WHOIS домена: как узнать владельца и прочитать запись

Что такое WHOIS домена

WHOIS-запрос — это обращение к публичной базе регистрационных данных доменного имени. У каждого домена в общем домене верхнего уровня, таком как .com, .net или .org, есть запись, которую ведут реестр и регистратор, и её публичную часть может прочитать любой. В ответе: кто регистратор, когда создан домен, когда он истекает, какие серверы имён использует и набор кодов статуса, которые говорят, заблокирован ли домен, приостановлен или скоро будет удалён.

Название пошло от исходной команды Unix. В 1982 году RFC 812 описал службу NICNAME/WHOIS сети ARPANET на TCP-порту 43: вводишь whois и имя; сегодняшняя спецификация этого текстового протокола — RFC 3912. Слово прижилось, хотя протокол под ним изменился: с 28 января 2025 года ICANN больше не требует от реестров и регистраторов gTLD держать WHOIS на порту 43 (кроме .com, .name и .post), а те же данные отдаёт RDAP, JSON API. Большинство сервисов, включая WHOIS Lookup от DNS Robot, сначала обращаются к RDAP и всё равно называют результат записью WHOIS.

Есть то, чего WHOIS-запрос обычно больше не возвращает: имя, адрес и email владельца. С вступления в силу GDPR в мае 2018 года регистраторы по умолчанию скрывают персональные контактные данные во всём мире. Дальше в статье показано, что всё-таки остаётся, как это читать и как связаться с владельцем, когда в контактных полях написано REDACTED FOR PRIVACY.

Что содержит запись WHOIS

Вот настоящая запись реестра для example.com, полученная 27 октября 2026 года командой whois в macOS. Все записи gTLD устроены одинаково, так что, научившись читать эту, вы прочтёте любую:

Domain Name: EXAMPLE.COM
Registry Domain ID: 2336799_DOMAIN_COM-VRSN
Registrar WHOIS Server: whois.iana.org
Registrar URL: http://res-dom.iana.org
Updated Date: 2026-08-14T08:01:43Z
Creation Date: 1995-08-14T04:00:00Z
Registry Expiry Date: 2027-08-13T04:00:00Z
Registrar: RESERVED-Internet Assigned Numbers Authority
Registrar IANA ID: 376
Domain Status: clientDeleteProhibited https://icann.org/epp#clientDeleteProhibited
Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
Domain Status: clientUpdateProhibited https://icann.org/epp#clientUpdateProhibited
Name Server: ELLIOTT.NS.CLOUDFLARE.COM
Name Server: HERA.NS.CLOUDFLARE.COM
DNSSEC: signedDelegation
DNSSEC DS Data: 2371 13 2 C988EC423E3880EB8DD8A46FE06CA230EE23F35B578D64E78B29C3E1C83D245A
>>> Last update of whois database: 2026-10-26T19:13:27Z <<<

Запись делится на пять групп, и каждая отвечает на свой вопрос:

• Идентификация — Domain Name и Registry Domain ID. Идентификатор — это внутренний ключ реестра, он не меняется никогда, даже когда домен переходит к другому владельцу.
• Регистратор — компания, которой платит владелец домена. Registrar IANA ID — уникальный номер регистратора в списке регистраторов IANA; Registrar WHOIS Server — адрес, по которому лежат контактные поля, потому что для .com и .net сам реестр контакты не хранит.
• Даты — Creation Date, Updated Date и Registry Expiry Date. Все три указаны в UTC. Именно дату регистрации показывает проверка возраста домена.
• Статус — один или несколько кодов статусов EPP. Это самая полезная и чаще всего неправильно прочитанная часть записи; ей посвящён отдельный раздел ниже.
• Делегирование — NS-серверы и признак DNSSEC. Это мост между WHOIS и DNS: смените здесь NS-серверы, и вместе с ними переедут все DNS-записи домена.

Как проверить домен через WHOIS

Запустить проверку можно тремя способами, и все они возвращают одни и те же данные. Выбирайте по тому, как часто это нужно и хотите ли вы видеть сырой вывод.

