Zapytanie WHOIS: co mówi Ci rekord domeny

Co zawiera rekord WHOIS

WHOIS to zarówno protokół, jak i zbiór baz danych, które odpytuje. Każdy rejestr trzyma rekord dla domen, którymi zarządza, a każdy akredytowany rejestrator trzyma własną kopię tego, co sprzedał. Protokół sięga początku lat 80., dlatego wynik wciąż wygląda jak wydrukowany formularz, a nie odpowiedź API. Typowy rekord zawiera:

• Rejestrator (registrar): firmę, przez którą zarejestrowano domenę, czasem z adresem jej własnego serwera WHOIS.
• Data utworzenia: kiedy domena została zarejestrowana po raz pierwszy. Przydatny wskaźnik tego, jak ugruntowana jest witryna.
• Data wygaśnięcia w rejestrze: kiedy kończy się bieżący okres rejestracji. Zwykle pojedyncze najważniejsze pole.
• Data aktualizacji: ostatni moment, gdy zmienił się jakikolwiek szczegół rekordu.
• Status domeny: jeden lub więcej kodów opisujących bieżący stan domeny.
• Serwery nazw: autorytatywne serwery DNS, na które domena aktualnie wskazuje.
• Kontakty rejestrującego, administracyjny i techniczny: imię i nazwisko, organizację, e-mail i telefon, tam gdzie nie zostały ukryte.
• DNSSEC: czy domena jest podpisana.
• Kontakt ds. nadużyć: gdzie zgłosić phishing, spam albo inne nadużycie związane z domeną.

Rejestry różnią się tym, ile publikują same. Rejestr "cienki" (thin) trzyma tylko rejestratora i kilka dat, oczekując, że resztę poda rejestrator; rejestr "gruby" (thick) trzyma pełny rekord centralnie. Dobre narzędzie do zapytań samo podąża za tym przekierowaniem, więc nie musisz robić tego ręcznie.

Jak wykonać zapytanie

Szybki sposób to narzędzie WHOIS działające w przeglądarce: wpisz domenę, przeczytaj sformatowany wynik. Z poziomu terminala, jeśli klient jest zainstalowany:

whois example.com
whois -h whois.verisign-grs.com example.com   # zapytanie do konkretnego serwera rejestru

Większość systemów operacyjnych nie ma już domyślnie zainstalowanego klienta whois, co częściowo tłumaczy istnienie narzędzi webowych. Zwróć uwagę, że tutaj pytasz o domenę. Uruchomienie whois dla adresu IP pyta zupełnie inną bazę danych, regionalny rejestr internetowy, i zwraca właściciela sieci zamiast tego. Obie odpowiedzi są przydatne, ale odpowiadają na różne pytania.

Odczytywanie wygaśnięcia, rejestratora i serwerów nazw

Trzy pola niosą większość praktycznej wartości, a dwa z nich są rutynowo błędnie odczytywane.

Wygaśnięcie. Data wygaśnięcia w rejestrze to moment, gdy kończy się bieżący okres rejestracji, a nie moment, gdy domena staje się dostępna dla kogoś innego. Po wygaśnięciu większość rejestratorów uruchamia okres karencji, w którym pierwotny właściciel wciąż może odnowić domenę, potem okres odzyskania z wyższą opłatą, a na końcu usunięcie. Domeny, o których ludzie mówią, że "spadają" (dropping), są tygodnie po dacie widocznej w rekordzie.

Kody statusu. Wyglądają alarmująco i zwykle takie nie są. Kody takie jak clientTransferProhibited to zabezpieczające blokady zapobiegające nieautoryzowanemu transferowi, a zdrowa domena często ma ich kilka naraz. Warto potraktować poważnie serverHold, który zwykle oznacza, że sam rejestr zawiesił domenę z powodu polityki albo nadużycia, oraz pendingDelete, który oznacza, że proces usuwania już się rozpoczął. Każdy z przedrostkiem client został ustawiony przez rejestratora. Każdy z przedrostkiem server został ustawiony przez rejestr i trudniej go cofnąć.

