Sécurité & données

Trouver le propriétaire d’une adresse IP : un fournisseur, pas forcément une personne

23 octobre 2026 Maël de Kerbrat 7 min de lecture

Pour trouver le propriétaire d’une adresse IP, effectuez une recherche WHOIS ou RDAP : elle permet généralement d’identifier l’organisation à laquelle le bloc d’adresses est attribué, ainsi que des informations réseau et un contact de signalement d’abus. Elle ne révèle pas automatiquement le nom de la personne qui utilise cette adresse. La distinction est essentielle pour interpréter les résultats sans tirer de conclusions abusives.

Table des matières

Effectuer une recherche sur la bonne adresse IP

Une adresse IP est un identifiant utilisé par un équipement pour communiquer sur un réseau utilisant le protocole Internet. Elle peut être au format IPv4, composé de nombres séparés par des points, ou IPv6, reconnaissable à ses groupes de caractères séparés par des deux-points. Les services de consultation des registres prennent en charge ces deux formats.

Infographie pour trouver le propriétaire d’une adresse IP avec WHOIS ou RDAP et comprendre ses limites

Vérifier qu’il s’agit d’une adresse publique

La recherche doit porter sur une adresse IP publique, visible sur Internet. Une adresse privée, comme celles commençant par 192.168., sert à communiquer dans un réseau local : elle ne permet pas de retrouver un abonné ou une entreprise à travers un registre public. Si vous analysez les journaux d’un site, vérifiez également que l’adresse relevée correspond bien à la connexion recherchée et non à un intermédiaire technique.

Lancer la consultation WHOIS ou RDAP

Copiez l’adresse exacte, sans ajouter de protocole, de chemin de page ou de numéro de port.
Ouvrez un outil gratuit de recherche WHOIS IP ou le service de consultation d’un registre Internet régional, par exemple RIPE NCC, ARIN ou APNIC.
Collez l’adresse dans le champ prévu, puis lancez la recherche.
Relevez l’organisation, la plage réseau et le contact d’abus. Consultez ensuite les éventuelles informations complémentaires sur l’ASN et le fournisseur.

Si le service propose les données RDAP brutes, ouvrez-les lorsque le résumé est incomplet. Elles permettent de consulter les champs du registre dans un format structuré, lisible par machine, et de retrouver des précisions ou des renvois absents de l’affichage simplifié.

Lire les résultats sans confondre les rôles

Le « propriétaire » affiché est généralement l’organisation enregistrée comme détentrice ou bénéficiaire du bloc d’adresses. Il peut s’agir d’un fournisseur d’accès à Internet, d’un hébergeur, d’une entreprise ou d’un autre opérateur. Cette organisation n’est pas nécessairement celle qui utilise directement l’adresse recherchée.

Champ	Signification	Précaution de lecture
Organisation	Entité associée au bloc dans le registre.	Ce n’est pas forcément l’utilisateur final.
FAI ou hébergeur	Prestataire fournissant la connexion ou l’infrastructure.	Il peut héberger de nombreux clients distincts.
Plage réseau / CIDR	Ensemble d’adresses auquel appartient l’IP, décrit notamment par un préfixe.	Un bloc couvre plusieurs adresses, pas un seul appareil.
ASN	Numéro identifiant un système autonome participant au routage Internet.	Il décrit un réseau, pas une personne.
Pays	Pays renseigné dans l’enregistrement ou associé par l’outil.	Il ne prouve pas la présence physique de l’utilisateur.
Contact d’abus	Adresse ou service destiné aux signalements d’incidents.	À utiliser avec des éléments techniques vérifiables.

Tous ces champs ne figurent pas nécessairement dans une même réponse. L’ASN, en particulier, peut provenir d’une information de routage ajoutée par l’outil plutôt que de la fiche d’enregistrement de l’adresse. Un résultat incomplet n’est donc pas automatiquement suspect.

Pensez à un effet domino : une mauvaise interprétation du premier champ peut fausser toute l’enquête. Assimiler l’hébergeur au responsable d’un site conduit ensuite à lui attribuer les actions d’un client, puis à bloquer éventuellement tout son réseau. Pour éviter cet enchaînement, séparez dans vos notes trois niveaux : bloc enregistré, réseau qui annonce l’adresse et service observé. Ne concluez sur l’identité de l’utilisateur que si des éléments indépendants le permettent.

