Ваш IP у блок-листі: як перевірити за 5 хвилин і що насправді знімає лістинг

Пошта починає відскакувати, файрвол партнера перестає відповідати або сайт показує вашому серверу стіну капчі. Хтось каже «твій IP у чорному списку», і перший порив — попросити новий. Зазвичай це хибний перший крок. Ось як за п'ять хвилин зрозуміти, що відбувається насправді, і що виправить це надовго.

Що таке «блок-лист» насправді

Слово охоплює три різні речі, і виправляються вони по-різному.

1. DNS-блок-листи (DNSBL). Публічні списки адрес, які слали спам або мали ознаки зламу. Поштові сервери опитують їх під час кожного вхідного з'єднання. Зазвичай «у чорному списку» означає саме це, і це вид, який можна виправити.
2. Закрита репутація у великих поштових сервісів. Великі веб-пошти ведуть власні оцінки й не публікують їх. Ви бачите ефект (листи йдуть у спам або відкладаються), але списку для перевірки немає, лише їхні інструменти для відправників.
3. Класифікація мережі. Багато сайтів і антифрод-систем вважають будь-яку адресу дата-центру «хостингом» і перевіряють або блокують її. Це не лістинг, і зняти його не можна: він описує, до якого типу мережі належить адреса.

Далі мова здебільшого про перший вид, бо його можна перевірити й виправити самостійно.

Які списки варто перевіряти

• Spamhaus використовує найбільше поштових серверів. Його спільна зона ZEN містить SBL (відомі джерела спаму), XBL (заражені чи зламані машини, дані йдуть із CBL), PBL (діапазони, яким не належить слати пошту напряму) і CSS (малооб'ємний «snowshoe»-спам).
• Barracuda веде власний список, його використовують багато корпоративних поштових шлюзів.
• SpamCop вносить адреси за скаргами користувачів; лістинг знімається сам приблизно через 24 години після останньої скарги.
• UCEPROTECT має три рівні. Рівень 1 — окремі адреси, лістинг спливає автоматично через сім днів без нового спаму. Рівні 2 і 3 вносять цілі виділення й мережі за поведінку сусідів і продають «експрес»-видалення. Великі поштові сервіси на рівні 2 і 3 майже не спираються.

Перевірка

DNS-блок-листи опитують, перевернувши октети адреси й запитавши її в зоні списку. З будь-якого Linux-сервера:

IP=203.0.113.7
REV=$(echo "$IP" | awk -F. '{print $4"."$3"."$2"."$1}')
for BL in zen.spamhaus.org b.barracudacentral.org bl.spamcop.net; do
  echo "$BL: $(dig +short "$REV.$BL" A | tr '\n' ' ')"
done

Немає відповіді — отже, немає в списку. Відповідь у діапазоні 127.0.0.x — у списку, і для Spamhaus останнє число каже, в якій частині ZEN:

Останній рядок збиває з пантелику багатьох. Spamhaus не відповідає на запити, що прийшли через великі публічні DNS-резолвери, і натомість повертає код помилки. Якщо всі перевірки виглядають дивно, запустіть їх із сервера, що використовує власний резолвер, або скористайтеся сторінкою перевірки на сайті кожного списку. Деякі списки також просять активних користувачів зареєструватися, перш ніж опитувати їх через DNS.

Спершу усуньте причину

Запит на делістинг без виправлення дає день-два до наступного лістингу, а повторні лістинги знімаються довше. Тож з'ясуйте, звідки він узявся:

• Адреса була в списку до того, як дісталася вам? Порівняйте дату лістингу з датою створення сервера. Старий лістинг без нової активності — простий випадок: одразу до форми делістингу.
• Лістинг у XBL чи CBL: список бачив із вашої адреси трафік, типовий для шкідника чи ботнету. Шукайте незнайомі процеси, неочікувані вихідні з'єднання на порт 25, нові записи cron і чужі SSH-ключі. Звичайна точка входу — зламаний вебзастосунок або слабкий пароль. Якщо не певні, що машина чиста, перезберіть її.
• Лістинг у SBL чи CSS: пошта з вашої адреси виглядала як спам. Перевірте форми зворотного зв'язку, що надсилають листи без капчі, скрипти розсилок і будь-який SMTP-сервіс, що слухає публічний інтерфейс.
• Ви взагалі надсилаєте пошту? У багатьох хостингів вихідні порти 25 і 465 типово закриті; пошту варто надсилати через поштового провайдера на порт 587. Якщо ви пошту не шлете, а лістинг є, отже, шле щось інше на сервері.

Якщо ви запускаєте недовірений код на тій самій машині, що надсилає вашу пошту, — саме час їх розділити. Пісочниця чи другий сервер для ризикованої роботи втримають її репутаційні проблеми подалі від вашої поштової адреси; рівні ізоляції для недовіреного коду порівнюють варіанти.

Потім делістинг

• Spamhaus: відкрийте сторінку перевірки, там посилання на потрібний процес видалення для цієї зони. Видалення з XBL/CBL і PBL — самостійне, щойно причину усунено; видалення з PBL має сенс, лише якщо у вас справді поштовий сервер із відповідним зворотним DNS.
• Barracuda: надішліть форму видалення з коротким поясненням, що ви виправили. Чекати — до доби чи близько того.
• SpamCop: нічого робити не треба; лістинг спливає сам приблизно через добу після припинення скарг.
• UCEPROTECT: рівень 1 спливає через сім днів без нового спаму. Рівні 2 і 3 ігноруйте й за видалення не платіть.

Після делістингу налаштуйте базу, яка тримає вас поза списками: зворотне DNS-ім'я, що збігається з hostname сервера, SPF, DKIM і DMARC для домену та щотижневу cron-задачу, яка запускає перевірку вище й пише вам, якщо щось змінилося.

Коли нова адреса — правильна відповідь

Іноді це так: наприклад, на адресі висить старий лістинг у SBL, який не вдається зняти, або потрібна чиста репутація для нового проєкту. У нас інша адреса означає новий сервер: замовте його, перенесіть дані, потім скасуйте старий; усі варіанти розібрано в розділі зміна IP-адреси. Якщо ви вважаєте лістинг поточної адреси помилковим, відкрийте тікет із назвою списку й посиланням. Ми розглядаємо кожен випадок, але адреси на запит не міняємо.

І два останні моменти. Якщо репутація хоч якось важлива (пошта, allowlist партнерів, API-ключі з прив'язкою до адреси), беріть тариф із власним IPv4, наприклад Small-IP: на NAT-тарифі вихідна адреса не ваша власна, і своєї репутації відправника на ній не буде. А якщо сайт блокує вас за те, що ви в дата-центрі, жоден список і жодна нова адреса дата-центру цього не змінять; що відкриває кожен тариф, пояснює розділ мережа й порти.