Depuis l’entrée en vigueur du RGPD en mai 2018, le WHOIS tel qu’on le connaissait depuis les années 1980 n’existe plus vraiment. Ou plutôt, il existe encore, mais dans une version fortement édulcorée, source de confusion pour des milliers d’utilisateurs chaque année.
La question revient sans cesse : que peut-on encore trouver dans une requête WHOIS en 2026 ? La réponse n’est pas simple, parce qu’elle dépend du bureau d’enregistrement, de l’extension du nom de domaine, du pays de résidence du titulaire et même des conventions signées entre l’ICANN et les registres.
Ce flou persistant a des conséquences très concrètes. Des journalistes ne peuvent plus identifier les propriétaires de sites diffusant de la désinformation. Des avocats peinent à localiser les responsables d’atteintes à la réputation en ligne. Des entreprises découvrent que leurs droits de marque ont été violés par des anonymes impossibles à poursuivre. Et de l’autre côté du spectre, des particuliers ignorent que certaines de leurs données personnelles restent accessibles publiquement, parfois sans leur consentement explicite.
Les chiffres qui alertent
Le constat chiffré est édifiant. Selon les données publiées par l’ICANN en 2025, plus de 370 millions de noms de domaine sont enregistrés dans le monde. Parmi eux, environ 85 % affichent désormais des données WHOIS partiellement ou totalement masquées, contre seulement 23 % avant l’entrée en vigueur du RGPD.
En France, la CNIL a reçu plus de 14 000 plaintes liées à la publication non consentie de données personnelles via des outils de lookup entre 2019 et 2025. Un chiffre en hausse constante, malgré les restrictions imposées aux registres européens.
Autre donnée significative : selon une étude de l’organisation CENTR regroupant les registres de domaines européens, 67 % des requêtes WHOIS adressées à des TLD nationaux européens (.fr, .de, .nl…) retournent aujourd’hui des informations personnellement identifiables supprimées ou remplacées par des données génériques.
Pourquoi ça vous concerne directement
Que vous soyez un particulier propriétaire d’un site personnel, un dirigeant d’entreprise avec plusieurs noms de domaine, ou un professionnel du droit ou de la cybersécurité, la question WHOIS-RGPD vous touche de près.
Propriétaire d’un domaine, vous avez des droits sur vos données. Mais saviez-vous que certains registres américains continuent d’afficher votre adresse e-mail en clair, en toute légalité selon le droit américain ? Professionnel cherchant à identifier un cybersquatteur ou l’auteur d’un phishing ? Les outils classiques ne suffisent plus, et les procédures pour accéder aux données masquées sont longues et incertaines.
C’est ce déséquilibre, entre protection légitime de la vie privée et nécessité d’un internet responsable, que cet article explore en détail.
Qu’est-ce que le WHOIS exactement ?
Le protocole WHOIS est l’un des plus anciens d’internet. Formalisé dès 1982 dans le RFC 812, il permettait initialement de consulter un annuaire centralisé listant les utilisateurs des réseaux ARPANET. Avec la commercialisation d’internet dans les années 1990, il a évolué pour devenir la base de données publique référençant les informations d’enregistrement des noms de domaine : nom et prénom du titulaire, adresse postale, numéro de téléphone, adresse e-mail, dates d’enregistrement et d’expiration, serveurs DNS associés.
Pendant près de trois décennies, ces données étaient accessibles librement, sans restriction, via une simple requête en ligne de commande ou depuis des interfaces web. L’idée sous-jacente était simple : si vous contrôlez un espace sur internet, vous devez être identifiable.
Le RGPD a changé la donne de manière profonde et permanente. Depuis mai 2018, les registres et bureaux d’enregistrement établis dans l’Union européenne ou traitant les données de citoyens européens sont tenus de respecter les principes de minimisation des données et de limitation de la finalité. Publier une adresse personnelle dans un annuaire mondial accessible à tous ne peut se faire sans base légale solide.
Les mécanismes cachés
Ce que peu de gens savent, c’est qu’il n’existe pas un seul WHOIS, mais des dizaines de bases de données distinctes. Chaque registre de TLD (Top Level Domain) gère sa propre base. L’ICANN coordonne l’ensemble, mais n’impose pas de format uniforme pour l’affichage des données personnelles.
