O que e WHOIS
O que e WHOIS: protocolo RFC 3912, como consultar registros de dominios e IPs, dados publicos, LGPD no Registro.br e diferenca do RDAP moderno.
WHOIS e um protocolo de consulta e o banco de dados que ele acessa, contendo informacoes publicas sobre quem registrou dominios, blocos de enderecos IP e sistemas autonomos na internet. O nome vem da pergunta em ingles "who is?" (quem e?), e o protocolo original data de 1982 - anterior a propria web. Ao consultar o WHOIS de um dominio .com.br, voce acessa o banco de dados do Registro.br (NIC.br). Ao consultar um bloco de IP brasileiro, acessa o LACNIC. A LGPD e o Marco Civil mudaram o que e visivel nas respostas brasileiras. Este artigo explica o funcionamento tecnico, a hierarquia de bases de dados e o estado atual no Brasil com precisao.
Neste artigo
- O que e WHOIS: protocolo, porta e estrutura da consulta
- Historia: da ARPANET ao RFC 3912
- Hierarquia de bases WHOIS: IANA, RIRs e registros de dominio
- Como fazer uma consulta WHOIS na pratica
- O que o WHOIS de dominio mostra
- WHOIS de enderecos IP e ASNs
- WHOIS no Brasil: Registro.br, LACNIC, LGPD e RDAP
- WHOIS em seguranca: investigacoes e threat intelligence
- Perguntas frequentes
O que e WHOIS: protocolo, porta e estrutura da consulta
WHOIS e simultaneamente um protocolo de comunicacao cliente-servidor e o conjunto de bases de dados que esse protocolo acessa. O protocolo e definido pelo RFC 3912 (setembro 2004, IETF), que substituiu e simplificou os RFCs anteriores. A especificacao e deliberadamente minimalista.
A interacao protocolar e a seguinte: o cliente abre uma conexao TCP na porta 43 do servidor WHOIS, envia uma linha de texto com o objeto a consultar (dominio, IP, ASN) seguida de CRLF, e o servidor retorna os dados em texto plano e fecha a conexao. Sem autenticacao, sem sessao persistente, sem formato estruturado obrigatorio, sem criptografia. O servidor pode retornar qualquer texto, o que levou a inconsistencias enormes entre diferentes registros ao longo dos anos.
Historia: da ARPANET ao RFC 3912
O WHOIS nasceu na ARPANET em setembro de 1982 com o RFC 812, escrito por Ken Harrenstien e Vic White do SRI International. O objetivo original era modesto: manter um diretorio de usuarios e maquinas da ARPANET para facilitar o contato entre administradores. Quando um roteador na ARPANET tinha problemas, os administradores usavam o WHOIS para encontrar o email ou telefone do responsavel pelo sistema afetado.
Evolucao do protocolo
O RFC 954 (1985) expandiu o protocolo e o RFC 3912 (2004) formalizou a versao minimalista atual, sem grandes mudancas estruturais. Quarenta anos depois do RFC 812, a interacao basica e essencialmente a mesma: texto de entrada, texto de saida, conexao fechada.
Com o crescimento da internet comercial nos anos 1990, o WHOIS tornou-se critico para tres finalidades principais: identificar responsaveis por dominios em disputas de marca, combater spam (encontrar o responsavel por um IP que enviou email malicioso) e investigacoes de seguranca (encontrar o dono de um servidor malicioso).
A tensao com privacidade: GDPR e LGPD
O WHOIS foi projetado para maxima transparencia em uma rede de confianca mutua entre pesquisadores e administradores. Quando a internet se comercializou, o "quem registrou este dominio" passou a incluir dados pessoais de milhoes de individuos: nome completo, endereco, telefone, email. O GDPR europeu (2018) e a LGPD brasileira (2018, vigor 2020) criaram tensao direta com esse modelo.