Choisir entre WHOIS, RDAP, domaine et ASN

WHOIS vient de l’expression anglaise « who is ». Ce service permet de consulter des informations d’enregistrement. Pour les adresses IP, les registres Internet régionaux documentent les ressources attribuées aux organisations et les éventuelles délégations vers d’autres opérateurs.

WHOIS et RDAP : une finalité proche, des formats différents

WHOIS renvoie traditionnellement une réponse textuelle dont la présentation varie selon le serveur interrogé. RDAP, pour Registration Data Access Protocol, fournit des données structurées et normalisées. Il facilite leur traitement automatique et les renvois vers le service compétent. Pour une consultation manuelle, les deux peuvent être utiles ; pour exploiter les champs dans un logiciel, RDAP est généralement plus pratique.

Une interrogation RDAP en temps réel consulte les informations publiées au moment de la demande. Elle ne garantit toutefois ni une mise à jour instantanée après chaque changement d’usage, ni l’accès à toutes les coordonnées : certains renseignements peuvent être absents, restreints ou masqués.

Adapter la recherche à ce que vous cherchez

Recherche IP : identifier le bloc réseau, son organisation et les contacts associés.
Recherche de domaine : consulter l’enregistrement d’un nom, ses serveurs DNS et, selon les informations accessibles, ses dates d’enregistrement ou d’expiration.
Recherche d’ASN : identifier l’opérateur associé à un système autonome et approfondir l’analyse de son réseau.

Le détenteur d’un domaine, l’hébergeur de son site et le titulaire du bloc IP peuvent être trois acteurs différents. Une recherche de domaine complète donc l’analyse, mais ne remplace pas une consultation de l’adresse IP.

Comprendre les limites : identité, localisation et adresses partagées

Une recherche publique ne permet généralement pas de connaître le nom d’un internaute. Un fournisseur peut disposer d’informations d’attribution à ses abonnés, mais celles-ci ne sont pas publiées dans WHOIS. Leur communication éventuelle relève des procédures légales applicables, pas d’un simple outil de recherche.

Plusieurs situations expliquent cette limite. Une adresse dynamique peut changer d’utilisateur au fil du temps. Une adresse publique peut aussi être partagée entre plusieurs appareils ou abonnés, notamment sur certains réseaux mobiles. Un VPN ou un proxy fait apparaître l’adresse de sortie du service plutôt que celle de la connexion d’origine.

La géolocalisation demande la même prudence. Le pays du registre correspond à une information administrative ; une ville affichée par un outil provient souvent d’une base de géolocalisation distincte. Elle peut désigner un point de présence réseau ou une estimation. Une IP ne donne pas une adresse postale fiable.

Pour un webmaster ou un commerçant, ces renseignements servent à comprendre un trafic inhabituel, reconnaître un hébergeur ou orienter une vérification. Ils ne suffisent pas, seuls, à qualifier un visiteur de fraudeur ni à identifier un acheteur.

Utiliser le contact d’abus avec un dossier exploitable

Lorsqu’une adresse apparaît dans des tentatives de connexion malveillantes, du spam ou une activité suspecte, recherchez le champ abuse dans la fiche du registre. Il désigne le service chargé de recevoir les signalements concernant le réseau. Ce contact n’est pas un annuaire permettant de demander l’identité d’un abonné.

Transmettez un message factuel contenant l’adresse concernée, la date, l’heure avec le fuseau horaire, la nature de l’incident et les extraits de journaux pertinents. Si vous les possédez, les ports et le protocole peuvent aider à distinguer des connexions partageant une même adresse. Évitez d’envoyer des mots de passe, des données clients ou des journaux complets inutiles.

Enfin, conservez le résultat de votre consultation et sa date. L’usage d’une adresse peut évoluer : une fiche actuelle décrit l’enregistrement actuel, pas nécessairement la situation au moment d’un incident ancien. Cette précaution rend vos vérifications et vos signalements nettement plus solides.