Способ 1: онлайн WHOIS-сервис

Откройте WHOIS Lookup от DNS Robot, введите домен (можно вставить и URL, и адрес email: он будет прочитан как зарегистрированный домен) и нажмите Enter. Сервис спрашивает RDAP-сервер самого реестра (из списка IANA плюс реестры вроде DENIC, которые держат RDAP вне него), затем запись регистратора — ради контактных полей; для TLD без RDAP, а это примерно две трети национальных доменов (среди них .jp, .ru, .it и .eu), он обращается к серверу реестра на порту 43. В результате вы получаете регистратора с контактом для жалоб, даты создания, обновления и окончания, коды статуса с пояснениями простым языком, серверы имён, состояние DNSSEC и возраст домена.

ICANN Lookup — официальная альтернатива. Он авторитетен для любого gTLD, но охватывает только те национальные домены, реестры которых поддерживают RDAP, и в нём нет истории, пакетной проверки и ссылок на данные DNS. Сайты регистраторов, например GoDaddy и Namecheap, тоже предлагают страницы WHOIS, которые читают те же публичные записи; они работают, но сделаны, чтобы продать вам домен, если он свободен.

Способ 2: команда whois (macOS, Linux, Windows)

В macOS есть клиент whois, а в дистрибутивах Linux он ставится пакетом. Он работает по WHOIS на порту 43, сам идёт по перенаправлениям к регистратору и печатает записи одну за другой (macOS начинает с IANA, поэтому вы получите три):

# Basic lookup (follows registry -> registrar referral)
whois example.com

# Query one specific server and skip the referral
whois -h whois.verisign-grs.com example.com

# Only the lines you usually care about
whois example.com | grep -iE 'Registrar:|Creation Date|Expiry|Domain Status|Name Server'

# Debian/Ubuntu: install if missing
sudo apt install whois

Встроенной команды whois в Windows нет. Два аккуратных варианта — собственная утилита Microsoft из набора Sysinternals и запрос к RDAP через curl, который поставляется с Windows 10 и 11:

Windows: whois из Sysinternals или curl

Скачайте whois.exe из набора Sysinternals и добавьте его в PATH. Ключ -v идёт по перенаправлению к регистратору, а конкретный сервер указывается после домена (whois example.com whois.verisign-grs.com), а не после -h. Если не хотите ничего устанавливать, спросите RDAP-сервер напрямую и дайте PowerShell отформатировать JSON:

# Sysinternals whois (after download)
whois -v example.com

# No install: query RDAP and pretty-print the JSON
curl.exe -sL -H "Accept: application/rdap+json" https://rdap.org/domain/example.com | ConvertFrom-Json | Select-Object ldhName, status, events, nameservers

Способ 3: прямой запрос к RDAP (для скриптов)

Если данные WHOIS нужны в скрипте, не разбирайте текст — обращайтесь к RDAP. Ответ приходит в JSON с фиксированной схемой, поэтому поля достаются без регулярных выражений. Реестр зоны .com отвечает на rdap.verisign.com; для любой другой зоны rdap.org находит нужный сервер по bootstrap-файлу IANA и перенаправляет запрос:

# Registry record for a .com, straight from Verisign
curl -s -H 'Accept: application/rdap+json' \
  https://rdap.verisign.com/com/v1/domain/example.com | jq '{status, events, nameservers: [.nameservers[].ldhName]}'

# Any TLD: let rdap.org find the authoritative server
curl -sL https://rdap.org/domain/example.org | jq '.events'

# Output of the first command (trimmed: Verisign also returns a "last update of RDAP database" event)
{
  "status": ["client delete prohibited", "client transfer prohibited", "client update prohibited"],
  "events": [
    { "eventAction": "registration", "eventDate": "1995-08-14T04:00:00Z" },
    { "eventAction": "expiration",   "eventDate": "2027-08-13T04:00:00Z" },
    { "eventAction": "last changed", "eventDate": "2026-08-14T08:01:43Z" }
  ],
  "nameservers": ["ELLIOTT.NS.CLOUDFLARE.COM", "HERA.NS.CLOUDFLARE.COM"]
}

Массив links в ответе реестра содержит ссылку related на RDAP-сервер самого регистратора. Перейдите по ней — и получите объекты контактов, скрытые или нет. Именно это хороший веб-сервис делает за вас в одном запросе. Если вы строите что-то поверх этих данных, шесть шагов из статьи как протестировать публичный API-эндпоинт применимы к RDAP-серверам ровно так же, как к любому другому JSON API.

