OSINT-onderzoekers opgelet: er komt een einde aan het tijdperk van WHOIS. Een WHOIS-lookup wordt traditioneel gezien als een van de basistechnieken voor het onderzoeken van de registratiegegevens van websites. Met RDAP als vervanger voor WHOIS komt hier verandering in. In deze blog lees je wat er gaat veranderen en wat dat voor invloed heeft op jouw OSINT-onderzoek.
Wat is WHOIS?
WHOIS is eenvoudig gezegd een protocol waarmee je de registratiegegevens van een domeinnaam kunt achterhalen. Door een WHOIS-lookup uit te voeren kun je onder andere achterhalen wie de registrant en wie de registrar van een domeinnaam zijn. Met andere woorden: wie een domeinnaam bij welke hosting provider geregistreerd heeft. Ook kun je via een WHOIS-lookup achterhalen wat de registratiedatum van een domein is en tref je informatie aan over de gebruikte domeinnaamservers. Dit soort gegevens kunnen een waardevolle bron vormen voor een OSINT-onderzoek. In de afbeelding hieronder zie je het resultaat van een WHOIS-lookup uitgevoerd via de website van SIDN.nl, de beheerder van het .nl-domein.
Wat is RDAP?
RDAP staat voor “Registration Data Access Protocol”. Het is een in 2015 ontwikkeld protocol dat het WHOIS-protocol gaat vervangen. RDAP lijkt op het WHOIS-protocol, maar kent wel een aantal belangrijke verschillen die het protocol verbeteren.
- Een eerste belangrijk verschil is dat het format waarin je data opvraagt. De data die je via RDAP terug krijgt is namelijk in gestructureerd JSON-formaat, terwijl de data die je terugkrijgt via WHOIS in ongestructureerd “plain text”-formaat is. Een voorbeeld van een response in JSON-formaat zie je op https://rdap.one.com/v1/domain/aware-online.com en in de afbeelding hieronder.
- Een tweede belangrijk verschil is de toegang tot de gegevens. Daar waar bij WHOIS gegevens publiekelijk toegankelijk zijn, zal bij RDAP gewerkt worden met autorisaties. Dat betekent dat sommige gegevens openbaar zullen zijn en dat andere gegevens alleen door geautoriseerde organisaties (zoals de Politie) na inloggen inzichtelijk zullen zijn.
- Een derde belangrijk verschil is dat de data opgevraagd kan worden via een publieke web API. Dit is een groot voordeel voor het bulkmatig verzamelen van gegevens en voor het analyseren daarvan. De link https://rdap.sidn.nl/domain/aware-online.nl is een voorbeeld van een bevraging via de publieke web API van de Stichting Internet Domeinregistratie Nederland (SIDN), de beheerder van het .nl-top level domein.
Wanneer gaat er wat veranderen?
Ondanks dat RDAP al in 2015 is ontwikkeld, laat de vervanging van WHOIS al lange tijd op zich wachten. Sinds 28 januari 2025 is het echter zo dat de ondersteuning van het Registration Data Acces Protocol voor zogeheten generieke top level domeinen (gTLD’s) verplicht is. Op de website van de Internet Assigned Numbers Authority (https://www.iana.org/domains/root/db) kun je zien welke generieke top level domeinen er zijn en welke door IANA beheerd worden. Met de verplichting om RDAP te ondersteunen, is de verplichting om WHOIS te ondersteunen komen te vervallen. Dat betekent dat het WHOIS-protocol in de loop van de tijd steeds minder vaak gebruikt zal worden. Dit geldt ook voor zogeheten country top level domeinen (ccTLD). Deze top level domeinen vallen niet onder het regime van ICANN (en hebben dus de verplichting niet om RDAP te ondersteunen), maar deze top level domeinen zullen in de (nabije) toekomst ook via RDAP-bevraagbaar zijn. Op de website van SIDN.nl is bijvoorbeeld te lezen dat SIDN als beheerder van het .nl-domein (een ccTLD) besloten heeft om RDAP beschikbaar te stellen voor bevragingen van het .nl-domein.
Wat is de impact op mijn OSINT-onderzoeken?
Concreet betekent de introductie van RDAP voor jou het volgende:
- De WHOIS-lookup, de traditionele manier om registratiegegevens van een domeinnaam te bevragen, komt te vervallen. In plaats daarvan zal RDAP het nieuwe protocol zijn waarmee je registratiegegevens kunt bevragen.
- Een bevraging via het RDAP-protocol zal anders zijn dan je gewend bent. Niet alleen de manier van bevraging zal veranderen (via een web API), ook het resultaat (JSON in plaats van plain-text) en de toegang tot gegevens (na autorisatie) zullen anders zijn.
Op de hoogte blijven van veranderingen?
Schrijf je dan in voor onze nieuwsbrief via het formulier onderaan deze pagina.