O ICANN negociou com registradores uma politica de acesso temporario (TEMP-SPEC) em 2018 que persiste em revisao. Para dominios genericos (.com, .net, .org), dados pessoais de titulares pessoa fisica sao ocultos por padrao desde 2018, substituidos por dados do registrador ou de servicos de privacidade. Para o .br, o Registro.br adaptou sua politica de WHOIS a legislacao brasileira desde antes do GDPR.
| Ano | RFC | Descricao |
|---|---|---|
| 1982 | RFC 812 | Criacao do WHOIS para a ARPANET (Harrenstien, White) |
| 1985 | RFC 954 | Expansao do protocolo NICNAME/WHOIS |
| 2004 | RFC 3912 | Especificacao atual do WHOIS (porta 43 TCP, texto plano) |
| 2015 | RFC 7483 | RDAP: substituto moderno com JSON e HTTPS |
| 2018 | GDPR em vigor | ICANN oculta dados pessoais em .com/.net por TEMP-SPEC |
| 2021 | RFC 9083 | RDAP atualizado, substitui RFC 7483 |
| 2023 | Registro.br | NIC.br anuncia suporte completo ao RDAP para dominios .br |
Hierarquia de bases WHOIS: IANA, RIRs e registros de dominio
Nao existe um WHOIS central unico. A base de dados e distribuida por varios orgaos, cada um responsavel por um escopo geografico ou de tipo de recurso. Entender essa hierarquia e essencial para saber onde consultar cada tipo de informacao.
Para dominios: a hierarquia IANA-registradores
O IANA (iana.org) mantem a base de dados de TLDs e os servidores WHOIS autoritativos para cada um. Para saber qual servidor WHOIS responde pelo TLD .br, consulte whois.iana.org com a query "br". A resposta aponta para whois.registro.br.
Para TLDs genericos (.com, .net, .org), o servidor de TLD (Verisign para .com e .net, PIR para .org) identifica o registrador responsavel pelo dominio especifico. O registrador (GoDaddy, Namecheap, Registro.br, etc.) tem os dados completos do titular. A maioria das ferramentas WHOIS faz esse "daisy-chaining" automaticamente.
Para IPs e ASNs: os cinco RIRs
O espaco de enderecos IP e gerenciado por cinco RIRs (Regional Internet Registries). Cada um opera seu proprio WHOIS para os recursos da sua regiao.
| RIR | Regiao | WHOIS | Contato |
|---|---|---|---|
| LACNIC | America Latina e Caribe | whois.lacnic.net | lacnic.net |
| ARIN | America do Norte | whois.arin.net | arin.net |
| RIPE NCC | Europa, Oriente Medio, Asia Central | whois.ripe.net | ripe.net |
| APNIC | Asia-Pacifico | whois.apnic.net | apnic.net |
| AFRINIC | Africa | whois.afrinic.net | afrinic.net |
Um endereco IP brasileiro (como 200.160.0.78, que pertence ao NIC.br) sera respondido pelo LACNIC (whois.lacnic.net), pois o Brasil esta na regiao LACNIC. Um IP europeu (como 1.1.1.0, da Cloudflare Europa) seria respondido pelo RIPE NCC.
Como fazer uma consulta WHOIS na pratica
Ha varios metodos para consultar o WHOIS, dependendo do sistema operacional e do tipo de recurso.
Via ferramenta online
A ferramenta Consulta WHOIS desta pagina consulta automaticamente o WHOIS correto para dominios e IPs, detecta o RIR ou registro de dominio relevante e retorna os dados formatados. E o metodo mais simples para usuarios que nao tem acesso a linha de comando.
Via linha de comando
Em sistemas Linux e macOS, o comando whois esta disponivel nativamente. A sintaxe basica e simples.
- Para dominio .br:
whois dominio.com.br(consulta diretamente whois.registro.br) - Para dominio .com:
whois dominio.com(consulta Verisign e depois o registrador) - Para IP brasileiro:
whois 200.160.0.78(automaticamente vai para o LACNIC) - Para ASN:
whois AS28573(retorna dados do sistema autonomo da Claro)
No Windows, o comando whois nao existe nativamente. Opcoes: usar o WSL (Windows Subsystem for Linux) com o comando whois do Linux, instalar a ferramenta Sysinternals WHOIS da Microsoft, ou usar a ferramenta online desta pagina.
