Запит WHOIS: що каже запис домену

Що містить запис WHOIS

WHOIS - це водночас і протокол, і набір баз даних, які він опитує. Кожен реєстр веде запис для доменів, якими керує, а кожен акредитований реєстратор веде власну копію того, що продав. Протокол сягає корінням на початок 1980-х, тому вивід досі виглядає як друкована форма, а не відповідь API. Типовий запис містить:

• Registrar (реєстратор): компанія, через яку зареєстровано домен, іноді з адресою власного WHOIS-сервера.
• Creation date (дата створення): коли домен було вперше зареєстровано. Корисний орієнтир того, наскільки давно існує сайт.
• Registry expiry date (дата закінчення терміну дії): коли закінчується поточний період реєстрації. Зазвичай найважливіше окреме поле.
• Updated date (дата оновлення): коли будь-яка деталь запису востаннє змінювалася.
• Domain status (статус домену): один чи кілька кодів, що описують поточний стан домену.
• Name servers (nameserver-и): авторитетні DNS-сервери, на які зараз вказує домен.
• Registrant, admin і technical contacts (контакти власника, адміністративний і технічний): ім'я, організація, електронна пошта й телефон, там, де їх не приховали.
• DNSSEC: чи домен підписаний.
• Abuse contact (контакт для скарг): куди повідомляти про фішинг, спам чи інше зловживання, пов'язане з доменом.

Реєстри різняться тим, скільки публікують самі. "Тонкий" реєстр тримає лише реєстратора й кілька дат і очікує, що реєстратор відповість за решту; "товстий" реєстр тримає повний запис централізовано. Хороший інструмент перевірки автоматично йде за цим переспрямуванням, тож вам не доводиться робити це самому.

Як виконати запит

Швидкий спосіб - вебінструмент WHOIS: введіть домен, прочитайте відформатований результат. З термінала, якщо клієнт встановлено:

whois example.com
whois -h whois.verisign-grs.com example.com   # запит до конкретного сервера реєстру

Більшість операційних систем більше не постачають клієнт whois за замовчуванням, що частково пояснює, чому існують вебінструменти. Зауважте, що тут ви запитуєте саме домен. Запуск whois для IP-адреси звертається до зовсім іншої бази даних, регіонального інтернет-реєстру, і повертає власника мережі. Обидва корисні, але відповідають на різні питання.

Як читати термін дії, реєстратора й nameserver-и

Три поля несуть більшість практичної цінності, і два з них регулярно читають неправильно.

Термін дії. Дата закінчення терміну дії в реєстрі - це коли закінчується поточний період реєстрації, а не коли домен стає доступним комусь іншому. Після закінчення терміну більшість реєстраторів надають пільговий період, протягом якого початковий власник ще може продовжити реєстрацію, за ним іде період відновлення з вищою платою, а потім видалення. Домени, які люди називають такими, що "звільнилися", насправді на кілька тижнів пізніші за дату в записі.

Коди статусу. Вони виглядають тривожно, але зазвичай такими не є. Коди на кшталт clientTransferProhibited - це захисні блокування, що зупиняють неавторизований перенос, і здоровий домен часто несе одразу кілька. Сприймати серйозно варто serverHold, що зазвичай означає, що сам реєстр призупинив домен через проблему з політикою чи зловживанням, і pendingDelete, що означає, що процес видалення вже почався. Усе з префіксом client встановив реєстратор. Усе з префіксом server встановив реєстр, і це складніше скасувати.

Nameserver-и. Це авторитетні DNS-сервери домену, а не адреса вебхостингу. Домен може використовувати DNS однієї компанії, тоді як його вміст лежить у зовсім іншого провайдера, тож читайте цей рядок як "хто відповідає на DNS-запити для цього домену".

Чому контактні поля приховані і що все одно можна дізнатися

Перевірте майже будь-який домен сьогодні, і контакти власника, адміністративний і технічний вказуватимуть на сервіс приватності чи проксі-контакт, а не на справжнє ім'я й адресу. Це політика, а не зламаний інструмент. Відколи в 2018 році набув чинності GDPR, реєстратори перестали публікувати особисті дані власника у відкритій відповіді за замовчуванням, і більшість застосовує те саме приховування всюди у світі, а не різні правила по регіонах. Натомість ви зазвичай отримуєте проксі-контакт реєстратора плюс вебформу чи адресу для пересилання, яка все одно доходить до справжнього власника.

Компроміс тут справжній. Він тримає домашні адреси людей поза відкритим інтернетом, а також робить WHOIS слабшим інструментом розслідування, ніж він був раніше, бо легітимний дослідник і спамер отримують ту саму приховану відповідь. Деякі реєстратори мають формальний процес розкриття для запитів із легітимним інтересом, хоча відповідь не гарантована. Домени, зареєстровані на організацію, частіше все ще видимі, ніж зареєстровані на фізичну особу.

Тож запис усе одно скаже вам, коли домен зареєстрували і коли закінчується його термін дії, хто реєстратор, хто керує його DNS, заблокований він чи призупинений, і куди надсилати скаргу про зловживання. Зазвичай він не дасть вам особисте ім'я, електронну пошту чи адресу власника і не покаже вебхостинг, який живе в записі IP-адреси, а не домену, і не покаже історію попередніх власників. Прихований запис сам собою не є чимось підозрілим. Це типова поведінка майже для кожного домену тепер.

RDAP, наступник WHOIS

RDAP, Registration Data Access Protocol, - це стандартизована IETF заміна. Замість вільно відформатованого текстового блоку, чий вигляд різниться від реєстру до реєстру, RDAP повертає структурований JSON через HTTPS, який програмне забезпечення може надійно розібрати. Його також від початку спроєктували для диференційованого доступу, тож реєстр у принципі може повертати більше деталей автентифікованому запитувачу з легітимною потребою, ніж анонімному. Реєстри й реєстратори вже роками зобов'язані запускати сервіси RDAP поряд із WHOIS, і екосистема поступово переходить туди. Більшість інструментів перевірки тепер спершу запитують RDAP і відкочуються до класичного WHOIS, тож запис, який ви читаєте, може вже бути даними RDAP, представленими у звичному вигляді.

Стежити за датою закінчення терміну дії

Запит - це знімок моменту. Поле, яке боляче пропустити, дата закінчення терміну дії, має значення в один конкретний день, і домен із закінченим терміном дії кладе одночасно і вебсайт, і його пошту, і все інше, що залежить від імені. Запланований моніторинг перезапускає запит за вас і попереджає завчасно до дати закінчення терміну, а також може стежити за змінами nameserver-ів, що є однією з найраніших ознак неавторизованого переносу. Перевірка WHOIS виконує запит просто зараз. Щодо хостингу, а не реєстратора, відповідь лежить у записі IP-адреси: як знайти хостинг-провайдера сайту.