Chaque jour, des milliers d’entreprises françaises subissent des tentatives d’intrusion, des campagnes de phishing ou des attaques par déni de service. Derrière chaque adresse IP suspecte, derrière chaque domaine malveillant, se cachent des informations exploitables que beaucoup d’équipes de sécurité ignorent encore. Le protocole WHOIS, vieux de plusieurs décennies, reste l’un des premiers réflexes d’investigation dans l’arsenal des analystes SOC, des responsables sécurité et des équipes de réponse à incident.
En 2026, le volume d’attaques informatiques ne faiblit pas. Les cybercriminels changent de tactiques, mais leur infrastructure, elle, laisse toujours des traces. Savoir lire, interroger et exploiter les données WHOIS représente un avantage concret dans la détection et la qualification des menaces.
Les chiffres qui alertent
Les données publiées par l’ANSSI dans son rapport 2025 font état d’une progression de 38 % des incidents traités par rapport à 2023. Les PME et les collectivités territoriales restent les cibles privilégiées, avec des délais de détection encore trop longs : en moyenne 197 jours entre l’intrusion initiale et la découverte de la compromission.
À l’échelle mondiale, Interpol recensait en 2025 plus de 700 000 domaines malveillants créés chaque mois dans des campagnes de fraude en ligne. Une grande partie d’entre eux présentaient des enregistrements WHOIS falsifiés ou dissimulés derrière des services de confidentialité. Pour les équipes de sécurité, cela ne signifie pas que les données WHOIS sont inutiles, mais qu’elles doivent être croisées avec d’autres sources de renseignement.
197 jours : délai moyen de détection d’une compromission en France (source : ANSSI 2025)
700 000 domaines malveillants créés par mois dans le monde
38 % d’augmentation des incidents signalés à l’ANSSI entre 2023 et 2025
Plus de 60 % des attaques par phishing utilisent des domaines enregistrés depuis moins de 30 jours
Pourquoi ça vous concerne directement
Que vous soyez analyste threat intelligence, responsable SOC, DSI d’une PME ou administrateur système, vous serez confronté un jour à une IP suspecte dans vos logs, un domaine inconnu dans vos alertes de sécurité ou un expéditeur douteux dans vos rapports d’abus. WHOIS est souvent la première question que vous poserez à Internet. Encore faut-il savoir interpréter la réponse, comprendre ses limites et l’intégrer dans une démarche de qualification méthodique.
Qu’est-ce que WHOIS exactement ?
WHOIS est un protocole réseau standardisé permettant d’interroger des bases de données qui contiennent des informations sur les titulaires de noms de domaine, d’adresses IP et de systèmes autonomes (AS). Le terme désigne à la fois le protocole lui-même, les outils en ligne de commande qui l’implémentent et les services web qui exposent ces données à travers une interface accessible.
L’origine remonte à 1982. Élizabeth Feinler du Stanford Research Institute a coordonné le premier annuaire centralisé des ressources internet, ancêtre direct du WHOIS tel qu’il existe aujourd’hui. Le protocole a été formalisé dans le RFC 812, puis successivement amélioré jusqu’au RFC 3912 qui régit encore en partie les échanges actuels. La gestion des données WHOIS est aujourd’hui distribuée entre l’ICANN pour les noms de domaine génériques, les RIR (Regional Internet Registries) pour les adresses IP, et des opérateurs de registre nationaux comme l’AFNIC pour les domaines en .fr.
Depuis 2018, l’entrée en vigueur du RGPD a profondément modifié la disponibilité publique des données WHOIS pour les noms de domaine. Les informations d’identification des personnes physiques sont désormais masquées ou anonymisées dans les résultats publics. Les équipes de sécurité accèdent aux données complètes via des mécanismes de divulgation encadrés par l’ICANN, notamment le système SSAD (System for Standardized Access/Disclosure).
Les mécanismes cachés
Derrière l’apparente simplicité d’une requête WHOIS se cache une architecture distribuée complexe. Quand vous interrogez un domaine en .com, votre client WHOIS contacte d’abord le serveur WHOIS de Verisign (registry du .com), qui vous redirige éventuellement vers le serveur WHOIS du bureau d’enregistrement (registrar) chez lequel le domaine a été créé. Les données que vous obtenez sont donc celles que ce registrar a collectées et choisit d’exposer, selon les politiques en vigueur dans sa juridiction.
