Comment récupérer les données de l'historique WHOIS d'un domaine après expurgation ?

Les données WHOIS sont utiles pour traquer les cybermenaces, vérifier la propriété d'une entreprise et prévenir l'utilisation abusive des noms de domaine associés à des marques. Pendant des décennies, ces informations étaient publiques et facilement accessibles.

Ces derniers temps, il est devenu beaucoup plus difficile d'identifier la personne derrière un nom de domaine. Une simple recherche WHOIS ne fournit que très peu d'informations, car la plupart des données sont désormais soit masquées, soit protégées par des mesures de confidentialité (il s'agit là de mécanismes différents que nous aborderons plus tard).

Dans cet article, nous allons vous présenter plusieurs méthodes permettant aux chercheurs en cybersécurité d'accéder aux informations WHOIS réelles malgré leur masquage ou la protection de la vie privée. Nous expliquerons également pourquoi les données WHOIS sont désormais protégées. 

Masquage des données WHOIS vs. Confidentialité WHOIS

La masquage des données WHOIS et la confidentialité WHOIS peuvent sembler être la même chose, et dans une certaine mesure, c'est vrai : les deux masquent les informations relatives au titulaire du nom de domaine. Cependant, leur fonctionnement diffère. 

La confidentialité WHOIS est un service — dans certains cas, vous devez effectivement payer pour en bénéficier. Ces services collaborent avec les bureaux d'enregistrement de noms de domaine et remplacent vos informations personnelles par les coordonnées d'un intermédiaire. Si quelqu'un effectue une recherche sur un domaine bénéficiant d'une protection de la confidentialité, il verra s'afficher «Informations non divulguées pour des raisons de confidentialité », « Domains by Proxy » ou le nom et l'adresse d'un autre fournisseur de services de confidentialité WHOIS, mais pas le nom du véritable propriétaire du domaine.

La masquage des données WHOIS est différent. Il ne s'agit pas d'un choix effectué par l'utilisateur, mais d'une politique appliquée par le bureau d'enregistrement ou le registre. Le masquage supprime complètement ces informations de l'espace public. Au lieu d'afficher un nom de proxy, vous voyez une mention telle que « Masqué pour des raisons de confidentialité ».

Pourquoi les données WHOIS sont-elles masquées pour des raisons de confidentialité ?

Si les services de confidentialité WHOIS existent depuis des décennies (Domains by Proxy, par exemple, a été fondé en 2004), la masquage des données n'a fait son apparition qu'avec l'entrée en vigueur du Règlement général sur la protection des données (RGPD). Lorsque le RGPD est entré en vigueur en Europe, l'ICANN (Internet Corporation for Assigned Names and Numbers) a dû modifier la manière dont elle traitait les données d'enregistrement.

En 2018, l'ICANN a mis en œuvre la spécification temporaire relative aux données d'enregistrement des domaines de premier niveau génériques (gTLD). Cette règle imposait aux bureaux d'enregistrement et aux registres de masquer les données à caractère personnel, sauf si le titulaire du nom de domaine consentait explicitement à leur divulgation. Cette politique s'applique à toutes les données gTLD accessibles via le service WHOIS standard ou le protocole RDAP (Registration Data Access Protocol), plus récent. Bien que les ccTLD soient régis de manière indépendante, nombre d'entre eux ont néanmoins choisi de suivre l'exemple de l'ICANN.

Depuis lors, les recherches WHOIS sont devenues plus complexes. 

Auparavant, obtenir l'adresse e-mail du propriétaire d'un domaine ne prenait que quelques secondes et nécessitait une simple recherche WHOIS, que ce soit à l'aide d'un outil de recherche WHOIS comme le nôtre ou de la commande « whois ». Depuis la mise en place de la masquage des données, dans de nombreux cas, les recherches WHOIS ne vous apportent plus grand-chose. À la place des données réelles du propriétaire, vous ne voyez plus que des adresses e-mail fictives provenant des services de protection de la confidentialité WHOIS (qui permettent certes de contacter le propriétaire, mais qui sont totalement inutiles pour une recherche WHOIS inversée ou à d'autres fins) ou des champs indiquant simplement « Withheld for Privacy » (Confidentialité préservée) ou « Redacted for Privacy » (Données masquées pour des raisons de confidentialité). Si cela protège la vie privée des propriétaires, cela engendre également de nombreux problèmes de cybersécurité.

Toutes les données WHOIS sont-elles masquées ?

