Il tuo IP è in una blocklist: come verificarlo in 5 minuti e cosa ti fa davvero rimuovere

La posta inizia a rimbalzare, il firewall di un partner smette di rispondere o un sito mostra al tuo server un muro di captcha. Qualcuno dice «il tuo IP è in blacklist», e il primo istinto è chiederne uno nuovo. Di solito è il primo passo sbagliato. Ecco come capire cosa sta succedendo davvero, in circa cinque minuti, e cosa lo risolve una volta per tutte.

Cos'è davvero una «blocklist»

La parola copre tre cose diverse, che si risolvono in modi diversi.

1. Blocklist DNS (DNSBL). Liste pubbliche di indirizzi che hanno inviato spam o mostrato segni di compromissione. I server di posta le interrogano a ogni connessione in arrivo. È quello che di solito significa «in blacklist», ed è il tipo che si può risolvere.
2. Reputazione privata presso i grandi provider di posta. I grandi servizi di webmail tengono punteggi propri e non li pubblicano. Ne vedi l'effetto (la posta finisce in spam o viene rimandata), ma non c'è una lista da controllare, solo i loro strumenti per i mittenti.
3. Classificazione della rete. Molti siti e sistemi antifrode trattano qualsiasi indirizzo di data center come «hosting» e lo mettono alla prova o lo bloccano. Non è un inserimento e non si può rimuovere; descrive a che tipo di rete appartiene l'indirizzo.

Il resto dell'articolo riguarda soprattutto il primo tipo, perché è quello che puoi controllare e risolvere da solo.

Le liste da controllare

• Spamhaus è la più usata dai server di posta. La sua zona combinata, ZEN, include la SBL (fonti di spam note), la XBL (macchine infette o sfruttate, alimentata dalla CBL), la PBL (intervalli che non dovrebbero inviare posta direttamente) e la CSS (spam «snowshoe» a basso volume).
• Barracuda gestisce una lista propria, usata da molti gateway di posta aziendali.
• SpamCop inserisce gli indirizzi segnalati dagli utenti; gli inserimenti scadono da soli circa 24 ore dopo l'ultima segnalazione.
• UCEPROTECT ha tre livelli. Il livello 1 riguarda singoli indirizzi e scade automaticamente dopo sette giorni senza nuovo spam. I livelli 2 e 3 inseriscono intere allocazioni e reti per il comportamento dei vicini, e vendono la rimozione «express». I grandi provider di posta si affidano raramente ai livelli 2 e 3.

Il controllo

Le blocklist DNS si interrogano invertendo gli ottetti dell'indirizzo e cercandolo nella zona della lista. Da qualsiasi server Linux:

IP=203.0.113.7
REV=$(echo "$IP" | awk -F. '{print $4"."$3"."$2"."$1}')
for BL in zen.spamhaus.org b.barracudacentral.org bl.spamcop.net; do
  echo "$BL: $(dig +short "$REV.$BL" A | tr '\n' ' ')"
done

Nessuna risposta significa non inserito. Una risposta nell'intervallo 127.0.0.x significa inserito, e per Spamhaus l'ultimo numero indica in quale parte di ZEN:

Quest'ultima riga inganna molti. Spamhaus non risponde alle query che arrivano dai grandi resolver DNS pubblici e restituisce invece un codice di errore. Se tutti i controlli sembrano strani, eseguili da un server che usa il proprio resolver, oppure usa la pagina di ricerca sul sito di ciascuna lista. Alcune liste chiedono inoltre agli utenti intensivi di registrarsi prima di interrogarle via DNS.

Prima correggi la causa

Una richiesta di rimozione senza correzione ti fa guadagnare un giorno o due prima del prossimo inserimento, e gli inserimenti ripetuti richiedono più tempo per sparire. Quindi capisci da dove viene:

• L'indirizzo era già in lista prima che lo ricevessi? Confronta la data dell'inserimento con quella di creazione del server. Un vecchio inserimento senza nuova attività è il caso facile: vai dritto al modulo di rimozione.
• Inserimento in XBL o CBL: la lista ha visto dal tuo indirizzo traffico tipico di malware o di una botnet. Cerca processi che non riconosci, connessioni in uscita inattese sulla porta 25, nuove voci di cron e chiavi SSH sconosciute. Un'app web compromessa o una password debole sono il punto d'ingresso abituale. Se non sei sicuro che la macchina sia pulita, ricostruiscila.
• Inserimento in SBL o CSS: la posta dal tuo indirizzo sembrava spam. Controlla i moduli di contatto che inviano email senza captcha, gli script delle newsletter e qualsiasi servizio SMTP in ascolto sull'interfaccia pubblica.
• Invii posta, poi? Presso molti provider le porte in uscita 25 e 465 sono chiuse per impostazione predefinita; la posta dovrebbe passare da un provider di posta sulla porta 587. Se non invii mai posta e sei comunque in lista, lo sta facendo qualcos'altro sul server.

Se esegui codice non fidato sulla stessa macchina che invia la tua posta, è il momento di separarli. Una sandbox o un secondo server per il lavoro rischioso tengono i suoi problemi di reputazione lontani dal tuo indirizzo di posta; i livelli di isolamento per il codice non fidato confrontano le opzioni.

Poi chiedi la rimozione

• Spamhaus: usa la pagina di ricerca, che rimanda alla procedura di rimozione giusta per quella zona. Le rimozioni da XBL/CBL e PBL sono self-service una volta eliminata la causa; la rimozione dalla PBL ha senso solo se gestisci davvero un server di posta con un DNS inverso corrispondente.
• Barracuda: invia il modulo di rimozione con una breve spiegazione di ciò che hai corretto. Metti in conto fino a una giornata circa.
• SpamCop: niente da fare; l'inserimento scade da solo circa un giorno dopo la fine delle segnalazioni.
• UCEPROTECT: il livello 1 scade dopo sette giorni senza nuovo spam. Ignora i livelli 2 e 3 e non pagare per la rimozione.

Dopo la rimozione, imposta le basi che ti tengono fuori dalle liste: un nome DNS inverso che corrisponde all'hostname del server, SPF, DKIM e DMARC per il tuo dominio, e un cron job settimanale che esegue il controllo qui sopra e ti avvisa via email se qualcosa cambia.

Quando un nuovo indirizzo è la risposta giusta

A volte lo è: per esempio l'indirizzo porta con sé un vecchio inserimento in SBL che non riesci a far rimuovere, o ti serve una reputazione pulita per un nuovo progetto. Da noi, un altro indirizzo significa un nuovo server: ordinalo, sposta i dati, poi disdici quello vecchio; cambiare indirizzo IP passa in rassegna tutte le opzioni. Se ritieni che l'inserimento del tuo indirizzo attuale sia sbagliato, apri un ticket con il nome della lista e un link. Esaminiamo ogni caso, ma non cambiamo indirizzi su richiesta.

Due ultime cose. Se la reputazione conta anche solo un po' (posta, allowlist di partner, chiavi API legate a un indirizzo), usa una tariffa con un IPv4 proprio, come Small-IP: con una tariffa NAT l'indirizzo in uscita non è tuo e non può portare la tua reputazione di mittente. E se un sito ti blocca perché sei in un data center, nessuna lista e nessun nuovo indirizzo di data center cambierà le cose; rete e porte spiega cosa espone ogni tariffa.