WHOIS d’une adresse IP : localisation, limites et bons outils

Le WHOIS d'une adresse IP renvoie le bloc auquel elle appartient et l'organisation qui le détient auprès d'un registre régional (RIPE NCC, ARIN, APNIC...), avec un pays déclaré et des contacts. Il ne donne pas la position de la machine : pour cela il faut une base de géolocalisation, dont la précision s'arrête le plus souvent au pays, parfois à la ville.

Ce que renvoie réellement un WHOIS sur une adresse IP

Tapez `whois 8.8.8.8` dans un terminal. La réponse vient du registre ARIN et décrit un bloc, pas une machine : NetRange 8.8.8.0 - 8.8.8.255, OrgName Google LLC, une adresse postale à Mountain View, un contact abuse. Rien sur l'endroit où tourne le serveur qui vous a répondu. Et pour cause : 8.8.8.8 est annoncé en anycast depuis des dizaines de points de présence dans le monde, y compris en France.

Le protocole lui-même est rudimentaire. RFC 3912, port TCP 43, une ligne de requête, du texte brut en retour. Chaque registre régional (RIR) maintient sa propre base : ARIN pour l'Amérique du Nord, RIPE NCC pour l'Europe et le Moyen-Orient, APNIC pour l'Asie-Pacifique, LACNIC et AFRINIC pour l'Amérique latine et l'Afrique. Le client whois de votre système interroge d'abord l'IANA ou ARIN, lit la ligne de renvoi, puis repose la question au bon registre. Vous ne voyez que le résultat final.

Les noms de champs changent d'un registre à l'autre, ce qui déroute au début.

Champ RIPE	Équivalent ARIN	Ce qu'il contient
inetnum	NetRange	Le bloc alloué, en notation début - fin
netname	NetName	Nom interne donné au bloc par le détenteur
country	Country	Code ISO 3166-1 déclaré par le détenteur, pas mesuré
org / descr	OrgName	Organisation titulaire de l'allocation
abuse-c	OrgAbuseEmail	Contact à utiliser pour signaler un abus
mnt-by	(absent)	Objet maintainer qui protège l'enregistrement en écriture
last-modified	Updated	Date de dernière mise à jour de l'objet

WHOIS et géolocalisation : deux sources qui ne répondent pas à la même question

C'est la confusion à lever en premier. Le WHOIS enregistre qui a reçu le bloc et quel pays il a déclaré. La géolocalisation IP (GeoIP) tente d'estimer où le trafic sort réellement, en croisant les données des registres avec les annonces BGP, des mesures de latence, les geofeeds publiés par les opérateurs (RFC 8805) et des retours d'utilisateurs. Les deux divergent régulièrement.

Le champ country du RIPE porte d'ailleurs un avertissement dans la documentation du registre : il indique le pays du titulaire ou celui qu'il a choisi, pas forcément celui où les adresses sont utilisées. Un hébergeur néerlandais peut détenir un bloc marqué NL et l'exploiter à Francfort. Le WHOIS dira NL. Une base GeoIP à jour dira DE.

Cas de terrain classique : un abonné 4G connecté depuis Lyon ressort à Paris sur tous les sites de géolocalisation, et il s'inquiète d'un piratage. La raison est structurelle. Les opérateurs mobiles font passer leurs clients par un NAT à grande échelle (CGNAT) dont les pools d'adresses publiques sont enregistrés au siège et annoncés depuis quelques points de sortie nationaux. Ni le WHOIS ni la GeoIP ne verront jamais Lyon, parce que Lyon n'existe nulle part dans la chaîne : l'adresse publique n'apparaît qu'à la sortie du CGNAT.

Sur l'échelle de précision, retenez ceci : le pays est fiable dans la grande majorité des cas, la région est déjà hasardeuse, la ville l'est davantage, et une adresse de rue à partir d'une IP n'existe pas. Les sites qui affichent une épingle sur une carte placent en général le centre de la ville estimée, ou le centre géographique du pays quand ils n'ont rien de plus fin. Cette épingle au milieu d'un champ dans le Cher a fait perdre du temps à plus d'un enquêteur.

Interroger le bon registre en ligne de commande

Trois commandes couvrent la quasi-totalité des besoins.

Le WHOIS texte est en cours de remplacement par RDAP (RFC 7480 à 7484, révisées par les RFC 9082 et 9083). Même contenu, mais servi en JSON sur HTTPS, avec redirection automatique vers le registre compétent. `curl -s https://rdap.arin.net/registry/ip/8.8.8.8 | jq .name` renvoie le netname sans avoir à parser du texte libre ; `https://rdap.org/ip/193.0.6.139` fait le routage vers le RIPE à votre place. Pour un script, c'est ce qu'il faut utiliser. Pour un coup d'œil, whois reste plus rapide à taper.

Attention aux limites de débit. Le RIPE bloque temporairement une adresse source qui dépasse son quota quotidien de requêtes renvoyant des données personnelles (objets person et role), et ARIN coupe aussi les clients trop bavards sur le port 43. Pour enrichir des milliers d'IP, prenez les exports quotidiens des bases que publient les RIR, ou RDAP à un rythme raisonnable.

