Ваш IP в блок-листе: как проверить за 5 минут и что на самом деле снимает листинг

Почта начинает отскакивать, файрвол партнёра перестаёт отвечать или сайт показывает вашему серверу стену капчи. Кто-то говорит «твой IP в чёрном списке», и первый порыв — попросить новый. Обычно это неверный первый шаг. Вот как за пять минут понять, что происходит на самом деле, и что исправит это надолго.

Что такое «блок-лист» на самом деле

Слово покрывает три разные вещи, и исправляются они по-разному.

1. DNS-блок-листы (DNSBL). Публичные списки адресов, которые слали спам или показывали признаки взлома. Почтовые серверы опрашивают их при каждом входящем соединении. Обычно «в чёрном списке» означает именно это, и это исправимый вид.
2. Закрытая репутация у крупных почтовых сервисов. Большие веб-почты ведут собственные оценки и не публикуют их. Вы видите эффект (письма уходят в спам или откладываются), но списка для проверки нет, только их инструменты для отправителей.
3. Классификация сети. Многие сайты и антифрод-системы считают любой адрес дата-центра «хостингом» и проверяют или блокируют его. Это не листинг, и снять его нельзя: он описывает, к какому типу сети принадлежит адрес.

Дальше речь в основном о первом виде, потому что его можно проверить и исправить самостоятельно.

Какие списки стоит проверять

• Spamhaus используют больше всего почтовых серверов. Его общая зона ZEN включает SBL (известные источники спама), XBL (заражённые или взломанные машины, данные идут из CBL), PBL (диапазоны, которым не положено слать почту напрямую) и CSS (малообъёмный «snowshoe»-спам).
• Barracuda ведёт собственный список, его используют многие корпоративные почтовые шлюзы.
• SpamCop вносит адреса по жалобам пользователей; листинг снимается сам примерно через 24 часа после последней жалобы.
• UCEPROTECT имеет три уровня. Уровень 1 — отдельные адреса, листинг истекает автоматически через семь дней без нового спама. Уровни 2 и 3 вносят целые выделения и сети за поведение соседей и продают «экспресс»-удаление. Крупные почтовые сервисы на уровни 2 и 3 почти не опираются.

Проверка

DNS-блок-листы опрашивают, перевернув октеты адреса и запросив его в зоне списка. С любого Linux-сервера:

IP=203.0.113.7
REV=$(echo "$IP" | awk -F. '{print $4"."$3"."$2"."$1}')
for BL in zen.spamhaus.org b.barracudacentral.org bl.spamcop.net; do
  echo "$BL: $(dig +short "$REV.$BL" A | tr '\n' ' ')"
done

Нет ответа — значит, нет в списке. Ответ в диапазоне 127.0.0.x — в списке, и для Spamhaus последнее число говорит, в какой части ZEN:

Последняя строка сбивает с толку многих. Spamhaus не отвечает на запросы, пришедшие через крупные публичные DNS-резолверы, и вместо этого возвращает код ошибки. Если все проверки выглядят странно, запустите их с сервера, использующего собственный резолвер, или воспользуйтесь страницей проверки на сайте каждого списка. Некоторые списки также просят активных пользователей зарегистрироваться, прежде чем опрашивать их через DNS.

Сначала устраните причину

Запрос на делистинг без исправления даёт день-два до следующего листинга, а повторные листинги снимаются дольше. Поэтому выясните, откуда он взялся:

• Адрес был в списке до того, как достался вам? Сравните дату листинга с датой создания сервера. Старый листинг без новой активности — простой случай: сразу к форме делистинга.
• Листинг в XBL или CBL: список видел с вашего адреса трафик, типичный для вредоноса или ботнета. Ищите незнакомые процессы, неожиданные исходящие соединения на порт 25, новые записи cron и чужие SSH-ключи. Обычная точка входа — взломанное веб-приложение или слабый пароль. Если не уверены, что машина чиста, пересоберите её.
• Листинг в SBL или CSS: почта с вашего адреса выглядела как спам. Проверьте формы обратной связи, отправляющие письма без капчи, скрипты рассылок и любой SMTP-сервис, слушающий публичный интерфейс.
• Вы вообще отправляете почту? У многих хостингов исходящие порты 25 и 465 по умолчанию закрыты; почту стоит отправлять через почтового провайдера на порт 587. Если вы почту не шлёте, а листинг есть, значит, шлёт что-то другое на сервере.

Если вы запускаете недоверенный код на той же машине, что отправляет вашу почту, — самое время их разделить. Песочница или второй сервер для рискованной работы удержат её репутационные проблемы подальше от вашего почтового адреса; уровни изоляции для недоверенного кода сравнивают варианты.

Потом делистинг

• Spamhaus: откройте страницу проверки, там ссылка на нужный процесс удаления для этой зоны. Удаление из XBL/CBL и PBL — самостоятельное, как только причина устранена; удаление из PBL имеет смысл, только если у вас действительно почтовый сервер с подходящим обратным DNS.
• Barracuda: отправьте форму удаления с коротким объяснением, что вы исправили. Ждать — до суток или около того.
• SpamCop: ничего делать не нужно; листинг истекает сам примерно через сутки после прекращения жалоб.
• UCEPROTECT: уровень 1 истекает через семь дней без нового спама. Уровни 2 и 3 игнорируйте и за удаление не платите.

После делистинга настройте базу, которая держит вас вне списков: обратное DNS-имя, совпадающее с hostname сервера, SPF, DKIM и DMARC для домена и еженедельную cron-задачу, которая запускает проверку выше и пишет вам, если что-то изменилось.

Когда новый адрес — правильный ответ

Иногда это так: например, на адресе висит старый листинг в SBL, который не удаётся снять, или нужна чистая репутация для нового проекта. У нас другой адрес означает новый сервер: закажите его, перенесите данные, затем отмените старый; все варианты разобраны в разделе смена IP-адреса. Если вы считаете листинг текущего адреса ошибочным, откройте тикет с названием списка и ссылкой. Мы рассматриваем каждый случай, но адреса по запросу не меняем.

И два последних момента. Если репутация хоть как-то важна (почта, allowlist партнёров, API-ключи с привязкой к адресу), берите тариф со своим IPv4, например Small-IP: на NAT-тарифе исходящий адрес не ваш собственный, и своей репутации отправителя на нём не будет. А если сайт блокирует вас за то, что вы в дата-центре, никакой список и никакой новый адрес дата-центра этого не изменят; что открывает каждый тариф, объясняет раздел сеть и порты.