Pour les adresses IP, la logique est différente. Les cinq RIR mondiaux (ARIN pour l’Amérique du Nord, RIPE NCC pour l’Europe, APNIC pour l’Asie-Pacifique, LACNIC pour l’Amérique latine, AFRINIC pour l’Afrique) gèrent chacun leur propre base de données. Une IP européenne sera documentée dans la base RIPE NCC, ce qui influence directement la nature et la richesse des informations disponibles.
Les acteurs principaux
Comprendre qui gère quoi aide à anticiper ce que vous trouverez dans une réponse WHOIS.
ICANN : coordination globale des politiques d’accès aux données d’enregistrement
AFNIC : registre national des domaines en .fr, .re, .pm et autres extensions françaises
RIPE NCC : attribution des blocs d’adresses IP pour l’Europe, le Moyen-Orient et l’Asie centrale
Registrars : bureaux d’enregistrement comme OVHcloud, Gandi, Namecheap, qui collectent les données des titulaires
Hébergeurs et opérateurs : souvent distincts des titulaires de domaine, ils gèrent les ressources IP déclarées dans les bases RIPE ou ARIN
Les impacts concrets en 2026
La question n’est pas théorique. Sur le terrain, WHOIS intervient à des moments précis de la chaîne d’investigation, et ses limites comme ses apports conditionnent directement la qualité de la réponse à incident.
Pour les particuliers
Un particulier qui reçoit un email de phishing imitant sa banque peut, en quelques secondes, vérifier l’ancienneté du domaine expéditeur via un outil WHOIS en ligne. Un domaine enregistré trois jours avant l’envoi, avec des coordonnées anonymisées et un registrar peu connu, est un signal d’alarme immédiat. Cette vérification basique évite chaque année des milliers d’arnaques à des usagers qui auraient autrement cliqué sur un lien frauduleux.
Pour signaler un abus à un hébergeur ou un FAI, les données WHOIS fournissent les adresses de contact « abuse@ » mentionnées dans les enregistrements. Cette information reste publique même après le RGPD et constitue le canal officiel pour remonter des alertes.
Pour les entreprises
Dans un contexte professionnel, l’usage de WHOIS s’inscrit dans des workflows structurés. Lors d’un incident de sécurité, l’analyste qui identifie une connexion sortante suspecte vers un domaine inconnu va systématiquement croiser plusieurs éléments : la date d’enregistrement du domaine, le registrar utilisé, les serveurs de noms associés, et les blocs IP correspondants.
Un domaine enregistré depuis peu, utilisant des serveurs de noms associés à des campagnes malveillantes connues, avec une résolution IP dans un pays à haut risque : ce profil combiné justifie un blocage immédiat et une investigation approfondie, bien avant qu’une signature antivirus ne détecte quoi que ce soit.
Les équipes red team utilisent également WHOIS dans la phase de reconnaissance (OSINT) avant un test d’intrusion, pour cartographier l’empreinte numérique d’une organisation cible et identifier des domaines satellites parfois oubliés des équipes IT.
Les risques juridiques
L’utilisation des données WHOIS dans un contexte professionnel soulève des questions légales précises en 2026. Le RGPD encadre strictement le traitement des données personnelles que vous collectez via des requêtes WHOIS. Même quand ces données sont techniquement accessibles, les stocker dans un SIEM ou un outil de threat intelligence sans base légale documentée peut exposer votre organisation à des sanctions.
Par ailleurs, certains pays considèrent les requêtes WHOIS massives automatisées comme une forme de scraping pouvant violer les conditions d’utilisation des registres. L’ICANN impose des limites de débit aux requêtes non authentifiées. Les entreprises qui automatisent la collecte WHOIS à grande échelle doivent s’appuyer sur des API WHOIS conformes et documentées pour rester dans un cadre légal clair.
Comment ça fonctionne techniquement
Imaginez WHOIS comme un annuaire distribué à l’échelle mondiale, découpé par zones géographiques et types de ressources. Quand vous posez une question, vous ne consultez pas un seul fichier central, mais déclenchez une série de requêtes vers des serveurs d’autorité spécialisés.