Ainsi, consulter le WHOIS d’un .com passe par Verisign, tandis qu’un .fr remonte vers l’Afnic. Les politiques d’affichage diffèrent. En parallèle, un système dit RDAP (Registration Data Access Protocol) est en train de remplacer progressivement le WHOIS historique, avec des mécanismes d’authentification permettant aux ayants droit légitimes d’accéder à des données normalement masquées.
L’ICANN a également développé le SSAD (System for Standardized Access and Disclosure), censé centraliser les demandes d’accès aux données non publiques. En 2026, ce système reste encore partiellement opérationnel et critiqué pour sa lenteur.
Les acteurs principaux
Quatre grandes catégories d’acteurs interviennent dans l’écosystème WHOIS :
L’ICANN, organisme international de coordination, qui définit les règles contractuelles avec les registres et les bureaux d’enregistrement.
Les registres (comme l’Afnic pour le .fr, Verisign pour le .com), qui gèrent les bases de données des noms de domaine par TLD.
Les bureaux d’enregistrement (OVH, Gandi, GoDaddy…), qui servent d’intermédiaires lors de l’achat d’un domaine et collectent les données du titulaire.
Les autorités de protection des données (la CNIL en France, le CEPD au niveau européen), qui supervisent la conformité de ces traitements au regard du RGPD.
Les impacts concrets en 2026
Huit ans après l’entrée en vigueur du RGPD, les effets se sont installés dans le quotidien de nombreuses catégories d’utilisateurs. Parfois protecteurs, parfois paralysants selon le point de vue adopté.
Pour les particuliers
Si vous avez enregistré un nom de domaine en .fr ou dans un autre TLD européen via un bureau d’enregistrement conforme au RGPD, vos données personnelles ne devraient plus apparaître dans un WHOIS public standard. L’Afnic, par exemple, ne publie plus les données personnelles des titulaires personnes physiques depuis 2018.
Mais attention : ce n’est pas universel. Si vous avez enregistré un .com, un .net ou un .org via un bureau d’enregistrement américain sans service de confidentialité WHOIS, certaines informations peuvent encore être visibles selon les paramètres choisis au moment de l’enregistrement. Les anciens domaines enregistrés avant 2018 représentent également un risque résiduel : des données historiques circulent encore dans des bases archivées accessibles via des services comme DomainTools ou WhoisXML.
Pour les entreprises
Les personnes morales (sociétés, associations) ne bénéficient pas des mêmes protections que les personnes physiques au sens du RGPD. Les données d’une entreprise, comme sa raison sociale, son adresse de siège ou son e-mail de contact générique, peuvent donc légalement rester affichées dans le WHOIS.
Cela crée une asymétrie notable. Une PME dont le nom de domaine est enregistré au nom de son dirigeant voit ses données protégées. La même PME dont le domaine est enregistré au nom de la société les expose publiquement. Ce détail technique a des implications stratégiques importantes, notamment pour les cibles potentielles de phishing ou de social engineering.
En 2026, plusieurs cabinets d’avocats spécialisés en droit du numérique recommandent systématiquement à leurs clients professionnels de vérifier leur politique d’enregistrement de domaines et d’activer les services de confidentialité WHOIS lorsqu’ils sont disponibles, même pour les entités morales.
Les risques juridiques
La tension entre RGPD et WHOIS génère des risques des deux côtés.
Du côté des titulaires de domaines, la publication non conforme de données personnelles par un bureau d’enregistrement peut engager sa responsabilité. La CNIL dispose du pouvoir de sanctionner les acteurs ne respectant pas leurs obligations, avec des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial.
Du côté des entreprises victimes de cybersquatting ou de violations de marques, l’impossibilité d’identifier rapidement un contrevenant via le WHOIS allonge les procédures UDRP (Uniform Domain-Name Dispute-Resolution Policy) et augmente les coûts de récupération d’un nom de domaine volé ou abusivement enregistré.
Comment ça fonctionne techniquement
Comprendre le fonctionnement concret du WHOIS en 2026 aide à mieux naviguer entre ce qui est visible et ce qui ne l’est plus.