Как читать результат: поле за полем

Большинство людей запускают проверку, чтобы ответить на один из четырёх вопросов. Вот где в записи лежит ответ.

Домен занят? Если запись вернулась, то да. У зарегистрированного домена всегда есть Creation Date. Если реестр отвечает No match for domain или RDAP возвращает HTTP 404, имя не зарегистрировано либо зарезервировано реестром, что часто бывает с короткими и словарными словами. Чтобы отличить одно от другого, воспользуйтесь проверкой доступности домена: она дополнительно проверяет домен по DNS.

Когда он истекает и освободится ли? Прочитайте дату окончания, затем коды статуса. Домен в статусе autoRenewPeriod или redemptionPeriod не освобождён: владелец ещё может его продлить или восстановить. Освободится домен только в статусе pendingDelete, и обычно это ещё пять дней. Весь путь разобран ниже, в разделе о жизненном цикле. Не судите только по дате реестра: когда домен gTLD истекает, реестр автоматически продлевает его на год, поэтому Registry Expiry Date может уже показывать следующий год, а запись самого регистратора (Registrar Registration Expiration Date) всё ещё показывает день, когда владелец перестал платить. Если они расходятся, освободится ли домен, решают коды статуса.

Кто им управляет? Registrar — это компания, к которой нужно обращаться, а Registrar Abuse Contact Email и телефон публикуются, даже когда всё остальное скрыто. Так задумано: Политика данных регистрации ICANN требует, чтобы эти поля оставались публичными.

Менялся ли он недавно? Updated Date сдвигается при любом изменении, которое передаёт регистратор: продление, смена серверов имён, добавленная или снятая блокировка. Домен, у которого на прошлой неделе сменились серверы имён и который истекает в следующем месяце, — это другой профиль риска, чем домен, к которому не прикасались с 2015 года. Если серверы имён сменились, NS-запрос покажет, где теперь живёт DNS.

Коды статусов домена (EPP) простыми словами

Строка со статусами — самая ценная в записи WHOIS и чаще всего неправильно прочитанная. Коды определены протоколом EPP, и у каждого есть фиксированное значение, опубликованное ICANN. Код, который начинается с client, выставил регистратор — обычно по просьбе владельца домена; код, который начинается с server, выставил реестр, и снять его может только реестр.

Запомните закономерность: clientTransferProhibited + clientUpdateProhibited + clientDeleteProhibited — это здорово и скучно. Если домен внезапно перестал разрешаться и показывает clientHold, владельцу нужно проверить почту, а не DNS. А если вы ждёте, чтобы купить домен, который кто-то упустил, следить стоит только за pendingDelete: всё, что раньше, не имеет значения.

Почему WHOIS показывает «REDACTED FOR PRIVACY»

До 2018 года в записи WHOIS для .com обычно были полное имя регистранта, почтовый адрес, телефон и email. Регистраторы продавали защиту WHOIS как платное дополнение, которое подменяло эти поля данными прокси-сервиса. Затем 25 мая 2018 года вступил в силу европейский GDPR (в тот же день, что и Временная спецификация, которую ICANN приняла неделей раньше), и регистраторы начали скрывать персональные данные у всех, не пытаясь решать, кто подпадает под закон. Это временное правило заменила Политика данных регистрации ICANN, полностью действующая с 21 августа 2025 года: регистраторы обязаны скрывать персональные данные там, где этого требует закон о приватности, и вправе скрывать их и для остальных.