O que o WHOIS de dominio mostra
A resposta WHOIS de um dominio varia conforme o TLD e o registrador, mas tipicamente inclui varios campos de informacao.
| Campo | Descricao | Exemplo |
|---|---|---|
| Domain Name | O dominio consultado | EXEMPLO.COM.BR |
| Registrar | Empresa que fez o registro | Registro.br |
| Created Date | Data de criacao do dominio | 2000-01-15 |
| Updated Date | Ultima atualizacao dos dados | 2024-11-03 |
| Expiry Date | Data de expiracao do registro | 2026-01-15 |
| Name Servers | Servidores DNS autoritativos | ns1.registrar.com, ns2.registrar.com |
| Status | Estado do dominio (ativo, bloqueado, etc) | ok / clientDeleteProhibited |
| Registrant | Titular do dominio (pode ser ocultado por LGPD/GDPR) | Nome ou "REDACTED FOR PRIVACY" |
| DNSSEC | Status das assinaturas DNSSEC | signedDelegation / unsigned |
Status codes do dominio
Os status codes ICANN indicam restricoes sobre o dominio. Os mais comuns sao "ok" (sem restricoes), "clientDeleteProhibited" (titular bloqueou exclusao acidental), "clientTransferProhibited" (dominio nao pode ser transferido para outro registrador sem autorizacao do titular) e "serverHold" (dominio suspenso por ordem do registro, geralmente por violacao de termos ou ordem judicial). Um dominio com muitos status codes de protecao e sinal de dominio valioso e bem configurado. Um dominio com "serverHold" esta suspendido.
WHOIS de enderecos IP e ASNs
O WHOIS de enderecos IP retorna informacoes sobre o detentor do bloco alocado pelo RIR. E muito utilizado por administradores de rede, analistas de seguranca e engenheiros de NOC (Network Operations Center).
O que o WHOIS de IP mostra
Uma consulta WHOIS ao IP 8.8.8.8 (DNS publico do Google) ao ARIN retorna: o bloco 8.8.8.0/24, o detentor (Google LLC), o ASN associado (AS15169), contatos de abuse e NOC, data de alocacao e o pais de origem. Para IPs brasileiros consultados no LACNIC, o resultado inclui o provedor brasileiro responsavel e seus contatos de abuse.
ASN e suas informacoes
Um ASN (Autonomous System Number) identifica um conjunto de redes IP sob controle de uma unica entidade de roteamento, geralmente um provedor de internet ou grande empresa. O ASN e usado em BGP (Border Gateway Protocol) para anunciar quais blocos de IP uma entidade roteia. Uma consulta WHOIS ao AS28573 retorna os dados da Claro Brasil, os blocos IPv4 e IPv6 que ela anuncia e informacoes de contato para peering e abuse.
WHOIS no Brasil: Registro.br, LACNIC, LGPD e RDAP
O ecossistema WHOIS brasileiro tem particularidades importantes para quem opera ou investiga recursos na internet brasileira.
Registro.br: o WHOIS dos dominios .br
O Registro.br (departamento do NIC.br) opera o WHOIS autoritativo para todos os dominios .br em whois.registro.br. A consulta retorna titulares, contatos administrativos e tecnicos, servidores DNS e datas. Desde a entrada em vigor da LGPD (Lei 13.709/2018), o Registro.br oculta dados sensiveis de pessoas fisicas (CPF, endereco fisico, numero de telefone pessoal) das respostas publicas do WHOIS.
Para pessoas juridicas, o CNPJ e dados da empresa permanecem visiveis. Isso e importante para verificar legitimidade de sites de e-commerce: um WHOIS de um .com.br que revela um CNPJ ativo e correspondente ao nome da empresa e um sinal de legitimidade. Um dominio sem CNPJ visivel ou com dados de privacidade total exige checagem adicional.
LACNIC: o WHOIS dos IPs e ASNs brasileiros
Para blocos de IP e ASNs alocados no Brasil e na America Latina, o WHOIS do LACNIC (lacnic.net/consultas/whois) e a fonte autoritativa. Uma consulta ao bloco 200.160.0.0/20 retorna o NIC.br como detentor, com contatos de abuse, NOC e o ASN AS17008. O LACNIC tambem oferece RDAP em rdap.lacnic.net.
LGPD e as implicacoes para o WHOIS
A LGPD classifica dados como nome, CPF, email e endereco como dados pessoais. Sua presenca em bases WHOIS publicas era tecnicamente uma violacao da privacidade de titulares pessoa fisica antes da adequacao. O Registro.br adaptou progressivamente o WHOIS: hoje, para pessoa fisica, os dados visiveis sao apenas o nome do titular e os contatos tecnicos (email mascarado), enquanto CPF, telefone pessoal e endereco sao ocultados.