• `whois 193.0.6.139` : le client choisit seul le registre (ici RIPE NCC) en suivant le renvoi de l'IANA.
• `whois -h whois.ripe.net -- -B 193.0.6.139` : interroge directement le RIPE ; `-B` désactive le filtrage qui masque par défaut les adresses e-mail des contacts.
• `whois -h whois.arin.net "n 8.8.8.8"` : chez ARIN, le préfixe `n` limite la recherche aux objets réseau et évite les correspondances parasites sur les noms d'organisations.

Lire un résultat : l’exemple d’une IP de datacenter

Prenez l'adresse d'un VPS OVH et interrogez le RIPE. L'inetnum est au nom d'OVH SAS, adresse postale à Roubaix, country FR, et l'objet route indique l'AS16276 comme origine. Tout concorde. Sauf que votre VPS est peut-être à Gravelines, à Strasbourg ou à Varsovie : l'inetnum est la vue administrative de l'hébergeur, pas un plan de ses datacenters. Certains opérateurs découpent leurs blocs en sous-objets nommés par site, d'autres non. OVH le fait de façon irrégulière.

Pour approcher l'emplacement réel, on croise. Le numéro d'AS dit qui annonce le préfixe ; un looking glass BGP ou `whois -h whois.radb.net 8.8.8.0/24` montre l'objet route. Un `traceroute` vers l'adresse trahit souvent le datacenter par le nom des routeurs traversés (rbx-, gra-, sbg- chez OVH). Et la latence tranche : un ping à 3 ms depuis Lille et 22 ms depuis Marseille situe la machine dans le nord de la France mieux que n'importe quel WHOIS.

Dernier point, souvent oublié. Le WHOIS ne dit rien de la personne derrière l'adresse. Pour un accès résidentiel, vous verrez Orange, Free, SFR ou Bouygues et une ville de siège ; l'abonné n'est identifiable que par son opérateur, sur réquisition judiciaire. Les sites qui promettent le nom et l'adresse d'un internaute à partir de son IP vendent du vent.

Quel outil pour quelle question

Avant d'ouvrir un terminal, formulez ce que vous cherchez vraiment. La réponse dicte l'outil.

Une dernière précaution. Les bases GeoIP gratuites sont rafraîchies moins souvent que les payantes, et un bloc transféré d'un pays à un autre (les transferts inter-RIR se sont multipliés depuis l'épuisement d'IPv4 au RIPE, le 25 novembre 2019) peut garder son ancienne localisation plusieurs mois dans une base non mise à jour. Quand un résultat vous paraît absurde, vérifiez la date de la base avant de soupçonner le réseau.

Question	Outil	Fiabilité
Qui détient ce bloc, à qui signaler un abus ?	whois ou RDAP auprès du RIR	Élevée : déclaratif mais maintenu par le titulaire
De quel pays sort ce trafic ?	Base GeoIP (MaxMind, IP2Location, ipinfo)	Bonne au niveau pays, variable en dessous
Quelle ville, quel datacenter ?	GeoIP + traceroute + latence	Approximative, à recouper
Qui annonce ce préfixe sur Internet ?	Looking glass BGP, whois.radb.net, bgp.tools	Élevée : données mesurées sur la table BGP
Quelle personne utilise cette IP ?	Aucun outil public	Uniquement l'opérateur, sur réquisition

Questions fréquentes

Le WHOIS d’une IP donne-t-il l’adresse exacte de la machine ?

Non. Il donne l'adresse postale de l'organisation qui a reçu le bloc, en général un siège social. La machine peut se trouver dans un autre datacenter, une autre ville, voire un autre pays.

Pourquoi ma propre IP est-elle localisée dans une autre ville que la mienne ?

Votre fournisseur enregistre ses pools d'adresses au niveau national et les annonce depuis quelques points de sortie. Les bases GeoIP placent donc l'IP sur le siège ou sur le nœud d'interconnexion, pas sur votre domicile. En 4G, derrière un CGNAT, l'écart atteint couramment plusieurs centaines de kilomètres.

Quelle est la différence entre WHOIS et RDAP ?

Même donnée, format différent. WHOIS (RFC 3912) répond en texte brut sur le port 43, RDAP (RFC 9082 et 9083) répond en JSON sur HTTPS et redirige automatiquement vers le registre compétent. Pour un script, RDAP.

Peut-on localiser une adresse IPv6 de la même façon ?

Oui. Les registres tiennent des objets inet6num (RIPE) ou NetRange (ARIN) pour IPv6, et les bases GeoIP couvrent les préfixes IPv6. Les allocations sont larges, un /32 ou un /29 par opérateur, donc la localisation est souvent moins fine qu'en IPv4.

Le champ country du WHOIS est-il fiable ?

Il est déclaratif. Le RIPE précise lui-même qu'il ne reflète pas nécessairement le lieu d'utilisation des adresses. Chez un hébergeur présent dans plusieurs pays, lisez-le comme le pays de facturation, pas comme le pays de déploiement.

À lire aussi

asn · bgp · anycast · cidr

Testez vos connaissances