Votre IP est sur une liste de blocage : la vérifier en 5 minutes et ce qui vous fait vraiment retirer

Les e-mails se mettent à rebondir, le pare-feu d'un partenaire ne répond plus, ou un site affiche à votre serveur un mur de captchas. Quelqu'un dit « ton IP est blacklistée », et le premier réflexe est d'en demander une nouvelle. C'est généralement le mauvais premier pas. Voici comment découvrir ce qui se passe réellement, en cinq minutes environ, et ce qui règle le problème durablement.

Ce qu'est vraiment une « liste de blocage »

Le mot recouvre trois choses différentes, qui se corrigent différemment.

1. Les listes de blocage DNS (DNSBL). Des listes publiques d'adresses qui ont envoyé du spam ou montré des signes de compromission. Les serveurs de messagerie les interrogent à chaque connexion entrante. C'est en général ce que signifie « blacklisté », et c'est le type corrigible.
2. La réputation privée chez les grands fournisseurs de messagerie. Les grands webmails tiennent leurs propres scores et ne les publient pas. Vous voyez l'effet (les e-mails arrivent en spam ou sont différés) mais il n'y a pas de liste à consulter, seulement leurs outils postmaster.
3. La classification du réseau. Beaucoup de sites et de systèmes antifraude traitent toute adresse de centre de données comme « hébergement » et la contrôlent ou la bloquent. Ce n'est pas une inscription et elle ne peut pas être retirée ; elle décrit le type de réseau auquel appartient l'adresse.

La suite de cet article porte surtout sur le premier type, parce que c'est celui que vous pouvez vérifier et corriger vous-même.

Les listes à vérifier

• Spamhaus est la plus utilisée par les serveurs de messagerie. Sa zone combinée, ZEN, inclut la SBL (sources de spam connues), la XBL (machines infectées ou exploitées, alimentée par la CBL), la PBL (plages qui ne devraient pas envoyer d'e-mails directement) et la CSS (spam « snowshoe » à faible volume).
• Barracuda gère sa propre liste, utilisée par de nombreuses passerelles de messagerie d'entreprise.
• SpamCop inscrit les adresses signalées par les utilisateurs ; les inscriptions expirent d'elles-mêmes environ 24 heures après le dernier signalement.
• UCEPROTECT a trois niveaux. Le niveau 1 concerne des adresses individuelles et expire automatiquement après sept jours sans nouveau spam. Les niveaux 2 et 3 inscrivent des allocations et des réseaux entiers pour le comportement de voisins, et vendent un retrait « express ». Les grands fournisseurs de messagerie s'appuient rarement sur les niveaux 2 et 3.

La vérification

On interroge les listes DNS en inversant les octets de l'adresse et en la cherchant dans la zone de la liste. Depuis n'importe quel serveur Linux :

IP=203.0.113.7
REV=$(echo "$IP" | awk -F. '{print $4"."$3"."$2"."$1}')
for BL in zen.spamhaus.org b.barracudacentral.org bl.spamcop.net; do
  echo "$BL: $(dig +short "$REV.$BL" A | tr '\n' ' ')"
done

Pas de réponse signifie non inscrit. Une réponse dans la plage 127.0.0.x signifie inscrit, et pour Spamhaus le dernier nombre indique quelle partie de ZEN :

Cette dernière ligne piège beaucoup de monde. Spamhaus ne répond pas aux requêtes qui arrivent par les grands résolveurs DNS publics, et renvoie un code d'erreur à la place. Si toutes les vérifications semblent bizarres, lancez-les depuis un serveur qui utilise son propre résolveur, ou utilisez la page de vérification du site de chaque liste. Certaines listes demandent aussi aux gros utilisateurs de s'enregistrer avant de les interroger en DNS.

