Consulta WHOIS: qué te dice la ficha de un dominio

Qué contiene un registro WHOIS

WHOIS es a la vez un protocolo y el conjunto de bases de datos que consulta. Cada registro guarda una ficha de los dominios que gestiona, y cada registrador acreditado guarda su propia copia de lo que vendió. El protocolo viene de principios de los años ochenta, y por eso la salida todavía se lee como un formulario impreso y no como la respuesta de una API. Una ficha típica lleva:

• Registrador: la empresa a través de la cual se registró el dominio, a veces con la dirección de su propio servidor WHOIS.
• Fecha de creación: cuándo se registró el dominio por primera vez. Un indicador útil de lo asentado que está un sitio.
• Fecha de caducidad en el registro: cuándo termina el periodo de registro actual. Suele ser el campo más importante de todos.
• Fecha de actualización: la última vez que cambió algún dato de la ficha.
• Estado del dominio: uno o varios códigos que describen su situación actual.
• Servidores de nombres: los servidores DNS autoritativos a los que apunta el dominio ahora mismo.
• Contactos del titular, administrativo y técnico: nombre, organización, correo y teléfono, cuando no están ocultos.
• DNSSEC: si el dominio está firmado.
• Contacto de abusos: a dónde informar de phishing, spam u otros usos indebidos ligados al dominio.

Los registros se diferencian en cuánto publican por su cuenta. Un registro "delgado" guarda solo el registrador y unas pocas fechas y espera que el registrador responda del resto; un registro "grueso" guarda la ficha completa de forma centralizada. Una buena herramienta de consulta sigue la referencia automáticamente para que no tengas que hacerlo tú.

Cómo hacer una consulta

La vía rápida es una herramienta WHOIS en la web: escribes el dominio y lees el resultado formateado. Desde un terminal, si tienes un cliente instalado:

whois example.com
whois -h whois.verisign-grs.com example.com   # query a specific registry server

La mayoría de los sistemas operativos ya no incluyen un cliente whois por defecto, que es en parte por lo que existen las herramientas web. Fíjate en que aquí consultas un dominio. Ejecutar whois contra una dirección IP consulta una base de datos completamente distinta, un registro regional de internet, y devuelve el propietario de la red. Las dos son útiles, pero responden a preguntas distintas.

Leer la caducidad, el registrador y los servidores de nombres

Tres campos concentran casi todo el valor práctico, y dos de ellos se malinterpretan a diario.

Caducidad. La fecha de caducidad del registro es cuándo termina el periodo de registro actual, no cuándo el dominio queda disponible para otra persona. Después de la caducidad, casi todos los registradores aplican un periodo de gracia en el que el dueño original todavía puede renovar, seguido de un periodo de redención con una tarifa mayor, seguido del borrado. Los dominios que la gente describe como que "van a liberarse" están semanas por detrás de la fecha de la ficha.

Códigos de estado. Parecen alarmantes y normalmente no lo son. Códigos como clientTransferProhibited son bloqueos de protección que impiden una transferencia no autorizada, y un dominio sano suele llevar varios a la vez. Los que hay que tomarse en serio son serverHold, que por lo general significa que el propio registro ha suspendido el dominio por una cuestión de política o de abuso, y pendingDelete, que significa que ha empezado el proceso de borrado. Todo lo que lleve el prefijo client lo puso el registrador. Todo lo que lleve el prefijo server lo puso el registro, y cuesta más deshacerlo.

Servidores de nombres. Son los servidores DNS autoritativos del dominio, no la dirección del alojamiento web. Un dominio puede usar el DNS de una empresa mientras su contenido vive en un proveedor completamente distinto, así que lee esa línea como "quién responde a las consultas DNS de este dominio".

Por qué los campos de contacto están ocultos y qué se puede saber igualmente

Consulta hoy casi cualquier dominio y los contactos del titular, administrativo y técnico apuntarán a un servicio de privacidad o de proxy en lugar de a un nombre y una dirección reales. Eso es política, no una herramienta rota. Desde que el RGPD entró en vigor en 2018, los registradores han dejado de publicar por defecto los datos personales del titular en la respuesta abierta, y la mayoría aplica la misma ocultación en todo el mundo en lugar de tener reglas distintas por región. Lo que recibes a cambio suele ser el contacto proxy del registrador más un formulario web o una dirección de reenvío que sigue llegando al titular real.

El equilibrio es real. Mantiene las direcciones particulares fuera de internet abierta, y a la vez hace de WHOIS una herramienta de investigación más débil de lo que fue, porque un investigador legítimo y un spammer reciben la misma respuesta ocultada. Algunos registradores tienen un proceso formal de divulgación para solicitudes con un interés legítimo, aunque no garantizan respuesta. Los dominios registrados por organizaciones siguen siendo visibles más a menudo que los registrados a título personal.

Así que la ficha seguirá diciéndote cuándo se registró un dominio y cuándo caduca, quién es el registrador, quién lleva su DNS, si está bloqueado o suspendido, y a dónde enviar un informe de abuso. Normalmente no te dará un nombre personal, un correo ni una dirección del propietario, y no identificará al alojamiento web, que vive en la ficha de la IP y no en la del dominio, ni mostrará historial de dueños anteriores. Una ficha ocultada no es sospechosa en sí misma. Hoy es lo normal en casi todos los dominios.

RDAP, el sucesor de WHOIS

RDAP, el Registration Data Access Protocol, es el sustituto estandarizado por el IETF. En lugar de un bloque de texto con formato libre cuya disposición cambia según el registro, RDAP devuelve JSON estructurado sobre HTTPS, que el software puede analizar de forma fiable. Además se diseñó desde el principio para el acceso diferenciado, así que un registro puede en principio devolver más detalle a un solicitante autenticado con una necesidad legítima que a uno anónimo. Los registros y registradores llevan años obligados a ofrecer servicios RDAP junto a WHOIS, y el ecosistema se va pasando poco a poco. La mayoría de las herramientas de consulta ya preguntan primero a RDAP y recurren al WHOIS clásico, así que la ficha que lees puede ser ya un dato de RDAP presentado con el aspecto de siempre.

Vigilar la fecha de caducidad

Una consulta es una foto fija. El campo que duele cuando se te pasa, la fecha de caducidad, importa un día concreto, y un dominio caducado tumba a la vez un sitio web, su correo y todo lo demás que dependa del nombre. El monitoreo programado repite la consulta por ti y avisa antes de la fecha de caducidad, y también puede vigilar los cambios de servidores de nombres, que son una de las primeras señales de una transferencia no autorizada. La verificación WHOIS hace una consulta ahora mismo. Para el alojamiento en lugar del registrador, la respuesta está en la ficha de la IP: cómo averiguar quién aloja un sitio web.