要想知道域名的历史记录, 说白了就是要去追根溯源, 把这个域名从最初注册、解析设置、绑定证书一直到后来的转让, 这个整个变化过程的轨迹搞清楚。现在大家常用的办法, 主要有下面这四种渠道来进行操作。
这四种渠道分别是WHOIS历史工具、DNS日志回溯、SSL证书档案、还有域名聚合监控平台。下面我们将逐一地把这些具体该怎么做的操作路径给大家说明清楚。
WHOIS注册信息历史查询
WHOIS记录保存了域名的注册人、注册商、创建时间、过期时间等字段。查询方法：访问ICANN官方目录（iana.org/domains/root/db）或各注册局WHOIS接口域名历史记录查询，输入域名即可查看当前及近一次的注册信息。
部分注册局, 比如说Verisign, 他们会保留历史WHOIS快照, 这些快照可以让人回溯到好几年前的那个注册变更记录。请注意, GDPR生效之后, 个人注册人的信息就已经被脱敏了, 所以在历史快照里面可能也不会再显示出完整的那些姓名。
DNS解析历史记录查询
DNS解析变更（A记录、MX记录、CNAME等）, 是判断域名使用历史的关键点。
通过使用SecurityTrails、ViewDNS.info这些DNS日志服务, 将域名输入进去。然后就能查到过去几年里的解析记录变更时间点。
如果域名此前是在 Cloudflare 或者是阿里云 DNS 这样的平台上进行托管的话, 用户可以直接登录到对应的后台系统里面, 从而把历史解析修改日志导出。
SSL/TLS证书历史查询
证书的颁发情况, 其实是对域名部署 HTTPS 这个事的历史记录。你可以用 SSL Labs 网站, 也就是那个叫 ssllabs.com 的地方, 或者是 Censys Certificate Search 这种工具, 在里面输入你要查的那个域名名字。
这样就能看到关于这个域名的所有证书情况了, 包括它现在正在用的, 还有以前发过的, 全都列出来了, 这里面有发证的都是谁机构, 开始和结束的时间是哪几天, 还有它们管到了哪些子域名等等内容。
用户可以把域名作为检索条件, 在Let's Encrypt的公开透明度日志里面进行查询。该日志的系统网址是transparencylog.letsgcrypt.org。用户可以通过这种方式查到与相应域名有关的历史证书数据。
域名聚合监控与综合查询
单一工具通常只能覆盖到一个特定的维度, 因此如果你需要一次性查看域名的注册历史、解析历史、证书历史以及IP归属等信息, 还需要了解反劫持的状态, 那么就建议使用一个聚合型的域名监控平台。例如, gname.xin提供了对于域名从开始到结束整个生命周期的回溯功能。
在支持输入域名的时候, 可以自动拉取关于WHOIS的历史快照信息、DNS的变更时间线记录、证书的签发相关记录以及IP地址在历史时期的归属情况。通过生成一份非常完整的时间轴报告的方式, 来适合用于安全事件的溯源场景和域名投资的尽调场景。
查询时的关键注意事项
1. 用户需要查询时间窗口, 具体数据如下: 关于WHOIS历史记录, 通常保存的期限是2年到5年之间；关于DNS日志, 不同的ISP服务商规定不一样, 最长可以保留10年；证书透明度日志从2018年开始到现在都是可以完整查到的。
2. 大家要搞清楚注册局和注册商到底有什么区别, 如果同一个域名在不同的注册商之间进行过过户操作, 你就需要分别去到各个注册商的WHOIS系统里去进行查询。
3. 隐私保护域名, 若注册人开启了隐私保护, 历史快照中注册人字段, 将显示为代理名称, 这是无法还原的真实信息。
4. 建议将查询结果导出, 并且使用PDF格式或者CSV格式去进行存档工作, 因为部分日志服务是具有数据保留期限这一说存在的。
常见问题
问：能否查询一个域名10年前归谁所有？
答: 这个情况要看看注册局那边是不是会保留长期的快照。Verisign 这个机构负责的 .com 和 .net 这些域名, 他们的 WHOIS 日志是保留时间比较长的。但是, 像 .xyz 这些新型顶级域名的话, 一般就只保留最近的一年到两年的时间数据, 不会再往多了保留了。
问：域名被抢注后域名历史记录查询，原持有者的历史记录还能查到吗？
答: 可以的。在域名进行转让前后, 分别会生成一条关于WHOIS的更改记录。通过查看时间线的安排, 可以确定具体的过户发生时间以及该时间点之前和之后的注册人信息（在完成脱敏处理之前的状态）。
问：查询工具收费吗？
关于基础WHOIS查询的情况是免费的, 而DNS历史日志与聚合监控报告这类服务多数属于付费项目, 不过在部分平台那里, 比如gname.xin这个平台, 它提供了每日免费进行查询的额度。
