Guides · Enquêter sur une IP

WHOIS ou RDAP : comment savoir à qui appartient une IP ou un domaine

Écrit par Aldo · threat hunter en blue team
Dernière mise à jour le 9 novembre 2026 · 4 min de lecture

Chaque fois que vous voulez savoir qui est responsable d'une adresse IP ou d'un domaine, vous finissez par interroger un registre. Pendant quarante ans, on le faisait avec WHOIS. Aujourd'hui, c'est RDAP. Mieux vaut connaître les deux, car vous croiserez les deux.

La différence en un exemple

Voici une partie de ce que le service RDAP de l'ARIN, le registre nord-américain, a renvoyé pour 8.8.8.8 le 9 novembre 2026 (réduit aux champs utiles) :

{
  "objectClassName": "ip network",
  "handle": "NET-8-8-8-0-2",
  "startAddress": "8.8.8.0",
  "endAddress": "8.8.8.255",
  "name": "GOGL",
  "type": "DIRECT ALLOCATION",
  "parentHandle": "NET-8-0-0-0-0",
  "events": [
    { "eventAction": "registration", "eventDate": "2023-12-28T17:24:33-05:00" },
    { "eventAction": "last changed", "eventDate": "2023-12-28T17:24:56-05:00" }
  ],
  "entities": [
    { "handle": "GOGL", "roles": ["registrant"], "fn": "Google LLC",
      "entities": [
        { "roles": ["abuse"], "email": "network-abuse@google.com" },
        { "roles": ["technical", "administrative"], "email": "arin-contact@google.com" }
      ] }
  ],
  "port43": "whois.arin.net"
}

(Dans la vraie réponse, les noms et les adresses e-mail sont placés dans un format appelé jCard ; nous les avons aplatis pour la lecture.) Chaque champ a le même sens dans tous les registres. Le bloc va de 8.8.8.0 à 8.8.8.255 ; c'est une attribution directe nommée GOGL, prise dans un bloc parent plus grand ; le titulaire est Google LLC ; et le contact abus est un rôle à part. La dernière ligne, port43, désigne l'ancien serveur WHOIS pour les mêmes données.

Lancez whois 8.8.8.8 et vous obtiendrez des informations similaires sous forme de lignes de texte, dans le format de l'ARIN. Interrogez le RIPE NCC ou l'APNIC sur l'une de leurs adresses, et les noms des champs, leur ordre et leur formulation changent. Pour un humain, ça va ; pour un programme, c'est un calvaire. RDAP règle exactement ce problème.

Interroger RDAP vous-même

Inutile de savoir quel registre détient une adresse. Le service communautaire rdap.org redirige chaque requête vers le bon (pour 8.8.8.8, il nous a envoyés vers rdap.arin.net) :

curl -sL https://rdap.org/ip/8.8.8.8
curl -sL https://rdap.org/autnum/15169
curl -sL https://rdap.org/domain/example.com

Les chemins font partie de la norme : /ip/ pour les adresses, /autnum/ pour les numéros de réseau (ASN), /domain/ pour les noms de domaine. Ajoutez | jq '.name, .startAddress, .endAddress' pour extraire des champs, si vous avez jq. Sous Windows, Invoke-RestMethod https://rdap.org/ip/8.8.8.8 dans PowerShell transforme le JSON en objet que vous pouvez explorer.

Un navigateur fait aussi l'affaire : ouvrez https://rdap.org/ip/8.8.8.8, et la plupart afficheront le JSON de façon lisible.

Interroger WHOIS

Sous macOS et la plupart des systèmes Linux, whois est une commande :

whois 8.8.8.8
whois example.com

Windows n'en fournit pas ; utilisez les sites des registres, ou RDAP. Attendez-vous à ce que les réponses WHOIS pour les domaines continuent de rétrécir : pour les domaines génériques de premier niveau (.com, .net, .org et compagnie), l'ICANN a fait de RDAP la source officielle et abandonne progressivement WHOIS. Les domaines nationaux comme .fr ou .be suivent les règles de leur propre registre.

Ce que chacun vous apprend

Si vous voulez…

• Signaler un abus venant d'une adresse : recherchez-la et écrivez au contact qui a le rôle abuse. La recherche IP d'iplover l'affiche directement.
• Savoir qui gère le réseau, et non qui a enregistré le bloc : recherchez aussi l'ASN. Notre guide sur les ASN explique pourquoi les deux peuvent différer.
• Contacter le titulaire d'un domaine : utilisez le formulaire ou le relais d'e-mail que le bureau d'enregistrement indique dans sa réponse RDAP ou WHOIS, car l'adresse du titulaire est généralement masquée.
• Voir quand un domaine expire ou s'il est verrouillé : les dates et les codes de statut sont toujours publics ; l'analyse de domaine d'iplover les lit pour vous.

Ce que ni l'un ni l'autre ne peut vous dire

Les données d'enregistrement décrivent qui est responsable d'un bloc d'adresses ou d'un domaine, selon le registre. Elles ne suivent pas les appareils, ne sont pas mises à jour chaque fois qu'un fournisseur attribue une adresse à un nouveau client, et n'incluent jamais l'adresse postale d'une connexion domestique. Quand un site prétend trouver la personne derrière une IP, il devine à partir des mêmes données publiques que vous pouvez lire vous-même.