Reputacja i listy blokujące

Moduł 5: Reputacja i najwięksi dostawcy poczty · Czas czytania: 10 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili wyjaśnić, w jaki sposób odbiorcy budują reputację adresu IP i domeny, sprawdzić adres IP na listach blokujących oraz zachować właściwą kolejność działań, jeśli Państwa adres się tam znajdzie.

Kluczowe pojęcia: reputacja, reputacja IP, reputacja domeny, lista blokująca (DNSBL), Spamhaus (SBL, XBL, PBL), SpamCop, Barracuda, zapytanie z odwróconym adresem IP, odpowiedź 127.0.0.x, kod błędu 127.255.255.x, współdzielony adres IP, rozgrzewanie (warm-up), usunięcie z listy (delisting)

Czym jest reputacja?

SPF, DKIM i DMARC dowodzą, kto wysyła wiadomość. Nie mówią nic o tym, czy nadawcy można ufać. Spamer równie dobrze może mieć własną domenę z poprawnie skonfigurowanym SPF, DKIM i DMARC. Dlatego odbiorcy dodatkowo śledzą, jak nadawca się zachowuje. To właśnie nazywa się reputacją.

Wyróżnia się dwa rodzaje:

• Reputacja IP: jak zachowuje się poczta pochodząca z danego adresu IP? Dużo spamu, dużo adresów, które nie istnieją, nagłe skoki liczby wiadomości: to wszystko obniża reputację.
• Reputacja domeny: jak zachowuje się poczta wysyłana w imieniu danej domeny, mierzona na podstawie domeny w DKIM (d=) i w adresie nadawcy? Znaczenie tego czynnika stale rośnie, ponieważ domena przenosi się razem z Państwem na inny serwer, a adres IP nie.

Co ma znaczenie? Najwięksi dostawcy nie ujawniają swojego dokładnego algorytmu, ale wciąż wymieniają te same sygnały: ile osób oznacza Państwa pocztę jako spam (skargi), ile wiadomości trafia na adresy, które nie istnieją, czy odbiorcy otwierają Państwa pocztę, odpowiadają na nią czy od razu usuwają, jak regularnie Państwo wysyłają wiadomości oraz czy trafiają Państwo do pułapek spamowych (adresów, których nikt nigdy nie podał dobrowolnie). Gmail pokazuje odsetek skarg w Postmaster Tools (lekcja 5.3), Microsoft pokazuje obraz dla danego adresu IP w SNDS (lekcja 6.4).

Listy blokujące: wspólna czarna lista

Oprócz własnych pomiarów wiele serwerów pocztowych korzysta z publicznych list blokujących (nazywanych też blacklistami lub RBL). Taka lista zawiera adresy IP (czasem domeny), które wysyłały spam lub które nigdy nie powinny wysyłać poczty bezpośrednio. Serwer pocztowy, który odbiera przychodzące połączenie z adresu 192.0.2.25, odpytuje listę i odrzuca połączenie, jeśli adres się na niej znajduje.

Najbardziej znane:

Spamhaus łączy swoje listy w ZEN (zen.spamhaus.org). Istnieją ponadto dziesiątki mniejszych list. Wpis na małej liście, z której prawie nikt nie korzysta, zwykle nie jest katastrofą. Wpis na Spamhaus SBL lub XBL już tak: korzysta z nich znaczna część serwerów pocztowych.

Jak działa zapytanie?

Lista blokująca to po prostu strefa DNS. Jeśli serwer chce sprawdzić, czy 192.0.2.25 znajduje się na ZEN, odwraca adres (podobnie jak przy reverse DNS) i dopisuje nazwę listy:

dig +short 25.2.0.192.zen.spamhaus.org

• Brak odpowiedzi (NXDOMAIN): adresu nie ma na liście.
• Adres 127.0.0.x: adres jest na liście. Ostatnia liczba wskazuje, która to podlista. W przypadku ZEN 127.0.0.2 oznacza SBL, 127.0.0.4 oznacza XBL, a 127.0.0.10 lub 127.0.0.11 oznacza PBL.
• Adres 127.255.255.x: kod błędu, a nie wpis na liście. Spamhaus zwraca na przykład 127.255.255.254, jeśli zapytanie przychodzi przez publiczny resolver, taki jak resolver Cloudflare. Spamhaus na to nie zezwala i w takim przypadku nie podaje faktycznego wyniku.

