Cómo recuperar datos WHOIS históricos de un dominio tras su eliminación

Los datos WHOIS resultan útiles para localizar amenazas cibernéticas, verificar la titularidad de las empresas y prevenir el uso indebido de marcas en los dominios. Durante décadas, esta información fue pública y de fácil acceso.

Últimamente, identificar a la persona que se encuentra detrás de un nombre de dominio se ha vuelto mucho más difícil. Una consulta habitual en WHOIS ofrece muy poca información, ya que la mayor parte de los datos están ahora ocultos o protegidos por la política de privacidad (se trata de mecanismos distintos que analizaremos más adelante).

En esta entrada, describiremos algunas formas en que los investigadores de ciberseguridad pueden seguir accediendo a información real del WHOIS a pesar de la censura o la protección de la privacidad. También analizaremos por qué se protegen ahora los datos del WHOIS. 

Ocultación de datos en WHOIS frente a la protección de datos en WHOIS

La ocultación de datos WHOIS y la privacidad WHOIS pueden parecer lo mismo y, en cierta medida, es cierto: ambas ocultan la información del titular del dominio. Sin embargo, funcionan de manera diferente. 

La privacidad de WHOIS es un servicio; en algunos casos, es necesario pagar por él. Estos servicios colaboran con los registradores de dominios y sustituyen su información personal por los datos de contacto de un proxy de dominio. Si alguien consulta un dominio con protección de privacidad, verá«Omitido por motivos de privacidad», «Domains by Proxy» o el nombre y la dirección de algún otro proveedor de servicios de privacidad de WHOIS, pero no al propietario real del dominio.

La ocultación de datos WHOIS es diferente. No se trata de una decisión tomada por el usuario, sino de una política aplicada por el registrador o el registro. La ocultación elimina por completo la información del dominio público. En lugar de ver un nombre de proxy, aparece una etiqueta del tipo «Ocultado por motivos de privacidad».

¿Por qué se ocultan los datos de WHOIS por motivos de privacidad?

Aunque los servicios de privacidad de WHOIS llevan décadas en funcionamiento (por ejemplo, Domains by Proxy se fundó en 2004), la ocultación de datos no comenzó hasta la entrada en vigor del Reglamento General de Protección de Datos (RGPD). Cuando el RGPD entró en vigor en Europa, la Corporación de Internet para la Asignación de Nombres y Números (ICANN) tuvo que modificar su forma de gestionar los datos de registro.

En 2018, la ICANN implementó la Especificación temporal sobre los datos de registro de los dominios genéricos de primer nivel (gTLD). Esta norma exigía a los registradores y registros de dominios que ocultaran los datos personales, a menos que el titular del nombre de dominio diera su consentimiento explícito para su divulgación. Esta política se aplica a todos los datos de gTLD accesibles a través del WHOIS estándar o del más reciente Protocolo de Acceso a Datos de Registro (RDAP). Aunque los ccTLD se rigen de forma independiente, muchos optaron por seguir el ejemplo de la ICANN.

Desde entonces, las consultas WHOIS se han vuelto más complicadas. 

Anteriormente, obtener el correo electrónico del propietario de un dominio era cuestión de segundos y solo requería una consulta WHOIS habitual, ya fuera utilizando una herramienta de búsqueda WHOIS como la nuestra o el comando «whois». Tras la ocultación de datos, en muchos casos las consultas WHOIS ya no aportan gran cosa. Donde antes se encontraban los datos reales del propietario, ahora solo se ven direcciones de correo electrónico provisionales de los servicios de protección de la privacidad de WHOIS (que, en realidad, sirven para contactar con el propietario, pero son completamente inútiles para el WHOIS inverso u otros fines) o campos que simplemente indican «Omitido por motivos de privacidad» o «Omitido por motivos de privacidad». Si bien esto protege la privacidad de los propietarios, también genera numerosos problemas de ciberseguridad.

¿Se ocultan todos los datos de WHOIS?

