WHOIS-приватність: хто бачить ваші персональні дані через домен і як це зупинити

Ви купили домен, запустили сайт, відсвяткували з друзями. А через тиждень - дзвінки від невідомих компаній, спам на пошту, яку ви вказали при реєстрації, і навіть листи з погрозами від конкурентів. Звідки вони дізнались? Відповідь проста і неприємна: з бази WHOIS, яка за замовчуванням показує ваше ім'я, адресу, телефон і email кожному, хто захоче подивитись. Це як повісити на двері квартири табличку з паспортними даними. Давайте розберемося, як це працює і що з цим робити.

Що таке WHOIS і чому він знає про вас більше, ніж ваша мама

WHOIS - це протокол, створений ще в 1982 році. Тоді інтернет був клубом для вузького кола людей, і ідея публічного реєстру власників доменів виглядала розумною. Вам потрібно зв'язатись з адміністратором домену? Просто подивіться в WHOIS. Просто, елегантно, по-сусідськи.

Проблема в тому, що інтернет давно перестав бути затишним клубом. Сьогодні WHOIS-запит може зробити будь-хто: спамер, конкурент, шахрай, журналіст, ваша колишня. Буквально хто завгодно.

При реєстрації домену ви зазвичай вказуєте:

• Повне ім'я або назву компанії
• Фізичну адресу (місто, вулиця, індекс)
• Номер телефону
• Email-адресу
• Дати реєстрації та закінчення домену

Все це потрапляє в публічну базу. Причому не просто потрапляє - існують десятки сервісів, які агрегують ці дані, індексують їх і продають маркетологам пачками по мільйону записів. Ваш домен за $10 на рік стає джерелом персональних даних для цілих індустрій.

Реальні загрози: від набридливого спаму до крадіжки домену

"Та кому я потрібен?" - типова реакція. Давайте подивимось на цифри і факти.

За даними дослідження ICANN (2023), понад 67% власників доменів без WHOIS-приватності отримують спам-повідомлення, пов'язані саме з реєстрацією домену, протягом перших 30 днів після покупки.

Але спам - це ще квіточки. Ось ягідки:

1. Соціальна інженерія. Зловмисник знає ваше ім'я, email і телефон. Він телефонує, представляється реєстратором і просить "підтвердити" дані для переносу домену. Щороку тисячі доменів крадуть саме так.
2. Фішингові атаки. Маючи email з WHOIS, шахраї надсилають листи, що імітують повідомлення від вашого реєстратора: "Домен закінчується через 24 години, натисніть тут для продовження". Ви натискаєте - і віддаєте пароль.
3. Юридичний тиск. Конкуренти або патентні тролі використовують дані WHOIS для масових претензій. Навіть якщо претензія безпідставна, отримати лист від юриста з вашою домашньою адресою - не найприємніший досвід.
4. Сталкінг і харасмент. Для блогерів, журналістів, активістів відкриті дані WHOIS можуть становити пряму фізичну загрозу.
5. Targeted-реклама найгіршого ґатунку. Десятки компаній парсять WHOIS і продають "свіжі" контакти власників доменів. Ви щойно зареєстрували домен для інтернет-магазину? Чекайте потік дзвінків від SEO-агентств, дизайнерів і хостинг-провайдерів.

Запам'ятайте: відкриті WHOIS-дані - це не абстрактна проблема приватності, а конкретний вектор атаки на ваш бізнес і особисту безпеку.

GDPR, ICANN і великий передєл приватності

У 2018 році в Європі запрацював GDPR - і для WHOIS це був справжній землетрус. Раптом виявилось, що публікація персональних даних без явної згоди людини - це порушення закону, яке може коштувати реєстратору до 20 мільйонів євро або 4% річного обороту. Реєстратори різко полюбили приватність.

ICANN - організація, яка координує систему доменних імен у всьому світі - була змушена впровадити тимчасову специфікацію, що дозволяла реєстраторам приховувати дані європейських клієнтів. Але "тимчасова" специфікація працює вже сьомий рік. Класика бюрократії.

Ситуація сьогодні виглядає так:

Зверніть увагу: для зони .ua ситуація специфічна. Реєстратори зазвичай не показують дані фізичних осіб у публічному WHOIS, але для юридичних осіб назва компанії залишається видимою. Якщо ви реєструєте .ua-домен на ФОП - перевірте, що саме публікується.

WHOIS Privacy, RDAP і Proxy: три щити, які ви маєте знати

Розберемо інструменти захисту. Їх три, і вони працюють по-різному.

