Pesquisa WHOIS Explicada: Um Guia Técnico Completo para 2025

Uma pesquisa WHOIS é um protocolo de consulta e resposta utilizado para recuperar dados de registo associados a um nome de domínio, endereço IP ou Número de Sistema Autónomo (ASN) de uma base de dados publicamente acessível. O resultado inclui a identidade do registante, contactos administrativos, datas de registo e expiração, servidores de nomes e o registar de registo — todos críticos para a gestão de domínios, investigação de abusos e diagnóstico de redes.

Para qualquer administrador de sistemas, investigador de segurança ou proprietário de domínio, o WHOIS não é meramente uma ferramenta de pesquisa — é uma camada fundamental da infraestrutura de transparência da internet. Compreender como funciona ao nível do protocolo, que dados expõe (e por que razão alguns estão agora redigidos), e como utilizá-lo eficazmente em diferentes ambientes é um conhecimento essencial para qualquer pessoa que gira ativos voltados para a internet.

Que Informações Devolve uma Pesquisa WHOIS?

Os dados devolvidos por uma consulta WHOIS variam consoante o registo, o TLD (Domínio de Topo) e as políticas de privacidade do registar. Num registo totalmente não redigido, pode esperar os seguintes campos:

Informações do Registante

• Nome legal completo ou nome da organização
• Endereço postal físico
• Endereço de email e número de telefone
• País de registo

Contactos Administrativos e Técnicos

• Registos de contacto separados para as funções administrativas e técnicas
• São utilizados para autorização de transferência de domínio, verificação de alterações DNS e escalada de abusos

Detalhes do Registo do Domínio

• Data de Criação: O carimbo de data/hora do registo original (UTC)
• Data de Atualização: A última modificação ao registo
• Data de Expiração: A data em que o domínio caduca se não for renovado — crítica para estratégias de captura de domínios

Registos de Servidores de Nomes

• Os servidores DNS autoritativos para o domínio
• Os dados dos servidores de nomes nunca são redigidos, mesmo ao abrigo do GDPR, porque são operacionalmente necessários

Informações do Registar

• O registar acreditado pela ICANN que gere o domínio (ex.: GoDaddy, Namecheap, Tucows)
• ID do Registar IANA para referência cruzada

Códigos de Estado do Domínio

• Códigos de estado EPP como `clientTransferProhibited`, `serverHold`, ou `pendingDelete` — frequentemente ignorados, mas com significado operacional relevante

Como Funciona o Protocolo WHOIS: Por Dentro

O WHOIS opera sobre a porta TCP 43 utilizando um modelo simples de pedido-resposta em texto simples definido no RFC 3912. É anterior à web moderna e continua a ser um dos protocolos de internet ativos mais antigos ainda em uso generalizado.

Aqui está o ciclo de vida completo de uma consulta:

1. O cliente inicia uma ligação TCP a um servidor WHOIS na porta 43
2. O cliente transmite a cadeia de consulta (ex.: `example.comrn`) em texto simples
3. O servidor WHOIS realiza uma pesquisa na base de dados contra os seus dados de registo
4. O servidor devolve o registo como um fluxo de texto simples e fecha a ligação

Para TLDs genéricos (gTLDs) como `.com` e `.net`, a consulta atinge primeiro o servidor WHOIS thin da Verisign, que devolve apenas os dados do registar e dos servidores de nomes. Uma segunda consulta é então direcionada para o servidor WHOIS thick do próprio registar para recuperar o registo completo do registante. Esta arquitetura de dois níveis explica por que algumas ferramentas mostram dados parciais, a menos que realizem ambas as consultas automaticamente.

Para TLDs de código de país (ccTLDs) como `.de`, `.uk`, ou `.fr`, o próprio registo frequentemente opera um servidor WHOIS thick com o seu próprio esquema e políticas de acesso.

