WHOIS, per trovare a chi è intestato un dominio

Ogni server Web che si affaccia sulla rete Internet utilizza uno o più indirizzi IP pubblici. Anziché dover ricordare una serie di numeri, per raggiungere ciascun sito si digita un indirizzo mnemonico come google.it o ilsoftware.it. La corrispondenza tra indirizzi mnemonici e IP è risolta ricorrendo all’utilizzo dei server DNS. WHOIS è un protocollo che permette di interrogare i database che ospitano informazioni riguardanti gli assegnatari di una risorsa Internet, come ad esempio un nome di dominio.

Ciascun nome di dominio (come google.it o ilsoftware.it) è assegnato ai richiedenti attraverso una procedura di registrazione gestita da organizzazioni dette registry o, in italiano, registri.

Ogni Paese dispone del suo registro nazionale per la gestione delle richieste relative ai domini Internet con TLD corrispondente. Il TLD (top level domain) è il dominio di primo livello come .it, .fr, .de, .es ma anche come .com, .net, .org., .info: i primi sono ccTLD (Country Code Top Level Domain) a indicare che si tratta di domini geografici mentre i secondi sono gTLD, generici.

Nel caso dei ccTLD, in Italia il Registro .it si occupa dell’assegnazione e della gestione dei domini Internet con TLD .it. La liberalizzazione dei gTLD voluta dall’ICANN ha portato, negli anni, alla nascita di tanti nuovi domini di primo livello.

L’azienda che, in base ad un contratto stipulato con il registro di uno dei domini di primo livello, si occupa di gestire ogni singolo nome di dominio per conto del richiedente (cliente/utente finale) si chiama Registrar.

Usare WHOIS per controllare chi è l’intestatario di un nome di dominio

Ogni registro mette a disposizione un servizio WHOIS che consente di verificare l’intestatario del dominio di proprio interesse. Per consultare questa “anagrafica”, suggeriamo di fare riferimento ad esempio a questo servizio.

Dopo aver digitato un qualunque nome di dominio nella casella di ricerca, si ottiene una risposta che nella prima parte contiene il nome del Registar ovvero il provider che gestisce il dominio. Seguono i DNS autoritativi (non necessariamente forniti dalla stessa azienda che offre hosting, housing o altri servizi di rete e connettività lato server), lo stato del nome di dominio, la data in cui il dominio è stato registrato (con il numero di giorni di attività), il nome del contatto tecnico, gli IP pubblici associati al dominio (risolti dai DNS).

Come eseguire un’interrogazione WHOIS da Windows

Il sistema operativo Microsoft non permette di effettuare ricerche con il protocollo WHOIS. Tuttavia, è possibile servirsi di una comoda utilità Sysinternals (azienda fondata da Mark Russinovich, da anni parte di Microsoft) per lanciare query WHOIS dal prompt dei comandi.

Provate a premere Windows+R in Windows, a digitare cmd quindi inserire quanto segue:

\\live.sysinternals.com\tools\whois.exe nomedeldominio.abc

Dopo qualche istante di attesa, si ottengono tutti i dati del nome di dominio specificato. Senza la necessità di interfacciarsi con alcuna applicazione Web.

La migrazione da WHOIS a RDAP

Il protocollo WHOIS nasce addirittura nel 1982 e da anni si sta cercando di “mandarlo in pensione”. Secondo le autorità che gestiscono l’assegnazione degli IP e dei nomi di dominio, infatti, il protocollo WHOIS non sarebbe conforme ai requisiti tecnici odierni. ICANN ha quindi richiesto ai vari registri di attrezzarsi per rilasciare le informazioni sull'”identità” di indirizzi IP, TLD e nomi a dominio attraverso il protocollo RDAP (Registration Data Access Protocol) a partire da agosto 2019.

RDAP fornisce una risposta leggibile in forma standardizzata (è utilizzato il formato JSON), è basato su HTTP e API REST, l’accesso ai dati è sicuro grazie all’utilizzo del protocollo HTTPS e ciascun registro ha la possibilità di stabilire diversi diritti di accesso per i singoli gruppi di utenti.

Alcuni registri si attivati per migrare a RDAP nel corso degli anni, mentre altri non hanno ancora completato il processo. In una pagina di supporto dedicata, si trovano ad esempio le informazioni sul servizio RDAP sperimentale del Registro .it.

I server RDAP interrogabili a distanza sono riportati a questo indirizzo. Da terminale Linux o da WSL in Windows è possibile digitare qualcosa di simile:

curl -sL https://rdap.arin.net/bootstrap/domain/google.com | jq
curl -sL https://rdap.db.ripe.net/ip/8.8.8.8 | jq

La pipe sul comando jq permette di rendere le risposte restituite via RDAP “umanamente leggibili”. È possibile interrogare i server RDAP per singoli IP o per interi spazi di indirizzi.

Maggiori informazioni sul protocollo RDAP possono essere trovate sul sito di ICANN.

Scoprire i siti ospitati sullo stesso server

Effettuando il reverse IP è possibile stabilire quali siti Internet sono ospitati sulla stessa macchina quindi erogati dallo stesso server Web.

In precedenza abbiamo visto un servizio WHOIS che restituisce anche il numero di siti ospitati allo stesso indirizzo IP pubblico. La corrispondenza tra indirizzo IP pubblico e nomi di dominio è infatti spesso di tipo “uno-a-molti“, nel senso che a un unico indirizzo IP possono rispondere più siti.

Il server Web mostra di volta in volta quello richiesto dall’utente (o meglio, dal suo browser) sulla base di quanto contenuto nell’intestazione HTTP/HTTPS (header).

Digitando un nome di dominio o un IP pubblico nella casella Domain / IP del servizio Reverse IP Lookup, si possono scoprire i domini ospitati sullo stesso server dedicato o cloud.

Va detto che nel caso in cui il sito si avvalga di servizi come Cloudflare, i nomi di dominio restituiti non risiederanno sulla stessa macchina. Cloudflare si comporta infatti come una sorta di server proxy dotato di meccanismi di caching. Funge infatti da intermediario tra il provider scelto dall’utente e il browser del sistema client.

Da tenere presente anche la data riportata nella colonna Last Resolved Date: se non fosse recente, è altamente probabile che il nome a dominio non sia più gestito dallo stesso server Web.

Per verificarlo si può aprire il prompt dei comandi (in Windows digitare cmd nella casella di ricerca del sistema operativo) e digitare il comando nslookup seguito dal nome a dominio da controllare (scoperto usando il Reverse IP Lookup).

L’indirizzo IP riportato sotto la frase Risposta da un server non autorevole deve coincidere con quello inserito nella casella Domain / IP o comunque riportato a destra della frase Reverse IP results for nomedeldominio.it.

Come provare a stabilire quali altri domini fanno capo a uno stesso soggetto

Un tempo la ricerca avanzata disponibile sul sito del Registro .it permetteva di scoprire tantissime informazioni interessanti: l’identificativo di ciascun registrante era infatti pubblicamente visibile. Dal momento che tale funzionalità non è più accessibile, si può usare il motore di ricerca PublicWWW in modo intelligente.

Se nel sorgente della pagina Web di un sito si trova un identificativo univoco (ad esempio l’ID di Google Analytics o di Adsense), inserendolo nella casella di ricerca di PublicWWW si potrebbero trovare i siti che appartengono alla medesima proprietà.

L’idea di far leva sugli ID (di Analytics, Adsense così come di qualunque altro servizio) è davvero eccellente perché con ogni probabilità uno stesso soggetto (privato o impresa che sia) utilizzerà lo stesso account.