Czarne listy poczty – jak sprawdzić, skąd wpis i jak się z niego usunąć

Jak działa lista DNSBL

Lista DNSBL publikuje dane w DNS, więc sprawdzenie jej trwa tyle, co każde inne zapytanie DNS. Gdy serwer nadawcy łączy się z serwerem odbiorcy, ten bierze adres IP połączenia, odwraca kolejność jego czterech części, dokleja nazwę strefy listy i pyta o rekord A. Tę konwencję opisuje RFC 5782:

zapytanie:  10.2.0.192.zen.spamhaus.org.  A
na liście:  127.0.0.2   (adres z puli 127.0.0.0/8)
czysty:     NXDOMAIN    (nazwa nie istnieje)

• Odpowiedź z puli 127.0.0.0/8 oznacza, że adres jest na liście. Konkretna wartość wskazuje podlistę lub powód, a wiele list publikuje też pod tą samą nazwą rekord TXT z krótkim wyjaśnieniem i linkiem.
• NXDOMAIN – „taka nazwa nie istnieje” – oznacza, że adresu nie ma na liście.
• Adresy IPv6 sprawdza się tak samo, tylko adres zapisuje się w pełnej postaci i odwraca znak po znaku (cyfra szesnastkowa po cyfrze).
• Listy domen nie wymagają odwracania: serwer pyta o samą domenę, np. firma.pl.dbl.spamhaus.org. Sprawdza się w ten sposób domenę nadawcy, a jeszcze częściej domeny z linków w treści wiadomości.

Co dalej, decyduje odbiorca. Jedni od razu odrzucają połączenie błędem w rodzaju 554 5.7.1 z nazwą listy, inni tylko doliczają wpis do oceny spamu. Dlatego wpis na małej liście może nie mieć żadnych skutków, a wpis w Spamhaus blokuje pocztę niemal wszędzie.

Najważniejsze listy

Spamhaus

Spamhaus to lista najczęściej używana. Jego listy adresów IP są połączone w jedną strefę ZEN i to o nią pyta większość serwerów:

Dwie praktyczne uwagi. Publiczne listy Spamhaus są bezpłatne tylko przy niewielkim, niekomercyjnym użyciu. A zapytania przychodzące przez duże publiczne serwery DNS Spamhaus odrzuca: zamiast prawdziwej odpowiedzi dostajesz kod błędu, np. 127.255.255.254, który nie oznacza wpisu na liście. Jeśli sprawdzasz dig przez 8.8.8.8 albo 1.1.1.1, wynik nic nie znaczy – skorzystaj z wyszukiwarki na stronie Spamhaus.

Barracuda, SpamCop i inne

• Barracuda Reputation Block List (BRBL), strefa b.barracudacentral.org, używana przez urządzenia Barracuda i inne serwery. Zwrot, który wspomina urządzenie Barracuda, ale nie tę strefę, może wynikać z własnej reguły filtra jednej firmy – zmienić ją może tylko ta firma.
• SpamCop (bl.spamcop.net) wpisuje adresy IP zgłaszane przez użytkowników. Wpisy wygasają same: adres jest usuwany automatycznie 24 godziny po ostatnim zgłoszeniu.
• List jest znacznie więcej, a duzi operatorzy, tacy jak Gmail i Microsoft, mają też własne, niepubliczne systemy reputacji. Wpis na mało znanej liście, z której nie korzysta żaden duży odbiorca, zwykle można zignorować.

Jak sprawdzić, czy jesteś na liście

1. Przeczytaj zwrot. Odrzucenie z powodu czarnej listy prawie zawsze podaje jej nazwę, często z linkiem do sprawdzenia. Wiesz wtedy dokładnie, o którą listę i który adres IP lub domenę chodzi.
2. Ustal adres IP, z którego wysyłasz. Otwórz źródło wysłanej wiadomości i znajdź nagłówek Received: dodany przez pierwszy zewnętrzny serwer – widać w nim adres, z którego wyszła poczta. Przy usłudze hostowanej to adres dostawcy, a nie Twój.
3. Skorzystaj z wyszukiwarki każdej listy: Spamhaus IP and Domain Reputation Checker (check.spamhaus.org), strona wyszukiwania w Barracuda Central i wyszukiwarka listy SpamCop. Pokazują powód wpisu i sposób jego usunięcia.
4. Sprawdź też domenę, nie tylko adres IP: domena na liście DBL szkodzi każdej wiadomości, która ją zawiera, niezależnie od serwera, z którego została wysłana.