WHOIS vs. RDAP: O Sucessor Moderno

O Registration Data Access Protocol (RDAP) é o substituto padronizado pelo IETF para o WHOIS, definido no RFC 7480–7484. Ao contrário do WHOIS, o RDAP devolve respostas JSON estruturadas, suporta autenticação para acesso em camadas e lida nativamente com nomes de domínio internacionalizados (IDNs).

A ICANN tornou obrigatório o suporte a RDAP para todos os registos e registares de gTLDs a partir de agosto de 2019. No entanto, o WHOIS continua a funcionar em paralelo e ainda é o método dominante utilizado por ferramentas de linha de comandos e sistemas legados. Para novas ferramentas, o RDAP deve ser o protocolo preferido.

Tipos de Pesquisas WHOIS

Pesquisa WHOIS de Domínio

O tipo mais comum. Consulta as bases de dados do registo e do registar para um domínio de segundo nível específico (ex.: `alexhost.com`). Devolve o registo completo de registo conforme descrito acima.

Pesquisa WHOIS de Endereço IP

Consulta as bases de dados do Registo Regional de Internet (RIR) — ARIN (América do Norte), RIPE NCC (Europa/Médio Oriente), APNIC (Ásia-Pacífico), LACNIC (América Latina) ou AFRINIC (África) — para identificar a organização que detém um bloco de IP específico. É indispensável para reportar abusos, validação de geolocalização e resolução de problemas de BGP.

Pesquisa WHOIS de ASN

Um Número de Sistema Autónomo (ASN) identifica um conjunto de prefixos de encaminhamento IP sob um único domínio administrativo. Consultar um ASN revela o operador de rede, a sua política de encaminhamento e os intervalos de IP que anunciam. É utilizado na análise de BGP, decisões de peering e atribuição de fontes de DDoS.

Pesquisa WHOIS Inversa

Uma técnica menos discutida, mas altamente valiosa: em vez de consultar por domínio ou IP, consulta-se por nome do registante, endereço de email ou organização. Isto devolve todos os domínios registados sob essa entidade — poderoso para proteção de marca, investigação de fraudes e inteligência competitiva. Ferramentas como DomainTools e ViewDNS.info suportam isto. Os servidores WHOIS padrão não suportam.

Como Realizar uma Pesquisa WHOIS: Todos os Métodos

Método 1: Interface de Linha de Comandos (Recomendado para Administradores de Sistemas)

O comando `whois` está disponível nativamente no Linux e macOS. Num ambiente de Alojamento VPS a executar Debian ou Ubuntu, o pacote pode precisar de ser instalado:

“`bash

sudo apt install whois -y

“`

Pesquisa básica de domínio:

“`bash

whois example.com

“`

Consultar um servidor WHOIS específico diretamente (útil quando o servidor padrão devolve dados thin):

“`bash

whois -h whois.verisign-grs.com example.com

“`

Pesquisa de endereço IP:

“`bash

whois 93.184.216.34

“`

Pesquisa de ASN:

“`bash

whois AS15169

“`

No Windows, o `whois.exe` nativo da Microsoft Sysinternals é a opção mais limpa:

“`powershell

whois.exe example.com

“`

Dica para administradores de sistemas: Ao criar scripts para pesquisas WHOIS em massa, implemente sempre limitação de taxa (mínimo 1–2 segundos entre consultas). A maioria dos servidores WHOIS aplica limites de taxa rígidos e bloqueará temporariamente o seu IP por consultas agressivas. Para pesquisas de alto volume, o RDAP com cabeçalhos de cache HTTP adequados é uma melhor escolha arquitetural.