Afortunadamente, no todos los registros de dominios se ocultan. A continuación se indican algunos casos en los que los datos WHOIS no se ocultan ni se ocultan mediante la privacidad de WHOIS:

• Datos WHOIS anteriores a 2018: Aunque muchos dominios registrados antes de 2018 muestran la palabra «REDACTED» en la mayoría de los campos de su registro WHOIS actual, también cuentan con registros históricos que solían ser públicos y que en aquel entonces no estaban censurados. Es probable que aún se pueda acceder a esos datos antiguos a través de archivos históricos, como nuestra descarga de la base de datos del historial de WHOIS. Si el dominio no ha cambiado de manos o el propietario no ha modificado sus datos de contacto, esta información puede ser una mina de oro para quienes buscan los datos del propietario. Sin embargo, los propietarios de dominios que utilizaron servicios de privacidad de WHOIS antes de 2018 seguirían teniendo registros de WHOIS ocultos para sus dominios.
• Dominios que incluyen algunos dominios de nivel superior con código de país (ccTLD): algunos ccTLD cuentan con información WHOIS sin ocultar, ya que los registros no permiten la ocultación de datos (de conformidad con la legislación de los respectivos países). Entre los ejemplos se incluyen Australia (.au, al menos en lo que respecta a la herramienta de búsqueda WHOIS basada en web del registro ), Niue (.nu) y Estados Unidos (.us, aunque existe una propuesta para cambiar esto). 
• Dominios cuyos propietarios han optado por mostrar explícitamente sus datos WHOIS: en muchos casos, el titular del dominio tiene la libertad de hacer público su registro WHOIS si así lo desea. Las grandes empresas, como Microsoft, por ejemplo, utilizan el WHOIS como señal de confianza, demostrando que un dominio les pertenece realmente a ellas y no a algún suplantador. 

¿Qué datos de WHOIS se ocultan?

La información WHOIS censurada incluye datos personales, como el nombre del titular, la organización, la dirección de correo electrónico y la dirección postal.

No obstante, los datos técnicos del dominio siguen siendo públicos. Entre ellos se incluyen los servidores de nombres, los códigos de estado del dominio, las fechas, el estado o provincia del titular y el país del titular.

Los datos que no se han ocultado se consideran no personales, por lo que el RGPD permite que sigan siendo públicos. 

Cómo acceder a los datos de los titulares censurados y a otros datos de WHOIS

Si realmente necesita identificar a la persona que figura detrás de la información de WHOIS ocultada, dispone de varias opciones. Estas van desde presentar solicitudes formales hasta utilizar bases de datos históricas especializadas. 

Presentar una solicitud de divulgación

El RGPD permite a los registros de dominios compartir datos de registro siempre que la solicitud se base en motivos legítimos. 

Los investigadores en ciberseguridad pueden presentar una solicitud ante el registrador de dominios relacionados con actividades ilegales, como el fraude, el ciberocupación o el phishing. No existe un sistema estándar contra los abusos para presentar estas solicitudes, ya que los registradores de nombres de dominio cuentan con sus propios procedimientos. 

Algunos ejemplos son:

• GoDaddy: Utiliza su propio formulario de divulgación de datos no públicos.
• OVH: El procedimiento se detalla aquí, y las solicitudes deben enviarse a [email protected].
• Cloudflare: gestiona estas solicitudes a través de su sistema de denuncia de abusos.
• Namecheap: Ofrece diferentes procedimientos para distintos fines, que se detallan en esta guía.

En el registro WHOIS censurado también figura un «Contacto para casos de abuso», ya que los registradores están obligados a proporcionar un medio para denunciar abusos, incluso si los datos personales del titular están ocultos. Suele aparecer después del nombre y el identificador del registrador.

Presentar y, a continuación, notificar una citación judicial

En el caso de las investigaciones penales, la vía más eficaz es presentar una citación judicial. Aunque supone un mayor coste y requiere asesoramiento jurídico, a menudo es la única forma de obtener una respuesta del registrador. Si un registrador recibe una orden judicial válida, por lo general está obligado a facilitar la información completa del titular del registro.

El FBI, por ejemplo, ha citado a comparecer a numerosos registradores. En 2025, citó a Tucows en su intento por localizar al propietario de archive[.]today, archive[.]is y archive[.]ph. 

