WHOIS-opzoeking: wat een domeinrecord u vertelt

Wat een WHOIS-record bevat

WHOIS is zowel een protocol als de verzameling databases die het bevraagt. Elke registry houdt een record bij voor de domeinen die het beheert, en elke geaccrediteerde registrar houdt zijn eigen kopie bij van wat het heeft verkocht. Het protocol dateert uit het begin van de jaren tachtig, en daarom leest de uitvoer nog steeds als een gedrukt formulier in plaats van een API-antwoord. Een typisch record bevat:

• Registrar: het bedrijf waarbij het domein is geregistreerd, soms met zijn eigen WHOIS-serveradres.
• Aanmaakdatum: wanneer het domein voor het eerst werd geregistreerd. Een nuttige indicator voor hoe gevestigd een site is.
• Vervaldatum bij de registry: wanneer de huidige registratieperiode eindigt. Meestal het belangrijkste veld.
• Bijgewerkt op: de laatste keer dat er iets aan het record veranderde.
• Domeinstatus: een of meer codes die de huidige status van het domein beschrijven.
• Nameservers: de autoritatieve DNS-servers waar het domein op dit moment naar wijst.
• Contacten voor registrant, admin en techniek: naam, organisatie, e-mail en telefoon, voor zover niet geredigeerd.
• DNSSEC: of het domein is ondertekend.
• Misbruikcontact: waar u phishing, spam of ander misbruik gekoppeld aan het domein kunt melden.

Registries verschillen in hoeveel ze zelf publiceren. Een "thin"-registry houdt alleen de registrar en een paar datums bij en verwacht dat de registrar voor de rest antwoordt; een "thick"-registry houdt het volledige record centraal bij. Een goede opzoektool volgt de doorverwijzing automatisch, zodat u dat niet zelf hoeft te doen.

Hoe u een opzoeking uitvoert

De snelle manier is een webgebaseerde WHOIS-tool: typ het domein, lees het opgemaakte resultaat. Vanuit een terminal, als er een client is geïnstalleerd:

whois example.com
whois -h whois.verisign-grs.com example.com   # een specifieke registryserver bevragen

De meeste besturingssystemen leveren standaard geen whois-client meer mee, wat mede verklaart waarom de webtools bestaan. Let op dat u hier een domein bevraagt. whois tegen een IP-adres uitvoeren, bevraagt een compleet andere database, een regionale internetregistry, en geeft in plaats daarvan de netwerkeigenaar terug. Beide zijn nuttig, maar ze beantwoorden verschillende vragen.

Vervaldatum, registrar en nameservers lezen

Drie velden dragen het grootste praktische gewicht, en twee ervan worden geregeld verkeerd gelezen.

Vervaldatum. De vervaldatum bij de registry is wanneer de huidige registratieperiode eindigt, niet wanneer het domein beschikbaar komt voor iemand anders. Na de vervaldatum draaien de meeste registrars een respijtperiode waarin de oorspronkelijke eigenaar nog kan verlengen, gevolgd door een terugkoopperiode tegen een hogere prijs, gevolgd door verwijdering. Domeinen die mensen "vrijvallend" noemen, zijn al weken voorbij de datum op het record.

Statuscodes. Deze zien er verontrustend uit en zijn dat meestal niet. Codes zoals clientTransferProhibited zijn beschermende sloten die een ongeautoriseerde overdracht tegenhouden, en een gezond domein draagt er vaak meerdere tegelijk. De codes die u wel serieus moet nemen, zijn serverHold, wat over het algemeen betekent dat de registry zelf het domein heeft opgeschort vanwege een beleids- of misbruikkwestie, en pendingDelete, wat betekent dat het verwijderingsproces is begonnen. Alles met een client-voorvoegsel is ingesteld door de registrar. Alles met een server-voorvoegsel is ingesteld door de registry, en is lastiger ongedaan te maken.

Nameservers. Dit zijn de autoritatieve DNS-servers van het domein, niet het adres van de webhost. Een domein kan de DNS van het ene bedrijf gebruiken terwijl de inhoud bij een compleet andere provider staat, dus lees deze regel als "wie beantwoordt DNS-query's voor dit domein".

Waarom de contactvelden verborgen zijn, en wat u toch nog kunt leren

Zoek vandaag bijna elk domein op en de contacten voor registrant, admin en techniek wijzen naar een privacy- of proxydienst in plaats van naar een echte naam en adres. Dat is beleid, geen kapotte tool. Sinds de AVG in 2018 van kracht werd, publiceren registrars persoonlijke registrantgegevens niet langer standaard in het open antwoord, en de meeste passen dezelfde redactie wereldwijd toe in plaats van per regio andere regels te hanteren. Wat u in plaats daarvan meestal krijgt, is het proxycontact van de registrar plus een webformulier of doorstuuradres dat de echte registrant alsnog bereikt.

De afweging is reëel. Het houdt de thuisadressen van individuen van het open internet weg, en het maakt WHOIS ook een zwakker onderzoeksinstrument dan het ooit was, want een legitieme onderzoeker en een spammer krijgen hetzelfde geredigeerde antwoord. Sommige registrars hanteren een formeel openbaarmakingsproces voor verzoeken met een legitiem belang, al is een reactie niet gegarandeerd. Domeinen die op naam van een organisatie zijn geregistreerd, zijn vaker nog wel zichtbaar dan persoonlijk geregistreerde.

Het record vertelt u dus nog steeds wanneer een domein werd geregistreerd en wanneer het verloopt, wie de registrar is, wie de DNS ervan beheert, of het vergrendeld of opgeschort is, en waar u een misbruikmelding naartoe stuurt. Het geeft u meestal geen persoonlijke naam, e-mail of adres van de eigenaar, en het identificeert niet de webhost, die in het record van het IP-adres staat in plaats van dat van het domein, en toont geen geschiedenis van eerdere eigenaren. Een geredigeerd record is op zichzelf niet verdacht. Het is inmiddels de standaard voor vrijwel elk domein.

RDAP, de opvolger van WHOIS

RDAP, het Registration Data Access Protocol, is de door de IETF gestandaardiseerde vervanger. In plaats van een los opgemaakt tekstblok waarvan de indeling per registry verschilt, geeft RDAP gestructureerde JSON terug via HTTPS, die software betrouwbaar kan verwerken. Het is ook vanaf het begin ontworpen voor gedifferentieerde toegang, zodat een registry in principe meer detail kan teruggeven aan een geauthenticeerde aanvrager met een legitieme reden dan aan een anonieme. Registries en registrars zijn al jaren verplicht om RDAP-diensten naast WHOIS te draaien, en het ecosysteem verschuift geleidelijk mee. De meeste opzoektools bevragen nu eerst RDAP en vallen terug op klassieke WHOIS, dus het record dat u leest, kan al RDAP-data zijn die in de vertrouwde indeling wordt getoond.

De vervaldatum in de gaten houden

Een opzoeking is een momentopname. Het veld dat pijn doet wanneer u het mist, de vervaldatum, telt op één specifieke dag, en een verlopen domein haalt tegelijk een website, de bijbehorende e-mail en alles wat verder van de naam afhangt, offline. Geplande monitoring voert de opzoeking voor u opnieuw uit en waarschuwt voorafgaand aan de vervaldatum, en kan ook letten op wijzigingen aan de nameservers, wat een van de vroegste signalen van een ongeautoriseerde overdracht is. De WHOIS-controle voert nu een opzoeking uit. Voor de host in plaats van de registrar zit het antwoord in het record van het IP-adres: hoe u vindt wie een website host.