Dotaz WHOIS: co vám prozradí záznam domény

Co obsahuje záznam WHOIS

WHOIS je zároveň protokol i sada databází, které dotazuje. Každý registr vede záznam pro domény, které spravuje, a každý akreditovaný registrátor vede vlastní kopii toho, co prodal. Protokol pochází z počátku 80. let, a proto výstup stále vypadá spíš jako tištěný formulář než odpověď API. Typický záznam nese:

• Registrátor: společnost, přes kterou byla doména registrována, někdy s adresou vlastního serveru WHOIS.
• Datum vytvoření: kdy byla doména poprvé registrována. Užitečný ukazatel toho, jak zavedený web je.
• Datum vypršení registrace: kdy končí aktuální registrační období. Obvykle nejdůležitější jednotlivé pole.
• Datum aktualizace: kdy se naposledy změnil kterýkoli detail v záznamu.
• Stav domény: jeden nebo více kódů popisujících aktuální stav domény.
• Jmenné servery: autoritativní servery DNS, na které doména aktuálně ukazuje.
• Kontakty držitele, administrativní a technický: jméno, organizace, e-mail a telefon, pokud nejsou skryté.
• DNSSEC: zda je doména podepsaná.
• Kontakt pro zneužití: kam nahlásit phishing, spam nebo jiné zneužití spojené s doménou.

Registry se liší v tom, kolik toho zveřejňují samy. "Tenký" registr drží jen registrátora a pár dat a očekává, že za zbytek odpoví registrátor; "tlustý" registr drží celý záznam centrálně. Dobrý nástroj pro dotazování odkaz sleduje automaticky, takže to nemusíte dělat sami.

Jak spustit dotaz

Rychlá cesta je webový nástroj WHOIS: napište doménu, přečtěte si zformátovaný výsledek. Z terminálu, pokud je nainstalovaný klient:

whois example.com
whois -h whois.verisign-grs.com example.com   # dotaz na konkrétní server registru

Většina operačních systémů už ve výchozím stavu klienta whois nedodává, což je částečně důvod, proč existují webové nástroje. Všimněte si, že zde se dotazujete na doménu. Spuštění whois proti IP adrese se ptá úplně jiné databáze, regionálního internetového registru, a vrátí místo toho vlastníka sítě. Obojí je užitečné, ale odpovídají na jiné otázky.

Jak číst vypršení, registrátora a jmenné servery

Tři pole nesou většinu praktické hodnoty, a dvě z nich se běžně čtou špatně.

Vypršení. Datum vypršení registrace je, kdy končí aktuální registrační období, ne kdy se doména stane dostupnou pro někoho jiného. Po vypršení běží u většiny registrátorů ochranná lhůta, během které může původní vlastník stále obnovit, následovaná lhůtou pro obnovu s vyšším poplatkem, a nakonec smazáním. Domény, o kterých lidé říkají, že "padají", jsou týdny za datem v záznamu.

Stavové kódy. Vypadají znepokojivě a obvykle nejsou. Kódy jako clientTransferProhibited jsou ochranné zámky, které zastaví neautorizovaný převod, a zdravá doména jich často nese hned několik najednou. Ty, které stojí za to brát vážně, jsou serverHold, což obecně znamená, že sám registr doménu pozastavil kvůli porušení pravidel nebo zneužití, a pendingDelete, což znamená, že začal proces mazání. Cokoli s předponou client nastavil registrátor. Cokoli s předponou server nastavil registr, a je to hůř zvratitelné.

Jmenné servery. Toto jsou autoritativní servery DNS domény, ne adresa webhostingu. Doména může používat DNS jedné společnosti, zatímco její obsah sedí u úplně jiného poskytovatele, takže tento řádek čtěte jako "kdo odpovídá na dotazy DNS pro tuto doménu".

Proč jsou kontaktní pole skrytá a co se přesto dozvíte

Vyhledejte dnes téměř jakoukoli doménu a kontakty držitele, administrativní i technický budou ukazovat na službu ochrany soukromí nebo proxy, ne na skutečné jméno a adresu. To je pravidlo, ne rozbitý nástroj. Od nabytí účinnosti GDPR v roce 2018 registrátoři přestali ve výchozím stavu zveřejňovat osobní údaje držitele v otevřené odpovědi, a většina uplatňuje stejné skrytí celosvětově místo různých pravidel podle regionu. Místo toho obvykle dostanete proxy kontakt registrátora plus webový formulář nebo přeposílající adresu, která se přesto dostane ke skutečnému držiteli.

Kompromis je skutečný. Udržuje domácí adresy jednotlivců mimo otevřený internet, a zároveň dělá z WHOIS slabší vyšetřovací nástroj, než býval, protože legitimní badatel a spammer dostanou stejnou skrytou odpověď. Někteří registrátoři provozují formální proces zveřejnění pro žádosti s legitimním zájmem, i když odpověď není zaručená. Domény registrované na organizaci bývají stále viditelné o něco častěji než ty registrované na jednotlivce.

Záznam vám tedy pořád řekne, kdy byla doména registrována a kdy vyprší, kdo je registrátor, kdo provozuje její DNS, zda je uzamčená nebo pozastavená, a kam poslat hlášení o zneužití. Obvykle vám nedá osobní jméno, e-mail ani adresu vlastníka, neidentifikuje webhosting, který žije v záznamu IP adresy, ne domény, a neukáže historii předchozích vlastníků. Skrytý záznam sám o sobě není podezřelý. Dnes je to výchozí stav u téměř každé domény.

RDAP, nástupce WHOIS

RDAP, Registration Data Access Protocol, je nástupce standardizovaný organizací IETF. Místo volně formátovaného textového bloku, jehož rozvržení se liší podle registru, RDAP vrací strukturovaný JSON přes HTTPS, který software umí spolehlivě zpracovat. Byl také od začátku navržený pro rozlišený přístup, takže registr v principu může vrátit více detailů autentizovanému žadateli s legitimní potřebou než anonymnímu. Registry a registrátoři jsou už léta povinní provozovat služby RDAP vedle WHOIS a ekosystém se postupně přesouvá. Většina dotazovacích nástrojů se dnes ptá nejdřív RDAP a teprve pak spadne zpátky na klasický WHOIS, takže záznam, který čtete, už možná jsou data RDAP zobrazená ve známém rozvržení.

Sledování data vypršení

Dotaz je snímek okamžiku. Pole, které bolí, když ho zmeškáte, datum vypršení, záleží na jednom konkrétním dni, a vypršená doména srazí web, jeho e-mail a cokoli dalšího, co na tomto názvu závisí, najednou. Naplánovaný monitoring dotaz za vás opakuje a upozorní předem před datem vypršení, a umí hlídat i změny jmenných serverů, což je jeden z nejranějších signálů neautorizovaného převodu. Kontrola WHOIS spustí dotaz hned teď. Pro hostitele místo registrátora sedí odpověď v záznamu IP adresy: jak zjistit, kdo hostuje web.