Consulta WHOIS: descubra o dono de um domínio e leia o registro

O que é uma consulta WHOIS?

Uma consulta WHOIS é uma pergunta ao banco de dados público de registro de um nome de domínio. Todo domínio sob um domínio de primeiro nível genérico, como .com, .net ou .org, tem um registro mantido pelo registro e pelo registrador, e qualquer pessoa pode ler a parte pública dele. A consulta devolve quem é o registrador, quando o domínio foi criado, quando expira, quais nameservers usa e um conjunto de códigos de status que dizem se ele está bloqueado, em espera ou prestes a ser excluído.

O nome vem do comando Unix original. Em 1982, a RFC 812 descreveu o serviço NICNAME/WHOIS da ARPANET na porta TCP 43, consultado digitando whois seguido de um nome; a RFC 3912 é a especificação atual desse protocolo de texto. A palavra pegou, mesmo com o protocolo por baixo tendo mudado: desde 28 de janeiro de 2025, a ICANN não exige mais que registros e registradores de gTLD mantenham o WHOIS da porta 43 (exceto para .com, .name e .post), e os mesmos dados são servidos por RDAP, uma API JSON. A maioria das ferramentas, incluindo o WHOIS Lookup do DNS Robot, consulta o RDAP primeiro e ainda chama o resultado de registro WHOIS.

Uma coisa que a consulta WHOIS geralmente não devolve mais é o nome, o endereço e o e-mail do dono. Desde que o GDPR entrou em vigor, em maio de 2018, os registradores ocultam por padrão os dados pessoais de contato no mundo todo. O resto deste guia mostra o que ainda está lá, como ler e como falar com um dono quando os campos de contato dizem REDACTED FOR PRIVACY.

O que um registro WHOIS contém

Este é um registro real de example.com, obtido em 27 de outubro de 2026 com o comando whois no macOS. Todo registro de gTLD tem o mesmo formato, então quem sabe ler este sabe ler qualquer um:

Domain Name: EXAMPLE.COM
Registry Domain ID: 2336799_DOMAIN_COM-VRSN
Registrar WHOIS Server: whois.iana.org
Registrar URL: http://res-dom.iana.org
Updated Date: 2026-08-14T08:01:43Z
Creation Date: 1995-08-14T04:00:00Z
Registry Expiry Date: 2027-08-13T04:00:00Z
Registrar: RESERVED-Internet Assigned Numbers Authority
Registrar IANA ID: 376
Domain Status: clientDeleteProhibited https://icann.org/epp#clientDeleteProhibited
Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
Domain Status: clientUpdateProhibited https://icann.org/epp#clientUpdateProhibited
Name Server: ELLIOTT.NS.CLOUDFLARE.COM
Name Server: HERA.NS.CLOUDFLARE.COM
DNSSEC: signedDelegation
DNSSEC DS Data: 2371 13 2 C988EC423E3880EB8DD8A46FE06CA230EE23F35B578D64E78B29C3E1C83D245A
>>> Last update of whois database: 2026-10-26T19:13:27Z <<<

A resposta se divide em cinco grupos, e cada um responde a uma pergunta diferente:

• Identidade — Domain Name e Registry Domain ID. O ID é a chave interna do registro e nunca muda, nem quando o domínio troca de dono.
• Registrador — a empresa para quem o dono paga. O Registrar IANA ID é o número único do registrador na lista de registradores da IANA; o Registrar WHOIS Server é onde ficam os campos de contato, porque para .com e .net o próprio registro não guarda contato nenhum.
• Datas — Creation Date, Updated Date e Registry Expiry Date. As três estão em UTC. A data de criação é o que um verificador de idade de domínio informa.
• Status — um ou mais códigos de status EPP. São a parte mais útil e a mais mal interpretada do registro; eles ganham uma seção só deles mais abaixo.
• Delegação — os nameservers e a flag de DNSSEC. É a ponte entre WHOIS e DNS: troque os nameservers aqui e todos os registros DNS do domínio vão junto.

Como fazer uma consulta WHOIS

Existem três formas de rodar uma consulta, e todas devolvem os mesmos dados por baixo. Escolha pela frequência com que você precisa disso e por querer ou não a saída bruta.

