Chaque appareil qui communique sur Internet porte un numéro, son adresse IP, et ce numéro n’a rien d’anonyme. Il appartient à un bloc attribué à un opérateur, un hébergeur ou une entreprise, et ces attributions sont consignées dans des annuaires publics. Le whois IP consiste à interroger ces registres : on y lit qui gère une plage d’adresses, dans quel pays, et à quelle adresse signaler un abus.
En 2026, cette consultation change de visage. L’ancien protocole en texte brut laisse la place à RDAP, plus structuré et plus respectueux des données personnelles. Que vous administriez un serveur, traitiez un courriel frauduleux ou surveilliez votre réseau, vos réflexes de recherche sont directement concernés.
Les chiffres qui alertent
Depuis le 28 janvier 2025, l’ICANN n’oblige plus les registres de noms de domaine génériques à maintenir un service whois sur le port 43. À l’époque, ces registres traitaient environ 122 milliards de requêtes whois par mois, contre à peine 7 milliards en RDAP. Plus de 370 extensions génériques ont depuis coupé l’ancien service, et des acteurs comme Spaceship ont fermé leur port 43 le 18 mars 2026. Au Royaume-Uni, Nominet arrêtera le sien le 9 février 2027.
Les registres régionaux d’adresses IP, eux, proposent RDAP depuis plusieurs années. Le mouvement est général, et les outils qui ne suivent pas finissent par renvoyer des erreurs.
Pourquoi ça vous concerne directement
Un script de sécurité qui interroge encore l’ancien protocole peut tomber en panne sans prévenir. Un administrateur qui ne sait pas lire une réponse RDAP perd un temps précieux en pleine alerte. Quant au particulier qui repère une connexion suspecte sur l’un de ses comptes, il saura grâce à ces données si l’adresse pointe vers un fournisseur d’accès français ou vers un hébergeur lointain, et donc s’il doit s’inquiéter.
Qu’est-ce que le whois IP exactement ?
Le whois IP est une requête adressée aux bases de données des cinq registres internet régionaux : le RIPE NCC pour l’Europe, le Moyen-Orient et une partie de l’Asie centrale, ARIN pour l’Amérique du Nord, APNIC pour l’Asie-Pacifique, LACNIC pour l’Amérique latine et AFRINIC pour l’Afrique. La réponse indique la plage d’adresses concernée, le nom du réseau, l’organisation responsable, le pays, les contacts techniques et le contact pour signaler un abus, ainsi que les dates de création et de dernière modification.
Le principe date du début des années 1980. Le protocole whois, un simple échange de texte sur le port 43, a tenu des décennies malgré ses limites : aucun chiffrement, aucun format commun, aucune gestion fine des accès. RDAP, normalisé en 2015 puis consolidé en 2021, répond en JSON sur HTTPS et sait distinguer qui a le droit de voir quoi. Retenez l’idée générale : même question, réponse mieux rangée et mieux protégée.
Les mécanismes cachés
Derrière une simple requête se cache une chaîne de délégation. L’IANA distribue de grands blocs aux registres régionaux, qui les confient à des membres (opérateurs, hébergeurs, grandes entreprises), lesquels en cèdent des morceaux à leurs clients. Chaque niveau peut publier ses propres objets : plage d’adresses, numéro de système autonome, route annoncée.
Conséquence pratique : la plage la plus petite est presque toujours la plus parlante. Une adresse peut apparaître au sein d’un énorme bloc d’opérateur, tout en étant sous-allouée à une société précise. Si vous vous arrêtez à la première réponse, vous passez à côté de l’information utile.
Les acteurs principaux
L’ICANN et l’IANA, qui coordonnent l’espace d’adressage mondial et publient le fichier d’orientation vers le bon registre.
Les registres régionaux, qui tiennent les bases de référence.
Les membres de ces registres, comme OVHcloud ou Orange en France, qui déclarent leurs clients et leurs contacts.
