Guias · Investigar um IP

WHOIS ou RDAP: como descobrir de quem é um IP ou um domínio

Escrito por Aldo · threat hunter em um blue team
Última atualização: 9 de novembro de 2026 · 4 min de leitura

Sempre que você quer saber quem responde por um endereço IP ou por um domínio, acaba perguntando a um registro. Por quarenta anos, a forma de fazer isso foi o WHOIS. Hoje é o RDAP. Vale conhecer os dois, porque você vai esbarrar nos dois.

A diferença num exemplo

Esta é parte do que o serviço RDAP da ARIN, o registro da América do Norte, devolveu para 8.8.8.8 em 9 de novembro de 2026 (cortado nos campos úteis):

{
  "objectClassName": "ip network",
  "handle": "NET-8-8-8-0-2",
  "startAddress": "8.8.8.0",
  "endAddress": "8.8.8.255",
  "name": "GOGL",
  "type": "DIRECT ALLOCATION",
  "parentHandle": "NET-8-0-0-0-0",
  "events": [
    { "eventAction": "registration", "eventDate": "2023-12-28T17:24:33-05:00" },
    { "eventAction": "last changed", "eventDate": "2023-12-28T17:24:56-05:00" }
  ],
  "entities": [
    { "handle": "GOGL", "roles": ["registrant"], "fn": "Google LLC",
      "entities": [
        { "roles": ["abuse"], "email": "network-abuse@google.com" },
        { "roles": ["technical", "administrative"], "email": "arin-contact@google.com" }
      ] }
  ],
  "port43": "whois.arin.net"
}

(Na resposta real, nomes e e-mails ficam dentro de um formato chamado jCard; nós achatamos para facilitar a leitura.) Cada campo significa a mesma coisa em todos os registros. O bloco vai de 8.8.8.0 a 8.8.8.255; é uma alocação direta chamada GOGL, tirada de um bloco pai maior; o dono é a Google LLC; e o contato de abuso é um papel separado. A última linha, port43, indica o antigo servidor WHOIS com os mesmos dados.

Rode whois 8.8.8.8 e você recebe informações parecidas em linhas de texto, no formato da ARIN. Pergunte ao RIPE NCC ou à APNIC por um endereço deles e mudam os nomes dos campos, a ordem e o texto. Para uma pessoa, tudo bem; para um programa, é um sofrimento. O RDAP resolve exatamente isso.

Consulte o RDAP você mesmo

Você não precisa saber qual registro tem um endereço. O serviço comunitário rdap.org redireciona cada consulta para o registro certo (para 8.8.8.8, ele nos mandou para rdap.arin.net):

curl -sL https://rdap.org/ip/8.8.8.8
curl -sL https://rdap.org/autnum/15169
curl -sL https://rdap.org/domain/example.com

Os caminhos fazem parte do padrão: /ip/ para endereços, /autnum/ para números de rede (ASNs), /domain/ para nomes de domínio. Acrescente | jq '.name, .startAddress, .endAddress' para extrair campos, se você tiver o jq. No Windows, Invoke-RestMethod https://rdap.org/ip/8.8.8.8 no PowerShell transforma o JSON num objeto que dá para explorar.

Um navegador também serve: abra https://rdap.org/ip/8.8.8.8 e a maioria vai mostrar o JSON de forma legível.

Consulte o WHOIS

No macOS e na maioria dos sistemas Linux, whois é um comando:

whois 8.8.8.8
whois example.com

O Windows não traz um; use os sites dos registros, ou o RDAP. Espere que as respostas WHOIS para domínios encolham ainda mais com o tempo: para os domínios genéricos de primeiro nível (.com, .net, .org e afins), a ICANN tornou o RDAP a fonte oficial e está aposentando o WHOIS. Domínios de país como .br seguem as regras do próprio registro.

O que cada um diz

Se você quer…

• Denunciar um abuso vindo de um endereço: consulte-o e escreva para o contato com o papel abuse. A consulta de IP do iplover mostra isso direto.
• Saber quem opera a rede, em vez de quem registrou o bloco: consulte também o ASN. O nosso guia sobre ASNs explica por que os dois podem não bater.
• Falar com o titular de um domínio: use o formulário ou o encaminhamento de e-mail que o registrador indica na resposta RDAP ou WHOIS, porque o endereço do titular costuma estar oculto.
• Ver quando um domínio expira ou se está travado: as datas e os códigos de status são sempre públicos; a análise de domínio do iplover lê isso para você.

O que nenhum dos dois consegue dizer

Os dados de registro descrevem quem responde por um bloco de endereços ou por um domínio, segundo o registro. Eles não acompanham aparelhos, não são atualizados toda vez que um provedor entrega um endereço a um novo cliente e nunca incluem o endereço de uma conexão doméstica. Quando um site diz que encontra a pessoa por trás de um IP, está chutando a partir dos mesmos dados públicos que você mesmo pode ler.