Ten ostatni przypadek to znana pułapka. Narzędzie lub serwer pocztowy, który traktuje każdą odpowiedź jako wpis na liście, niesłusznie bije na alarm albo wręcz odrzuca całą pocztę. Narzędzie, które traktuje każdy brak odpowiedzi jako „czysty” wynik, pomija prawdziwe wpisy. Rzetelna kontrola najpierw odpytuje adres testowy dla każdej listy (127.0.0.2 znajduje się zawsze na każdej liście) i tylko jednoznaczny NXDOMAIN liczy jako „brak wpisu”.

Tak właśnie działają E-mailcheck i Kondycja domeny na weboke.pl, podobnie jak znane niezależne narzędzia, na przykład MXToolbox czy strona kontrolna samego Spamhaus (check.spamhaus.org).

Współdzielone adresy IP

W przypadku hostingu współdzielonego i większości usług pocztowych adres IP serwera wysyłkowego dzielą Państwo z innymi klientami. Ma to zarówno zaletę, jak i wadę:

• Dobrze zarządzany, współdzielony serwer ma wypracowaną reputację. Korzystają Państwo z niej, nawet jeśli sami wysyłają Państwo niewiele wiadomości.
• Jeśli inny klient wyśle spam (często dlatego, że skradziono jego hasło), adres IP może trafić na listę, a Państwo również odczują tego skutki.

Dobry dostawca pilnuje więc swoich adresów IP pod kątem obecności na listach blokujących, ustawia limity wysyłki i reaguje w przypadku nadużyć. U WebOké opisano to na przykład w artykule bazy wiedzy poświęconym temu, jak blokowany jest spam i jak traktowane są nadużywane adresy; inni dostawcy mają podobne zasady.

Nowy adres IP: rozgrzewanie

Adres IP, z którego nigdy wcześniej nie wysłano poczty, nie ma żadnej reputacji. Jeśli od razu zacznie wysyłać tysiące wiadomości dziennie, odbiorcy uznają to za podejrzane. Microsoft spowalnia na przykład taki adres przez tymczasowy błąd (451 4.7.500 Server busy, lekcja 6.4).

Dlatego nowy adres IP trzeba rozgrzać (warm-up): zaczyna się od niewielkiej liczby wiadomości dziennie, najlepiej do odbiorców, którzy spodziewają się Państwa poczty i ją otwierają, a następnie zwiększa się tę liczbę stopniowo przez kilka tygodni. Usługi wysyłkowe robią to za Państwa, jeśli wykupią Państwo u nich własny adres IP. W przypadku zwykłej poczty firmowej wysyłanej za pośrednictwem pakietu hostingowego lub usługi pocztowej nie trzeba tego robić.

Adres jest na liście: co teraz?

Kolejność działań jest istotna:

1. Ustalić, o jaki adres IP chodzi. Czy podano go w komunikacie o błędzie? Czy to adres hostingodawcy lub usługi pocztowej, czy adres Państwa własnego łącza internetowego? To drugie zazwyczaj oznacza, że program pocztowy nie wysyła poczty przez serwer SMTP Państwa dostawcy (lekcja 1.4).
2. Jeśli to nie Państwa serwer, proszę zgłosić to administratorowi. W przypadku hostingu współdzielonego lub usługi pocztowej problem rozwiązuje dostawca. Proszę przesłać pełną treść komunikatu o błędzie.
3. Jeśli to Państwa serwer, proszę najpierw znaleźć przyczynę. Zhakowane hasło, dziurawy formularz kontaktowy, zainfekowana strona internetowa wysyłająca pocztę, zakupiona lista adresów. Dopóki przyczyna istnieje, adres natychmiast wróci na listę.
4. Dopiero potem proszę złożyć wniosek o usunięcie, za pośrednictwem strony danej listy. W przypadku SpamCop nie jest to konieczne: wpis wygasa samoczynnie, jeśli nie napłyną nowe zgłoszenia.
5. Proszę sprawdzić ponownie po dobie.