Para autoridades judiciarias, Ministerio Publico e policia com ordem judicial especifica, o Registro.br disponibiliza os dados completos via mecanismo formal. O mesmo vale para o LACNIC com dados de contato de abuse.
WHOIS Privacy: servicos de ocultamento para .com/.net
Para dominios genericos (.com, .net, .org), servicos de WHOIS Privacy (oferecidos por registradores como GoDaddy, Namecheap, Cloudflare Registrar) substituem os dados do titular pelos dados do servico intermediario. Isso significa que uma consulta WHOIS a um .com com privacy habilitado retorna o email do servico de privacidade, nao do dono real. Para investigacoes, exige ordem judicial ao registrador.
Para dominios .br de pessoa fisica, o Registro.br ja protege os dados sensiveis por padrao, sem custo adicional e sem necessidade de contratar servico separado. Para pessoa juridica .br, o CNPJ e dados da empresa permanecem publicos por design.
WHOIS em seguranca: investigacoes e threat intelligence
O WHOIS e uma das primeiras fontes consultadas em investigacoes de seguranca digital. A informacao disponivel, mesmo com os campos pessoais ocultados pos-LGPD/GDPR, ainda e valiosa para analise.
Indicadores de dominio suspeito via WHOIS
Analistas de seguranca olham para varios campos ao investigar um dominio potencialmente malicioso. Data de registro recente: dominios criados ha poucos dias ou semanas antes de um ataque de phishing sao suspeitos. Registrador de baixo custo com politica de abuso frouxa: alguns registradores sao usados desproporcionalmente por atores maliciosos. Nameservers compartilhados entre dominios maliciosos conhecidos: grupos de phishing frequentemente reutilizam a mesma infraestrutura DNS. WHOIS Privacy ativo: nao e sinal de malicia por si, mas combinado com outros fatores eleva suspeita.
Ferramentas de threat intelligence como VirusTotal, Shodan e PassiveDNS cruzam dados de WHOIS com outros indicadores para classificar dominios. O canal de abuse do Registro.br aceita reportes de dominios .br usados em phishing, spam ou atividades maliciosas.
Reverse WHOIS: encontrar todos os dominios de um titular
O WHOIS tradicional resolve "dominio -> dados do titular". O Reverse WHOIS faz o inverso: dado um email, nome ou organizacao, encontra todos os dominios registrados com aqueles dados. E especialmente util para investigacoes de fraude (encontrar toda a infraestrutura de um ator malicioso) e para analise de concorrencia (ver quantos dominios uma empresa registrou). O Registro.br nao oferece Reverse WHOIS publico, mas ferramentas comerciais como DomainTools e SecurityTrails tem essa funcionalidade para dados historicos.
Perguntas frequentes sobre o que e WHOIS
O que e WHOIS e para que serve?
WHOIS e um protocolo de consulta (RFC 3912) e o banco de dados que ele acessa, contendo informacoes de registro de dominios, blocos de enderecos IP e sistemas autonomos (ASNs). Permite descobrir quem registrou um dominio, quando expira, quais servidores DNS usa e quem e responsavel por um bloco de IP. E usado para verificar legitimidade de sites, investigar phishing, resolver conflitos de marca e fazer analise de seguranca de infraestrutura de rede.
O WHOIS mostra dados pessoais dos donos de dominios .br?
Desde a adequacao do Registro.br a LGPD, dados sensiveis de pessoas fisicas (CPF, endereco fisico, telefone pessoal) sao ocultados das respostas publicas do WHOIS. O nome do titular e contatos tecnicos (email mascarado) podem aparecer. Para pessoas juridicas, CNPJ e dados da empresa permanecem visiveis. Dados completos ficam disponiveis apenas para autoridades com ordem judicial via mecanismo formal do Registro.br.
Como fazer uma consulta WHOIS de dominio ou IP?
Use a ferramenta Consulta WHOIS desta pagina para qualquer dominio ou IP sem precisar de linha de comando. Em sistemas Linux/macOS, use "whois dominio.com.br" ou "whois 200.160.0.78" no terminal. Para dominios .br, o servidor autoritativo e whois.registro.br. Para IPs brasileiros, e whois.lacnic.net. O Windows nao tem o comando whois nativo; use o WSL ou a ferramenta online.
