WHOIS: какие данные о домене открыты и как их скрывают

WHOIS — это система, которая отвечает на вопрос: кто и когда зарегистрировал домен. Ответ содержит название регистратора, даты создания и окончания, статусы, перечень серверов имён и, в зависимости от политики зоны, контактные данные владельца. Протокол очень старый, работает по простому текстовому запросу на порт 43, и на нём же основаны привычные веб-формы «проверить домен». Подробности о ролях участников описаны на странице registrator-domenov.

Сегодня наряду с классическим протоколом используется его современная замена RDAP: данные отдаются в структурированном виде и лучше поддерживают ограничения доступа.

Типовой ответ включает домен и его статус, регистратора, даты регистрации, последнего изменения и окончания, серверы имён, признак подписи DNSSEC. Раньше в открытом виде публиковали и имя владельца, адрес, почту, телефон. После вступления в силу европейского регламента GDPR (см. gdpr) и аналогичных требований многие регистраторы скрывают персональные данные физических лиц, показывая вместо них служебные значения или форму связи.

Оттого ответы у разных зон выглядят по-разному: национальные домены нередко публикуют собственный набор полей. Некоторые зоны вообще показывают только техническую часть.

Для отдельных зон запросы к серверам ограничены по частоте, чтобы исключить массовый сбор данных. Если вы получили отказ или пустой ответ при серии проверок, подождите и повторите запрос через веб-форму регистратора, вместо того чтобы повторять его подряд.

Есть два механизма. Первый: автоматическая маскировка, когда регистратор заменяет данные владельца на свои. Второй: услуга конфиденциальности (privacy или услуга доверенного лица), где в поле контакта указывается посредник, а письма владельцу пересылаются. Данные при этом остаются у регистратора, ведь по закону он обязан знать, с кем заключил договор; скрывается лишь публичная часть. По запросу уполномоченных сторон их могут раскрыть.

Поэтому анонимностью такую защиту считать не стоит: это способ убрать телефон и адрес из открытой выдачи и снизить объём спама, а не полное сокрытие личности.

Администраторы смотрят WHOIS, чтобы узнать срок окончания домена, серверы имён и регистратора, к которому обращаться при проблемах. Специалисты по безопасности оценивают возраст домена: недавно созданное имя в подозрительном письме — повод для осторожности, хотя один этот признак ничего не доказывает. При покупке домена проверяют, не истекает ли регистрация и не наложен ли запрет на передачу. См. также фишинг в статье fishing.

Для владельца проверка полезна в обратную сторону: убедитесь, что контакты актуальны, а публичная выдача не раскрывает лишнего.

В Linux и macOS достаточно команды whois example.com. В Windows такой утилиты нет в составе системы, но подойдёт веб-форма регистратора или служба RDAP в браузере. В ответе ищите строки Registrar, Creation Date, Registry Expiry Date, Name Server и Status. Обратите внимание на статусы вроде transfer prohibited: они означают защиту от переноса. Формат текста отличается между зонами, поэтому не ищите жёсткий шаблон, читайте по смыслу.

Владельцу домена стоит время от времени проверять, какие сведения о нём доступны публично. Если в ответе виден адрес проживания или личный телефон, проверьте настройки конфиденциальности в панели регистратора и включите скрытие данных. В ряде национальных зон правила публикации определяются регистром, и часть данных нельзя скрыть, если владелец организация. Пользователю в таком случае остаётся указывать рабочие контакты, а не личные.

При обнаружении чужого домена с признаками подделки, например, копией сайта, можно направить жалобу регистратору: у него есть служебный адрес для сообщений о злоупотреблениях, указанный в ответе. Ответ на такое обращение зависит от политики конкретной компании и закона страны, поэтому результат нельзя считать надёжным.

Учтите ещё один момент: даты в ответе указаны обычно во всемирном времени, и окончание срока в календаре регистратора может отличаться на часы. Продлевайте домен заранее, а не в последний день.