Whois d’IP et d’AS

Votre navigateur interroge directement les registres d’Internet, par RDAP, le successeur de whois, qui répond en JSON sur HTTPS. Le serveur de r-no.fr n’intervient pas : il ne voit jamais ce que vous cherchez.

Qui voit votre recherche

Chaque recherche part d’abord vers le RIPE NCC, le registre européen (rdap.db.ripe.net). Si l’adresse ou l’AS relève d’un autre registre, le RIPE NCC redirige votre navigateur vers lui : ARIN, APNIC, LACNIC, AFRINIC, ou un registre national comme NIC.br ou KRNIC. Ces registres reçoivent ce que vous cherchez et votre adresse IP, et apprennent que la requête vient de r-no.fr (l’en-tête Origin, que les navigateurs envoient et que les pages ne peuvent pas retirer). Aucun cookie n’est envoyé.

Imposé par votre navigateur

La politique de sécurité du contenu (CSP) de cette page n’autorise que les services RDAP de ces registres, et ce site lui-même pour le bouton « Mon adresse », qui interroge ip/my-ip. Une redirection vers toute autre destination est bloquée par votre navigateur, et la page le signale. Aucun envoi de formulaire (form-action 'none'). Une destination de plus est autorisée, comme sur toutes les pages du site : https://stats.r-no.fr, la mesure d’audience (voir plus bas). Vous pouvez lire cette politique en tête du code source de la page.

Mesure d’audience

Comme toutes les pages du site, celle-ci compte sa visite avec Umami, installé sur le serveur de R-no lui-même (stats.r-no.fr). Il reçoit l’adresse de la page, sans paramètres ni ancre, le site d’où vous venez (son nom de domaine seulement), votre navigateur, votre système, votre langue et la taille de votre écran, ainsi que le pays, la région et la ville déduits de votre adresse IP, qui n’est pas conservée. Il ne reçoit jamais ce que vous saisissez, ni le résultat de l’outil. Aucun cookie, rien d’enregistré dans votre navigateur ; si votre navigateur demande à ne pas être suivi (Do Not Track), rien n’est mesuré. Les données sont effacées au bout de 25 mois.

• /commun/mesure.js : le filtre appliqué avant chaque envoi, écrit pour R-no Toolbox. 1.4 kB
  SHA-256 225eec74fd12623d82fc05ee7d222be629ce454d081c129e8d1e249ed37ee716
• https://stats.r-no.fr/m.js : le script de suivi d’Umami, libre (MIT), servi par le serveur de mesure. Son empreinte n’est pas affichée ici : elle change à chaque version d’Umami, et vous ne pouvez pas vérifier depuis votre navigateur qu’il s’agit du code publié. Pour cette partie, il faut faire confiance à R-no.

Données personnelles affichées

Les fiches des registres sont publiques, et certaines nomment des personnes : les contacts d’un réseau, avec leur téléphone ou leur adresse. Cette page affiche les organisations et les contacts de la fiche, mais laisse de côté les membres individuels d’une équipe (la réponse complète, sous le résultat, les contient toujours). Rien n’est gardé une fois la page quittée.

Ce qui n’est jamais envoyé

Les adresses privées, locales, de documentation et les autres adresses réservées, ainsi que les numéros d’AS privés ou de documentation, sont reconnus dans votre navigateur et ne sont jamais envoyés : aucun registre ne les attribue.

Garde-fou

Cette page fait au plus 20 recherches par minute. Les requêtes partent de votre adresse, pas du serveur, mais elles portent l’origine r-no.fr : la limite garde r-no.fr bienvenu chez les registres.

Ce qui est conservé

Aucun cookie, et rien dans l’adresse de cette page : une recherche ne se retrouve pas dans les journaux du serveur. Ce que vous saisissez n’est pas gardé. La langue est donnée par l’adresse elle-même (/en/ ou /fr/) : rien n’est conservé pour s’en souvenir. Comme tout site web, le serveur note dans ses journaux d’accès le téléchargement de la page et de ses fichiers (adresse IP, date et heure, adresse demandée, nom du navigateur), et de la même façon la requête du bouton « Mon adresse ».

Le code qui s’exécute ici

• app.js: vérifie ce que vous avez saisi, interroge les registres et lit leur réponse. Écrit pour R-no Toolbox, non minifié, sans bibliothèque tierce. 28.7 kB
  SHA-256 9172abf4285e1d300f73e37f2007738809ed28403476304ff96497693c838d0f
• textes.js: les messages en français de l’outil, affichés par son script (le reste de la page française est écrit dans son HTML à la construction du site). Il ne fait que définir des textes, sans aucune logique. 9.1 kB
  SHA-256 f1630a4288923394a4ab6076db8d63772fcb12a7390c0755ef26cb60f0cd0928
• /commun/langue.js: l’aide à la traduction, la même sur toutes les pages du site. Elle lit la langue de la page et donne à l’outil ses messages dans cette langue. Elle ne conserve rien. 1.6 kB
  SHA-256 80f76f69773ef628d36d09bf8387cfedebda4529210d7120649b6f5603310631

Testé

La vérification de la saisie et la lecture des réponses des registres sont couvertes par des tests automatiques, exécutés à chaque déploiement, sur des réponses relevées auprès de chaque registre régional.

Vérifiez vous-même

Téléchargez le script et comparez son empreinte avec celle affichée ci-dessus :
curl -s https://r-no.fr/ip/whois/app.js | shasum -a 256

Limites

Les noms de domaine ont leur propre outil : domains/whois. Un registre peut limiter le nombre de recherches par adresse, et demande de respecter ses conditions d’utilisation. Ce qui s’affiche est ce que le registre détient, parfois pas à jour.