Proszę nigdy nie płacić firmie, która obiecuje usunąć Państwa „ze wszystkich list”. Poważne listy usuwają wpisy bezpłatnie.

W praktyce: jak to wygląda

W tym przykładzie korzystamy z E-mailcheck na weboke.pl: w sekcji Blacklist Status pokazuje on dla każdej listy, czy adres IP Państwa pierwszego serwera pocztowego się na niej znajduje. Proszę zwrócić uwagę: to adres, pod który trafia Państwa poczta przychodząca (MX). Dla poczty wychodzącej trzeba sprawdzić adres IP serwera wysyłkowego, który można odczytać z nagłówków wiadomości (lekcja 5.1). Niezależne narzędzia, takie jak MXToolbox i check.spamhaus.org, działają na tej samej zasadzie: wpisują Państwo adres IP i widzą wynik dla każdej listy.

Podsumowanie

• Reputacja dotyczy zachowania: skarg, nieznanych adresów, skoków liczby wiadomości, pułapek spamowych. SPF, DKIM i DMARC mówią jedynie o tym, kto wysyła pocztę.
• Odbiorcy biorą pod uwagę reputację IP, a coraz częściej także reputację domeny.
• Lista blokująca to strefa DNS: odpowiedź 127.0.0.x oznacza wpis, 127.255.255.x to kod błędu, a NXDOMAIN oznacza brak wpisu.
• Spamhaus PBL to nie kara, lecz sygnał, że pocztę należy wysyłać przez serwer Państwa dostawcy.
• W razie wpisu na liście: najpierw należy ustalić właściwy adres IP i przyczynę, dopiero potem złożyć wniosek o usunięcie.

Quiz

Zadanie

Zadanie Z5.2: Państwa adres IP wysyłający na listach blokujących. Proszę użyć adresu IP serwera wysyłkowego z zadania z lekcji 5.1 (lub adresu mx00.t-online.de). Proszę sprawdzić go samodzielnie na check.spamhaus.org lub w innym narzędziu do sprawdzania list blokujących i uzupełnić: czy adres znajduje się na liście Spamhaus (tak/nie), a jeśli tak, na której podliście. Program sprawdzi na żywo ten sam adres w Spamhaus, SpamCop i Barracuda i porówna wyniki.

Zadanie O5.2: Co zrobić w przypadku wpisu na listę? Otrzymują Państwo przypadek: mały sklep internetowy na własnym VPS-ie od dzisiejszego ranka znajduje się na Spamhaus XBL. Proszę zapisać w maksymalnie pięciu krokach, co Państwo zrobią i w jakiej kolejności. Następnie zobaczą Państwo przykładową odpowiedź.

Dalsza lektura

Kroki opisane w tych artykułach dotyczą paneli WebOké; u innych dostawców działa to w podobny sposób.

• Instrukcja DirectAdmin 9.5: Wysyłanie odrzucone: czarne listy i limity
• Jak WebOké blokuje spam?
• Przejęcie skrzynki pocztowej lub spam wysyłany z Państwa adresu: jak to uporządkować
• Wiadomość e-mail nie dociera lub trafia do spamu: jak to sprawdzić
• E-mailcheck (bezpłatna kontrola MX, SPF, DMARC i list blokujących): https://www.weboke.pl/sprawdz-e-mail
• Spamhaus, kontrola i wyjaśnienie: https://check.spamhaus.org/
• RFC 5782 (jak działają listy blokujące DNS)