inexactes ou la diffusion d’informations sensibles peut engager la responsabilité civile ou pénale.
Comment ça fonctionne techniquement
En 2026, la majorité des requêtes sur les gTLD passent par RDAP, tandis que le WHOIS textuel legacy persiste principalement sur certains ccTLD comme le .fr et dans des outils non encore migrés. L’analogie la plus simple : le WHOIS historique ressemblait à un annuaire téléphonique papier ouvert à tous ; RDAP est une API web sécurisée, structurée et dotée de filtres de confidentialité intelligents.
Étape 1 : Découverte du serveur et soumission de la requête
Avec RDAP, le client commence par interroger le service de bootstrap IANA (généralement via https://rdap.org ou le fichier bootstrap officiel) pour obtenir l’URL du serveur RDAP compétent pour l’extension concernée. Il envoie ensuite une requête HTTPS GET simple du type https://rdap.verisign.com/com/v1/domain/exemple.com. Le serveur répond en JSON structuré. Pour le WHOIS legacy (encore utile sur .fr), on ouvre une connexion TCP sur le port 43 et on envoie simplement le nom de domaine suivi d’un retour chariot.
Étape 2 : Traitement, redaction et réponse
Le serveur applique les politiques de publication en vigueur. Les champs contenant des données personnelles de personnes physiques sont redactés (le JSON RDAP utilise un mécanisme standardisé de redaction avec motif). Les données techniques restent accessibles. La réponse RDAP inclut des métadonnées, des liens vers d’autres objets (entité titulaire, serveurs de noms) et des indications sur le niveau d’accès accordé. Cette structure permet aux applications modernes de traiter les informations de manière fiable et automatisée.
Les failles de sécurité
Le WHOIS legacy présentait des faiblesses structurelles : trafic non chiffré (vulnérable aux interceptions), absence d’authentification standardisée, parsing texte fragile et données parfois obsolètes. RDAP corrige une grande partie de ces problèmes grâce au HTTPS et au format JSON. Cependant, des failles persistent : implémentations hétérogènes selon les registres, complexité de l’accès aux données non publiques (pas de système centralisé unique), risque de rate limiting excessif et dépendance à la qualité des données fournies par les registrars. Par ailleurs, des scripts et outils legacy non mis à jour peuvent renvoyer des informations incomplètes ou erronées.
Solutions et bonnes pratiques
Adopter une approche proactive est la meilleure façon de naviguer sereinement dans l’écosystème de 2026. Voici un guide actionnable et directement applicable.
Protection immédiate (3 étapes)
Interrogez dès aujourd’hui vos domaines principaux et secondaires avec un outil fiable supportant à la fois RDAP et WHOIS legacy afin de visualiser précisément quelles informations restent visibles publiquement.
Connectez-vous à l’espace client de votre registrar et activez le service de protection de confidentialité (Domain Privacy ou WHOIS Privacy Protection) sur tous les gTLD éligibles. Ce service remplace vos coordonnées personnelles par celles d’un proxy.
Pour les domaines .fr, vérifiez et confirmez le type de titulaire (particulier ou organisation) dans votre espace registrar. Les particuliers bénéficient d’un masquage automatique ; les organisations doivent fournir des données exactes et à jour pour rester conformes aux règles AFNIC.
Services premium de surveillance et d’API : pour les entreprises gérant des portefeuilles importants ou ayant besoin d’intégrations (veille automatisée, détection de changements, historique).
Checklist de vérification
Vérifier la visibilité publique actuelle de tous vos domaines actifs.
Activer la protection de confidentialité sur les extensions qui le permettent.
Mettre à jour et garantir l’exactitude des coordonnées de contact (obligation contractuelle et légale).
Configurer des alertes d’expiration et de modification de données chez votre registrar.
Remplacer les anciens scripts WHOIS texte par des bibliothèques ou outils supportant nativement RDAP.
Documenter vos traitements de données issues de lookups si vous êtes une entreprise (conformité RGPD).
Former les équipes juridiques et techniques aux nouveaux canaux d’accès aux données non publiques.
FAQ : Toutes vos questions
1. Le protocole WHOIS est-il encore utilisé en 2026 ?
Oui, mais de façon résiduelle. Pour les gTLD, le WHOIS textuel sur port 43 n’est plus obligatoire depuis janvier 2025 et de nombreux registres l’ont désactivé. Le terme « WHOIS » reste néanmoins employé de manière générique pour désigner toute recherche d’informations d’enregistrement. La majorité des accès se font aujourd’hui via RDAP. Sur le .fr et d’autres ccTLD, le WHOIS coexiste souvent avec RDAP.
2. Comment consulter les informations d’enregistrement d’un domaine en 2026 ?
Privilégiez les outils web modernes qui supportent nativement RDAP, comme notre plateforme WhoIsIP.fr ou le lookup officiel ICANN. La saisie du nom de domaine suffit. Pour les usages automatisés ou en volume, utilisez des bibliothèques et API RDAP plutôt que les anciens clients texte. Les données personnelles des personnes physiques sont redactées par défaut.
3. La protection des données personnelles est-elle garantie avec RDAP ?
Oui. Les politiques ICANN et le RGPD imposent la redaction systématique des données personnelles des titulaires personnes physiques. Les services Domain Privacy proposés par les registrars renforcent cette protection en remplaçant vos coordonnées par des informations proxy. Sur le .fr, l’AFNIC applique un masquage automatique pour les titulaires particuliers.
4. Quelles différences pour un domaine .fr par rapport à un .com ?
Le .fr suit les règles spécifiques de l’AFNIC, alignées sur le droit français. Les données des organisations y sont généralement plus transparentes (raison sociale et adresse souvent publiées). Les particuliers bénéficient d’une protection renforcée. L’éligibilité fait l’objet de contrôles. RDAP est disponible, mais le WHOIS traditionnel reste largement utilisable. Consultez notre guide dédié aux domaines .fr pour tous les détails.
5. Quels sont les risques si je ne protège pas correctement mon domaine ?
Vos coordonnées personnelles peuvent rester exposées, augmentant les risques de spam ciblé, de phishing et d’usurpation d’identité. Pour une entreprise, des données inexactes ou une non-conformité aux règles de publication peuvent entraîner des sanctions de l’AFNIC (suspension de domaine) ou des difficultés juridiques. Enfin, le traitement non conforme de données issues de lookups expose à des risques RGPD.
Agissez maintenant
En 2026, trois points clés doivent guider votre action :
Le WHOIS historique a cédé la place à RDAP sur les gTLD : plus de sécurité, meilleure structuration et respect renforcé de la vie privée.
La vérification régulière et l’optimisation de la visibilité de vos propres données d’enregistrement sont devenues des réflexes indispensables, pour les particuliers comme pour les entreprises.
Des outils modernes adaptés au contexte français et une bonne compréhension des règles par extension permettent de transformer cette complexité en avantage compétitif et en protection efficace.
Ne laissez pas vos informations exposées ni vos processus d’investigation obsolètes. Testez immédiatement l’état de vos domaines et accédez aux solutions adaptées sur WhoIsIP.fr, la référence francophone pour les lookups WHOIS/RDAP et la protection des données d’enregistrement.
D’ici 2027, l’écosystème RDAP devrait atteindre une maturité accrue avec des mécanismes d’accès différencié plus fluides pour les acteurs légitimes et une meilleure intégration aux plateformes de cybersécurité. Anticipez dès maintenant pour rester conforme, sécurisé et efficace.