Heureusement, toutes les données d'enregistrement de domaine ne sont pas masquées. Voici quelques cas où les informations WHOIS ne sont pas masquées ni dissimulées par la protection de la confidentialité WHOIS :

• Données WHOIS antérieures à 2018: bien que de nombreux domaines enregistrés avant 2018 affichent la mention « REDACTED » dans la plupart des champs de leur fiche WHOIS actuelle, ils disposent également d'archives historiques qui étaient autrefois publiques et n'avaient pas été masquées à l'époque. Ces anciennes données sont probablement toujours accessibles via des archives historiques telles que notre base de données d’historique WHOIS téléchargeable. Si le domaine n’a pas changé de propriétaire ou si le propriétaire n’a pas modifié ses coordonnées, ces informations peuvent constituer une mine d’or pour ceux qui recherchent les coordonnées du propriétaire. Toutefois, les propriétaires de domaines qui utilisaient des services de confidentialité WHOIS avant 2018 auraient toujours des enregistrements WHOIS masqués pour leurs domaines.
• Domaines relevant de certains domaines de premier niveau nationaux (ccTLD): certains ccTLD affichent des informations WHOIS non masquées, car les registres n’autorisent pas le masquage (conformément à la législation des pays concernés). On peut citer comme exemples l'Australie (.au, du moins pour l'outil de recherche WHOIS en ligne du registre ), Niue (.nu) et les États-Unis (.us, bien qu'il existe une proposition visant à modifier cette situation). 
• Domaines dont les propriétaires ont choisi d'afficher explicitement leurs données WHOIS: dans de nombreux cas, le titulaire du domaine est libre de rendre publique sa fiche WHOIS s'il le souhaite. Les grandes entreprises, comme Microsoft par exemple, utilisent le WHOIS comme un gage de confiance, démontrant ainsi que le domaine leur appartient bel et bien et non à des imposteurs. 

Quelles données WHOIS sont masquées ?

Les informations WHOIS masquées comprennent des données à caractère personnel, telles que le nom du titulaire, le nom de l'organisation, l'adresse électronique et l'adresse postale.

Toutefois, les données techniques relatives au domaine restent accessibles au public. Cela comprend les serveurs de noms, les codes d'état du domaine, les dates, l'État ou la province du titulaire et le pays du titulaire.

Les données qui ne sont pas masquées sont considérées comme n'étant pas à caractère personnel ; le RGPD autorise donc leur publication. 

Comment accéder aux données WHOIS anonymisées des titulaires et à d'autres informations

Si vous avez vraiment besoin d'identifier la personne derrière des informations WHOIS masquées, plusieurs options s'offrent à vous. Celles-ci vont du dépôt de demandes officielles à l'utilisation de bases de données historiques spécialisées. 

Déposer une demande d'accès aux documents

Le RGPD autorise les registres de noms de domaine à partager les données d'enregistrement à condition que la demande soit motivée par des raisons légitimes. 

Les chercheurs en cybersécurité peuvent adresser une demande au bureau d'enregistrement concernant les noms de domaine impliqués dans des activités illégales, telles que la fraude, le cybersquatting ou le phishing. Il n'existe pas de système standard de lutte contre les abus pour le dépôt de ces demandes, car les bureaux d'enregistrement de noms de domaine ont leurs propres procédures. 

En voici quelques exemples :

• GoDaddy : utilise son propre formulaire de divulgation de données non publiques.
• OVH : La procédure est décrite en détail ici, et les demandes doivent être envoyées à [email protected].
• Cloudflare : traite ces demandes via son système de signalement des abus.
• Namecheap : propose différentes procédures en fonction des besoins, qui sont décrites en détail dans ce guide.

L'enregistrement WHOIS expurgé comporte également une rubrique « Contact en cas d'abus », car les bureaux d'enregistrement sont tenus de fournir un moyen de signaler les abus, même si les données personnelles du titulaire sont masquées. Cette rubrique figure généralement après le nom et l'identifiant du bureau d'enregistrement.

Déposer puis signifier une assignation à comparaître

Dans le cadre d'enquêtes pénales, la démarche la plus efficace consiste à délivrer une assignation à comparaître. Cette procédure est plus coûteuse et nécessite l'intervention d'un avocat, mais elle constitue souvent le seul moyen d'obtenir une réponse d'un registraire. Si un registraire reçoit une ordonnance judiciaire valide, il est généralement tenu de communiquer les informations relatives à l'abonné sans les expurger.

