Reputație și liste de blocare (blocklists)

Modulul 5: Reputație și furnizorii mari · Timp de citire: 10 minute

Obiectivul lecției: După această lecție veți putea explica modul în care destinatarii construiesc reputația unei adrese IP și a unui domeniu, veți putea verifica o adresă IP pe liste de blocare și veți cunoaște ordinea corectă a pașilor dacă apăreți pe o astfel de listă.

Noțiuni cheie: reputație, reputație IP, reputație de domeniu, listă de blocare (DNSBL), Spamhaus (SBL, XBL, PBL), SpamCop, Barracuda, interogare cu o adresă IP inversată, răspuns 127.0.0.x, cod de eroare 127.255.255.x, IP partajat, warm-up (încălzire), delisting (eliminare de pe listă)

Ce este reputația?

SPF, DKIM și DMARC dovedesc cine trimite mesajul. Ele nu spun nimic despre faptul dacă acel expeditor este de încredere. Un spammer poate avea perfect de bine un domeniu propriu cu SPF, DKIM și DMARC configurate corect. De aceea, destinatarii mai urmăresc și modul în care se comportă un expeditor. Acest lucru se numește reputație.

Există două tipuri:

• Reputația IP: cum se comportă mesajele care provin de la această adresă IP? Mult spam, multe adrese inexistente, vârfuri bruște de trafic: toate acestea scad reputația.
• Reputația de domeniu: cum se comportă mesajele trimise în numele acestui domeniu, măsurate pe baza domeniului din DKIM (d=) și din adresa expeditorului? Acest aspect devine din ce în ce mai important, deoarece un domeniu vă însoțește atunci când treceți la un alt server, pe când o adresă IP nu.

Ce contează? Furnizorii mari nu își dezvăluie formula exactă, dar menționează constant aceleași semnale: câți destinatari marchează mesajele dumneavoastră drept spam (reclamații), câte mesaje ajung la adrese inexistente, dacă destinatarii deschid, răspund sau șterg imediat mesajele dumneavoastră, cât de regulat trimiteți mesaje și dacă ajungeți în capcane de spam (adrese pe care nimeni nu le-a introdus vreodată). Gmail afișează procentul de reclamații în Postmaster Tools (lecția 5.3), Microsoft afișează situația per adresă IP în SNDS (lecția 6.4).

Listele de blocare: o listă neagră partajată

Pe lângă propriile măsurători, multe servere de e-mail folosesc liste de blocare publice (numite și blacklist-uri sau RBL-uri). O astfel de listă conține adrese IP (uneori domenii) care au trimis spam sau care nu ar trebui niciodată să trimită mesaje direct. Un server de e-mail care primește o conexiune de la 192.0.2.25 interoghează lista și respinge conexiunea dacă adresa se află pe ea.

Cele mai cunoscute:

Spamhaus combină listele sale în ZEN (zen.spamhaus.org). Pe lângă aceasta, există zeci de liste mai mici. O prezență pe o listă mică, utilizată de aproape nimeni, de obicei nu este un dezastru. O prezență pe Spamhaus SBL sau XBL este diferită: aceasta este folosită de o mare parte a serverelor de e-mail.

Cum funcționează o interogare?

O listă de blocare este pur și simplu o zonă DNS. Dacă un server dorește să afle dacă 192.0.2.25 se află pe ZEN, acesta inversează adresa (la fel ca la DNS invers) și adaugă numele listei:

dig +short 25.2.0.192.zen.spamhaus.org

• Niciun răspuns (NXDOMAIN): nu se află pe listă.
• O adresă 127.0.0.x: se află pe listă. Ultima cifră indică sublista. La ZEN, 127.0.0.2 este SBL, 127.0.0.4 este XBL, iar 127.0.0.10 sau 127.0.0.11 este PBL.
• O adresă 127.255.255.x: un cod de eroare, nu o înregistrare pe listă. Spamhaus returnează, de exemplu, 127.255.255.254 dacă interogarea vine printr-un resolver public precum cel al Cloudflare. Spamhaus nu permite acest lucru și, în acest caz, nu oferă un rezultat real.

Acest din urmă aspect este o capcană cunoscută. Un instrument sau un server de e-mail care interpretează orice răspuns drept "pe listă" declanșează alarme false sau chiar refuză toate mesajele. Un instrument care interpretează orice lipsă de răspuns drept "curat" ratează înregistrări reale. O verificare fiabilă interoghează mai întâi pentru fiecare listă o adresă de test (127.0.0.2 se găsește întotdeauna pe orice listă) și consideră "nelistat" doar un NXDOMAIN clar.

E-mailcheck și Domain gezondheid (verificarea stării domeniului) de pe weboke.ro funcționează astfel, la fel ca instrumentele independente cunoscute precum MXToolbox și pagina de verificare a Spamhaus însăși (check.spamhaus.org).

Adrese IP partajate

În cazul găzduirii partajate și al majorității serviciilor de e-mail, partajați adresa IP a serverului de trimitere cu alți clienți. Acest lucru are un avantaj și un dezavantaj:

• Un server partajat bine gestionat are o reputație deja construită. Beneficiați de aceasta, chiar dacă dumneavoastră trimiteți puține mesaje.
• Dacă un alt client trimite spam (adesea pentru că parola i-a fost furată), adresa IP poate ajunge pe o listă, iar dumneavoastră resimțiți și dumneavoastră consecințele.