Método 1: usar uma ferramenta WHOIS online

Abra o WHOIS Lookup do DNS Robot, digite um domínio (colar uma URL ou um endereço de e-mail também funciona: ele é lido como o domínio registrado) e aperte Enter. A ferramenta consulta o servidor RDAP do próprio registro (da lista da IANA, mais registros como a DENIC que rodam RDAP fora dela) e depois o registro do registrador para os campos de contato; para TLDs sem RDAP, que são cerca de dois em cada três códigos de país (.jp, .ru, .it e .eu entre eles), ela consulta o servidor da porta 43 do registro. Você recebe o registrador com seu contato de abuso, as datas de criação, atualização e expiração, os códigos de status com significado em linguagem simples, os nameservers, o estado do DNSSEC e a idade do domínio.

O ICANN Lookup é a alternativa oficial. Ele é autoritativo para todo gTLD, mas cobre só os domínios de código de país cujo registro roda RDAP, e não tem histórico, consulta em lote nem links para dados de DNS. Sites de registradores como GoDaddy e Namecheap também oferecem páginas de WHOIS que leem os mesmos registros públicos; funcionam, mas são feitas para vender o domínio se ele estiver livre.

Método 2: o comando whois (macOS, Linux, Windows)

O macOS traz um cliente whois e as distribuições Linux oferecem um pacote. Ele fala WHOIS pela porta 43, segue automaticamente os encaminhamentos até o registrador e imprime cada registro em sequência (o macOS começa pela IANA, então você recebe três):

# Basic lookup (follows registry -> registrar referral)
whois example.com

# Query one specific server and skip the referral
whois -h whois.verisign-grs.com example.com

# Only the lines you usually care about
whois example.com | grep -iE 'Registrar:|Creation Date|Expiry|Domain Status|Name Server'

# Debian/Ubuntu: install if missing
sudo apt install whois

O Windows não tem whois embutido. As duas opções limpas são a ferramenta da própria Microsoft, o Sysinternals, e consultar o RDAP com o curl que já vem no Windows 10 e 11:

Windows: whois do Sysinternals ou curl

Baixe o whois.exe do pacote Sysinternals e coloque-o no PATH. O -v segue o encaminhamento até o registrador, e um servidor específico vai depois do domínio (whois example.com whois.verisign-grs.com), e não depois de -h. Se preferir não instalar nada, pergunte direto ao servidor RDAP e deixe o PowerShell formatar o JSON:

# Sysinternals whois (after download)
whois -v example.com

# No install: query RDAP and pretty-print the JSON
curl.exe -sL -H "Accept: application/rdap+json" https://rdap.org/domain/example.com | ConvertFrom-Json | Select-Object ldhName, status, events, nameservers

Método 3: consultar o RDAP diretamente (para scripts)

Se você precisa dos dados de WHOIS dentro de um script, esqueça o formato de texto e chame o RDAP. A resposta é JSON com schema fixo, então dá para extrair os campos sem regex. O registro do .com responde em rdap.verisign.com; para qualquer outro TLD, o rdap.org descobre o servidor certo no arquivo de bootstrap da IANA e te redireciona:

# Registry record for a .com, straight from Verisign
curl -s -H 'Accept: application/rdap+json' \
  https://rdap.verisign.com/com/v1/domain/example.com | jq '{status, events, nameservers: [.nameservers[].ldhName]}'

# Any TLD: let rdap.org find the authoritative server
curl -sL https://rdap.org/domain/example.org | jq '.events'

# Output of the first command (trimmed: Verisign also returns a "last update of RDAP database" event)
{
  "status": ["client delete prohibited", "client transfer prohibited", "client update prohibited"],
  "events": [
    { "eventAction": "registration", "eventDate": "1995-08-14T04:00:00Z" },
    { "eventAction": "expiration",   "eventDate": "2027-08-13T04:00:00Z" },
    { "eventAction": "last changed", "eventDate": "2026-08-14T08:01:43Z" }
  ],
  "nameservers": ["ELLIOTT.NS.CLOUDFLARE.COM", "HERA.NS.CLOUDFLARE.COM"]
}

O array links de uma resposta do registro traz um link related para o servidor RDAP do próprio registrador. Siga esse link e você recebe os objetos de contato, ocultados ou não. É exatamente isso que uma ferramenta web bem-feita faz por você em uma única requisição. Se você vai construir algo em cima disso, o método de seis passos de como testar um endpoint de API pública vale para servidores RDAP tanto quanto para qualquer outra API JSON.