Método 2: Ferramentas WHOIS Online

Para pesquisas pontuais sem acesso ao terminal, existem várias ferramentas web autoritativas:

• ICANN Lookup (`lookup.icann.org`) — a fonte canónica; consulta tanto WHOIS como RDAP
• ARIN WHOIS (`search.arin.net`) — para dados de IP e ASN da América do Norte
• Base de Dados RIPE NCC (`apps.db.ripe.net`) — para recursos de IP europeus e do Médio Oriente
• DomainTools — plataforma comercial com WHOIS inverso, registos históricos e monitorização
• MXToolbox — útil para combinar WHOIS com pesquisas de DNS e listas negras num único fluxo de trabalho

Método 3: Integração WHOIS no cPanel

Se gerir domínios através de um painel de controlo, a maioria das integrações de registar apresenta dados WHOIS diretamente. Num VPS com cPanel, a interface WHM fornece utilitários de pesquisa de domínios na secção de Funções DNS, permitindo aos administradores verificar a delegação de servidores de nomes e o estado do registo sem sair do painel.

Método 4: Acesso Programático via API

Para pipelines de monitorização automatizados, estão disponíveis várias APIs RDAP e WHOIS:

“`python

import requests

domain = "example.com"

response = requests.get(f"https://rdap.org/domain/{domain}")

data = response.json()

print(data["ldhName"]) # Domain name

print(data["events"]) # Creation, expiration, last changed

print(data["nameservers"]) # Authoritative nameservers

“`

O serviço de bootstrap `rdap.org` encaminha automaticamente a sua consulta para o endpoint RDAP correto do registo, eliminando a necessidade de codificar endereços de servidor.

Interpretação dos Códigos de Estado EPP: O Que a Maioria dos Guias Ignora

Os códigos de estado do Extensible Provisioning Protocol (EPP) num registo WHOIS são frequentemente mal compreendidos. Afetam diretamente as operações que podem ser realizadas num domínio:

Um domínio que apresente apenas o estado `ok` sem bloqueios de transferência é um risco de segurança — é trivialmente fácil iniciar uma transferência não autorizada. Certifique-se sempre de que `clientTransferProhibited` está definido nos domínios de produção.

Privacidade de Dados WHOIS, GDPR e o Quadro SSAD

O Regulamento Geral sobre a Proteção de Dados (GDPR), em vigor desde maio de 2018, alterou fundamentalmente a disponibilidade pública dos dados WHOIS para registantes no Espaço Económico Europeu. O impacto estende-se globalmente porque a maioria dos principais registares aplicou políticas de redação universalmente, em vez de o fazer numa base geográfica por registante.

O que mudou:

• Os dados pessoais do registante (nome, email, telefone, endereço) são substituídos por `REDACTED FOR PRIVACY` ou encaminhados através de um serviço de proxy de privacidade
• Endereços de email proxy fornecidos pelo registar (ex.: `abc123@proxy.registrar.com`) substituem os emails de contacto direto
• Os dados dos servidores de nomes, a identidade do registar e os códigos de estado EPP permanecem publicamente visíveis

O que não foi resolvido:

O Sistema de Acesso/Divulgação Padronizado (SSAD) da ICANN foi proposto como um mecanismo para permitir que partes verificadas (forças de segurança, advogados de propriedade intelectual, investigadores de cibersegurança) acedam a dados WHOIS não públicos através de um gateway centralizado. Em 2025, a implementação do SSAD permanece incompleta, criando uma lacuna significativa nos fluxos de trabalho de investigação de abusos. As equipas de segurança reportam frequentemente que rastrear infraestruturas de phishing e campanhas de spam é substancialmente mais difícil após o GDPR, devido à ausência de um mecanismo de divulgação funcional.

Implicação prática: Quando encontrar um registo WHOIS totalmente redigido, o seu caminho de escalada para abusos é através do contacto de abuso do registar (sempre listado, nunca redigido) ou através do sistema de reporte de abusos do registo. O registar é contratualmente obrigado, ao abrigo da política da ICANN, a encaminhar reclamações de abuso para o registante.

Por Que Razão as Pesquisas WHOIS São Importantes: Casos de Uso Reais

Aquisição de domínios e due diligence

Antes de adquirir um domínio no mercado secundário, uma pesquisa WHOIS revela a data de expiração, o registar atual e o estado do bloqueio de transferência. Verificar os registos WHOIS históricos do domínio (via DomainTools ou Wayback Machine) pode expor uso anterior para spam ou distribuição de malware, o que pode ter resultado em inclusão em listas negras.