Utilizar el historial de WHOIS

El método más rápido y sencillo consiste en utilizar los datos históricos de WHOIS. Esto permite a los investigadores en ciberseguridad averiguar cómo eran los registros WHOIS antes de que se aplicara la censura. Por ejemplo, si un nombre de dominio se registró en 2015 y se censuró en 2018, los registros históricos de esos tres primeros años podrían ser una mina de oro (siempre que el propietario del dominio no haya utilizado servicios de privacidad de WHOIS).

A continuación, le mostraremos cómo utilizar la búsqueda del historial WHOIS, que forma parte de Domain Research Suite (DRS), una plataforma que cuenta con 10 herramientas de búsqueda y supervisión de dominios:

1. Inicie sesión en DRS. Si aún no tiene una cuenta, regístrese de forma gratuita y obtenga 500 créditos gratis.

2. Introduzca el nombre de dominio. Por ejemplo, si está investigando xclyd[.]com, un dominio identificado como indicador de compromiso (IoC) de Silver Fox, escríbalo en el campo de búsqueda.

3. Compruebe el número de registros. Un número elevado de registros históricos aumenta las posibilidades de encontrar una versión sin censurar.

4. Abra el registro WHOIS actual del dominio. En este caso, se trata del que aparece en primer lugar, con fecha del 19 de marzo de 2026, cuyos datos de contacto del titular, administrativo y técnico ya han sido ocultados por motivos de privacidad.

5. Busque registros más antiguos. Vuelva a los registros anteriores a mayo de 2018. El registro más antiguo de xclyd[.]com data del 10 de abril de 2011 y muestra, sin ocultar, la organización del titular, el nombre, la dirección de correo electrónico y la dirección postal de los contactos administrativo, técnico y de facturación del dominio. 

El registro WHOIS sin censurar más reciente del dominio data del 4 de abril de 2018. A partir de entonces, los datos quedaron ocultos. No obstante, aún podemos ver que el dominio siguió registrado en China hasta el 1 de febrero de 2026.

6. Cámbiese de perspectiva. Utilice esa dirección de correo electrónico o ese nombre para encontrar otros dominios que pertenezcan al mismo actor. Una búsqueda inversa en el registro WHOIS de la dirección de correo electrónico más reciente sin ocultar (****[email protected]) reveló otros cinco dominios registrados con esa dirección de correo electrónico.

Por otra parte, la dirección de correo electrónico más antigua asociada al dominio arrojó un resultado de 3.168 dominios vinculados.

7. Compruebe la validez de la dirección de correo electrónico. Ahora que dispone de dos direcciones de correo electrónico, puede comprobar si siguen activas. Una rápida consulta en Email Verification Lookup nos indica que la dirección de correo electrónico sigue pudiendo recibir mensajes.

Lo mismo ocurre con la dirección de correo electrónico del titular del registro de 2018.

Así es como puede recuperar los datos WHOIS de un dominio tras su ocultación. Los datos del historial WHOIS de WhoisXML API también están disponibles en forma de herramienta de búsqueda, descarga de base de datos y API.

Si deseara reproducir el mismo ejemplo anterior con la API de historial de WHOIS utilizando un comando curl y guardar el resultado en un archivo JSON, la consulta tendría este aspecto:

curl "https://whois-history.whoisxmlapi.com/api/v1?apiKey=YOUR_API_KEY&domainName=google.com&mode=purchase" > output.json

En el ejemplo anterior, deberá sustituir SU_CLAVE_DE_API con su clave API real, que podrá obtener al registrarse.

Utilizar la API de información de dominios

La API de Domain Info es una alternativa más sencilla que una búsqueda completa del historial WHOIS. Mientras que el historial WHOIS le ofrece una cronología de todos los cambios, Domain Info proporciona un único registro que resume los datos más relevantes de un dominio. 

Es más asequible y se puede acceder a ella a través de una API, una herramienta de búsqueda o como parte de DRS. Le permite ver los datos que se han ocultado (si es que se ha ocultado alguno), pero no elude los servicios de privacidad de WHOIS de pago. Si el propietario de un dominio ha estado utilizando un proxy de privacidad, la herramienta seguirá mostrando los datos del proxy.