Étape 1 : La résolution du serveur d’autorité
Votre client WHOIS (en ligne de commande ou via une interface web WHOIS) commence par déterminer quel serveur d’autorité contient les informations recherchées. Pour un nom de domaine, il interroge un serveur racine WHOIS qui connaît la liste des serveurs par extension (TLD). Pour une adresse IP, il consulte la base IANA pour identifier le RIR compétent, puis interroge directement ce RIR.
Cette étape passe inaperçue pour l’utilisateur mais elle est fondamentale. Une requête WHOIS sur un domaine .fr ne suit pas le même chemin qu’une requête sur un .com ou un .io, et la qualité des données retournées varie en conséquence.
Étape 2 : L’extraction et l’interprétation des données
La réponse brute d’un serveur WHOIS est un bloc de texte structuré mais non standardisé. Chaque registre utilise ses propres champs et son propre formatage. Un enregistrement RIPE NCC présente des champs « netname », « descr », « org », « abuse-c » selon un format précis, tandis qu’un enregistrement ARIN utilise une nomenclature différente.
Les outils professionnels de recherche d’informations IP parsent ces réponses hétérogènes et les normalisent dans un format exploitable, idéalement enrichi de données complémentaires : géolocalisation, réputation, historique de changements d’enregistrement.
Récupération du bloc de texte brut depuis le serveur d’autorité
Parsing des champs selon le format du registre
Normalisation dans un schéma commun
Enrichissement avec des sources tierces (réputation, géolocalisation, passerelle de signalement d’abus)
Restitution à l’analyste dans une interface lisible ou via API
Les failles de sécurité
WHOIS n’est pas infaillible. Les attaquants sophistiqués exploitent plusieurs mécanismes pour masquer leur identité ou brouiller les pistes.
La privacy protection (ou Whois Guard) proposée par la majorité des registrars remplace les coordonnées du titulaire par celles d’un mandataire. Légalement utilisée par des millions de personnes soucieuses de leur vie privée, cette fonctionnalité est aussi massivement détournée par les cybercriminels. Dans les campagnes de phishing avancées, on retrouve presque systématiquement des domaines avec privacy protection activée.
L’autre technique courante : le fast flux. Un domaine malveillant change ses résolutions DNS toutes les quelques minutes, rendant le blocage IP inefficace. Les données WHOIS du domaine restent stables, ce qui explique pourquoi l’analyse WHOIS de domaine est souvent plus utile que l’analyse IP dans ces scénarios.
Solutions et bonnes pratiques
Savoir utiliser WHOIS efficacement dans un contexte de sécurité ne s’improvise pas. Voici une approche méthodique adaptée aux équipes opérationnelles.
Protection immédiate (3 étapes)
Intégrer la vérification WHOIS dans les playbooks de réponse à incident. Chaque alerte impliquant un domaine ou une IP inconnue doit déclencher automatiquement une requête WHOIS. La date d’enregistrement, le registrar et les serveurs de noms sont les trois indicateurs à examiner en premier. Un domaine de moins de 30 jours avec des NS associés à des hébergeurs bulletproof est un signal rouge immédiat.
Croiser WHOIS avec d’autres sources OSINT. Virustotal, Shodan, Censys, les bases de réputation IP de votre SIEM : WHOIS seul ne suffit pas. Il apporte le contexte légal et administratif, les autres outils apportent le contexte technique et comportemental. La combinaison est bien plus puissante que chaque source prise séparément.
Automatiser les requêtes via une API fiable. Pour les équipes qui traitent des volumes importants d’alertes, les requêtes manuelles ne sont pas tenables. Une API WHOIS documentée avec des quotas clairs et une normalisation des données s’intègre directement dans les workflows SOAR ou les scripts d’enrichissement.
Outils et services pros
Le marché propose plusieurs niveaux d’outillage selon la maturité de l’équipe de sécurité.
Outils en ligne gratuits : whoisip.fr, domaintools.com, who.is. Utiles pour les vérifications ponctuelles, limités pour l’automatisation.
API WHOIS professionnelles : permettent d’intégrer les données dans des SIEM, SOAR, ou scripts Python. Critères de sélection : normalisation des données, couverture des TLD, historique WHOIS, latence, tarification par volume.
Plateformes de threat intelligence : Recorded Future, ThreatConnect, MISP. Elles intègrent WHOIS parmi d’autres sources et offrent une contextualisation avancée.