Un furnizor bun își monitorizează așadar propriile adrese IP pe listele de blocare, stabilește limite de trimitere și intervine în caz de abuz. La WebOké, acest lucru este descris, de exemplu, în articolul din baza de cunoștințe despre modul în care este oprit spamul și despre adresele folosite abuziv; alți furnizori au reguli similare.

O adresă IP nouă: încălzirea (warm-up)

O adresă IP care nu a trimis niciodată mesaje nu are nicio reputație. Dacă începe imediat să trimită mii de mesaje pe zi, destinatarii consideră acest lucru suspect. Microsoft, de exemplu, încetinește o astfel de adresă cu o eroare temporară (451 4.7.500 Server busy, lecția 6.4).

De aceea încălziți o adresă IP nouă: începeți cu un număr mic de mesaje pe zi, de preferință către destinatari care așteaptă și deschid mesajele dumneavoastră, și creșteți acest număr treptat, pas cu pas, pe parcursul câtorva săptămâni. Serviciile de trimitere fac acest lucru pentru dumneavoastră dacă achiziționați de la ele o adresă IP proprie. Pentru mesaje obișnuite de afaceri trimise printr-un pachet de hosting sau un serviciu de e-mail, nu trebuie să faceți acest lucru.

Apăreți pe o listă: ce faceți acum?

Ordinea este importantă:

1. Stabiliți care este adresa IP în cauză. Apare în mesajul de eroare? Este adresa furnizorului dumneavoastră de hosting sau de e-mail, sau a propriei conexiuni la internet? Acest ultim caz înseamnă de obicei că programul dumneavoastră de e-mail nu trimite prin serverul SMTP al furnizorului dumneavoastră (lecția 1.4).
2. Dacă nu este serverul dumneavoastră, raportați-l administratorului. În cazul găzduirii partajate sau al unui serviciu de e-mail, furnizorul rezolvă acest lucru. Trimiteți mesajul de eroare complet.
3. Dacă este serverul dumneavoastră, căutați mai întâi cauza. O parolă compromisă, un formular de contact vulnerabil, un site web infectat care trimite mesaje, o listă de adrese cumpărată. Atât timp cât cauza persistă, veți reapărea imediat pe listă.
4. Solicitați eliminarea abia după aceea, prin intermediul site-ului listei respective. La SpamCop nu este necesar: acea înregistrare expiră automat dacă nu apar raportări noi.
5. Verificați din nou după o zi.

Nu plătiți niciodată o parte care promite să vă "elimine de pe toate listele". Listele serioase elimină gratuit.

În practică: cum arată acest lucru

În acest exemplu folosim E-mailcheck de pe weboke.ro: acesta afișează la Blacklist Status (stare listă neagră), pentru fiecare listă, dacă adresa IP a primului dumneavoastră server de e-mail se află pe ea. Atenție: aceasta este adresa prin care primiți mesaje (MX-ul). Pentru mesajele dumneavoastră trimise, trebuie să verificați adresa IP a serverului de trimitere, pe care o găsiți în capetele de mesaj (lecția 5.1). Instrumentele independente precum MXToolbox și check.spamhaus.org funcționează în același mod: introduceți o adresă IP și vedeți rezultatul pentru fiecare listă.

Rezumat

• Reputația privește comportamentul: reclamații, adrese necunoscute, vârfuri de trafic, capcane de spam. SPF, DKIM și DMARC spun doar cine trimite.
• Destinatarii analizează reputația IP și, din ce în ce mai mult, reputația de domeniu.
• O listă de blocare este o zonă DNS: un răspuns 127.0.0.x reprezintă o înregistrare pe listă, 127.255.255.x este un cod de eroare, NXDOMAIN înseamnă că nu este listat.
• Spamhaus PBL nu este o sancțiune, ci un semn că trebuie să trimiteți prin serverul furnizorului dumneavoastră.
• În cazul unei înregistrări pe listă: identificați mai întâi adresa IP corectă și cauza, abia apoi solicitați eliminarea.

Quiz

Exercițiu

Exercițiu Z5.2: Adresa dumneavoastră IP de trimitere pe liste de blocare. Folosiți adresa IP a serverului dumneavoastră de trimitere din exercițiul din lecția 5.1 (sau adresa mx00.t-online.de). Căutați-o chiar dumneavoastră pe check.spamhaus.org sau pe un alt instrument de verificare a listelor de blocare și completați: se află adresa pe Spamhaus (da/nu), și dacă da, pe ce sublistă. Programul verifică live aceeași adresă pe Spamhaus, SpamCop și Barracuda și compară rezultatele.

Exercițiu O5.2: Ce faceți în cazul unei liste negre (blacklisting)? Primiți un caz: un mic magazin online pe un VPS propriu se află de dimineață pe Spamhaus XBL. Scrieți în cel mult cinci pași ce faceți și în ce ordine. Apoi veți vedea răspunsul model.

Pentru aprofundare

Pașii din aceste articole sunt valabili pentru panourile WebOké; la alți furnizori procesul este similar.

• Manual DirectAdmin 9.5: Trimiterea refuzată: liste negre și limite
• Cum blochează WebOké spamul?
• Cutia poștală a fost compromisă sau se trimite spam de la adresa dumneavoastră: iată cum faceți curățenie
• E-mailul dumneavoastră nu ajunge sau ajunge în spam: iată cum identificați problema
• E-mailcheck (verificare gratuită a MX, SPF, DMARC și a listelor de blocare): https://www.weboke.ro/verificare-email
• Spamhaus, verificare și explicații: https://check.spamhaus.org/
• RFC 5782 (modul de funcționare al listelor de blocare DNS)