Resolução de problemas de DNS

Quando um domínio não resolve corretamente, os campos de servidores de nomes do WHOIS são o primeiro ponto de diagnóstico. Uma discrepância entre os servidores de nomes listados no WHOIS e os servidores autoritativos reais na cadeia de delegação DNS é uma causa raiz comum de falhas de resolução. Isto é particularmente relevante ao migrar alojamento entre fornecedores — por exemplo, mover para um ambiente de Servidor Dedicado requer atualizar tanto os registos de servidores de nomes do registar como a configuração da zona DNS.

Validação de emissão de certificados SSL

As Autoridades de Certificação que realizam verificações de validação de domínio (DV) podem cruzar dados WHOIS. Se o seu domínio tiver proteção de privacidade ativada, certifique-se de que o serviço proxy do seu registar encaminha corretamente os emails de validação. Configurações incorretas aqui são uma causa comum de falhas na emissão de certificados SSL, particularmente para certificados wildcard e multi-domínio.

Investigação de phishing e abusos

As equipas de operações de segurança utilizam o WHOIS para correlacionar domínios maliciosos com atores de ameaças conhecidos. Endereços de email de registantes partilhados, padrões de servidores de nomes e clusters de tempo de registo são indicadores de infraestrutura coordenada. Mesmo com redação GDPR, os dados de servidores de nomes e registar frequentemente fornecem pontos de pivô suficientes.

Proteção de marca e aplicação de marcas registadas

As equipas jurídicas utilizam o WHOIS para identificar cybersquatters e apresentar reclamações UDRP (Política Uniforme de Resolução de Disputas de Nomes de Domínio) junto da ICANN. O endereço de contacto proxy do registante é suficiente para iniciar procedimentos formais.

Monitorização competitiva de domínios

Acompanhar quando os domínios de concorrentes são registados, renovados ou transferidos pode revelar sinais estratégicos. Um domínio a mover para um novo registar ou fornecedor de servidores de nomes pode indicar uma migração de plataforma ou alteração de infraestrutura.

Exemplo de Saída WHOIS: Anotado

Abaixo está um registo WHOIS representativo com anotações que explicam o significado de cada campo:

“`

Domain Name: EXAMPLE.COM

Registry Domain ID: 2336799_DOMAIN_COM-VRSN ← Verisign registry ID

Registrar WHOIS Server: whois.registrar.com

Registrar URL: https://www.registrar.com

Updated Date: 2024-08-15T10:22:00Z ← Last record modification

Creation Date: 2000-01-01T00:00:00Z ← Original registration

Registry Expiry Date: 2026-01-01T00:00:00Z ← Renewal deadline

Registrar: Example Registrar, Inc.

Registrar IANA ID: 1234

Registrar Abuse Contact Email: abuse@registrar.com ← Always public

Registrar Abuse Contact Phone: +1.8005551234

Domain Status: clientDeleteProhibited ← Transfer/delete locks

Domain Status: clientTransferProhibited

Domain Status: clientUpdateProhibited

Name Server: NS1.EXAMPLEHOST.COM ← Authoritative DNS

Name Server: NS2.EXAMPLEHOST.COM

DNSSEC: unsigned ← No DNSSEC — potential risk

“`

O campo `DNSSEC: unsigned` merece destaque. Um domínio sem DNSSEC é vulnerável a ataques de envenenamento de cache DNS. Para qualquer domínio que lide com transações financeiras ou dados sensíveis de utilizadores, a assinatura DNSSEC deve ser considerada obrigatória.

WHOIS para Validação de Infraestrutura de Email

Uma aplicação menos discutida do WHOIS é a validação da legitimidade dos domínios de envio em fluxos de trabalho de segurança de email. Ao configurar Alojamento de Email ou analisar correio recebido, cruzar a idade de registo WHOIS do domínio de envio com o seu volume de email pode sinalizar domínios recentemente registados (com menos de 30 dias) que estão desproporcionalmente ativos — um forte indicador de infraestrutura de spam ou phishing.

