Guías · Investigar una IP

WHOIS o RDAP: cómo saber de quién es una IP o un dominio

Escrito por Aldo · threat hunter en un blue team
Última actualización: 9 de noviembre de 2026 · 4 min de lectura

Siempre que quieres saber quién responde de una dirección IP o de un dominio, acabas preguntando a un registro. Durante cuarenta años la forma de hacerlo fue WHOIS. Hoy es RDAP. Conviene conocer los dos, porque te vas a encontrar los dos.

La diferencia en un ejemplo

Esta es parte de lo que devolvió el servicio RDAP de ARIN, el registro de Norteamérica, para 8.8.8.8 el 9 de noviembre de 2026 (recortado a los campos útiles):

{
  "objectClassName": "ip network",
  "handle": "NET-8-8-8-0-2",
  "startAddress": "8.8.8.0",
  "endAddress": "8.8.8.255",
  "name": "GOGL",
  "type": "DIRECT ALLOCATION",
  "parentHandle": "NET-8-0-0-0-0",
  "events": [
    { "eventAction": "registration", "eventDate": "2023-12-28T17:24:33-05:00" },
    { "eventAction": "last changed", "eventDate": "2023-12-28T17:24:56-05:00" }
  ],
  "entities": [
    { "handle": "GOGL", "roles": ["registrant"], "fn": "Google LLC",
      "entities": [
        { "roles": ["abuse"], "email": "network-abuse@google.com" },
        { "roles": ["technical", "administrative"], "email": "arin-contact@google.com" }
      ] }
  ],
  "port43": "whois.arin.net"
}

(En la respuesta real, nombres y correos van dentro de un formato llamado jCard; los hemos aplanado para que se lean.) Cada campo significa lo mismo en todos los registros. El bloque va de 8.8.8.0 a 8.8.8.255; es una asignación directa llamada GOGL, sacada de un bloque padre mayor; el titular es Google LLC; y el contacto de abusos es un rol aparte. La última línea, port43, indica el antiguo servidor WHOIS para los mismos datos.

Lanza whois 8.8.8.8 y obtendrás información parecida en líneas de texto, con el formato de ARIN. Pregunta a RIPE NCC o a APNIC por una dirección suya y cambian los nombres de los campos, el orden y la redacción. Para una persona está bien; para un programa es un suplicio. RDAP resuelve justo eso.

Consultar RDAP tú mismo

No necesitas saber qué registro tiene una dirección. El servicio comunitario rdap.org redirige cada consulta al correcto (para 8.8.8.8 nos mandó a rdap.arin.net):

curl -sL https://rdap.org/ip/8.8.8.8
curl -sL https://rdap.org/autnum/15169
curl -sL https://rdap.org/domain/example.com

Las rutas forman parte del estándar: /ip/ para direcciones, /autnum/ para números de red (ASN), /domain/ para nombres de dominio. Añade | jq '.name, .startAddress, .endAddress' para extraer campos, si tienes jq. En Windows, Invoke-RestMethod https://rdap.org/ip/8.8.8.8 en PowerShell convierte el JSON en un objeto que puedes explorar.

También vale un navegador: abre https://rdap.org/ip/8.8.8.8 y la mayoría mostrarán el JSON de forma legible.

Consultar WHOIS

En macOS y en la mayoría de sistemas Linux, whois es un comando:

whois 8.8.8.8
whois example.com

Windows no trae ninguno; usa las webs de los registros o RDAP. Cuenta con que las respuestas WHOIS de dominios sigan menguando: para los dominios genéricos de primer nivel (.com, .net, .org y similares), la ICANN ha convertido RDAP en la fuente oficial y está retirando WHOIS. Los dominios de país como .es siguen las normas de su propio registro.

Qué te dice cada uno

Si quieres…

• Avisar de un abuso desde una dirección: búscala y escribe al contacto con el rol abuse. La búsqueda de IP de iplover lo muestra directamente.
• Saber quién gestiona la red, en vez de quién registró el bloque: busca también el ASN. Nuestra guía sobre los ASN explica por qué pueden no coincidir.
• Contactar con el titular de un dominio: usa el formulario o el reenvío de correo que ofrece el registrador en su respuesta RDAP o WHOIS, porque la dirección del titular suele estar oculta.
• Ver cuándo caduca un dominio o si está bloqueado: las fechas y los códigos de estado son siempre públicos; el informe de dominio de iplover los lee por ti.

Lo que ninguno de los dos puede decirte

Los datos de registro describen quién responde de un bloque de direcciones o de un dominio, según el registro. No siguen a los dispositivos, no se actualizan cada vez que un proveedor da una dirección a un cliente nuevo y nunca incluyen el domicilio de una conexión doméstica. Cuando una web asegura encontrar a la persona detrás de una IP, está adivinando a partir de los mismos datos públicos que puedes leer tú.