L’Afnic, qui gère l’extension .fr et ses propres règles de publication des données de domaine.
Les utilisateurs : équipes sécurité, chercheurs, administrateurs réseau, juristes, et simples curieux.
Les impacts concrets en 2026
Sur le terrain, le whois IP sert surtout à contextualiser. Il ne désigne pas un coupable, il situe une adresse dans le paysage : qui l’exploite, depuis quel pays, avec quel contact en cas de problème. Cette information oriente la décision suivante, bloquer, signaler ou ignorer.
Pour les particuliers
Vous recevez un message qui prétend venir de votre banque, avec un lien douteux. Un lookup sur l’adresse du serveur révèle un hébergeur sans aucun rapport avec l’établissement : voilà un indice solide de hameçonnage. Même logique quand votre messagerie signale une connexion inhabituelle.
Le whois montre l’opérateur ou l’hébergeur, jamais l’identité de la personne derrière l’écran.
Seul le fournisseur d’accès, sur demande de la justice, peut relier une adresse à un abonné.
Un signalement au bon contact abuse a plus de chances d’aboutir qu’un message envoyé au hasard.
Pour les entreprises
Une PME qui voit défiler des tentatives de connexion SSH depuis une même plage peut vérifier en trente secondes à qui elle appartient. Hébergeur bien connu ? On écrit au contact abuse. Réseau opaque sans organisation lisible ? On bloque la plage entière. Cette hygiène quotidienne alimente aussi les registres d’incidents exigés par les cadres de conformité.
Le virage RDAP touche surtout les outils maison : sondes de supervision, scripts d’enrichissement des journaux, plateformes de veille. Ceux qui reposent sur le port 43 doivent être migrés avant de tomber en panne.
Les risques juridiques
Consulter un registre public reste parfaitement légal. En revanche, une adresse IP est considérée comme une donnée personnelle dans l’Union européenne, et la CNIL veille à son traitement. Détourner ces informations pour harceler, identifier une personne ou la cibler expose à des sanctions.
Scanner agressivement ou attaquer une adresse trouvée par whois peut relever de l’article 323-1 du Code pénal (accès frauduleux).
Les hébergeurs doivent conserver les données d’identification de leurs clients pendant un an, ce qui encadre les réquisitions judiciaires.
Publier des données issues d’un lookup pour exposer quelqu’un engage la responsabilité de l’auteur.
Comment ça fonctionne techniquement
Imaginez le cadastre. L’adresse IP est un numéro de rue, le registre régional est le cadastre de la zone, et l’IANA est le service central qui vous dit dans quel cadastre chercher. Un client RDAP suit exactement ce chemin, deux étapes suffisent.
Étape 1 : interroger l’IANA pour trouver le bon registre
Votre client ne sait pas à l’avance qui gère l’adresse. Il consulte donc le fichier d’orientation publié par l’IANA, qui associe chaque grand bloc à un serveur RDAP. Pour 8.8.8.8, la réponse pointe vers ARIN. Pour une adresse européenne, ce sera le RIPE NCC.
Un service de redirection s’en charge à votre place :
curl -sL https://rdap.org/ip/8.8.8.8
Étape 2 : lire la réponse du registre régional
Le serveur retourne un document JSON. Les champs à examiner en priorité :
startAddress et endAddress, qui délimitent la plage exacte.
name et country, qui donnent le nom du réseau et le pays déclaré.
entities, la liste des contacts avec leur rôle (technique, abuse, registrant).
events, qui datent la création et la dernière modification de l’enregistrement.
remarks et links, souvent riches en précisions utiles.
Les failles de sécurité
Les données de registre sont déclaratives. Personne ne vérifie chaque ligne, et certains contacts restent périmés pendant des années. D’autres limites méritent votre attention :
Un réseau de diffusion de contenu ou un VPN affiche son propre nom, pas celui de l’hébergeur réel.
Les adresses courriel publiées sont moissonnées par des escrocs, qui envoient de fausses factures aux titulaires peu avertis.
