Consulta WHOIS de IP frente a API de geolocalización
Dos preguntas distintas
Con frecuencia se confunden el WHOIS de IP y la geolocalización de IP porque ambos parten de una dirección IP. Responden a preguntas diferentes. Una consulta WHOIS responde a ¿quién es responsable de este bloque de direcciones? Una consulta de geolocalización responde a ¿dónde parece estar esta dirección y qué tipo de red es? Ninguna sustituye a la otra, y los mejores flujos de trabajo usan ambas.
También conviene distinguir esto del WHOIS de dominios, que registra quién dio de alta un nombre de dominio. Este artículo trata del registro de un bloque de direcciones IP, no de un sitio web.
Qué contiene un registro WHOIS de IP
Los registros que asignan el espacio IP (ARIN, RIPE NCC, APNIC, LACNIC y AFRINIC) mantienen una ficha por cada red asignada. Una consulta devuelve el inicio y el final del bloque, la notación CIDR, el nombre y el identificador de la red, las fechas de registro y de última modificación y los contactos registrados: normalmente una organización titular, un contacto administrativo y, algo importante, un contacto de abuso. La consulta whois de IP de ipto devuelve exactamente este registro.
RDAP, el sustituto moderno
El WHOIS clásico es texto plano sin formato fijo, por lo que cada registro se presenta de forma distinta. ipto obtiene los datos mediante RDAP, el Registration Data Access Protocol, que devuelve JSON estructurado y funciona sobre HTTPS. El resultado es el mismo registro, pero coherente y fácil de analizar. Si un registro no tiene servidor RDAP para un rango o está limitando las peticiones, la consulta lo indica con un motivo en lugar de devolver una respuesta vacía.
Qué aporta la geolocalización
El registro anterior no dice dónde se usan las direcciones. La geolocalización cubre ese hueco con un país y una ciudad aproximados, el ASN y el operador de red, si la dirección pertenece a un proveedor de hosting y si está marcada como VPN, nodo de salida de Tor u origen de abuso. Eso se obtiene con la consulta de IP de ipto y, por red, con la consulta de ASN.
Una tercera opción: la vista de empresa
La consulta de IP a empresa concilia el titular de WHOIS con el propietario del ASN y ofrece un único nombre de organización con puntuación de confianza. Use WHOIS cuando necesite ver el registro de origen y todos los contactos; use la vista de empresa cuando solo necesite el propietario probable.
Cuándo usar cada una
- Tramitar una denuncia de abuso: WHOIS, para encontrar el contacto de abuso de la red.
- Personalizar contenido o aplicar una restricción regional: geolocalización.
- Analizar una dirección sospechosa: ambas, además de la comprobación de abuso.
- Averiguar quién opera una red: WHOIS y la consulta de ASN conjuntamente.
Límites de cada una
Los contactos de WHOIS pueden estar desactualizados, y muchos registros muestran un buzón de rol o una organización en lugar de una persona por las normas de privacidad. Además, el titular es la parte a la que se asignó el bloque, que a menudo es un ISP o un proveedor de nube y no el usuario final. La geolocalización es aproximada, normalmente fiable a nivel de país y menos a nivel de ciudad, y una VPN o un proxy pueden hacer que una dirección parezca estar en otro lugar. Trate ambas como indicios, no como pruebas.