WHOIS IP

Les noms de domaine sont gérés par des registres et bureaux d'enregistrement sous l'autorité de l'ICANN, une autorité par extension. Les adresses IP et les numéros d'AS relèvent de cinq registres internet régionaux (RIR) : ARIN (Amérique du Nord), RIPE NCC (Europe, Moyen-Orient, Asie centrale), APNIC (Asie-Pacifique), LACNIC (Amérique latine et Caraïbes) et AFRINIC (Afrique). Chaque RIR alloue des blocs aux FAI et organisations de sa région et publie les données via WHOIS et RDAP.

Une réponse WHOIS domaine décrit la propriété d'un nom. Une réponse WHOIS IP décrit une délégation : quel registre détient le bloc, à quelle organisation il a été attribué, et quel système autonome l'annonce actuellement dans la table de routage BGP. Une même IP peut afficher une adresse d'attribution dans un pays et une origine de routage dans un autre : l'organisation titulaire du bloc et l'opérateur réseau qui fait transiter le trafic ne sont pas toujours la même entité, en particulier chez les hébergeurs et les CDN.

• Registres régionaux : ARIN, RIPE NCC, APNIC, LACNIC, AFRINIC - chacun autoritaire sur son propre espace d'adressage
• L'IANA délègue des blocs aux RIR, qui sous-délèguent aux FAI, hébergeurs et utilisateurs finaux
• RDAP (RFC 9082 / RFC 9083) remplace progressivement le WHOIS historique en port 43, protocole texte sans format standardisé

Un enregistrement de netblock associe une plage CIDR à une organisation enregistrée. La notation CIDR (par exemple 192.0.2.0/24) indique l'adresse réseau et la longueur de préfixe : le chiffre après la barre oblique fixe le nombre de bits réservés au réseau, le reste servant à l'adressage des hôtes. Un /24 fixe 24 bits et en laisse 8 pour les hôtes, soit un bloc IPv4 de 256 adresses.

Un numéro de système autonome identifie un réseau qui applique sa propre politique de routage sur internet. Les ASN sont codés sur 16 bits (1 à 65534, avec des plages privées réservées) ou, depuis l'épuisement de ce pool, sur 32 bits (jusqu'à 4294967295) selon la RFC 6793. Un enregistrement ASN liste le titulaire enregistré, le nombre de préfixes annoncés et le nombre de réseaux qui font du peering avec lui en amont ou en aval.

Un nombre élevé de préfixes annoncés correspond en général à un gros FAI ou fournisseur cloud ; quelques préfixes avec peu de peers correspondent plutôt à un réseau d'utilisateur final ou un petit hébergeur multi-connecté pour la redondance. Le nombre de peerings est un indicateur approximatif de centralité dans le maillage de routage, pas une mesure de volume de trafic.

Les RIR exigent qu'un contact abuse - une adresse email, parfois un numéro de téléphone - soit rattaché à chaque bloc alloué, censé joindre une véritable équipe d'exploitation et non une boîte partagée jamais relevée. C'est le canal correct pour signaler du spam, du scan, du trafic DDoS ou des hôtes compromis rattachés à ce netblock ; contacter le contact abuse du WHOIS domaine du site est la mauvaise piste quand la plainte concerne un comportement réseau plutôt qu'un site web.

Le contact abuse est rattaché au niveau du netblock : un gros hébergeur affiche donc souvent une seule adresse abuse couvrant des milliers d'IP clientes. C'est normal, elle sert à router le signalement vers le service abuse de l'hébergeur, qui identifie ensuite le client concerné en interne.

Le WHOIS traditionnel (RFC 3912) est un protocole texte sur le port TCP 43, sans format de sortie standardisé - chaque registre formate ses champs différemment, ce qui rend le parsing automatique fragile. RDAP (RFC 9082 pour le protocole de requête, RFC 9083 pour le format JSON de réponse) le remplace par du JSON structuré et auto-descriptif, avec un mécanisme de bootstrap (RFC 9224) qui indique au client quel serveur autoritaire interroger pour un bloc d'adresses donné. La plupart des RIR servent désormais RDAP en interface principale, le WHOIS historique restant maintenu pour compatibilité.