Como ler o resultado (campo a campo)

A maioria das pessoas faz uma consulta para responder a uma de quatro perguntas. Veja onde está a resposta no registro.

O domínio está ocupado? Se um registro voltou, sim. Um domínio registrado sempre tem um Creation Date. Se o registro devolve No match for domain ou o RDAP devolve HTTP 404, o nome não está registrado, ou está reservado pelo registro, o que é comum em palavras curtas e de dicionário. Use um verificador de disponibilidade de domínio para distinguir os dois casos, porque ele também confere pelo DNS.

Quando expira, e vai cair? Leia a data de expiração e depois os códigos de status. Um domínio em autoRenewPeriod ou redemptionPeriod não foi liberado; o dono ainda pode renová-lo ou restaurá-lo. Só pendingDelete significa que ele será liberado, e isso costuma levar mais cinco dias. A seção sobre o ciclo de vida da expiração, mais abaixo, percorre toda a linha do tempo. Não julgue só pela data do registro: quando um domínio gTLD expira, o registro o renova automaticamente por um ano, então o Registry Expiry Date já pode mostrar o ano seguinte enquanto o registro do próprio registrador (Registrar Registration Expiration Date) ainda mostra o dia em que o dono parou de pagar. Quando os dois discordam, os códigos de status decidem se ele cai.

Quem administra? O Registrar é a empresa a contatar, e o Registrar Abuse Contact Email e o telefone são publicados mesmo quando todo o resto está oculto. É de propósito: a Política de Dados de Registro da ICANN exige que esses campos continuem públicos.

Mudou recentemente? O Updated Date se move sempre que o registrador aplica uma mudança: renovação, troca de nameservers, trava adicionada ou removida. Um domínio que trocou de nameservers na semana passada e expira no mês que vem tem um perfil de risco diferente de um intocado desde 2015. Se os nameservers mudaram, uma consulta NS mostra onde o DNS está agora.

Códigos de status de domínio explicados (EPP)

Os códigos de status são a linha mais valiosa de um registro WHOIS e também a mais mal lida. Eles são definidos pelo protocolo EPP, e cada código tem um significado fixo publicado pela ICANN. Um código que começa com client foi definido pelo registrador, em geral a pedido do dono; um código que começa com server foi definido pelo registro, e só o registro pode removê-lo.

O padrão a lembrar: clientTransferProhibited + clientUpdateProhibited + clientDeleteProhibited é saudável e sem graça. Um domínio que de repente não resolve nada e mostra clientHold precisa que o dono confira a caixa de entrada, não o DNS. E se você está esperando para comprar um domínio que alguém deixou vencer, nada antes de pendingDelete vale a pena acompanhar.

Por que o WHOIS mostra "REDACTED FOR PRIVACY"

Até 2018, um registro WHOIS de um .com normalmente listava o nome completo, o endereço postal, o telefone e o e-mail do titular. Os registradores vendiam a privacidade WHOIS como um extra que trocava esses campos pelos dados de um serviço de proxy. Então o GDPR da UE entrou em vigor em 25 de maio de 2018, no mesmo dia de uma Especificação Temporária que a ICANN havia adotado uma semana antes, e os registradores passaram a ocultar dados pessoais de todos em vez de tentar decidir quem estava no escopo. Essa regra provisória foi substituída pela Política de Dados de Registro da ICANN, em vigor integral desde 21 de agosto de 2025: os registradores devem ocultar dados pessoais onde a lei de privacidade exigir e podem ocultá-los também para todos os demais.

