WHOIS o RDAP: come scoprire chi possiede un IP o un dominio

Scritto da Aldo · threat hunter in un blue team
Ultimo aggiornamento: 9 novembre 2026 · 4 min di lettura

Ogni volta che vuoi sapere chi è responsabile di un indirizzo IP o di un dominio, finisci per interrogare un registro. Per quarant'anni il modo per farlo è stato WHOIS. Oggi è RDAP. Vale la pena conoscerli entrambi, perché li incontrerai entrambi.

La differenza in un esempio

Ecco parte di ciò che il servizio RDAP di ARIN, il registro del Nord America, ha restituito per 8.8.8.8 il 9 novembre 2026 (ridotto ai campi utili):

{
  "objectClassName": "ip network",
  "handle": "NET-8-8-8-0-2",
  "startAddress": "8.8.8.0",
  "endAddress": "8.8.8.255",
  "name": "GOGL",
  "type": "DIRECT ALLOCATION",
  "parentHandle": "NET-8-0-0-0-0",
  "events": [
    { "eventAction": "registration", "eventDate": "2023-12-28T17:24:33-05:00" },
    { "eventAction": "last changed", "eventDate": "2023-12-28T17:24:56-05:00" }
  ],
  "entities": [
    { "handle": "GOGL", "roles": ["registrant"], "fn": "Google LLC",
      "entities": [
        { "roles": ["abuse"], "email": "network-abuse@google.com" },
        { "roles": ["technical", "administrative"], "email": "arin-contact@google.com" }
      ] }
  ],
  "port43": "whois.arin.net"
}

(Nella risposta reale nomi ed email stanno dentro un formato chiamato jCard; li abbiamo appiattiti per renderli leggibili.) Ogni campo significa la stessa cosa in tutti i registri. Il blocco va da 8.8.8.0 a 8.8.8.255; è un'assegnazione diretta chiamata GOGL, ricavata da un blocco padre più grande; il registrante è Google LLC; e il contatto per gli abusi è un ruolo a parte. L'ultima riga, port43, indica il vecchio server WHOIS per gli stessi dati.

Lancia whois 8.8.8.8 e ottieni informazioni simili sotto forma di righe di testo, nel formato di ARIN. Chiedi a RIPE NCC o APNIC di un loro indirizzo e cambiano i nomi dei campi, l'ordine e le parole. Per una persona va bene, per un programma è un incubo. RDAP risolve esattamente questo.

Interrogare RDAP da solo

Non devi sapere quale registro detiene un indirizzo. Il servizio comunitario rdap.org reindirizza ogni richiesta a quello giusto (per 8.8.8.8 ci ha mandato a rdap.arin.net):

curl -sL https://rdap.org/ip/8.8.8.8
curl -sL https://rdap.org/autnum/15169
curl -sL https://rdap.org/domain/example.com

I percorsi fanno parte dello standard: /ip/ per gli indirizzi, /autnum/ per i numeri di rete (ASN), /domain/ per i nomi di dominio. Aggiungi | jq '.name, .startAddress, .endAddress' per estrarre i campi, se hai jq. Su Windows, Invoke-RestMethod https://rdap.org/ip/8.8.8.8 in PowerShell trasforma il JSON in un oggetto da esplorare.

Va bene anche un browser: apri https://rdap.org/ip/8.8.8.8 e la maggior parte dei browser mostra il JSON in modo leggibile.

Interrogare WHOIS

Su macOS e sulla maggior parte dei sistemi Linux, whois è un comando:

whois 8.8.8.8
whois example.com

Windows non ne include uno; usa le pagine web dei registri, oppure RDAP. Aspettati che le risposte WHOIS per i domini si riducano ancora col tempo: per i domini generici di primo livello (.com, .net, .org e simili), ICANN ha reso RDAP la fonte ufficiale e sta dismettendo WHOIS. I domini nazionali come .it seguono le regole dei rispettivi registri.

Cosa ti dice ognuno

Cerchi	Ottieni	Di solito non ottieni
L'indirizzo IP di un'azienda o di un cloud	L'organizzazione, il blocco, i contatti per abusi e tecnici, le date	Quale cliente del cloud lo usava
L'indirizzo IP di una connessione di casa o mobile	Il provider e il grande blocco a cui appartiene	Nome o indirizzo del cliente: i provider registrano blocchi, non famiglie
Un nome di dominio	Il registrar, le date principali (creazione, scadenza), i name server, lo stato	I dati personali del titolare, di solito oscurati per privacy
Un numero di rete (ASN)	L'organizzazione che gestisce la rete e i suoi contatti	Quali indirizzi annuncia oggi (per quello serve uno strumento di routing)

Se vuoi…

Segnalare un abuso da un indirizzo: cerca l'indirizzo e scrivi al contatto con il ruolo abuse. Il lookup IP di iplover lo mostra direttamente.
Scoprire chi gestisce la rete, invece di chi ha registrato il blocco: cerca anche l'ASN. La nostra guida sugli ASN spiega perché le due cose possono differire.
Contattare il titolare di un dominio: usa il modulo di contatto o l'inoltro email che il registrar offre nella sua risposta RDAP o WHOIS, perché l'indirizzo del titolare di solito è nascosto.
Controllare quando scade un dominio o se è bloccato: date e codici di stato sono sempre pubblici; il report del dominio di iplover li legge per te.

Cosa nessuno dei due può dirti

I dati di registrazione descrivono chi è responsabile di un blocco di indirizzi o di un dominio, secondo il registro. Non seguono i dispositivi, non vengono aggiornati ogni volta che un provider dà un indirizzo a un nuovo cliente e non contengono mai l'indirizzo di casa di una connessione domestica. Quando un sito sostiene di trovare la persona dietro un IP, sta tirando a indovinare a partire dagli stessi dati pubblici che puoi leggere tu.

Fonti

Documenti ufficiali usati per verificare i fatti di questa guida.