Réputation et listes de blocage

Module 5: Réputation et les grands destinataires · Temps de lecture : 10 minutes

Objectif pédagogique : À l'issue de cette leçon, vous saurez expliquer comment les destinataires construisent la réputation d'une adresse IP et d'un domaine, vérifier une adresse IP sur des listes de blocage et respecter le bon ordre des étapes en cas d'inscription.

Notions clés : réputation, réputation IP, réputation de domaine, liste de blocage (DNSBL), Spamhaus (SBL, XBL, PBL), SpamCop, Barracuda, interrogation avec une adresse IP inversée, réponse 127.0.0.x, code d'erreur 127.255.255.x, IP partagée, préchauffage, retrait de liste (delisting)

Qu'est-ce que la réputation ?

SPF, DKIM et DMARC prouvent qui envoie le message. Ils ne disent rien sur la question de savoir si cet expéditeur est digne de confiance. Un spammeur peut tout à fait disposer de son propre domaine avec un SPF, un DKIM et un DMARC impeccables. C'est pourquoi les destinataires surveillent en plus le comportement d'un expéditeur. Cela s'appelle la réputation.

Il en existe deux types :

• Réputation IP : comment se comporte le courrier qui provient de cette adresse IP ? Beaucoup de spam, beaucoup d'adresses inexistantes, des pics soudains : la réputation baisse.
• Réputation de domaine : comment se comporte le courrier envoyé au nom de ce domaine, mesuré d'après le domaine présent dans DKIM (d=) et dans l'adresse de l'expéditeur ? Ceci devient de plus en plus important, car un domaine vous suit lorsque vous changez de serveur, contrairement à une adresse IP.

Qu'est-ce qui compte ? Les grands destinataires ne dévoilent pas leur formule, mais citent toujours les mêmes signaux : combien de destinataires marquent votre courrier comme spam (plaintes), quelle proportion de courrier part vers des adresses inexistantes, si les destinataires ouvrent votre courrier, y répondent ou le suppriment aussitôt, avec quelle régularité vous envoyez, et si vous touchez des pièges à spam (des adresses que personne n'a jamais communiquées). Gmail affiche le taux de plaintes dans Postmaster Tools (leçon 5.3), Microsoft la situation par adresse IP dans SNDS (leçon 6.4).

Les listes de blocage : une liste noire partagée

Outre leurs propres mesures, de nombreux serveurs de messagerie utilisent des listes de blocage publiques (aussi appelées blacklists ou RBL). Une telle liste contient des adresses IP (parfois des domaines) qui ont envoyé du spam ou qui ne devraient jamais envoyer directement du courrier. Un serveur de messagerie qui reçoit une connexion entrante depuis 192.0.2.25 interroge la liste et refuse la connexion si l'adresse y figure.

Les plus connues :

Spamhaus combine ses listes dans ZEN (zen.spamhaus.org). Il existe par ailleurs des dizaines de listes plus petites. Une inscription sur une petite liste que presque personne n'utilise n'est souvent pas dramatique. Une inscription sur Spamhaus SBL ou XBL, en revanche, l'est : elle est utilisée par une grande partie des serveurs de messagerie.

Comment fonctionne une interrogation ?

Une liste de blocage est tout simplement une zone DNS. Pour savoir si 192.0.2.25 figure sur ZEN, un serveur inverse l'adresse (comme pour le DNS inversé) et y ajoute le nom de la liste :

dig +short 25.2.0.192.zen.spamhaus.org

• Aucune réponse (NXDOMAIN) : pas sur la liste.
• Une adresse 127.0.0.x : figure sur la liste. Le dernier chiffre indique la sous-liste concernée. Pour ZEN, 127.0.0.2 correspond à la SBL, 127.0.0.4 à la XBL et 127.0.0.10 ou 127.0.0.11 à la PBL.
• Une adresse 127.255.255.x : un code d'erreur, pas une inscription. Spamhaus renvoie par exemple 127.255.255.254 si vous interrogez via un résolveur public comme celui de Cloudflare. Spamhaus ne l'autorise pas et ne donne alors pas de résultat réel.

Ce dernier point est un piège bien connu. Un outil ou un serveur de messagerie qui considère toute réponse comme une « inscription » déclenche une alerte à tort, voire refuse tout le courrier. Un outil qui considère toute absence de réponse comme « propre » passe à côté de véritables inscriptions. Un contrôle fiable interroge d'abord une adresse de test par liste (127.0.0.2 figure toujours sur chaque liste) et ne considère un NXDOMAIN clair que comme « non inscrit ».

L'E-mailcheck et Domaine en bonne santé sur weboke.fr fonctionnent ainsi, tout comme les outils indépendants connus tels que MXToolbox et la page de contrôle de Spamhaus lui-même (check.spamhaus.org).

Adresses IP partagées

Avec l'hébergement mutualisé et la plupart des services de messagerie, vous partagez l'adresse IP du serveur d'envoi avec d'autres clients. Cela comporte un avantage et un inconvénient :

• Un serveur mutualisé bien géré a une réputation déjà construite. Vous en profitez, même si vous envoyez peu vous-même.
• Si un autre client envoie du spam (souvent parce que son mot de passe a été volé), l'adresse IP peut se retrouver sur une liste et vous en pâtissez aussi.