Isto é o que o registro RDAP no nível do registrador de cloudflare.com devolve hoje para o titular (resumido):

{
  "objectClassName": "entity",
  "roles": ["registrant"],
  "vcardArray": ["vcard", [
    ["fn",  {}, "text", "DATA REDACTED"],
    ["org", {"type": "work"}, "text", "DATA REDACTED"],
    ["adr", {"cc": "US", "type": "work"}, "text",
      ["", "", ["DATA REDACTED", "DATA REDACTED"], "DATA REDACTED", "CA", "DATA REDACTED", ""]],
    ["contact-uri", {}, "uri", "https://domaincontact.registrar.cloudflare.com/cloudflare.com"]
  ]],
  "remarks": [{ "title": "REDACTED FOR PRIVACY",
                "description": ["Some of the data in this object has been removed"] }]
}

A política é precisa sobre o que continua público. Estes campos devem sempre ser publicados para um domínio gTLD: o nome do domínio, o nome do registrador e o IANA ID, a URL do registrador, o e-mail e o telefone de abuso do registrador, a data de criação, a data de expiração, os nameservers e os códigos de status. A ocultação também nunca é completa: a política exige a publicação do estado/província e do país do titular, e também do nome da organização quando o titular concordou em publicá-lo, então um registro oculto ainda pode dizer que o dono está na Califórnia ou na Baviera. No registro acima, são CA e US, mais um link contact-uri para o formulário de contato da Cloudflare.

A diferença prática entre privacidade e ocultação: um serviço pago de privacidade WHOIS ainda encaminha os e-mails enviados ao seu endereço proxy, enquanto a ocultação simples remove o e-mail e o troca por um link de formulário de contato ou por um endereço de encaminhamento anonimizado, dependendo do registrador. De um jeito ou de outro, quem está de fora ganha um meio de escrever ao dono sem descobrir quem ele é.

Como descobrir o dono de um domínio quando o WHOIS está ocultado

A ocultação fechou a porta da frente, mas um domínio deixa pistas em todo o resto. Siga estes passos em ordem; cada um leva um minuto.

• Leia o que não está oculto. Estado/província e país são sempre publicados, e a organização também quando o titular concordou. O próprio registrador já estreita a busca: um domínio na MarkMonitor ou na CSC pertence a uma grande empresa; um no Cloudflare Registrar provavelmente é de um desenvolvedor ou de uma startup.
• Use o encaminhamento de contato do registrador. Todo registrador deve dar um jeito de falar com o titular: um e-mail anonimizado como abc123@contact.gandi.net ou um formulário web ligado a partir da saída do WHOIS. Mensagens legítimas são encaminhadas.
• Confira o certificado SSL. Certificados de validação de organização (OV) e de validação estendida (EV) trazem a razão social no campo Subject. Passe o domínio por um verificador de SSL e leia a cadeia de certificados; o guia sobre cadeias de certificados SSL mostra onde fica a organização.
• Olhe o DNS. O campo RNAME do registro SOA é o e-mail do administrador da zona com o @ trocado por um ponto. Os registros TXT revelam o provedor de e-mail, tokens de verificação do Google, da Microsoft e do Facebook e, às vezes, o nome da empresa às claras. Uma consulta DNS de SOA e TXT leva segundos, e um localizador de subdomínios traz hostnames como mail., crm. ou jira. que indicam as ferramentas que a empresa usa.
• Veja o histórico de WHOIS. Os registros anteriores a maio de 2018 eram públicos e foram arquivados por vários serviços comerciais. Um domínio registrado anos antes costuma ter um registro histórico sem ocultação mostrando o titular original, a menos que já usasse um serviço de privacidade naquela época.
• WHOIS reverso. Se você tem um dado conhecido (o nome de uma empresa ou um e-mail que sobreviveu), os serviços de WHOIS reverso buscam todos os domínios que já o listaram. É caro, mas é assim que as equipes de proteção de marca mapeiam o portfólio de um cybersquatter.
• Faça uma solicitação. Para uma necessidade legal, como disputa de marca, phishing ou fraude, o Registration Data Request Service (RDRS) da ICANN encaminha ao registrador um pedido formal de divulgação. Funciona só para gTLDs e só com registradores participantes. No piloto de dois anos (28 de novembro de 2023 a 30 de novembro de 2025), recebeu mais de 3.700 solicitações, das quais 26% foram aprovadas e 55% negadas (ICANN); a ICANN o manteve em funcionamento enquanto a comunidade decide o que vem a seguir.