Le FBI, pour sa part, a assigné à comparaître de nombreux bureaux d'enregistrement. En 2025, il a notamment assigné Tucows à comparaître dans le cadre de ses efforts visant à identifier le propriétaire des domaines archive[.]today, archive[.]is et archive[.]ph. 

Utiliser l'historique WHOIS

La méthode la plus rapide et la plus simple consiste à utiliser les données historiques du WHOIS. Elle permet aux chercheurs en cybersécurité de découvrir à quoi ressemblaient les enregistrements WHOIS avant que la censure ne soit appliquée. Par exemple, si un nom de domaine a été enregistré en 2015 et censuré en 2018, les enregistrements historiques de ces trois premières années pourraient s'avérer une véritable mine d'or (à condition que le propriétaire du domaine n'ait pas eu recours à des services de confidentialité WHOIS).

Nous allons vous montrer ci-dessous comment utiliser la fonction « Recherche dans l'historique WHOIS », qui fait partie de Domain Research Suite (DRS), une plateforme comprenant 10 outils de recherche et de surveillance de domaines :

1. Connectez-vous à DRS. Si vous n'avez pas encore de compte, inscrivez-vous gratuitement et recevez 500 crédits gratuits.

2. Saisissez le nom de domaine. Par exemple, si vous effectuez des recherches sur xclyd[.]com, un domaine identifié comme un indicateur de compromission (IoC) de Silver Fox, saisissez-le dans le champ de recherche.

3. Vérifiez le nombre d'enregistrements. Un nombre élevé d'enregistrements historiques augmente vos chances de trouver une version non expurgée.

4. Ouvrez la fiche WHOIS actuelle du domaine. Dans ce cas précis, il s'agit de celle qui figure en haut de la page, datée du 19 mars 2026, dont les coordonnées du titulaire, du responsable administratif et du responsable technique ont déjà été masquées pour des raisons de confidentialité.

5. Recherchez les anciennes données. Faites défiler jusqu’aux données antérieures à mai 2018. La donnée la plus ancienne concernant xclyd[.]com date du 10 avril 2011 et indique, sans aucune censure, l’organisation, le nom, l’adresse e-mail et l’adresse postale du titulaire pour les contacts administratif, technique et de facturation du domaine. 

La dernière fiche WHOIS non masquée relative à ce domaine date du 4 avril 2018. Par la suite, les informations ont été masquées. Nous pouvons toutefois constater que le domaine est resté enregistré en Chine jusqu'au 1er février 2026.

6. Passez à l'étape suivante. Utilisez cette adresse e-mail ou ce nom pour identifier d'autres domaines appartenant au même acteur. Une recherche WHOIS inversée portant sur l'historique de la dernière adresse e-mail non masquée (****[email protected]) a permis de mettre en évidence cinq autres domaines enregistrés à l'aide de cette adresse e-mail.

En revanche, l'adresse e-mail la plus ancienne associée à ce domaine a permis d'identifier 3 168 domaines liés.

7. Vérifiez la validité de l'adresse e-mail. Maintenant que vous disposez de deux adresses e-mail, vous pouvez vérifier si elles sont toujours actives. Une vérification rapide sur Email Verification Lookup nous indique que l'adresse e-mail peut toujours recevoir des messages.

Il en va de même pour l'adresse e-mail du titulaire de l'enregistrement datant de 2018.

Voici comment récupérer les données WHOIS d'un domaine après leur masquage. Les données de l'historique WHOIS de WhoisXML API sont également disponibles sous forme d'outil de recherche, de téléchargement de base de données et d'API.

Si vous souhaitez reproduire l'exemple ci-dessus avec l'API WHOIS History à l'aide d'une commande curl et enregistrer le résultat dans un fichier JSON, la requête ressemblerait à ceci :

curl "https://whois-history.whoisxmlapi.com/api/v1?apiKey=YOUR_API_KEY&domainName=google.com&mode=purchase" > output.json

Dans l'exemple ci-dessus, vous devrez remplacer VOTRE_CLÉ_API en utilisant votre clé API personnelle, que vous pouvez obtenir lors de votre inscription.

Utiliser l'API Domain Info

L'API Domain Info constitue une alternative plus simple à une recherche complète de l'historique WHOIS. Alors que l'historique WHOIS vous fournit une chronologie de toutes les modifications, Domain Info propose un enregistrement unique qui résume les données les plus pertinentes concernant un domaine. 