Bases de données WHOIS historiques : DomainTools SecurityTrails, WhoisXMLAPI. Elles permettent de retrouver les enregistrements passés d’un domaine, même quand les données actuelles sont masquées.
Checklist de vérification
Face à un domaine ou une IP suspecte, voici les points à contrôler systématiquement :
Date de création du domaine (moins de 30 jours : attention)
Nom et réputation du registrar utilisé
Présence ou absence de privacy protection
Identité des serveurs de noms (NS) et leur réputation
Correspondance entre l’organisation déclarée et le contenu du site
Organisation responsable du bloc IP (RIPE, ARIN, etc.)
Pays d’enregistrement du bloc IP
Présence dans des listes noires connues
Contact abuse disponible et fonctionnel
Historique de changements WHOIS récents (rotation suspecte)
FAQ : Toutes vos questions
WHOIS donne-t-il encore des informations utiles depuis le RGPD ?
Oui, mais différemment. Les données personnelles des titulaires sont masquées pour les personnes physiques, mais les informations techniques restent accessibles : serveurs de noms, registrar, dates d’enregistrement, contact d’abus. Pour accéder aux données complètes dans un contexte de sécurité, le mécanisme SSAD de l’ICANN prévoit des demandes justifiées auprès des registrars. La plupart des grands registrars ont mis en place des formulaires dédiés pour les équipes de sécurité.
Comment identifier un domaine malveillant via WHOIS ?
Aucun indicateur unique ne suffit. Ce sont les combinaisons qui alertent : domaine récent, registrar peu connu ou associé à des abus, privacy protection activée, serveurs de noms partagés avec d’autres domaines suspects, résolution IP dans un pays à haut risque. Un outil de recherche WHOIS de domaine vous donnera ces éléments en quelques secondes.
Quelle est la différence entre WHOIS pour un domaine et WHOIS pour une IP ?
Pour un domaine, WHOIS retourne des informations sur le titulaire et son bureau d’enregistrement. Pour une IP, il retourne des informations sur l’organisation à qui ce bloc d’adresses a été alloué par un RIR. Dans un incident de sécurité, les deux requêtes sont complémentaires et ne répondent pas aux mêmes questions.
Peut-on automatiser les requêtes WHOIS dans un SIEM ou un SOAR ?
Absolument. La majorité des plateformes SOAR (Splunk SOAR, Palo Alto XSOAR, IBM QRadar SOAR) disposent de connecteurs WHOIS natifs ou permettent d’intégrer des API tierces. L’enrichissement automatique des alertes avec les données WHOIS réduit significativement le temps d’investigation et la charge cognitive des analystes L1.
Les données WHOIS sont-elles suffisantes pour prouver l’origine d’une attaque ?
Pas seules. WHOIS renseigne sur l’opérateur réseau ou le titulaire administratif d’une ressource, pas sur l’auteur de l’attaque. Un cybercriminel peut utiliser un serveur loué, un VPN, un réseau de machines compromises. Les données WHOIS servent à qualifier l’infrastructure et à préparer des demandes de conservation de preuves auprès des hébergeurs, mais une attribution formelle nécessite des investigations judiciaires complémentaires.
Agissez maintenant
Trois points à retenir de cet article :
WHOIS reste un outil d’investigation fondamental en 2026, à condition de comprendre ses limites post-RGPD et de le combiner avec d’autres sources de renseignement.
L’automatisation des requêtes WHOIS via une API fiable est la priorité des équipes qui traitent des volumes d’alertes significatifs.
Les indicateurs WHOIS les plus pertinents ne se lisent pas isolément, ils se croisent : date, registrar, NS, IP, réputation constituent ensemble un profil de risque exploitable.
Commencez par tester dès maintenant : prenez un domaine suspect de vos derniers logs et effectuez une recherche WHOIS complète. Notez les éléments qui vous semblent anormaux, croisez-les avec Virustotal. Vous verrez rapidement à quel point cette habitude d’investigation change la qualité de vos analyses.
En 2027, les évolutions réglementaires attendues autour du système SSAD devraient simplifier l’accès des équipes de sécurité aux données complètes, sous réserve de justifications documentées. Les organisations qui auront structuré leurs processus d’investigation dès maintenant seront les mieux positionnées pour tirer parti de ces évolutions.