Un bon fournisseur surveille donc ses propres adresses IP sur les listes de blocage, met en place des limites d'envoi et intervient en cas d'abus. Chez WebOké, cela est par exemple décrit dans l'article de la base de connaissances sur la façon dont le spam est bloqué et sur les adresses utilisées de façon abusive ; d'autres fournisseurs ont des règles comparables.

Une nouvelle adresse IP : le préchauffage

Une adresse IP qui n'a jamais envoyé de courrier n'a aucune réputation. Si elle commence d'emblée par des milliers d'e-mails par jour, les destinataires y voient un comportement suspect. Microsoft, par exemple, ralentit une telle adresse avec une erreur temporaire (451 4.7.500 Server busy, leçon 6.4).

C'est pourquoi vous préchauffez une nouvelle adresse IP : vous commencez avec un petit nombre d'e-mails par jour, de préférence vers des destinataires qui attendent votre courrier et l'ouvrent, et vous augmentez ce volume progressivement sur quelques semaines. Les services d'envoi s'en chargent pour vous si vous leur louez une adresse IP dédiée. Pour du courrier professionnel ordinaire via un forfait d'hébergement ou un service de messagerie, vous n'avez pas besoin de le faire.

Vous figurez sur une liste : que faire ?

L'ordre des étapes est important :

1. Déterminez de quelle adresse IP il s'agit. Figure-t-elle dans le message d'erreur ? S'agit-il de l'adresse de votre hébergeur ou de votre service de messagerie, ou de votre propre connexion Internet ? Ce dernier cas signifie généralement que votre logiciel de messagerie n'envoie pas via le serveur SMTP de votre fournisseur (leçon 1.4).
2. Si ce n'est pas votre serveur, signalez-le à l'administrateur. En hébergement mutualisé ou avec un service de messagerie, c'est le fournisseur qui s'en occupe. Joignez le message d'erreur complet.
3. Si c'est bien votre serveur, recherchez d'abord la cause. Un mot de passe piraté, un formulaire de contact vulnérable, un site web infecté qui envoie du courrier, une liste d'adresses achetée. Tant que la cause subsiste, vous vous retrouvez aussitôt de nouveau sur la liste.
4. Ce n'est qu'ensuite que vous demandez le retrait, via le site de la liste. Pour SpamCop, ce n'est pas nécessaire : l'inscription expire automatiquement en l'absence de nouveaux signalements.
5. Vérifiez à nouveau après une journée.

Ne payez jamais un prestataire qui promet de vous « retirer de toutes les listes ». Les listes sérieuses retirent gratuitement.

En pratique : voici à quoi cela ressemble

Dans cet exemple, nous utilisons l'E-mailcheck de weboke.fr : il indique, sous Blacklist Status, pour chaque liste, si l'adresse IP de votre premier serveur de messagerie y figure. Attention : il s'agit de l'adresse où votre courrier arrive (le MX). Pour votre courrier sortant, vous devez vérifier l'adresse IP du serveur d'envoi, que vous trouvez dans les en-têtes (leçon 5.1). Les outils indépendants comme MXToolbox et check.spamhaus.org fonctionnent de la même façon : vous saisissez une adresse IP et voyez le résultat pour chaque liste.

Résumé

• La réputation porte sur le comportement : plaintes, adresses inconnues, pics, pièges à spam. SPF, DKIM et DMARC indiquent seulement qui envoie.
• Les destinataires examinent la réputation IP et, de plus en plus, la réputation de domaine.
• Une liste de blocage est une zone DNS : une réponse 127.0.0.x est une inscription, 127.255.255.x est un code d'erreur, NXDOMAIN signifie non inscrit.
• Spamhaus PBL n'est pas une sanction mais un signe que vous devez envoyer via le serveur de votre fournisseur.
• En cas d'inscription : déterminez d'abord la bonne adresse IP et la cause, puis seulement demandez le retrait.

Quiz

Exercice

Exercice Z5.2 : Votre IP d'envoi sur les listes de blocage. Utilisez l'adresse IP de votre serveur d'envoi obtenue dans l'exercice de la leçon 5.1 (ou l'adresse de mx00.t-online.de). Recherchez-la vous-même sur check.spamhaus.org ou un autre outil de liste de blocage et indiquez : l'adresse figure-t-elle sur Spamhaus (oui/non) et, si oui, sur quelle sous-liste. Le programme vérifie en direct la même adresse sur Spamhaus, SpamCop et Barracuda et compare les résultats.

Exercice O5.2 : Que faire en cas de mise sur liste noire ? Voici un cas pratique : une petite boutique en ligne sur son propre VPS figure depuis ce matin sur la Spamhaus XBL. Rédigez en cinq étapes maximum ce que vous feriez et dans quel ordre. Vous verrez ensuite la réponse modèle.

Pour aller plus loin

Les étapes décrites dans ces articles valent pour les panneaux de WebOké ; chez d'autres fournisseurs, le fonctionnement est comparable.

• Guide DirectAdmin 9.5: Envoi refusé : listes noires et limites
• Comment WebOké bloque-t-il le spam ?
• Boîte mail compromise ou spam envoyé depuis votre adresse : comment faire le ménage
• Mon e-mail n'arrive pas ou atterrit dans les spams : comment le vérifier
• E-mailcheck (contrôle gratuit du MX, SPF, DMARC et des listes de blocage) : https://www.weboke.lu/verification-e-mail
• Spamhaus, contrôle et explications : https://check.spamhaus.org/
• RFC 5782 (fonctionnement des listes de blocage DNS)