O que e RDAP e como difere do WHOIS?
RDAP (Registration Data Access Protocol, RFC 9083) e o substituto moderno do WHOIS. Retorna dados em JSON estruturado via HTTPS autenticado, em vez de texto plano via TCP porta 43. Suporta internacionalizacao, diferenciacao de acesso (dados diferentes para publico, pesquisadores e policias) e e compativel com GDPR/LGPD por design. O Registro.br, LACNIC, ARIN, RIPE NCC e APNIC ja oferecem RDAP. O WHOIS continua em operacao por retrocompatibilidade com ferramentas legadas.
Posso ocultar meus dados no WHOIS de um dominio .br?
Para titulares pessoa fisica de dominios .br, o Registro.br ja protege os dados sensiveis (CPF, endereco, telefone) por padrao, sem custo adicional. Para titulares pessoa juridica, os dados da empresa permanecem publicos. Para dominios internacionais (.com, .net), servicos de WHOIS Privacy do registrador substituem os dados do titular pelos dados do servico intermediario, geralmente por valor anual adicional.
Como o WHOIS e usado em investigacoes de seguranca?
Analistas de seguranca usam o WHOIS como primeiro passo para investigar dominios suspeitos. Data de registro recente, registradores associados a spam, nameservers compartilhados com dominios maliciosos conhecidos e uso de privacidade em contexto suspeito sao indicadores. O WHOIS e cruzado com dados de PassiveDNS (historico de resolucoes), crt.sh (certificados TLS emitidos) e VirusTotal para construir um perfil completo da infraestrutura de um ator malicioso.
Qual o WHOIS autoritativo para IPs e ASNs brasileiros?
O LACNIC (Latin American and Caribbean Internet Addresses Registry) e o RIR responsavel pela America Latina e Caribe. O WHOIS do LACNIC esta em whois.lacnic.net. Uma consulta de qualquer IP ou ASN alocado no Brasil sera respondida pelo LACNIC, que retorna o provedor responsavel pelo bloco, a data de alocacao e contatos de abuse e NOC. O NIC.br opera como registro nacional dentro do ecossistema LACNIC para sub-alocacoes brasileiras especificas.
Como verificar se um site e legitimo usando o WHOIS?
Para sites .com.br, a consulta WHOIS no Registro.br revela o CNPJ para pessoas juridicas, que pode ser cruzado com a Receita Federal. Um site com CNPJ visivel, data de registro antiga e nameservers consistentes com uma empresa estabelecida e sinal positivo. Sinais de alerta: dominio registrado ha poucos dias, sem CNPJ visivel (pode ser normal para PF), nameservers em provedores de hospedagem baratos associados a spam, ou data de expiracao proxima em site que pede pagamento.
Saber o que e WHOIS e util para qualquer pessoa que precise verificar a legitimidade de um site antes de comprar, investigar um email suspeito, descobrir quando um dominio expira ou entender quem e responsavel por um bloco de IP que aparece nos logs. Use a ferramenta Consulta WHOIS desta pagina para consultar qualquer dominio ou IP diretamente nos registros do Registro.br e LACNIC, sem precisar de linha de comando.
Para contexto adicional, os artigos sobre o que e DNS e o que e IP explicam como enderecos e nomes de dominio se relacionam na infraestrutura de internet. A especificacao oficial do WHOIS esta disponivel no RFC 3912 (setembro 2004, rfc-editor.org) e o RDAP no RFC 9083 (junho 2021, rfc-editor.org).
Consulta WHOIS
Leituras Relacionadas
- O que e ASN — O que e ASN: Autonomous System Number, como funciona o BGP, diferenca entre ASN 16 e 32 bits, registros LACNIC/RIPE/ARIN e como identificar o ASN do seu provedor.
- O que e DNS — O que e DNS: como funciona a resolucao de nomes para IP, hierarquia de servidores, raiz, TLD, autoritativo, cache e impacto na privacidade e velocidade.
- O que e IP — O que e IP: entenda o Internet Protocol, a diferenca entre IPv4 e IPv6, IP publico e privado, historia ARPANET e RFC 791. Explicacao completa com exemplos.