Dlaczego adresy IP i domeny trafiają na listy

• Przejęte konto lub strona internetowa. Dziś najczęstsza przyczyna: wykradzione hasło do skrzynki albo zhakowany formularz kontaktowy rozsyłają przez Twój serwer tysiące wiadomości.
• Zainfekowane urządzenie za danym adresem IP – typowy powód wpisu w XBL, często w sieci biurowej, w której jeden komputer ma malware.
• Pułapki spamowe (spam traps). Listy utrzymują adresy, które nigdy niczego nie subskrybowały. Wysyłka na nie oznacza, że Twoja baza zawiera kupione, zebrane z sieci albo bardzo stare adresy.
• Skargi i nagłe skoki wolumenu. Duża kampania do „zimnej” bazy z nowego adresu IP wygląda dokładnie jak spam.
• Wysyłka z adresów, które nie powinny wysyłać poczty – z łącza domowego lub puli dynamicznej (PBL) albo z serwera bez poprawnego odwrotnego DNS.
• Open relay – źle skonfigurowany serwer, który przekazuje pocztę każdemu.

Jak usunąć wpis

Niezależnie od listy kolejność jest taka sama: najpierw usuń przyczynę, potem poproś o usunięcie wpisu.

1. Znajdź i zatrzymaj źródło. Zmień przejęte hasła, usuń malware, zamknij open relay, wstrzymaj kampanie do wątpliwych baz. Sprawdź kolejkę i logi serwera pod kątem wiadomości, których nie wysyłałeś.
2. Popraw podstawy. Odwrotny DNS adresu IP, SPF, DKIM i DMARC.
3. Poproś o usunięcie wpisu zgodnie z procedurą danej listy:
   • Spamhaus XBL i CSS: po usunięciu problemu złóż wniosek w wyszukiwarce reputacji; jeden wniosek obejmuje obie listy. Jeśli problem trwa, wpis wraca.
   • Spamhaus SBL: o usunięcie może wystąpić tylko właściciel puli adresów (Twój hosting lub operator sieci), kontaktując się z zespołem SBL po rozwiązaniu problemu. Wpis w SBL trzeba rozwiązać, zanim możliwe będzie usunięcie wpisów z XBL czy CSS.
   • Spamhaus PBL: usunięcie ma sens tylko dla statycznego adresu IP, na którym naprawdę działa serwer pocztowy z poprawnym DNS i odwrotnym DNS. Przy zwykłym łączu biurowym lub domowym wysyłaj przez dostawcę poczty.
   • Barracuda: wyślij formularz usunięcia z adresem IP i krótkim wyjaśnieniem; według Barracudy poprawne wnioski są zwykle rozpatrywane w ciągu 12 godzin. Powtarzane wnioski są ignorowane.
   • SpamCop: nie trzeba składać wniosku – wpis wygasa 24 godziny po ostatnim zgłoszeniu.
4. Uważaj na płatne „usługi usuwania z czarnych list”. Spamhaus podkreśla, że usunięcie z jego list jest zawsze bezpłatne, a każdy, kto oferuje je za opłatą, jest oszustem.

Usunięcie wpisu zdejmuje blokadę, ale nie wymazuje historii. Własne dane reputacyjne odbiorców odbudowują się wolniej, więc zwiększaj wysyłkę stopniowo, tak jak opisuje poradnik o rozgrzewaniu domeny.

Współdzielone adresy IP

Większość usług poczty hostowanej i platform mailingowych wysyła pocztę wielu klientów z tej samej puli adresów IP. Działa to w obie strony. Jak piszą wytyczne Google dla nadawców, działania każdego nadawcy na współdzielonym IP wpływają na reputację wszystkich: jeden klient wysyłający spam może doprowadzić do wpisu, który dotknie każdego. Z drugiej strony nie możesz prosić o usunięcie wpisu adresu, którego nie kontrolujesz – i nie musisz, bo to zadanie dostawcy, a dobrze prowadzony dostawca zatrzymuje nadużycia, zanim zauważą je listy. Jeśli na liście jest adres IP Twojego dostawcy, zgłoś mu to razem z treścią zwrotu. Wpis Twojej domeny w DBL idzie jednak za Tobą do każdego dostawcy.

Jak AnyMail chroni wspólny adres IP

AnyMail wysyła pocztę klientów ze wspólnego adresu IP z poprawnym DNS i odwrotnym DNS, dlatego zabezpieczenia są wbudowane: każda wychodząca wiadomość jest oceniana pod kątem spamu, wiadomości z wysokim prawdopodobieństwem spamu są wstrzymywane do weryfikacji zamiast doręczane, nadawcy, którzy wielokrotnie uruchamiają filtr, tracą możliwość wysyłki, dopóki nie odblokuje ich administrator, a każdy serwer pocztowy ma godzinowy limit wysyłki, który zaczyna się niżej i rośnie przez pierwsze dwa tygodnie. Razem z wypisem jednym kliknięciem w każdej wiadomości do zewnętrznego odbiorcy trzyma to z daleka od wspólnego adresu skargi i trafienia w pułapki spamowe, które prowadzą do wpisów. O treści wiadomości przeczytasz w poradniku dlaczego maile trafiają do spamu.