WHOIS x RDAP: o que mudou em 2025

O RDAP (Registration Data Access Protocol) foi desenhado pela IETF para consertar tudo o que era quebrado no WHOIS da porta 43, e é o que a sua ferramenta de consulta realmente usa hoje. As diferenças importam se você constrói alguma coisa em cima desses dados:

Duas consequências práticas. Primeiro, se um script seu extrai o texto da saída do whois, ele vive de tempo emprestado: fora .com, .name e .post, registros e registradores podem desligar o serviço da porta 43 a qualquer momento, e alguns já desligaram. O whois.nic.google do Google Registry, que atendia .app e .dev, nem sequer resolve mais, e o servidor do registrador GoDaddy responde a toda consulta com "This WHOIS server is being retired. Please use our RDAP service instead." (ambos conferidos em 27 de outubro de 2026).

Segundo, o bootstrap do RDAP resolve o problema que o WHOIS nunca resolveu: dado example.museum, um cliente baixa uma vez o data.iana.org/rdap/dns.json, encontra a entrada de museum e consulta o servidor autoritativo sem nenhum conhecimento fixo no código. A mudança aparece no tráfego: os relatórios mensais da ICANN mostram as consultas RDAP de gTLD subindo de cerca de 7 bilhões por mês em janeiro de 2025 para 65 bilhões em agosto de 2025, ultrapassando o WHOIS da porta 43 em junho de 2025 (APNIC).

Domínios de código de país: cada registro faz de um jeito

As políticas da ICANN valem para os gTLDs. Os TLDs de código de país (.de, .uk, .br, .jp e cerca de 300 outros) definem as próprias regras, e uma consulta WHOIS de um ccTLD pode devolver de tudo, desde uma identidade completa e validada até quase nada. Veja o que uma consulta pública devolveu em oito registros em 27 de outubro de 2026:

No extremo da escala, esta é a resposta inteira da porta 43 da DENIC para example.de:

% The DENIC whois service on port 43 doesn't disclose any information concerning
% the domain holder, general request and abuse contact.
% This information can be obtained through use of our web-based whois service
% available at the DENIC website:
% https://webwhois.denic.de/?lang=en

Domain: example.de
Nserver: ns1078.ui-dns.biz
Nserver: ns1078.ui-dns.com
Nserver: ns1078.ui-dns.de
Nserver: ns1078.ui-dns.org
Status: connect
Changed: 2018-08-10T05:24:12+02:00

Sem registrador, sem data de criação ou expiração, sem dono, e o vocabulário de status (connect) é da própria DENIC, não do EPP.

Consulta WHOIS de IP: quem é o dono de um endereço IP

O mesmo comando whois funciona com um endereço IP, mas a resposta vem de outro banco de dados. Nomes de domínio são administrados por registros e registradores; blocos de endereços IP são alocados pelos cinco Regional Internet Registries (ARIN na América do Norte, RIPE NCC na Europa e no Oriente Médio, APNIC na Ásia-Pacífico, LACNIC na América Latina e AFRINIC na África). Um registro WHOIS de IP diz qual organização detém o bloco, o tamanho dele, o país da alocação e o contato de abuso — que é o que você precisa quando um endereço está atacando seu servidor ou te enviando spam.

# Port-43 WHOIS: the client finds the right RIR automatically
whois 1.1.1.1

# RDAP: rdap.org redirects to the right RIR (APNIC here)
curl -sL https://rdap.org/ip/1.1.1.1 | jq '{name, handle, startAddress, endAddress, country, type}'

# Output
{
  "name": "APNIC-LABS",
  "handle": "1.1.1.0 - 1.1.1.255",
  "startAddress": "1.1.1.0",
  "endAddress": "1.1.1.255",
  "country": "AU",
  "type": "ASSIGNED PORTABLE"
}

Um registro de IP nunca diz quais sites estão hospedados naquele endereço; um único IP de nuvem pode servir milhares de domínios. Ele também não informa a localização física do usuário, apenas onde o bloco foi registrado. Para uma resposta rápida sem terminal, o IP Lookup combina os dados do RIR com geolocalização, e o ASN Lookup mostra a partir de qual rede o bloco é anunciado. Para ir de um IP de volta a um hostname, use o DNS reverso, que lê o registro PTR em vez do WHOIS.

