Comment vérifier si une IP ou un domaine est sur liste noire

Qu'est-ce qu'une liste noire DNS

Une DNSBL est une liste d'adresses publiée sous forme d'enregistrements DNS. Un serveur de messagerie destinataire prend l'IP émettrice, l'inverse, y ajoute le domaine de la liste noire, et demande au DNS si un enregistrement existe. Si oui, l'expéditeur est inscrit, et la réponse encode généralement un code de raison. Tout l'échange tient en une seule requête DNS, ce qui explique pourquoi cette technique est utilisée : elle permet à un serveur de messagerie de décider en quelques millisecondes, avant même d'accepter un message.

Les listes elles-mêmes sont gérées par des opérateurs indépendants ayant des politiques différentes. Certaines n'inscrivent que les adresses surprises à envoyer du spam vers une adresse piège. D'autres inscrivent des plages entières d'adresses IP grand public ou dynamiques par principe, car du courrier légitime ne devrait pas en provenir. D'autres inscrivent sur la base de machines compromises, de relais ouverts ou de trafic de logiciels malveillants. Il n'existe aucune autorité centrale ni liste unique qui compte partout, donc « suis-je sur liste noire » revient en réalité à « suis-je sur les listes que consultent mes destinataires ».

Comment vérifier

Le moyen facile est un outil qui interroge de nombreuses listes en une seule passe et montre lesquelles répondent. Le faire à la main pour une seule liste ressemble à ceci, avec les octets de l'IP inversés :

# vérification de 198.51.100.25 contre une liste sur dnsbl.example.org
dig +short 25.100.51.198.dnsbl.example.org A
dig +short 25.100.51.198.dnsbl.example.org TXT

Une réponse vide signifie non inscrit. Un enregistrement A, typiquement dans la plage 127.0.0.x, signifie inscrit, et le dernier octet est le code de raison de l'opérateur. L'enregistrement TXT porte généralement une explication lisible et un lien vers la page de retrait, qui est la partie dont vous avez besoin.

Vérifiez la bonne adresse. Pour l'e-mail, c'est l'IP publique depuis laquelle votre serveur de messagerie envoie, qui n'est souvent pas la même que l'IP de votre site web. Vérifiez chaque adresse depuis laquelle vous envoyez, y compris un MX de secours et tout service de courrier transactionnel que vous utilisez sur votre propre domaine.

Listes d'IP, listes de domaines et systèmes de réputation

• Les listes noires d'IP inscrivent l'adresse émettrice. C'est la DNSBL classique, et celle la plus susceptible de provoquer un rejet pur et simple.
• Les listes noires de domaines (URIBL) inscrivent des domaines qui apparaissent dans le corps des messages, pas l'expéditeur. Un domaine peut être inscrit parce que des spammeurs le font apparaître dans du courrier envoyé depuis les machines de quelqu'un d'autre, ce qui signifie que vous pouvez être inscrit sans jamais avoir envoyé le courrier.
• Les systèmes de réputation exploités par les grands fournisseurs de boîtes aux lettres ne sont pas du tout des listes publiques. Ils notent les expéditeurs en continu sur les taux de plainte, les taux de rebond et l'authentification, et ils produisent la version de ce problème que vous ne pouvez pas consulter : le courrier est accepté et livré dans les spams. Aucune vérification publique ne les montre, c'est pourquoi « sur aucune liste noire » et « livré en boîte de réception » sont deux affirmations différentes.

Les listes de réputation web et de logiciels malveillants forment une quatrième catégorie. Elles affectent les avertissements de navigateur et la visibilité dans les moteurs de recherche plutôt que le courrier, et un site peut y apparaître après avoir été compromis, longtemps après que la compromission a été nettoyée.

Que faire quand vous êtes inscrit

1. Lisez d'abord la raison. L'enregistrement TXT ou le site de la liste indique pourquoi. Demander un retrait sans corriger la cause vous fait réinscrire, souvent avec une pénalité plus longue.
2. Trouvez ce qui envoie. Vérifiez les journaux du serveur de messagerie pour des pics de volume et des messages que vous n'avez pas envoyés. Les causes habituelles sont un compte de messagerie compromis, un formulaire de contact ou un CMS vulnérable utilisé comme relais, un relais ouvert mal configuré, ou une machine sur votre réseau infectée et envoyant directement.
3. Arrêtez-le, puis vérifiez. Changez les identifiants compromis, corrigez ou désactivez le formulaire, fermez le relais, retirez l'infection. Confirmez que le volume sortant est revenu à la normale avant de faire quoi que ce soit d'autre.
4. Corrigez les bases de l'authentification. Un SPF valide, une signature DKIM, un enregistrement DMARC, un DNS direct et inverse correspondant pour l'IP émettrice, et un nom d'hôte dans le HELO qui se résout. Plusieurs listes ne retireront pas un hôte qui échoue sur ces points, et les systèmes de réputation leur donnent un poids important.
5. Demandez le retrait. Utilisez le formulaire propre de l'opérateur. La plupart offrent un retrait en libre-service pour une première inscription ; certaines retirent automatiquement après une période calme. Soyez précis sur ce qui n'allait pas et ce que vous avez changé.
6. Surveillez la fenêtre de réinscription. Les inscriptions répétées s'aggravent. Revérifiez après quelques jours puis à nouveau après quelques semaines.

Si l'inscription porte sur une plage plutôt que sur votre seule adresse, la correction ne vous appartient pas. Contactez votre hébergeur, car tout le bloc est affecté. Si votre IP vous a été réattribuée récemment, l'inscription peut appartenir à celui qui la possédait avant, et les demandes de retrait qui l'expliquent sont généralement acceptées.

Détecter une inscription pendant que la cause est encore dans les journaux

Le blacklistage est l'un des échecs que personne ne remarque à temps. Rien ne casse sur votre serveur. Le courrier cesse simplement d'arriver, et le premier signal est souvent un client disant qu'il n'a jamais reçu le message, des jours plus tard. La surveillance programmée de liste noire revérifie vos adresses contre les listes selon un intervalle et alerte sur une nouvelle inscription, de sorte que vous l'appreniez pendant que la cause est encore traçable dans les journaux plutôt que des semaines après. La surveillance de liste noire DNS exécute ces vérifications en continu, l'outil de vérification de liste noire effectue une analyse ponctuelle, et comment trouver qui héberge un site web montre comment obtenir le contact d'abus du réseau concerné.