WHOIS Privacy Protection - найпопулярніший варіант. Реєстратор замінює ваші контактні дані на свої або на дані спеціальної proxy-компанії. Замість "Іван Петренко, вул. Хрещатик, 1" у WHOIS з'явиться щось на кшталт "Privacy Protection Service, PO Box 123, Panama". Вхідна пошта та запити перенаправляються вам, але відправник не знає вашої реальної адреси.

RDAP (Registration Data Access Protocol) - наступник WHOIS, який працює з 2019 року. RDAP підтримує диференційований доступ: звичайний користувач бачить мінімум даних, правоохоронні органи - більше, а повний доступ мають лише авторизовані сторони. Це як VIP-пропуски на концерті - різні рівні доступу за кулісами.

Proxy-реєстрація - найрадикальніший підхід. Домен реєструється на ім'я третьої сторони (proxy-агента). Ви - фактичний власник, але формально домен записаний на компанію-посередника. Це корисно для захисту від юридичного тиску, але має ризик: якщо proxy-компанія зникне, довести своє право на домен стане значно складніше.

Який варіант обрати? Для 90% випадків вистачає звичайної WHOIS Privacy Protection. Вона проста, дешева (часто безкоштовна) і не створює юридичних ускладнень з правом власності на домен.

Покрокова інструкція: як увімкнути захист прямо зараз

Якщо ви ще не перевірили свої WHOIS-дані - зробіть це зараз. Серйозно, перш ніж читати далі. Зайдіть на whois.domaintools.com або who.is і введіть свій домен. Побачили свою адресу? Тоді ось план дій:

1. Перевірте налаштування реєстратора. Зайдіть у панель керування доменом. У більшості реєстраторів (Namecheap, Cloudflare, GoDaddy, Porkbun) опція "WHOIS Privacy" або "ID Protection" знаходиться прямо на сторінці домену. Один клік - і дані заховані.
2. Переконайтесь, що захист безкоштовний. У 2025 році платити за WHOIS Privacy - це як платити за повітря в шинах. Namecheap, Cloudflare і Porkbun надають його безкоштовно. Якщо ваш реєстратор бере $10-15 на рік - можливо, час мігрувати.
3. Перевірте результат. Через 15-30 хвилин після активації зробіть повторний WHOIS-запит. Ваші дані мають зникнути.
4. Оновіть контактний email. Використовуйте окрему email-адресу для реєстрації доменів. Не вашу основну робочу. Не Gmail, до якого прив'язані банківські рахунки. Окрему.
5. Увімкніть Registry Lock (якщо доступний). Це додатковий захист від несанкціонованого перенесення домену. Працює як сейф у сейфі.

Коли приховувати дані не варто (і навіть шкідливо)

Є ситуації, де відкриті WHOIS-дані - це перевага, а не вразливість.

Корпоративні сайти великих компаній. Якщо ви - відомий бренд, відкриті дані в WHOIS підтверджують легітимність. Коли хтось перевіряє домен банку і бачить реальну назву компанії з юридичною адресою - це додає довіри. Анонімний власник банківського сайту - це червоний прапорець.

Державні та громадські організації. Прозорість тут важливіша за приватність. Відкриті контакти спрощують комунікацію і відповідають принципам підзвітності.

Доменне інвестування. Якщо ви продаєте домени, потенційні покупці мають мати можливість зв'язатися з вами. Прихований WHOIS ускладнює угоди і знижує довіру до продавця.

Для решти - фрілансерів, малого бізнесу, блогерів, стартапів - WHOIS Privacy має бути увімкнена за замовчуванням, без роздумів і зволікань.

Майбутнє WHOIS: куди все рухається

ICANN працює над системою SSAD (System for Standardized Access/Disclosure) - стандартизованим механізмом доступу до даних реєстрантів. Ідея така: створити єдину точку, через яку правоохоронці, власники торговельних марок і дослідники безпеки зможуть запитувати дані. Звичайні користувачі побачать мінімум інформації.

Але поки SSAD проходить пілотне тестування (і вже встигла отримати критику за складність і дорожнечу), ваш захист - це ваша відповідальність. Не чекайте, поки хтось вирішить проблему за вас.

Запитайте себе: якщо б хтось повісив оголошення з вашим ім'ям, адресою і телефоном на автобусній зупинці - ви б спокійно пройшли повз? Напевно, ні. Тоді чому ваші дані досі у відкритому WHOIS? Перевірте свій домен прямо зараз. Це займе дві хвилини, а заспокоєння триватиме роками.