Вот что запись RDAP на уровне регистратора для cloudflare.com сегодня возвращает о его регистранте (сокращённо):

{
  "objectClassName": "entity",
  "roles": ["registrant"],
  "vcardArray": ["vcard", [
    ["fn",  {}, "text", "DATA REDACTED"],
    ["org", {"type": "work"}, "text", "DATA REDACTED"],
    ["adr", {"cc": "US", "type": "work"}, "text",
      ["", "", ["DATA REDACTED", "DATA REDACTED"], "DATA REDACTED", "CA", "DATA REDACTED", ""]],
    ["contact-uri", {}, "uri", "https://domaincontact.registrar.cloudflare.com/cloudflare.com"]
  ]],
  "remarks": [{ "title": "REDACTED FOR PRIVACY",
                "description": ["Some of the data in this object has been removed"] }]
}

Политика точно определяет, что остаётся публичным. Для домена gTLD всегда должны публиковаться: доменное имя, название регистратора и IANA ID, URL регистратора, email и телефон регистратора для жалоб на злоупотребления, дата создания, дата окончания, серверы имён и коды статуса. Скрытие никогда не бывает полным: политика требует публиковать штат/область и страну регистранта, а также название организации, если регистрант согласился его опубликовать, так что и в скрытой записи видно, что владелец в Калифорнии или в Баварии. В записи выше это CA и US плюс ссылка contact-uri на контактную форму Cloudflare.

Практическая разница между защитой и скрытием: платный сервис защиты WHOIS по-прежнему пересылает письма, отправленные на его прокси-адрес, а простое скрытие убирает email и заменяет его ссылкой на контактную форму или анонимным адресом пересылки, в зависимости от регистратора. В любом случае посторонний получает возможность написать владельцу, не узнав, кто он.

Как узнать владельца домена, если данные в WHOIS скрыты

Скрытие данных закрыло парадную дверь, но домен оставляет следы повсюду. Пройдите эти шаги по порядку; на каждый уходит минута.

• Прочитайте то, что не скрыто. Штат/область и страна публикуются всегда, а организация — если регистрант согласился. Уже по регистратору многое понятно: домен у MarkMonitor или CSC принадлежит крупной корпорации, а у Cloudflare Registrar, скорее всего, разработчику или стартапу.
• Воспользуйтесь контактной пересылкой регистратора. Каждый регистратор обязан дать способ связаться с регистрантом: анонимный email вроде abc123@contact.gandi.net или веб-форму, на которую ссылается вывод WHOIS. Добросовестные сообщения пересылаются.
• Проверьте SSL-сертификат. Сертификаты с проверкой организации (OV) и расширенной проверкой (EV) содержат юридическое название компании в поле Subject. Прогоните домен через проверку SSL и прочитайте цепочку сертификатов; в руководстве по цепочкам SSL-сертификатов показано, где находится организация.
• Посмотрите DNS. Поле RNAME записи SOA — это email администратора зоны, где @ заменён точкой. Записи TXT выдают почтового провайдера, проверочные токены Google, Microsoft и Facebook, а иногда и прямо название компании. DNS-запрос по SOA и TXT занимает секунды, а поиск поддоменов находит имена вроде mail., crm. или jira., по которым видно, какими инструментами пользуется компания.
• Проверьте историю WHOIS. Записи до мая 2018 года были публичными, и их архивировали несколько коммерческих сервисов. У домена, зарегистрированного задолго до этого, часто есть открытая историческая запись с первым регистрантом — если он и тогда не пользовался защитой приватности.
• Обратный WHOIS. Если известна одна деталь (название компании или уцелевший email), сервисы обратного WHOIS ищут все домены, где она когда-либо указывалась. Дорого, но именно так команды по защите брендов выявляют портфель киберсквоттера.
• Подайте запрос. При юридической необходимости, например в споре о товарном знаке, при фишинге или мошенничестве, Registration Data Request Service (RDRS) от ICANN передаёт регистратору официальный запрос на раскрытие. Он работает только для gTLD и только с регистраторами-участниками. За двухлетний пилотный период (с 28 ноября 2023 года по 30 ноября 2025 года) через него прошло более 3 700 запросов: 26% одобрены, 55% отклонены (ICANN); ICANN оставила сервис работать, пока сообщество решает, что дальше.