Corriger la cause d'abord

Une demande de retrait sans correction vous offre un jour ou deux avant la prochaine inscription, et les inscriptions répétées mettent plus de temps à disparaître. Établissez donc d'où elle vient :

• L'adresse était-elle inscrite avant que vous ne l'obteniez ? Comparez la date d'inscription à la date de création de votre serveur. Une vieille inscription sans activité nouvelle est le cas facile : direction le formulaire de retrait.
• Inscription XBL ou CBL : la liste a vu depuis votre adresse un trafic typique d'un logiciel malveillant ou d'un botnet. Cherchez des processus inconnus, des connexions sortantes inattendues sur le port 25, de nouvelles entrées cron et des clés SSH inconnues. Une appli web compromise ou un mot de passe faible est la porte d'entrée habituelle. Si vous n'êtes pas sûr que la machine soit saine, reconstruisez-la.
• Inscription SBL ou CSS : les e-mails de votre adresse ressemblaient à du spam. Vérifiez les formulaires de contact qui envoient des e-mails sans captcha, les scripts d'envoi de newsletters et tout service SMTP à l'écoute sur l'interface publique.
• Envoyez-vous seulement des e-mails ? Chez beaucoup d'hébergeurs, les ports sortants 25 et 465 sont fermés par défaut ; les e-mails devraient passer par un fournisseur de messagerie sur le port 587. Si vous n'envoyez jamais d'e-mails et êtes quand même inscrit, c'est autre chose sur le serveur qui le fait.

Si vous exécutez du code non fiable sur la même machine que celle qui envoie vos e-mails, c'est le moment de les séparer. Une sandbox ou un second serveur pour le travail risqué tient ses problèmes de réputation à l'écart de votre adresse de messagerie ; les niveaux d'isolation pour le code non fiable comparent les options.

Puis demander le retrait

• Spamhaus : utilisez la page de vérification, qui renvoie vers la bonne procédure de retrait pour cette zone. Les retraits XBL/CBL et PBL sont en libre-service une fois la cause éliminée ; un retrait PBL n'a de sens que si vous exploitez vraiment un serveur de messagerie avec un DNS inverse correspondant.
• Barracuda : envoyez le formulaire de retrait avec une courte explication de ce que vous avez corrigé. Comptez jusqu'à une journée environ.
• SpamCop : rien à faire ; l'inscription expire d'elle-même environ un jour après la fin des signalements.
• UCEPROTECT : le niveau 1 expire après sept jours sans nouveau spam. Ignorez les niveaux 2 et 3 et ne payez pas de retrait.

Après le retrait, mettez en place les bases qui vous tiennent à l'écart des listes : un nom DNS inverse qui correspond au nom d'hôte du serveur, SPF, DKIM et DMARC pour votre domaine, et une tâche cron hebdomadaire qui lance la vérification ci-dessus et vous envoie un e-mail si quelque chose change.

Quand une nouvelle adresse est la bonne réponse

Parfois, elle l'est : par exemple, l'adresse porte une vieille inscription SBL impossible à faire retirer, ou vous avez besoin d'une réputation vierge pour un nouveau projet. Chez nous, une autre adresse signifie un nouveau serveur : commandez-le, transférez vos données, puis résiliez l'ancien ; changer d'adresse IP passe en revue toutes les options. Si vous pensez qu'une inscription de votre adresse actuelle est erronée, ouvrez un ticket avec le nom de la liste et un lien. Nous examinons chaque cas, mais nous n'échangeons pas d'adresse sur simple demande.

Deux derniers points. Si la réputation compte un tant soit peu (e-mails, listes d'autorisation de partenaires, clés d'API liées à une adresse), prenez un tarif avec sa propre IPv4, comme Small-IP : sur un tarif NAT, l'adresse sortante n'est pas la vôtre et ne peut pas porter votre propre réputation d'expéditeur. Et si un site vous bloque parce que vous êtes dans un centre de données, aucune liste ni aucune nouvelle adresse de centre de données n'y changera rien ; réseau et ports explique ce que chaque tarif expose.