Étape 1 : La requête et la réponse publique
Lorsque vous effectuez une requête WHOIS sur un nom de domaine, votre client (navigateur, terminal ou outil en ligne) interroge le serveur WHOIS du registre compétent pour ce TLD. Ce serveur renvoie une réponse textuelle structurée contenant les champs disponibles.
Depuis le RGPD, la majorité des champs personnels retournent désormais des valeurs masquées ou des mentions de type « REDACTED FOR PRIVACY ». Les champs techniques, en revanche, restent généralement visibles : serveurs de noms (NS), statuts du domaine, dates de création, de mise à jour et d’expiration.
Ces informations techniques sont précieuses. Elles permettent par exemple d’identifier l’hébergeur d’un site, de vérifier si un domaine est en cours de transfert ou de déterminer sa date d’expiration prochaine.
Étape 2 : L’accès aux données masquées via le RDAP
Le protocole RDAP, standardisé par l’IETF, est conçu pour remplacer le WHOIS historique avec une couche d’authentification. Certains registres permettent à des utilisateurs vérifiés (avocats, forces de l’ordre, chercheurs accrédités) de soumettre des demandes d’accès aux données non publiques.
La procédure implique généralement :
La création d’un compte auprès du bureau d’enregistrement ou du registre concerné.
La justification de la finalité de la demande (enquête judiciaire, protection de droits de propriété intellectuelle, etc.).
L’évaluation de la demande par le bureau d’enregistrement, qui peut prendre plusieurs jours ouvrables.
La communication des données si la demande est jugée légitime, ou un refus motivé dans le cas contraire.
Ce processus, bien qu’imparfait, représente un équilibre entre transparence et protection de la vie privée.
Les failles de sécurité
Le masquage WHOIS crée paradoxalement de nouvelles vulnérabilités. Les acteurs malveillants utilisent désormais l’anonymisation WHOIS à leur avantage. Des campagnes de phishing entières sont menées depuis des domaines dont les propriétaires restent introuvables, au moins pendant le temps nécessaire à la fraude.
Par ailleurs, des agrégateurs privés comme DomainTools, SecurityTrails ou WhoisXML API ont constitué des historiques massifs de données WHOIS antérieures à 2018. Ces bases, accessibles sur abonnement, permettent souvent de retrouver des informations que les registres ont depuis supprimé de leurs affichages publics. C’est une faille indirecte que ni le RGPD ni l’ICANN n’ont entièrement colmatée.
Solutions et bonnes pratiques
Naviguer dans cet environnement complexe demande une approche structurée, que vous souhaitiez protéger vos propres données ou accéder légitimement à des informations sur un domaine tiers.
Protection immédiate (3 étapes)
Vérifiez l’état actuel de votre WHOIS. Utilisez un outil comme celui proposé sur whoisip.fr pour consulter ce que le public voit réellement lorsqu’il recherche votre nom de domaine. Si des données personnelles apparaissent encore, passez immédiatement à l’étape suivante.
Activez la confidentialité WHOIS auprès de votre bureau d’enregistrement. La plupart des registrars sérieux (OVH, Gandi, Namecheap, etc.) proposent ce service gratuitement ou pour quelques euros par an. Il substitue vos informations personnelles par celles du bureau d’enregistrement agissant en tant qu’intermédiaire.
Vérifiez vos anciens domaines. Un domaine enregistré avant 2018 ou transféré entre plusieurs registrars peut avoir des données historiques exposées. Une vérification systématique de l’ensemble de votre portefeuille de domaines s’impose, en particulier si votre entreprise a fait l’objet de fusions ou acquisitions.
Outils et services pros
Pour les besoins professionnels, plusieurs ressources sont particulièrement utiles en 2026 :
L’outil WHOIS de whoisip.fr offre une recherche rapide et lisible des données publiques disponibles pour un domaine ou une adresse IP, avec des informations sur les serveurs de noms et l’hébergeur associé.
Le service de recherche de l’Afnic permet d’accéder aux données WHOIS des domaines en .fr et d’initier des procédures de divulgation pour les cas légitimes.
RDAP Pilot de l’ICANN centralise les demandes d’accès aux données non publiques pour les TLD génériques.