WHOIS против RDAP: что изменилось в 2025 году

RDAP (Registration Data Access Protocol) придумали в IETF, чтобы починить всё, что было сломано в WHOIS на 43-м порту, и именно им сегодня пользуется ваш сервис проверки. Различия важны, если вы строите что-то на этих данных:

Два практических следствия. Во-первых, если ваш скрипт разбирает текстовый вывод whois, он живёт взаймы: кроме .com, .name и .post, реестры и регистраторы могут отключить сервис на порту 43 в любой момент, и некоторые уже отключили. whois.nic.google реестра Google, обслуживавший .app и .dev, больше даже не разрешается, а сервер регистратора GoDaddy на любой запрос отвечает «This WHOIS server is being retired. Please use our RDAP service instead.» (оба факта проверены 27 октября 2026 года).

Во-вторых, начальная настройка RDAP решает проблему, которую WHOIS так и не решил: получив example.museum, клиент один раз скачивает data.iana.org/rdap/dns.json, находит запись для museum и обращается к авторитетному серверу без какого-либо жёстко заданного знания. Переход виден по трафику: по ежемесячным отчётам ICANN, запросы RDAP к gTLD выросли примерно с 7 млрд в месяц в январе 2025 года до 65 млрд в августе 2025 года и в июне 2025 года обогнали WHOIS на порту 43 (APNIC).

Национальные домены: у каждого реестра свои правила

Политики ICANN обязательны для gTLD. Национальные TLD (.de, .uk, .br, .jp и примерно 300 других) устанавливают свои правила, и WHOIS-запрос по такому домену может вернуть что угодно: от полной проверенной личности до почти ничего. Вот что публичный запрос вернул у восьми реестров 27 октября 2026 года:

На другом конце шкалы — весь ответ DENIC на порту 43 для example.de:

% The DENIC whois service on port 43 doesn't disclose any information concerning
% the domain holder, general request and abuse contact.
% This information can be obtained through use of our web-based whois service
% available at the DENIC website:
% https://webwhois.denic.de/?lang=en

Domain: example.de
Nserver: ns1078.ui-dns.biz
Nserver: ns1078.ui-dns.com
Nserver: ns1078.ui-dns.de
Nserver: ns1078.ui-dns.org
Status: connect
Changed: 2018-08-10T05:24:12+02:00

Ни регистратора, ни даты создания или окончания, ни владельца, а словарь статусов (connect) собственный у DENIC, а не из EPP.

WHOIS по IP-адресу: кому принадлежит IP

Та же команда whois работает и с IP-адресом, но ответ приходит из другой базы. Доменными именами занимаются реестры и регистраторы, а блоки IP-адресов распределяют пять региональных интернет-реестров (ARIN — Северная Америка, RIPE NCC — Европа и Ближний Восток, APNIC — Азиатско-Тихоокеанский регион, LACNIC — Латинская Америка, AFRINIC — Африка). Запись WHOIS по IP показывает, какой организации выделен блок, его размер, страну назначения и контакт для жалоб — именно то, что нужно, когда с адреса ломятся к вам на сервер или шлют спам.

# Port-43 WHOIS: the client finds the right RIR automatically
whois 1.1.1.1

# RDAP: rdap.org redirects to the right RIR (APNIC here)
curl -sL https://rdap.org/ip/1.1.1.1 | jq '{name, handle, startAddress, endAddress, country, type}'

# Output
{
  "name": "APNIC-LABS",
  "handle": "1.1.1.0 - 1.1.1.255",
  "startAddress": "1.1.1.0",
  "endAddress": "1.1.1.255",
  "country": "AU",
  "type": "ASSIGNED PORTABLE"
}

Запись по IP никогда не скажет, какие сайты размещены на адресе: за одним облачным IP могут стоять тысячи доменов. Она также не показывает физическое местоположение пользователя — только то, где зарегистрирован блок. Если не хочется идти в командную строку, IP Lookup объединяет данные RIR с геолокацией, а ASN Lookup показывает, из какой сети анонсируется блок. Чтобы перейти от IP к имени хоста, используйте обратный DNS — он читает PTR-запись, а не WHOIS.

