À quoi sert concrètement le Whois ?
Le Whois répond à une question précise : à qui appartient ce bloc d'adresses IP ? Pas au sens de « qui est l'abonné », mais au sens de « quelle organisation a reçu l'attribution de cette plage ». C'est une différence importante. Le Whois ne vous donnera jamais le nom d'un particulier. Il vous dira que le bloc 82.64.0.0/16 est attribué à Orange S.A., enregistré auprès du RIPE, avec tel contact technique.
Dans la pratique, on utilise le Whois quand on a besoin d'aller plus loin qu'un simple lookup. Un administrateur qui reçoit des tentatives d'intrusion depuis une IP donnée peut consulter le Whois pour trouver le contact abuse de l'organisation et signaler le problème. Un juriste peut s'en servir pour identifier l'entité responsable d'un bloc avant d'engager une procédure. C'est un outil d'investigation, pas de surveillance.
Whois et IP Lookup : deux outils, deux usages
On les confond souvent, mais ils ne servent pas la même chose. L'IP Lookup vous donne une vue synthétique et lisible : pays, ville, opérateur, ASN. C'est rapide, c'est clair, et ça suffit pour la majorité des besoins. Le Whois, lui, creuse dans les données d'enregistrement brutes. Il vous montre l'organisation titulaire du bloc, les références administratives, les dates de création et de modification, et les contacts.
Pour savoir d'où vient une IP, un lookup suffit. Pour savoir à qui s'adresser si quelque chose ne va pas avec cette IP, c'est le Whois qu'il faut utiliser. Les deux se complètent, ils ne se remplacent pas.
Les registres internet régionaux : qui gère quoi
Les adresses IP ne tombent pas du ciel. Elles sont distribuées par l'IANA (Internet Assigned Numbers Authority) à cinq registres régionaux, chacun responsable d'une zone géographique. Le RIPE-NCC gère l'Europe, le Moyen-Orient et l'Asie centrale. L'ARIN couvre l'Amérique du Nord. L'APNIC s'occupe de l'Asie-Pacifique. Le LACNIC gère l'Amérique latine, et l'AFRINIC l'Afrique.
Quand vous faites un Whois, c'est la base de données du registre concerné qui répond. Une IP française sera enregistrée au RIPE. Une IP américaine sera chez l'ARIN. Le résultat peut varier en format d'un registre à l'autre, mais les informations de base sont toujours les mêmes : organisation, plage d'adresses, contact et dates.
Lire un résultat Whois sans se perdre
Un résultat Whois brut, c'est un bloc de texte qui peut paraître intimidant au premier coup d'oeil. Mais une fois qu'on sait où regarder, c'est assez simple. Les champs clés sont toujours les mêmes. Le champ route ou inetnum donne la plage d'adresses concernée. Le champ descr décrit l'organisation. origin contient l'ASN. org-name donne le nom complet de l'entité titulaire.
Les champs created et last-modified indiquent quand l'enregistrement a été créé et mis à jour pour la dernière fois. Si un bloc a été créé en 2002 et jamais modifié depuis, c'est généralement le signe d'une attribution stable à un gros opérateur. Les enregistrements récents ou fréquemment modifiés peuvent indiquer des réattributions ou des hébergeurs qui brassent beaucoup d'adresses.
Le contact abuse : la vraie utilité du Whois au quotidien
Pour beaucoup d'administrateurs système, la raison numéro un de consulter un Whois, c'est de trouver le contact abuse. Quand un serveur reçoit du spam, des tentatives de brute-force ou du trafic malveillant depuis une IP, le Whois permet d'identifier à qui envoyer le signalement. Le champ abuse-c (chez le RIPE) ou l'adresse email abuse liée à l'organisation est justement prévue pour ça.
En théorie, chaque organisation qui détient un bloc d'adresses doit maintenir un contact abuse joignable. En pratique, certains hébergeurs réagissent vite, d'autres pas du tout. Mais avoir le contact est déjà la première étape. Sans Whois, il faudrait deviner à qui appartient l'adresse, ce qui serait nettement moins efficace.
Ce que le Whois ne contient pas (et ne contiendra jamais)
Le Whois donne les informations de l'organisation qui détient le bloc d'adresses, pas celles de l'utilisateur final. Si l'IP appartient à Orange, le Whois vous montrera les coordonnées d'Orange, pas celles de l'abonné qui utilise cette IP à un instant T. La correspondance entre une IP et un abonné précis est une donnée que seul l'opérateur détient, et qu'il ne communique qu'aux autorités dans un cadre judiciaire.
Les noms de personnes qui apparaissent parfois dans un Whois sont ceux des contacts techniques ou administratifs désignés par l'organisation, pas des utilisateurs. Et de plus en plus souvent, ces noms sont remplacés par des rôles génériques (« NOC », « Abuse Team ») pour des raisons de vie privée, conformément au RGPD.