查询国外域名Whois需要注意哪些合规问题？

学完这篇你能得到什么：你能分清国外域名 Whois 里哪些字段是“查不到”、哪些是“不能拿来用”，并按一套可落地的顺序处理查询、留存和使用，避免因抓取或转售注册人数据而出现合规问题。

第一步：先确认域名类型，它决定你能查到什么

先判断目标域名是 gTLD（如 .com、.net、.org）还是 ccTLD（如 .de、.uk、.fr、.eu），这决定查询结果中的字段有多少。gTLD 的注册数据由 ICANN 统一规则约束；ccTLD 由各国注册局自定政策，差异极大：.de 的 DENIC 只提供极有限的查询接口，.eu、.fr 对个人数据隐藏得更彻底，部分国家甚至不开放公开查询。结果：你在动手前就知道预期能拿到哪些字段，不会把“查不到”当成“域名无主”。

具体做法：先看域名后缀，再去对应注册局官网找 “Whois” 或 “RDAP” 页面确认政策。gTLD 可直接用 RDAP（结构化 JSON 接口，ICANN 自 2019 年 8 月起要求 gTLD 注册局与注册商提供），比传统 43 端口 whois 文本更好解析。

注意：.com 能查到的字段不代表 .de 也能查到；拿 gTLD 的经验套 ccTLD，是最常见的误判。

第二步：先写清查询目的，再发第一个请求

这一步要产出一句话的书面用途说明，它是后续所有操作的依据。2018 年 5 月 25 日起，为符合 GDPR，gTLD 注册数据中注册人姓名、邮箱、电话、地址等个人字段被大幅隐藏，展示为 “REDACTED FOR PRIVACY” 或 “Data Protected”。这意味着你没有默认权限拿到个人数据，必须有合法依据。

常见可接受目的：域名侵权取证、UDRP 争议准备、并购或资产盘点、安全事件溯源。不可接受目的：批量收集邮箱做营销、给注册人画像、转卖给第三方。

注意：即使字段是公开的，也不等于可以任意使用。欧盟监管口径是“公开可见”不等于“可自由用于任何目的”。

第三步：选合规渠道，遵守使用条款与频率限制

这一步要确定你用哪个接口查、每天查多少次。可选渠道有三类：注册局或注册商的官方 Whois/RDAP、ICANN 的查询入口、商业 API（如带授权条款的数据服务商）。多数官方接口有速率限制（rate limit），超限会被临时封 IP；商业服务商的条款通常明确禁止再分发原始数据。

企业内部做法：固定 1–2 个出口 IP、加缓存（同一域名 24 小时内不重复查）、把查询行为写进日志。

注意：写爬虫批量跑 whois 端口是最容易出问题的做法，既违反多数注册局条款，也可能触发对方的风控封禁，进而影响公司其他业务。

第四步：拿到数据后按最小化原则存储

这一步决定你保存哪些字段、存多久、谁能看。只保留与目的直接相关的字段，不保存完整原始响应；设定保留期限（如争议取证类保存至案件结束后 6 个月）；限制访问人员名单；不把查询结果同步进营销或 CRM 系统。

如果注册人是欧盟自然人，数据落到境内系统就涉及跨境处理，需要走公司内部的数据出境评估流程；在中国境内处理已公开的个人信息，依据《个人信息保护法》第 13 条、第 27 条，需在合理范围内处理，且个人明确拒绝时应停止。

注意：Whois 结果本身可能失准（过期、代填、隐私代理），不能作为权属的唯一证据；取证时同步抓取 DNS、MX、证书透明日志（crt.sh）和页面快照，并记录精确时间戳。

第五步：需要真实注册人信息时走正式路径

这一步解决“我必须要拿到隐藏字段”的场景。合规路径有三条：向域名争议程序（UDRP）提起投诉，由专家组要求注册商披露；通过法院或仲裁机构调取；使用注册商官网的“滥用举报/执法请求”表单提交正式请求。三条路径都需要说明具体理由和证据，且要接受对方可能拒绝。

注意：不要用“我发封邮件问问”的方式向注册商索要个人数据，这类请求基本不会被受理，反复提交还可能被标记。

小结

• 先分 gTLD 与 ccTLD，再决定预期能查到什么
• 查询前写清目的，公开可见不等于可自由使用
• 用官方 RDAP 或授权 API，控制频率、加缓存、留日志
• 存储做最小化，限定字段、期限和访问人
• 要隐藏字段就走上争议程序、司法调取或官方滥用通道

免责声明：本文为技术与流程说明，不构成法律意见；涉及具体案件或跨境数据处理时，请咨询持证律师或数据合规负责人。