L’ancien protocole circule en clair sur le port 43, sans chiffrement ni contrôle d’accès.
Des interrogations trop fréquentes déclenchent des limitations, voire un blocage temporaire.
Solutions et bonnes pratiques
Bonne nouvelle : la mise à niveau est abordable. Trois gestes suffisent pour sécuriser vos usages dès cette semaine, le reste relève de l’organisation.
Protection immédiate (3 étapes)
Recensez tous les scripts, sondes et outils qui appellent le port 43, puis remplacez ces appels par des requêtes RDAP.
Contrôlez vos propres enregistrements : plages d’adresses, contact abuse, adresse technique. Une adresse inactive vous fait rater les signalements qui vous concernent.
Instaurez une règle simple : aucune adresse n’est bloquée ni signalée avant un lookup RDAP et une vérification du contexte (CDN, VPN, hébergeur partagé).
Si l’audit de votre parc vous semble lourd, notre équipe propose un audit de sécurité informatique qui couvre ce volet.
Outils et services pros
La commande whois sous Linux et macOS, pratique pour un coup d’œil rapide.
rdap.org, qui redirige vers le bon registre sans configuration.
La base de données du RIPE NCC et le service de consultation d’ARIN, pour les recherches détaillées.
lookup.icann.org pour les noms de domaine, et le site de l’Afnic pour les .fr.
Pour une veille continue, notre service de surveillance réseau croise ces données avec vos journaux.
Pour les enjeux de conformité, notre accompagnementprotection des données et RGPD sécurise vos pratiques de collecte.
Checklist de vérification
Mes outils d’interrogation passent par RDAP et non plus par le port 43.
Mon contact abuse est à jour et surveillé.
Je distingue l’adresse d’un CDN ou d’un VPN de celle du serveur d’origine.
Je conserve une trace de chaque lookup utilisé pour justifier un blocage.
Mes procédures de signalement sont écrites et connues de l’équipe.
Mon usage des données respecte le RGPD.
FAQ : toutes vos questions
Le whois IP révèle-t-il le nom de la personne derrière une adresse ?
Non. Il indique l’opérateur ou l’organisation qui gère la plage, pas l’abonné. Seule une procédure judiciaire permet de remonter jusqu’à lui.
Quelle différence entre whois et RDAP ?
Le premier est un échange de texte libre sur le port 43, sans chiffrement. Le second répond en JSON via HTTPS, avec des champs normalisés et une gestion des accès.
Pourquoi mon lookup affiche-t-il un autre nom que mon hébergeur ?
Parce qu’un réseau de diffusion, un répartiteur de charge ou un VPN s’interpose. Vous voyez alors l’intermédiaire, pas le serveur final.
Consulter ces données est-il légal en France ?
Oui, ces registres sont publics. L’usage que vous en faites reste encadré : harcèlement, intrusion ou exposition d’une personne sont sanctionnables.
Comment signaler une adresse malveillante ?
Écrivez d’abord au contact abuse trouvé dans la réponse, en joignant journaux et horodatage. En cas d’infraction, la plateforme officielle internet-signalement.gouv.fr prend le relais.
Agissez maintenant
Retenez trois choses. Le whois IP éclaire le contexte d’une adresse sans désigner une personne. RDAP remplace progressivement l’ancien protocole, et vos outils doivent suivre. Enfin, un lookup n’est jamais une preuve à lui seul : il se recoupe avec vos journaux.
Commencez aujourd’hui par recenser vos scripts basés sur le port 43, puis testez une adresse avec notre outil de vérification. Si vous préférez déléguer, demandez un diagnostic gratuit de votre infrastructure et repartez avec un plan d’action chiffré.
Pour 2027, attendez-vous à une généralisation de RDAP, y compris chez les extensions nationales : l’arrêt du whois britannique en février 2027 n’est probablement qu’un début. Les équipes déjà migrées traverseront ce changement sans coupure.
