C'est quoi un WHOIS IP ?
Un WHOIS IP est une requête qui interroge les bases de données des registres internet régionaux pour savoir à qui appartient une adresse IP. Contrairement au WHOIS domaine qui s'adresse aux registraires, le WHOIS IP remonte directement aux RIR, les Regional Internet Registries : RIPE NCC pour l'Europe, ARIN pour l'Amérique du Nord, APNIC pour l'Asie-Pacifique, LACNIC pour l'Amérique latine et AFRINIC pour l'Afrique.
Ce sont ces organismes qui gèrent l'attribution des blocs d'adresses IP aux opérateurs, entreprises et institutions. Quand vous lancez une recherche WHOIS sur une adresse IP, vous obtenez les informations que l'organisation détentrice de ce bloc a enregistrées auprès de son RIR.
Quelles informations retourne un WHOIS IP ?
Un enregistrement WHOIS IP contient plusieurs types de données. Le plus souvent vous trouverez le nom de l'organisation ou de l'opérateur à qui appartient l'adresse, la plage CIDR qui indique l'étendue du bloc d'adresses, le numéro ASN qui identifie le réseau autonome de l'organisation, le pays d'enregistrement, et les contacts abuse à contacter en cas de signalement.
Certains enregistrements sont très détaillés, d'autres minimalistes. Un grand opérateur télécom comme Orange ou SFR aura des entrées bien renseignées. Une petite entreprise qui loue un bloc à son hébergeur peut avoir des données beaucoup moins complètes. Les dates de création et de mise à jour du bloc sont aussi souvent présentes, ce qui permet de savoir depuis quand ce bloc est attribué.
À quoi sert concrètement un WHOIS IP ?
Le cas d'usage le plus fréquent, de loin, c'est l'analyse de logs. Un administrateur système qui voit une IP inconnue tenter des connexions répétées sur son serveur va faire un WHOIS pour savoir d'où ça vient. Est-ce un datacenter connu, un opérateur résidentiel, un hébergeur de VPN ? La réponse oriente directement la décision de bloquer ou non.
Le deuxième usage important c'est le signalement d'abus. Spam, attaques, scraping agressif, chaque bloc IP a des contacts abuse enregistrés. Le WHOIS vous donne directement l'adresse email à contacter pour signaler un problème à l'organisation responsable. C'est le canal officiel, et certains opérateurs y répondent vraiment. Les équipes sécurité utilisent aussi le WHOIS IP pour contextualiser les menaces : une IP qui appartient à un hébergeur bulletproof connu en Europe de l'Est ne se traite pas de la même façon qu'une IP résidentielle française.
WHOIS IP vs géolocalisation IP : ne pas confondre
Ce sont deux choses différentes que beaucoup de gens mélangent. La géolocalisation IP cherche à déterminer où se trouve physiquement une connexion, à partir de bases de données commerciales comme MaxMind. Le WHOIS IP ne cherche pas à localiser, il dit à qui appartient le bloc d'adresses d'un point de vue administratif.
Résultat concret : le WHOIS d'une IP peut indiquer une organisation basée à Amsterdam parce que c'est là que le bloc a été enregistré, alors que la connexion vient en réalité d'un utilisateur à Paris qui passe par l'infrastructure de cet opérateur. Le WHOIS dit qui est responsable de l'adresse, la géolocalisation essaie de dire d'où elle est utilisée. Les deux sont utiles mais ne répondent pas à la même question.
Comment lire les résultats d'un WHOIS IP ?
Les résultats bruts d'un WHOIS peuvent sembler touffus au premier coup d'oeil. Les champs les plus utiles à repérer sont « org » ou « organisation » qui donne le nom de l'entité responsable, « netname » qui est le nom du bloc, « CIDR » ou « inetnum » qui délimite la plage d'adresses, « country » pour le pays d'enregistrement et « abuse-mailbox » pour les contacts de signalement.
Le numéro ASN mérite une attention particulière. Un ASN identifie un réseau autonome sur internet, et chaque opérateur ou grande entreprise a le sien. En cherchant cet ASN sur des bases comme BGPView ou Hurricane Electric, vous pouvez obtenir encore plus d'informations sur le réseau concerné : quels autres blocs lui appartiennent, avec quels opérateurs il échange du trafic. C'est utile dans un contexte de sécurité ou d'investigation réseau.
Les limites du WHOIS IP
Le WHOIS IP a ses contraintes. La première, c'est que les données ne sont pas toujours à jour. Une organisation peut avoir revendu ou réattribué un bloc sans que l'enregistrement RIR ait été mis à jour dans les délais. C'est moins fréquent que pour les domaines, mais ça arrive.
La deuxième limite concerne les plages attribuées aux grands opérateurs. Quand une IP appartient à Orange, Free ou un hébergeur cloud comme AWS ou OVH, le WHOIS vous dit juste que c'est leur bloc. Vous ne saurez pas quel client final utilise cette adresse précise, parce que cette information n'est pas publique et n'a pas à l'être. Pour aller plus loin, il faudrait contacter l'opérateur directement, ce qui nécessite généralement un cadre légal.