WHOIS IP ou API de géolocalisation IP : que choisir
Deux questions différentes
On confond souvent le WHOIS IP et la géolocalisation IP parce que les deux partent d'une adresse IP. Ils répondent pourtant à des questions différentes. Une recherche WHOIS répond à qui est responsable de ce bloc d'adresses ? Une recherche de géolocalisation répond à où cette adresse semble-t-elle se trouver, et de quel type de réseau s'agit-il ? Aucune ne remplace l'autre, et les meilleurs flux de travail utilisent les deux.
Il est aussi utile de distinguer ce sujet du WHOIS de domaine, qui indique qui a enregistré un nom de domaine. Cet article traite de l'enregistrement du registre pour un bloc d'adresses IP, et non pour un site web.
Ce que contient un enregistrement WHOIS IP
Les registres qui attribuent l'espace IP (ARIN, RIPE NCC, APNIC, LACNIC et AFRINIC) tiennent un enregistrement pour chaque réseau alloué. Une recherche renvoie le début et la fin du bloc, la notation CIDR, le nom et l'identifiant du réseau, les dates d'enregistrement et de dernière modification, ainsi que les contacts déclarés : généralement une organisation titulaire, un contact administratif et, point important, un contact pour les abus. La recherche whois IP d'ipto renvoie exactement cet enregistrement.
RDAP, le successeur moderne
Le WHOIS classique est du texte brut sans format fixe, si bien que chaque registre a son propre aspect. ipto récupère les données via RDAP, le Registration Data Access Protocol, qui renvoie du JSON structuré et fonctionne sur HTTPS. Le résultat est le même enregistrement, mais cohérent et facile à analyser. Si un registre n'a pas de serveur RDAP pour une plage ou limite le débit des requêtes, la recherche l'indique avec un motif au lieu de renvoyer une réponse vide.
Ce qu'apporte la géolocalisation
L'enregistrement ci-dessus n'indique pas où les adresses sont utilisées. La géolocalisation comble ce manque avec un pays et une ville approximatifs, l'ASN et l'opérateur du réseau, l'appartenance éventuelle de l'adresse à un hébergeur, et son signalement éventuel comme VPN, nœud de sortie Tor ou source abusive. Vous obtenez cela avec la recherche IP d'ipto et, pour chaque réseau, avec la recherche ASN.
Une troisième option : la vue entreprise
La recherche d'entreprise à partir d'une IP rapproche le titulaire WHOIS du propriétaire de l'ASN et fournit un nom d'organisation unique assorti d'un score de confiance. Utilisez le WHOIS lorsque vous devez voir l'enregistrement sous-jacent et tous les contacts ; utilisez la vue entreprise lorsque vous n'avez besoin que du propriétaire probable.
Quand utiliser quoi
- Traiter un signalement d'abus : le WHOIS, pour trouver le contact abus du réseau.
- Personnaliser le contenu ou appliquer une restriction régionale : la géolocalisation.
- Trier une adresse suspecte : les deux, plus la vérification d'abus.
- Déterminer qui exploite un réseau : le WHOIS et la recherche ASN ensemble.
Limites de chacun
Les contacts WHOIS peuvent être obsolètes, et de nombreux enregistrements affichent une boîte aux lettres de rôle ou une organisation plutôt qu'une personne, en raison des règles de confidentialité. Le titulaire est aussi la partie à qui le bloc a été alloué, souvent un FAI ou un fournisseur cloud plutôt que l'utilisateur final. La géolocalisation est approximative, généralement fiable au niveau du pays et moins à celui de la ville, et un VPN ou un proxy peut faire paraître une adresse située ailleurs. Considérez les deux comme des indices, pas comme des preuves.