Serwery nazw. To autorytatywne serwery DNS domeny, a nie adres hostingu witryny. Domena może korzystać z DNS jednej firmy, mając treść u zupełnie innego dostawcy, więc czytaj tę linię jako "kto odpowiada na zapytania DNS dla tej domeny".

Dlaczego pola kontaktowe są ukryte i co mimo to możesz się dowiedzieć

Sprawdź dziś niemal dowolną domenę, a kontakt rejestrującego, administracyjny i techniczny będą wskazywać na usługę prywatności albo proxy, a nie na prawdziwe imię i adres. To polityka, a nie zepsute narzędzie. Odkąd w 2018 roku weszło w życie RODO, rejestratorzy domyślnie przestali publikować dane osobowe rejestrującego w otwartej odpowiedzi, a większość stosuje to samo ukrywanie na całym świecie, zamiast prowadzić różne zasady dla różnych regionów. Zamiast tego zwykle dostajesz kontakt proxy rejestratora oraz formularz webowy albo adres przekierowujący, który wciąż dociera do prawdziwego rejestrującego.

Ten kompromis jest realny. Trzyma prywatne adresy domowe z dala od otwartego internetu, a jednocześnie czyni WHOIS słabszym narzędziem śledczym niż był kiedyś, bo legalny badacz i spamer dostają tę samą, ukrytą odpowiedź. Niektórzy rejestratorzy prowadzą formalny proces ujawniania danych dla żądań z uzasadnionym interesem, choć odpowiedź nie jest gwarantowana. Domeny zarejestrowane na organizację częściej pozostają widoczne niż te zarejestrowane na osobę prywatną.

Rekord wciąż powie Ci więc, kiedy domena została zarejestrowana i kiedy wygasa, kto jest rejestratorem, kto prowadzi jej DNS, czy jest zablokowana albo zawieszona, i gdzie wysłać zgłoszenie nadużycia. Zwykle nie poda Ci imienia, e-maila ani adresu właściciela, nie wskaże hostingu witryny, który znajduje się w rekordzie adresu IP, a nie domeny, ani nie pokaże historii poprzednich właścicieli. Ukryty rekord sam w sobie nie jest podejrzany. To dziś domyślny stan niemal każdej domeny.

RDAP, następca WHOIS

RDAP, czyli Registration Data Access Protocol, to ustandaryzowany przez IETF następca. Zamiast luźno sformatowanego bloku tekstu, którego układ różni się w zależności od rejestru, RDAP zwraca ustrukturyzowany JSON przez HTTPS, który oprogramowanie może niezawodnie sparsować. Od początku zaprojektowano go też z myślą o zróżnicowanym dostępie, więc rejestr może w zasadzie zwrócić więcej szczegółów uwierzytelnionemu żądającemu z uzasadnioną potrzebą niż anonimowemu. Rejestry i rejestratorzy są od lat zobowiązani prowadzić usługi RDAP obok WHOIS, a cały ekosystem stopniowo się na nie przenosi. Większość narzędzi do zapytań pyta teraz najpierw RDAP i dopiero potem wraca do klasycznego WHOIS, więc rekord, który czytasz, może już być danymi RDAP przedstawionymi w znajomym układzie.

Pilnowanie daty wygaśnięcia

Zapytanie to migawka. Pole, które boli, gdy je przegapisz, data wygaśnięcia, ma znaczenie w jednym konkretnym dniu, a wygasła domena wyłącza jednocześnie witrynę, jej pocztę i wszystko inne, co zależy od tej nazwy. Zaplanowany monitoring ponawia za Ciebie to zapytanie i ostrzega z wyprzedzeniem przed datą wygaśnięcia, a do tego może pilnować zmian serwerów nazw, co jest jednym z najwcześniejszych sygnałów nieautoryzowanego transferu. Sprawdzenie WHOIS uruchamia zapytanie od razu. Dla hostingu, a nie rejestratora, odpowiedź znajduje się w rekordzie adresu IP: jak znaleźć, kto hostuje witrynę.