Lendo as datas de expiração: o ciclo de vida do domínio

Os códigos de status só fazem sentido diante da linha do tempo que um domínio gTLD segue depois que o dono para de pagar. A Expired Registration Recovery Policy da ICANN define os mínimos, registros e registradores acrescentam as próprias margens, e o resultado é um caminho mais longo do que a maioria das pessoas imagina:

• Cerca de 30 dias e de novo cerca de 7 dias antes da expiração — o registrador deve enviar e-mail ao dono. Um terceiro aviso vem em até 5 dias depois da expiração.
• Dia 0 (expiração) — o registro renova o domínio automaticamente e define autoRenewPeriod. O registrador tem até 45 dias para manter ou excluir. Antes de excluir, ele deve impedir que o domínio resolva por pelo menos os últimos 8 dias (ou desde a expiração, se excluir antes), então o site sai do ar; muitos registradores o estacionam numa página que diz que o domínio expirou.
• Dia 1–45 (carência do registrador) — o dono ainda pode renovar. A ICANN só garante isso enquanto o domínio está interrompido (ERRP); por quanto tempo o registrador permite além disso, e a que preço, é política dele, e ele deve publicar no site as taxas pós-expiração.
• Exclusão → redemptionPeriod (30 dias) — o registrador excluiu o domínio. O dono ainda pode restaurá-lo, pagando uma taxa de restauração que o registrador deve mostrar no site, além da renovação. Ninguém mais pode registrá-lo.
• pendingDelete (5 dias) — não é mais possível restaurar. No fim dessa janela, num horário que o registro não anuncia, o nome é removido e fica disponível.
• Queda — o domínio fica livre para registro, e os serviços de drop-catching que vinham consultando o registro competem por ele em milissegundos.

Então um domínio cujo registro no registrador mostra uma data de expiração de duas semanas atrás ainda pode estar de cerca de 35 a 66 dias de ficar de fato disponível, e talvez nunca fique: o dono pode retomá-lo a qualquer momento até pendingDelete. Monitore a linha de status, não a data de expiração. Fazer uma consulta WHOIS uma vez por dia e anotar a transição de status basta.

Para que as pessoas realmente usam a consulta WHOIS

Além de "esse nome está livre", alguns trabalhos aparecem de novo e de novo nas filas de suporte e nas equipes de segurança.

Verificar um site antes de confiar nele. Uma loja que diz ter dez anos de mercado e cujo domínio foi criado há três semanas está lhe dizendo algo. Data de criação, registrador e nameservers levam dez segundos para conferir e são impossíveis de falsificar no registro.

Resolver um site que parou de resolver. Antes de mexer no DNS, confirme que o domínio não expirou nem está em clientHold; se estiver, nenhuma mudança de DNS vai ajudar. Depois de uma migração de nameservers, as linhas Name Server do WHOIS confirmam que o registrador realmente aplicou a mudança; os resolvedores podem manter os nameservers antigos em cache por até 48 horas, o TTL dos registros de delegação do .com. Uma consulta NS mostra o que o mundo vê agora.

Comprar um domínio que já tem dono. O WHOIS diz qual é o registrador (alguns têm serviço de corretagem), se o domínio está travado, há quanto tempo o dono atual o mantém e se ele está caminhando para a expiração.

Investigar phishing ou abuso. O Registrar Abuse Contact Email é publicado justamente para que você denuncie um domínio malicioso a quem pode suspendê-lo. Combine-o com o contato de abuso do WHOIS de IP do provedor de hospedagem.

Auditar seu próprio portfólio. Domínios se perdem por cartão de crédito vencido tanto quanto por hackers. Uma varredura trimestral de WHOIS em todos os seus domínios, conferindo datas de expiração e status de trava, é um seguro barato.

Referência de campos do WHOIS

Uma referência rápida de cada campo que você vai encontrar em um registro de gTLD, com o equivalente no RDAP para quem faz o parsing do JSON:

Se um registro que você está olhando não se encaixa nesta tabela, é quase certo que seja um ccTLD — e nesse caso a referência é a documentação do próprio registro.