La información de dominio suele ser la alternativa más sencilla al historial de WHOIS cuando se necesita utilizarla en flujos de trabajo automatizados, ya que solo se obtiene un registro de WHOIS en lugar de docenas. 

Una solicitud de API de ejemplo para obtener el mismo resultado que el anterior tendría este aspecto:

curl «https://domain-info.whoisxmlapi.com/api/v1?apiKey=YOUR_API_KEY&domainName=xclyd.com»

Una vez más, deberá sustituir SU_CLAVE_DE_API con su clave API real, que es la misma tanto para la API de información de dominios como para la API de historial WHOIS. El resultado es un archivo JSON con el siguiente aspecto:

{
  "domainName": "xclyd.com",
  "data": [
    {
      "fieldName": "createdDateISO8601",
      "fieldValue": "2015-05-14T02:01:42+00:00",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "updatedDateISO8601",
      "fieldValue": "2026-03-15T13:32:34+00:00",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "expiresDateISO8601",
      "fieldValue": "2026-05-14T02:01:42+00:00",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "createdDateRaw",
      "fieldValue": "2015-05-14 02:01:42 UTC",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "updatedDateRaw",
      "fieldValue": "2026-03-15 13:32:34 UTC",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "expiresDateRaw",
      "fieldValue": "2026-05-14 02:01:42 UTC",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "nameServers",
      "fieldValue": [
        "NAOMI.NS.CLOUDFLARE.COM",
        "VASILII.NS.CLOUDFLARE.COM"
      ],
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "whoisServer",
      "fieldValue": "whois.gname.com",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "registrarName",
      "fieldValue": "Gname.com Pte. Ltd.",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "status",
      "fieldValue": [
        "clientTransferProhibited"
      ],
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    }
  ],
  "registrantContact": [
    {
      "fieldName": "name",
      "fieldValue": "Registry Registrant ID: Not Available From Registry",
      "auditDate": "2022-04-29T07:16:11+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "organization",
      "fieldValue": "Zhe Jiang Li Yong Da Zhi Ling Ji Xie You Xian Gong Si",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "street",
      "fieldValue": "Xin Chang Cheng Dong Xin Qu Yu Lin Lu 18Hao",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "city",
      "fieldValue": "Shao Xing Shi",
      "auditDate": "2018-07-24T00:00:00+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "state",
      "fieldValue": "HUBEI",
      "auditDate": "2024-12-26T01:49:11+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "postalCode",
      "fieldValue": "...500",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "country",
      "fieldValue": "UNITED STATES",
      "auditDate": "2026-03-19T05:59:06+00:00",
      "isEmptyOrRedactedNow": false
    },
    {
      "fieldName": "email",
      "fieldValue": "[email protected]",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "telephone",
      "fieldValue": "......6041483",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "telephoneExt",
      "fieldValue": null,
      "auditDate": null,
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "fax",
      "fieldValue": "......041483",
      "auditDate": "2018-04-04T16:49:33+00:00",
      "isEmptyOrRedactedNow": true
    },
    {
      "fieldName": "faxExt",
      "fieldValue": null,
      "auditDate": null,
      "isEmptyOrRedactedNow": true
    }
  ]
}

Hemos editado algunas partes del contenido de este artículo por motivos de privacidad, pero si realiza una consulta del historial WHOIS (ya sea a través de DRS o de la API), los datos estarán disponibles.

Conclusión

La ocultación de datos WHOIS ha aumentado la privacidad de los usuarios en Internet, pero también ha facilitado que los delincuentes se oculten —y ha dificultado la labor de investigación de los expertos en ciberseguridad. 

Si se encuentra con un registro censurado mientras investiga un dominio sospechoso, su primera opción es utilizar el historial de WHOIS para encontrar datos antiguos no ocultos. Si eso no da resultado, póngase en contacto con el servicio de abuso del registrador o considere opciones legales, como una citación judicial.

Regístrese en WHOIS History o Domain Info para recuperar registros históricos de WHOIS de los dominios, incluso después de la supresión masiva.