Je IP staat op een blocklist: in 5 minuten controleren en wat je er echt af krijgt

Mail begint terug te komen, de firewall van een partner antwoordt niet meer of een website toont je server een muur van captcha's. Iemand zegt „je IP staat op de blacklist”, en de eerste neiging is om een nieuw te vragen. Meestal is dat de verkeerde eerste stap. Zo kom je in ongeveer vijf minuten achter wat er echt speelt, en wat het voorgoed oplost.

Wat een „blocklist” eigenlijk is

Het woord dekt drie verschillende dingen, en ze worden op verschillende manieren opgelost.

1. DNS-blocklists (DNSBL's). Publieke lijsten van adressen die spam verstuurden of tekenen van compromittering vertoonden. Mailservers raadplegen ze bij elke inkomende verbinding. Dat is meestal wat „op de blacklist” betekent, en het is het soort dat je kunt oplossen.
2. Privéreputatie bij grote mailboxproviders. Grote webmaildiensten houden eigen scores bij en publiceren die niet. Je ziet het effect (mail belandt in spam of wordt uitgesteld), maar er is geen lijst om te controleren, alleen hun postmastertools.
3. Netwerkclassificatie. Veel websites en fraudesystemen behandelen elk datacenteradres als „hosting” en controleren of blokkeren het. Dat is geen vermelding en kan niet worden verwijderd; het beschrijft tot wat voor netwerk het adres behoort.

De rest van dit artikel gaat vooral over het eerste soort, omdat je dat zelf kunt controleren en oplossen.

De lijsten die het controleren waard zijn

• Spamhaus wordt door de meeste mailservers gebruikt. De gecombineerde zone, ZEN, omvat de SBL (bekende spambronnen), XBL (geïnfecteerde of misbruikte machines, gevoed door de CBL), PBL (reeksen die niet direct mail horen te versturen) en CSS („snowshoe”-spam met laag volume).
• Barracuda beheert een eigen lijst, die veel zakelijke mailgateways gebruiken.
• SpamCop vermeldt adressen op basis van meldingen van gebruikers; vermeldingen verlopen vanzelf ongeveer 24 uur na de laatste melding.
• UCEPROTECT heeft drie niveaus. Niveau 1 zijn individuele adressen en verloopt automatisch na zeven dagen zonder nieuwe spam. Niveaus 2 en 3 vermelden hele toewijzingen en netwerken om het gedrag van buren, en verkopen „express”-verwijdering. Grote mailproviders leunen zelden op niveau 2 en 3.

De controle

DNS-blocklists vraag je op door de octetten van het adres om te draaien en het onder de zone van de lijst op te zoeken. Vanaf elke Linux-server:

IP=203.0.113.7
REV=$(echo "$IP" | awk -F. '{print $4"."$3"."$2"."$1}')
for BL in zen.spamhaus.org b.barracudacentral.org bl.spamcop.net; do
  echo "$BL: $(dig +short "$REV.$BL" A | tr '\n' ' ')"
done

Geen antwoord betekent niet vermeld. Een antwoord in het bereik 127.0.0.x betekent wel vermeld, en bij Spamhaus geeft het laatste getal aan in welk deel van ZEN:

Die laatste rij zet veel mensen op het verkeerde been. Spamhaus beantwoordt geen queries die via grote publieke DNS-resolvers binnenkomen en geeft in plaats daarvan een foutcode terug. Ziet elke controle er vreemd uit, draai hem dan vanaf een server met een eigen resolver, of gebruik de opzoekpagina op de website van elke lijst. Sommige lijsten vragen intensieve gebruikers ook om zich te registreren voordat ze via DNS opvragen.

Eerst de oorzaak oplossen

Een verwijderingsverzoek zonder oplossing levert je een dag of twee op tot de volgende vermelding, en herhaalde vermeldingen duren langer om te verdwijnen. Zoek dus uit waar hij vandaan komt:

• Stond het adres al op de lijst voordat je het kreeg? Vergelijk de datum van de vermelding met de aanmaakdatum van je server. Een oude vermelding zonder nieuwe activiteit is het makkelijke geval: meteen naar het verwijderingsformulier.
• XBL- of CBL-vermelding: de lijst zag vanaf je adres verkeer dat typisch is voor malware of een botnet. Zoek naar processen die je niet herkent, onverwachte uitgaande verbindingen op poort 25, nieuwe cron-regels en onbekende SSH-sleutels. Een gecompromitteerde webapp of een zwak wachtwoord is de gebruikelijke ingang. Weet je niet zeker of de machine schoon is, bouw hem dan opnieuw op.
• SBL- of CSS-vermelding: mail vanaf je adres zag eruit als spam. Controleer contactformulieren die zonder captcha mail versturen, nieuwsbriefscripts en elke SMTP-dienst die op de publieke interface luistert.
• Verstuur je überhaupt mail? Bij veel hosts zijn uitgaande poorten 25 en 465 standaard dicht; mail hoort via een mailprovider op poort 587 te gaan. Verstuur je nooit mail en sta je toch op een lijst, dan doet iets anders op de server het.

Draai je onbetrouwbare code op dezelfde machine die je mail verstuurt, dan is dit het moment om ze te scheiden. Een sandbox of een tweede server voor het riskante werk houdt de reputatieproblemen daarvan weg van je mailadres; isolatieniveaus voor onbetrouwbare code vergelijkt de opties.

Daarna laten verwijderen

• Spamhaus: gebruik de opzoekpagina, die naar het juiste verwijderingsproces voor die zone linkt. Verwijdering uit XBL/CBL en PBL is selfservice zodra de oorzaak weg is; PBL-verwijdering heeft alleen zin als je echt een mailserver met bijpassende reverse DNS draait.
• Barracuda: stuur het verwijderingsformulier met een korte uitleg van wat je hebt opgelost. Reken op hooguit ongeveer een dag.
• SpamCop: niets te doen; de vermelding verloopt vanzelf ongeveer een dag nadat de meldingen stoppen.
• UCEPROTECT: niveau 1 verloopt na zeven dagen zonder nieuwe spam. Negeer niveau 2 en 3 en betaal niet voor verwijdering.

Richt na de verwijdering de basis in die je van lijsten weghoudt: een reverse-DNS-naam die overeenkomt met de hostnaam van de server, SPF, DKIM en DMARC voor je domein, en een wekelijkse cronjob die de controle hierboven draait en je mailt als er iets verandert.

Wanneer een nieuw adres het juiste antwoord is

Soms wel: bijvoorbeeld als het adres een oude SBL-vermelding meedraagt die je niet verwijderd krijgt, of als je een schone reputatie nodig hebt voor een nieuw project. Bij ons betekent een ander adres een nieuwe server: bestel hem, verhuis je data en zeg daarna de oude op; je IP-adres wijzigen loopt alle opties door. Denk je dat een vermelding van je huidige adres onterecht is, open dan een ticket met de naam van de lijst en een link. We bekijken elk geval, maar we wisselen adressen niet op verzoek.

Nog twee punten. Telt reputatie ook maar een beetje (mail, allowlists van partners, API-sleutels gekoppeld aan een adres), neem dan een tarief met een eigen IPv4, zoals Small-IP: bij een NAT-tarief is het uitgaande adres niet van jou en kan het je eigen afzenderreputatie niet dragen. En als een website je blokkeert omdat je in een datacenter zit, verandert geen lijst en geen nieuw datacenteradres daar iets aan; netwerk en poorten legt uit wat elk tarief blootstelt.