Ricerca WHOIS: cosa ti dice il record di un dominio

Cosa contiene un record WHOIS

WHOIS è sia un protocollo sia l'insieme di database che interroga. Ogni registro tiene un record per i domini che gestisce, e ogni registrar accreditato tiene una propria copia di ciò che ha venduto. Il protocollo risale ai primi anni ottanta, motivo per cui l'output si legge ancora come un modulo stampato invece che come una risposta di un'API. Un record tipico contiene:

• Registrar: l'azienda tramite cui il dominio è stato registrato, a volte con l'indirizzo del proprio server WHOIS.
• Data di creazione: quando il dominio è stato registrato per la prima volta. Un proxy utile per capire quanto è consolidato un sito.
• Data di scadenza del registro: quando termina il periodo di registrazione attuale. Di solito il campo singolarmente più importante.
• Data di aggiornamento: l'ultima volta che è cambiato qualsiasi dettaglio sul record.
• Stato del dominio: uno o più codici che descrivono lo stato attuale del dominio.
• Nameserver: i server DNS autoritativi a cui il dominio punta attualmente.
• Contatti del registrante, amministrativo e tecnico: nome, organizzazione, email e telefono, dove non sono stati oscurati.
• DNSSEC: se il dominio è firmato.
• Contatto per abusi: dove segnalare phishing, spam o altri abusi legati al dominio.

I registri differiscono per quanto pubblicano loro stessi. Un registro "thin" tiene solo il registrar e poche date e si aspetta che sia il registrar a rispondere per il resto; un registro "thick" tiene il record completo centralmente. Un buon strumento di ricerca segue il rimando automaticamente così non devi farlo tu.

Come eseguire una ricerca

Il modo veloce è uno strumento WHOIS basato sul web: digita il dominio, leggi il risultato formattato. Da un terminale, se è installato un client:

whois example.com
whois -h whois.verisign-grs.com example.com   # interroga un server di registro specifico

La maggior parte dei sistemi operativi non include più un client whois per impostazione predefinita, il che è parte del motivo per cui esistono gli strumenti web. Nota che qui interroghi un dominio. Eseguire whois su un indirizzo IP interroga un database completamente diverso, un registro internet regionale, e restituisce invece il proprietario della rete. Entrambi sono utili, ma rispondono a domande diverse.

Leggere scadenza, registrar e nameserver

Tre campi portano la maggior parte del valore pratico, e due di essi vengono letti male di routine.

Scadenza. La data di scadenza del registro è quando termina il periodo di registrazione attuale, non quando il dominio diventa disponibile per qualcun altro. Dopo la scadenza la maggior parte dei registrar applica un periodo di grazia durante il quale il proprietario originale può ancora rinnovare, seguito da un periodo di redenzione con una tariffa più alta, seguito dall'eliminazione. I domini che le persone descrivono come "in caduta" sono settimane oltre la data sul record.

Codici di stato. Sembrano allarmanti e di solito non lo sono. Codici come clientTransferProhibited sono blocchi protettivi che impediscono un trasferimento non autorizzato, e un dominio sano ne porta spesso diversi contemporaneamente. Quelli da prendere sul serio sono serverHold, che generalmente significa che il registro stesso ha sospeso il dominio per una questione di policy o di abuso, e pendingDelete, che significa che il processo di eliminazione è iniziato. Qualsiasi cosa con prefisso client è stata impostata dal registrar. Qualsiasi cosa con prefisso server è stata impostata dal registro, ed è più difficile da annullare.

Nameserver. Sono i server DNS autoritativi del dominio, non l'indirizzo dell'host web. Un dominio può usare il DNS di un'azienda mentre il suo contenuto sta su un provider completamente diverso, quindi leggi la riga come "chi risponde alle query DNS per questo dominio".

Perché i campi di contatto sono nascosti, e cosa puoi comunque scoprire

Cerca quasi qualsiasi dominio oggi e i contatti del registrante, amministrativo e tecnico punteranno a un servizio di privacy o proxy invece che a un nome e un indirizzo reali. Questa è una policy, non uno strumento rotto. Da quando il GDPR è entrato in vigore nel 2018, i registrar hanno smesso di pubblicare i dati personali del registrante nella risposta aperta per impostazione predefinita, e la maggior parte applica lo stesso oscuramento in tutto il mondo invece di usare regole diverse per regione. Quello che ottieni invece è tipicamente il contatto proxy del registrar più un modulo web o un indirizzo di inoltro che raggiunge comunque il registrante reale.

Il compromesso è reale. Tiene gli indirizzi di casa delle persone fuori da internet aperto, e rende anche WHOIS uno strumento investigativo più debole di quanto fosse un tempo, perché un ricercatore legittimo e uno spammer ricevono la stessa risposta oscurata. Alcuni registrar gestiscono un processo formale di divulgazione per richieste con un interesse legittimo, anche se una risposta non è garantita. I domini registrati da organizzazioni sono più spesso ancora visibili rispetto a quelli registrati da privati.

Quindi il record ti dirà comunque quando è stato registrato un dominio e quando scade, chi è il registrar, chi gestisce il suo DNS, se è bloccato o sospeso, e dove inviare una segnalazione di abuso. Di solito non ti darà un nome personale, un'email o un indirizzo per il proprietario, e non identificherà l'host web, che vive nel record dell'IP invece che in quello del dominio, né mostrerà alcuna cronologia dei proprietari passati. Un record oscurato non è di per sé sospetto. È l'impostazione predefinita per quasi ogni dominio ormai.

RDAP, il successore di WHOIS

RDAP, il Registration Data Access Protocol, è il sostituto standardizzato dall'IETF. Invece di un blocco di testo formattato in modo poco rigoroso il cui layout varia per registro, RDAP restituisce JSON strutturato su HTTPS, che il software può interpretare in modo affidabile. È stato progettato anche per un accesso differenziato fin dall'inizio, quindi un registro può in linea di principio restituire più dettagli a un richiedente autenticato con un'esigenza legittima rispetto a uno anonimo. I registri e i registrar sono tenuti da anni a eseguire servizi RDAP insieme a WHOIS, e l'ecosistema si sta gradualmente spostando. La maggior parte degli strumenti di ricerca oggi interroga prima RDAP e ripiega su WHOIS classico, quindi il record che leggi potrebbe già essere dati RDAP presentati nel layout familiare.

Sorvegliare la data di scadenza

Una ricerca è un'istantanea. Il campo che fa male quando lo manchi, la data di scadenza, conta in un giorno specifico, e un dominio scaduto mette giù un sito web, la sua email e qualsiasi altra cosa dipenda dal nome allo stesso tempo. Il monitoraggio pianificato riesegue la ricerca per te e avvisa prima della data di scadenza, e può anche sorvegliare i cambiamenti di nameserver, che sono uno dei primi segni di un trasferimento non autorizzato. Il controllo WHOIS esegue una ricerca ora. Per l'host invece che il registrar, la risposta sta nel record dell'IP: come trovare chi ospita un sito web.