Os agentes de transferência de correio e as plataformas anti-spam incorporam cada vez mais dados de idade WHOIS nos seus modelos de pontuação, juntamente com a validação SPF, DKIM e DMARC.

Matriz de Decisão Técnica: Escolher o Seu Método WHOIS

Lista de Verificação Prática: Boas Práticas WHOIS para Proprietários de Domínios

• Ative o bloqueio de transferência do registar (`clientTransferProhibited`) em todos os domínios de produção imediatamente após o registo
• Configure a proteção de privacidade WHOIS para evitar a exposição de dados pessoais, mas verifique que o serviço proxy do seu registar encaminha corretamente os emails de abuso e validação
• Monitorize as datas de expiração com alertas automáticos — a maioria dos registares oferece isto, mas uma ferramenta de monitorização secundária proporciona redundância
• Verifique a exatidão dos servidores de nomes no WHOIS após qualquer migração DNS; a propagação pode demorar até 48 horas, mas o registo WHOIS deve atualizar em minutos
• Verifique o estado DNSSEC e ative a assinatura se o seu registar e fornecedor DNS o suportarem
• Reveja os códigos de estado EPP periodicamente — alterações inesperadas de estado podem indicar acesso não autorizado à conta
• Para domínios registados através de serviços de Registo de Domínios, confirme que o contacto de abuso do registar é responsivo antes de ocorrer um incidente
• Cruze o registo WHOIS do seu domínio com bases de dados de listas negras após qualquer incidente de segurança para avaliar o impacto reputacional

FAQ

Qual é a diferença entre um registo WHOIS thin e thick?

Um registo WHOIS thin, devolvido pelo registo (ex.: Verisign para `.com`), contém apenas o nome do registar, servidores de nomes e códigos de estado. Um registo WHOIS thick, devolvido pelo próprio servidor WHOIS do registar, inclui os dados completos de contacto do registante. A maioria das ferramentas de pesquisa realiza ambas as consultas automaticamente, mas consultar diretamente o servidor do registo devolverá apenas dados thin.

Por que razão uma pesquisa WHOIS mostra “REDACTED FOR PRIVACY” em vez de detalhes de contacto?

Após o GDPR, a maioria dos registares globalmente aplica redação de privacidade aos dados pessoais do registante por defeito ou como serviço opcional. O contacto de abuso do registar permanece visível. Para contactar o proprietário do domínio, utilize o endereço de email proxy ou o formulário de contacto fornecido no registo.

Os dados WHOIS podem ser utilizados como prova legal de propriedade de domínio?

Os registos WHOIS não são prova legalmente autoritativa de propriedade por si só — refletem dados de registo, não título. Em processos UDRP e casos judiciais, os registos WHOIS são utilizados como prova de suporte juntamente com os registos de conta do registar, que são a fonte autoritativa. Os dados de conta do registar requerem um pedido legal formal para serem obtidos.

Com que frequência os dados WHOIS são atualizados após uma alteração?

As bases de dados WHOIS dos registares tipicamente refletem alterações em minutos a algumas horas após uma modificação. Os dados ao nível do registo (servidores de nomes, códigos de estado) propagam-se para o servidor WHOIS do registo em minutos. No entanto, agregadores WHOIS de terceiros e proxies de cache podem servir dados desatualizados por até 24–48 horas.

O que significa o estado “pendingDelete” e o domínio ainda pode ser recuperado?

`pendingDelete` significa que o domínio passou pelo seu período de carência de expiração e período de redenção e está em fila para eliminação pelo registo. Para domínios `.com` e `.net`, esta fase dura aproximadamente 5 dias. Durante este período, o registante original não pode recuperar o domínio — só pode ser registado por qualquer pessoa assim que for libertado. O estado `redemptionPeriod`, que precede `pendingDelete`, é a última janela de recuperação, tipicamente mediante uma taxa premium significativa cobrada pelo registar.