很多人都会问到域名历史记录查询这事, 核心渠道其实有五个大的方面, 第一个就是WHOIS历史档案, 第二个是注册商操作日志, 第三个是DNS服务商的历史记录, 第四个是ICANN官方提供的接口, 最后一个是第三方域名监控工具, 这五类渠道能够获取到的信息粒度和时间的深度是完全不同的, 所以我们接下来就要一点点地把每个操作步骤还有适用场景都给拆解开来看。
WHOIS历史档案（最常用门槛最低）
大家做那个标准的WHOIS查询, 也就是去用那个whois这个命令, 或者到各个注册局的页面去看一看, 其实只能拿到域名现在的一个状态, 可是如果想要知道以前的那些变更记录的话, 那就不能只靠那个了, 必须要去依靠下面这些专门做的归档服务才行。
Archive.org（WaybackMachine）: 它针对WHOIS页面实施了定期的快照操作。这可以用来回溯近20年之內的注册人信息。
这还可以用来查看DNS服务器以及域名状态的字段变更情况。具体的操作步骤是: 在archive.org网站上搜索目标域名的WHOIS页面。然后, 用户可以按照时间轴进行翻阅和查看。
这是一个商业平台, 叫做安全尾轨或者是域名大数据, 它可以提供关于字段级变更的时间线信息, 这些信息是关于WHOIS的, 并且精确到每一次修改的具体时间戳, 这样的功能非常适合那些需要按照条目来逐一进行追溯工作的场景。
注册商后台操作日志
你需要登录那个域名注册商的管理面板, 然后进入"域名管理→操作日志/历史记录"这个模块, 这样就可以查看到过户、续费、锁定、DNS修改、邮箱验证等操作的流水记录了。
各个注册商保留的时间期限是不一样的, 通常是保持1至3年, 具体的情况要根据注册商的服务协议来确定。如果域名已经转出了, 那么原注册商的后台还是有可能保留那些在转出之前的操作记录的。
DNS服务商历史解析记录
如果这个域以前曾经接入过特定的DNS服务商, 比如说Cloudflare、Route 53、阿里云DNS等这些服务的话, 那么用户就是可以到对应的后台里面去, 找到那个叫做分析或者历史记录的功能按钮来查询的, 这里面的查询内容呢, 包括了A记录、AAAA记录、CNAME记录、MX记录、TXT记录等等这些记录的变更情况, 当然不同服务商的做法是不太一样的, 有些服务商只保留90天的数据, 但是也有部分服务商支持更长的周期去保留这些数据, 同时需要注意一点就是, 通常来说必须要拥有管理员权限的人才能进行查看操作。
ICANN官方查询
访问 lookup.icann.org，输入域名可获取注册机构（Registrar）、域名状态码（如clientTransferProhibited）、EPP更新时间等权威字段。
ICANN 本身并不会向公众开放历史数据库, 但是注册商有义务把变更情况上报给注册局, 注册局比如在出现争议仲裁的场景时是可以提供有限的历史数据的。
第三方域名监控与情报工具
gname.xin 这个平台提供了域名历史记录查询的功能, 它支持把 WHOIS 变更追踪、DNS 解析历史、SSL 证书签发记录以及隐私保护开关记录统一聚合在一起。
当用户输入目标域名之后, 系统会自动从多个公开数据源中拉取信息。这些信息会以时间线的形式呈现出来, 用来显示关键节点的变更信息。这种方式适合用在批量监控的场景里, 也适合用在事件溯源的场景里, 同时还适合用于域名投资的尽调工作。
可查询信息总览
使用注意事项
1. 自2018年, 也就是GDPR生效以及ICANN隐私政策更新之后, 绝大多数注册人的姓名、物理地址和电话这几个字段, 现在默认是由隐私代理来替代的。因此, 在那些历史记录快照里面, 你很有可能会看到有REDACTED这个标记出现。所以, 你在进行解读的时候, 必须把上下文结合起来判断。
2. 在免费渠道这里, 数据的延迟和缺失的情况是存在的, 这种情况涉及到比如法律取证还有UDRP域名争议仲裁等很关键的场景, 所以咱们的建议就是同时要调用至少两个独立的数据库来进行交叉验证。
3. 域名这个对象一旦被相关的注册管理机构给执行了删除操作, 也就是我们常说的进入丢弃状态, 那么与它相关的WHOIS查询记录一般会在三十到四十五天的时间段之内被彻底清除干净, 所以如果要进行查证工作, 建议采取的行动应该尽量提前。
按照上面说的那五类渠道进行组合使用, 这样就能构建出一条完整的域名变更时间线, 能够完全满足从日常运维环节到合规审计环节的所有查询需求。
