IP-ul tău e pe o listă neagră: cum verifici în 5 minute și ce te scoate de fapt de pe ea

E-mailurile încep să se întoarcă, firewallul unui partener nu mai răspunde sau un site îi arată serverului tău un zid de captcha. Cineva spune „IP-ul tău e pe o listă neagră”, iar primul instinct e să ceri unul nou. De obicei, e primul pas greșit. Iată cum afli ce se întâmplă de fapt, în aproximativ cinci minute, și ce rezolvă problema definitiv.

Ce e de fapt o „listă neagră”

Cuvântul acoperă trei lucruri diferite, care se rezolvă în feluri diferite.

1. Listele negre DNS (DNSBL). Liste publice cu adrese care au trimis spam sau au arătat semne de compromitere. Serverele de e-mail le interoghează la fiecare conexiune primită. Asta înseamnă de obicei „pe lista neagră” și e felul care se poate repara.
2. Reputația privată la marii furnizori de căsuțe de e-mail. Marile servicii de webmail își țin propriile scoruri și nu le publică. Vezi efectul (e-mailul ajunge în spam sau e amânat), dar nu există o listă de verificat, doar uneltele lor pentru postmasteri.
3. Clasificarea rețelei. Multe site-uri și sisteme antifraudă tratează fiecare adresă de centru de date ca „hosting” și o pun la încercare sau o blochează. Nu e o listare și nu poate fi scoasă; descrie din ce fel de rețea face parte adresa.

Restul articolului e mai ales despre primul fel, pentru că pe acela îl poți verifica și repara singur.

Listele care merită verificate

• Spamhaus e cea folosită de cele mai multe servere de e-mail. Zona ei combinată, ZEN, include SBL (surse cunoscute de spam), XBL (mașini infectate sau exploatate, alimentată de CBL), PBL (intervale care n-ar trebui să trimită e-mail direct) și CSS (spam „snowshoe”, cu volum mic).
• Barracuda își ține propria listă, folosită de multe gateway-uri de e-mail din companii.
• SpamCop listează adresele raportate de utilizatori; listările expiră singure la aproximativ 24 de ore după ultimul raport.
• UCEPROTECT are trei niveluri. Nivelul 1 înseamnă adrese individuale și expiră automat după șapte zile fără spam nou. Nivelurile 2 și 3 listează alocări și rețele întregi pentru comportamentul altora din aceeași rețea și vând scoatere „expresă”. Marii furnizori de e-mail se bazează rar pe nivelurile 2 și 3.

Verificarea

Listele negre DNS se interoghează inversând octeții adresei și căutând-o în zona listei. De pe orice server Linux:

IP=203.0.113.7
REV=$(echo "$IP" | awk -F. '{print $4"."$3"."$2"."$1}')
for BL in zen.spamhaus.org b.barracudacentral.org bl.spamcop.net; do
  echo "$BL: $(dig +short "$REV.$BL" A | tr '\n' ' ')"
done

Niciun răspuns înseamnă că nu ești listat. Un răspuns din intervalul 127.0.0.x înseamnă că ești listat, iar la Spamhaus ultimul număr îți spune ce parte din ZEN:

Ultimul rând îi încurcă pe mulți. Spamhaus nu răspunde interogărilor care vin prin marile resolvere DNS publice și returnează în schimb un cod de eroare. Dacă toate verificările arată ciudat, rulează-le de pe un server care folosește propriul resolver sau folosește pagina de căutare de pe site-ul fiecărei liste. Unele liste le cer și utilizatorilor intensivi să se înregistreze înainte să le interogheze prin DNS.

Repară întâi cauza

O cerere de scoatere de pe listă fără reparație îți cumpără o zi sau două până la următoarea listare, iar listările repetate durează mai mult până se șterg. Așa că află de unde vine listarea:

• Era adresa listată înainte s-o primești? Compară data listării cu momentul în care a fost creat serverul tău. O listare veche, fără activitate nouă, e cazul ușor: mergi direct la formularul de scoatere.
• Listare XBL sau CBL: lista a văzut de la adresa ta trafic tipic pentru malware sau un botnet. Caută procese pe care nu le recunoști, conexiuni neașteptate spre exterior pe portul 25, intrări noi în cron și chei SSH necunoscute. O aplicație web compromisă sau o parolă slabă e calea obișnuită de intrare. Dacă nu ești sigur că mașina e curată, reconstruiește-o.
• Listare SBL sau CSS: e-mailurile de la adresa ta au arătat a spam. Verifică formularele de contact care trimit e-mail fără captcha, scripturile care trimit newslettere și orice serviciu SMTP care ascultă pe interfața publică.
• Trimiți măcar e-mail? La multe hosturi, porturile 25 și 465 spre exterior sunt închise implicit; e-mailul ar trebui să plece printr-un furnizor de e-mail, pe portul 587. Dacă nu trimiți niciodată e-mail și tot ești listat, altceva de pe server o face.

Dacă rulezi cod nesigur pe aceeași mașină care îți trimite e-mailurile, acum e momentul să le separi. Un sandbox sau un al doilea server pentru munca riscantă îi ține problemele de reputație departe de adresa ta de e-mail; nivelurile de izolare pentru cod nesigur compară opțiunile.

Apoi cere scoaterea de pe listă

• Spamhaus: folosește pagina de căutare, care trimite la procesul de scoatere potrivit pentru zona respectivă. Scoaterile din XBL/CBL și PBL sunt self-service după ce cauza a dispărut; scoaterea din PBL are sens doar dacă chiar rulezi un server de e-mail cu reverse DNS potrivit.
• Barracuda: trimite formularul de scoatere cu o explicație scurtă despre ce ai reparat. Așteaptă-te la până la o zi, cam așa.
• SpamCop: nimic de făcut; listarea expiră singură la aproximativ o zi după ce se opresc rapoartele.
• UCEPROTECT: nivelul 1 expiră după șapte zile fără spam nou. Ignoră nivelurile 2 și 3 și nu plăti pentru scoatere.

După scoaterea de pe listă, pune la punct elementele de bază care te țin departe de liste: un nume reverse DNS care se potrivește cu numele de host al serverului, SPF, DKIM și DMARC pentru domeniul tău și un cron job săptămânal care rulează verificarea de mai sus și îți trimite un e-mail dacă se schimbă ceva.

Când o adresă nouă e răspunsul corect

Uneori este: de exemplu, adresa poartă o listare SBL veche pe care n-o poți scoate sau ai nevoie de o reputație curată pentru un proiect nou. La noi, o adresă diferită înseamnă un server nou: îl comanzi, îți muți datele, apoi îl anulezi pe cel vechi; schimbarea adresei IP trece prin toate opțiunile. Dacă ești convins că o listare a adresei tale actuale e greșită, deschide un tichet cu numele listei și un link. Ne uităm la fiecare caz, dar nu schimbăm adresele la cerere.

Două ultime lucruri. Dacă reputația contează câtuși de puțin (e-mail, liste albe ale partenerilor, chei API legate de o adresă), folosește un plan cu propriul IPv4, cum ar fi Small-IP: pe un plan NAT, adresa de ieșire nu e a ta, deci reputația de expeditor nu se poate construi pe ea. Iar dacă un site te blochează pentru că ești într-un centru de date, nicio listă și nicio adresă nouă de centru de date nu vor schimba asta; rețea și porturi explică ce expune fiecare plan.