Il est plus abordable et accessible via une API, un outil de recherche ou dans le cadre du DRS. Il vous permet de consulter les données qui auraient pu être masquées lors de la caviardage (le cas échéant), mais il ne contourne pas les services de confidentialité WHOIS payants. Si le propriétaire d'un domaine a utilisé un proxy de confidentialité, l'outil affichera tout de même les coordonnées de ce proxy.

Les informations sur le domaine constituent généralement une alternative plus simple à l'historique WHOIS lorsque vous devez les utiliser dans des flux de travail automatisés, car vous n'obtenez qu'un seul enregistrement WHOIS au lieu de plusieurs dizaines. 

Voici un exemple de requête API permettant d'obtenir le même résultat que ci-dessus :

curl « https://domain-info.whoisxmlapi.com/api/v1?apiKey=YOUR_API_KEY&domainName=xclyd.com »

Une fois encore, vous devrez remplacer VOTRE_CLÉ_API en utilisant votre clé API actuelle, qui est la même pour l'API Domain Info et l'API WHOIS History. Le résultat est un fichier JSON qui se présente comme suit :

{
  "domainName": "xclyd.com",
  "data": [
    {
      "fieldName": "createdDateISO8601",
      "fieldValue": "2015-05-14T02:01:42+00:00",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "updatedDateISO8601",
      "fieldValue": "2026-03-15T13:32:34+00:00",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "expiresDateISO8601",
      "fieldValue": "2026-05-14T02:01:42+00:00",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "createdDateRaw",
      "fieldValue": "2015-05-14 02:01:42 UTC",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "updatedDateRaw",
      "fieldValue": "2026-03-15 13:32:34 UTC",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "expiresDateRaw",
      "fieldValue": "2026-05-14 02:01:42 UTC",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "nameServers",
      "fieldValue": [
        "NAOMI.NS.CLOUDFLARE.COM",
        "VASILII.NS.CLOUDFLARE.COM"
      ],
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "whoisServer",
      "fieldValue": "whois.gname.com",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "registrarName",
      "fieldValue": "Gname.com Pte. Ltd.",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "status",
      "fieldValue": [
        "clientTransferProhibited"
      ],
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    }
  ],
  "registrantContact": [
    {
      "fieldName": "name",
      "fieldValue": "Registry Registrant ID: Not Available From Registry",
      "auditDate": "2022-04-29T07:16:11+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "organization",
      "fieldValue": "Zhe Jiang Li Yong Da Zhi Ling Ji Xie You Xian Gong Si",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "street",
      "fieldValue": "Xin Chang Cheng Dong Xin Qu Yu Lin Lu 18Hao",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "city",
      "fieldValue": "Shao Xing Shi",
      "auditDate": "2018-07-24T00:00:00+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "state",
      "fieldValue": "HUBEI",
      "auditDate": "2024-12-26T01:49:11+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "postalCode",
      "fieldValue": "...500",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "country",
      "fieldValue": "UNITED STATES",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "email",
      "fieldValue": "[email protected]",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "telephone",
      "fieldValue": "......6041483",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "telephoneExt",
      "fieldValue": null,
      "auditDate": null,
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "fax",
      "fieldValue": "......041483",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "faxExt",
      "fieldValue": null,
      "auditDate": null,
      "isEmptyOrRedactedNow": true
    }
  ]
}

Nous avons modifié certaines parties du contenu présenté dans cet article pour des raisons de confidentialité, mais si vous effectuez une recherche dans l'historique WHOIS (que ce soit via DRS ou l'API), vous y trouverez ces données.

Conclusion

La masquage des données WHOIS a renforcé la confidentialité des utilisateurs sur Internet, mais il a également permis aux criminels de se dissimuler plus facilement — et rendu les enquêtes plus difficiles pour les chercheurs en cybersécurité. 

Si vous vous heurtez à un obstacle sous la forme d'une fiche masquée lors de l'enquête sur un domaine suspect, votre première option consiste à utiliser l'historique WHOIS pour retrouver d'anciennes données non masquées. Si cela s'avère infructueux, contactez le service chargé des abus du registraire ou envisagez des recours juridiques, tels qu'une assignation à comparaître.

Inscrivez-vous à WHOIS History ou Domain Info pour récupérer les enregistrements WHOIS historiques des domaines, même après la suppression massive des données.