Les services de surveillance de marques comme MarkMonitor ou CSC Global permettent de détecter les enregistrements abusifs et d’enclencher des procédures UDRP sans passer par le WHOIS classique.
Tous mes noms de domaine actifs ont-ils la confidentialité WHOIS activée ?
Mes domaines en .com, .net, .org sont-ils enregistrés via un bureau conforme au RGPD ?
Ai-je vérifié les données historiques sur mes anciens domaines via des services d’archivage ?
Mon bureau d’enregistrement dispose-t-il d’une procédure claire pour répondre aux demandes de divulgation légitimes ?
En cas de litige de cybersquatting, ai-je identifié la procédure RDAP ou SSAD applicable au TLD concerné ?
Les données de contact affichées dans le WHOIS de mes domaines d’entreprise sont-elles à jour et non personnelles ?
FAQ : Toutes vos questions
Le WHOIS peut-il encore révéler mon adresse personnelle en 2026 ?
Oui, dans certains cas. Si votre domaine est enregistré en .com via un bureau d’enregistrement américain sans service de confidentialité activé, votre adresse peut encore apparaître. Les TLD nationaux européens comme le .fr protègent mieux les personnes physiques, car l’Afnic ne publie plus ces données depuis 2018. La vérification au cas par cas reste indispensable.
Comment accéder aux données masquées d’un domaine dans le cadre d’une enquête légitime ?
Vous devez adresser une demande motivée directement au bureau d’enregistrement du domaine concerné. Pour les TLD génériques (.com, .net…), le système RDAP de l’ICANN prévoit une procédure standardisée. Pour les TLD nationaux, chaque registre dispose de ses propres règles. Les avocats, forces de l’ordre et chercheurs en cybersécurité accrédités obtiennent généralement une réponse plus rapide.
La confidentialité WHOIS protège-t-elle vraiment contre toute identification ?
Elle protège contre une recherche publique directe. Elle ne garantit pas une anonymisation absolue. Les services d’historique WHOIS comme DomainTools conservent des données antérieures à 2018. De plus, en cas de procédure judiciaire ou UDRP, le bureau d’enregistrement est tenu de révéler l’identité du titulaire réel.
Le WHOIS est-il en train de disparaître ?
Pas exactement. Il est en cours de remplacement progressif par le protocole RDAP, plus moderne et compatible avec une gestion granulaire des accès. Le WHOIS classique continuera d’exister pendant encore plusieurs années, mais son rôle de base de données publique universelle appartient désormais au passé.
Mon bureau d’enregistrement peut-il être sanctionné s’il publie mes données sans base légale ?
Oui. Un bureau d’enregistrement établi dans l’Union européenne ou traitant les données de citoyens européens est soumis au RGPD. La CNIL peut le sanctionner en cas de manquement. Vous pouvez déposer une plainte auprès de la CNIL si vous constatez que vos données personnelles sont exposées sans votre consentement et sans base légale valide.
Agissez maintenant
Le WHOIS de 2026 n’est plus l’annuaire transparent des débuts d’internet. Mais il reste un outil puissant, dont la lecture correcte demande de comprendre ce qui est visible, ce qui est masqué, et pourquoi.
Trois points à retenir absolument :
Les données personnelles sont protégées en Europe, mais pas universellement. Votre TLD et votre bureau d’enregistrement font toute la différence.
Des informations techniques importantes restent accessibles publiquement et peuvent révéler l’hébergeur, les serveurs DNS et les dates clés d’un domaine.
Des procédures d’accès aux données masquées existent pour les usages légitimes, mais elles restent longues et inégalement applicables selon les TLD.
La meilleure démarche, aujourd’hui, est de vérifier l’état réel de vos domaines via un outil fiable. Utilisez la recherche WHOIS de whoisip.fr pour obtenir une vue claire et actualisée de ce que le public peut voir sur vos noms de domaine. Si des données sensibles apparaissent encore, contactez votre bureau d’enregistrement pour activer la protection appropriée.
En 2027, la pression réglementaire sur l’ICANN devrait s’accentuer encore, avec des discussions en cours autour d’une harmonisation internationale des standards de confidentialité WHOIS. Ce qui est certain, c’est que l’équilibre entre transparence et protection de la vie privée continuera d’évoluer, et que rester informé restera la meilleure défense.