Как читать дату окончания срока: жизненный цикл домена

Коды статусов имеют смысл только на фоне таймлайна, по которому идёт домен gTLD после того, как владелец перестал платить. Expired Registration Recovery Policy от ICANN задаёт минимумы, реестры и регистраторы добавляют собственные запасы, и в итоге путь оказывается длиннее, чем принято думать:

• Примерно за 30 дней и ещё раз примерно за 7 дней до окончания — регистратор обязан написать владельцу. Третье уведомление приходит в течение 5 дней после окончания срока.
• День 0 (окончание) — реестр автоматически продлевает домен и ставит autoRenewPeriod. У регистратора есть до 45 дней, чтобы оставить домен или удалить. Прежде чем удалить, регистратор обязан остановить разрешение домена как минимум на последние 8 дней (или с момента окончания, если удаляет раньше), так что сайт перестаёт открываться; многие регистраторы показывают страницу о том, что срок домена истёк.
• Дни 1–45 (льготный период регистратора) — владелец всё ещё может продлить. ICANN гарантирует это только на время, пока домен отключён (ERRP); сколько регистратор разрешает сверх этого и по какой цене — его собственная политика, а плату после окончания срока он обязан публиковать на своём сайте.
• Удаление → redemptionPeriod (30 дней) — регистратор удалил домен. Владелец ещё может его восстановить за плату, которую регистратор обязан показывать на сайте, сверх стоимости продления. Зарегистрировать его не может никто другой.
• pendingDelete (5 дней) — восстановление уже невозможно. В конце этого окна, в момент, который реестр не объявляет, имя удаляется и становится доступным.
• Освобождение — домен свободен для регистрации, и службы перехвата доменов, опрашивавшие реестр, конкурируют за него за миллисекунды.

Так что домен, у которого в записи регистратора дата окончания была две недели назад, может находиться от примерно 35 до 66 дней от реального освобождения, а может и вовсе не освободиться: владелец способен забрать его обратно в любой момент до pendingDelete. Следите за строкой статуса, а не за датой окончания. Достаточно раз в день делать WHOIS-запрос и отмечать смену статуса.

Для чего на практике используют WHOIS-сервисы

Помимо вопроса «свободно ли это имя» есть несколько задач, которые снова и снова встречаются в службах поддержки и командах безопасности.

Проверка сайта, прежде чем ему доверять. Магазин, который утверждает, что работает десять лет, а домен создан три недели назад, сам о себе кое-что сообщает. Дата создания, регистратор и серверы имён проверяются за десять секунд, а подделать их в записи реестра невозможно.

Поиск причины, почему сайт перестал разрешаться. Прежде чем трогать DNS, убедитесь, что домен не истёк и не стоит на clientHold: если так, никакие изменения в DNS не помогут. После миграции серверов имён строки Name Server в WHOIS подтверждают, что регистратор действительно применил изменение; резолверы могут держать в кэше старые серверы имён до 48 часов — таков TTL записей делегирования .com. NS-запрос покажет, что мир видит сейчас.

Покупка занятого домена. WHOIS показывает регистратора (у некоторых есть брокерская служба), заблокирован ли домен, как давно им владеет нынешний владелец и не приближается ли срок окончания.

Расследование фишинга или злоупотреблений. Registrar Abuse Contact Email опубликован именно для того, чтобы вы могли пожаловаться на вредоносный домен тому, кто вправе его заблокировать. Дополните его контактом для жалоб из WHOIS по IP для хостинг-провайдера.

Аудит собственного портфеля. Домены теряют из-за просроченных банковских карт не реже, чем из-за хакеров. Ежеквартальная проверка WHOIS всех ваших доменов с контролем дат окончания и блокировок — дешёвая страховка.

Справочник полей WHOIS

Краткий справочник по всем полям, которые встречаются в записи gTLD, с эквивалентами в RDAP — для тех, кто разбирает JSON:

Если запись, которую вы смотрите, не укладывается в эту таблицу, перед вами почти наверняка национальный домен — и справочником тогда служит документация его реестра.