Come verificare se un IP o un dominio è in blacklist

Cos'è una blacklist DNS

Una DNSBL è una lista di indirizzi pubblicata come record DNS. Un server di posta ricevente prende l'IP del mittente, lo inverte, aggiunge il dominio della blocklist, e chiede al DNS se esiste un record. Se esiste, il mittente è in lista, e la risposta di solito codifica un codice di motivazione. L'intero scambio richiede una singola query DNS, ed è per questo che la tecnica viene usata affatto: permette a un server di posta di decidere in millisecondi, prima di accettare un messaggio.

Le liste stesse sono gestite da operatori indipendenti con politiche diverse. Alcune elencano solo indirizzi sorpresi a inviare spam a un indirizzo trappola. Alcune elencano interi intervalli di indirizzi IP consumer o dinamici per principio, perché la posta legittima non dovrebbe avere origine lì. Alcune elencano in base a macchine compromesse, relay aperti o traffico malware. Non c'è un'autorità centrale né un'unica lista che conti ovunque, quindi "sono in blacklist" è in realtà "sono nelle liste che usano i miei destinatari".

Come verificare

Il modo facile è uno strumento che interroga molte liste in un solo passaggio e mostra quali rispondono. Farlo a mano per una singola lista si presenta così, con gli ottetti dell'IP invertiti:

# checking 198.51.100.25 against a list at dnsbl.example.org
dig +short 25.100.51.198.dnsbl.example.org A
dig +short 25.100.51.198.dnsbl.example.org TXT

Una risposta vuota significa non in lista. Un record A, tipicamente nell'intervallo 127.0.0.x, significa in lista, e l'ultimo ottetto è il codice di motivazione dell'operatore. Il record TXT di solito porta una spiegazione leggibile e un link alla pagina di rimozione, che è la parte che ti serve.

Verifica l'indirizzo giusto. Per l'email, è l'IP pubblico da cui invia il tuo server di posta, che spesso non è lo stesso IP del tuo sito web. Verifica ogni indirizzo da cui invii, incluso un MX di backup e qualsiasi servizio di posta transazionale che usi sul tuo dominio.

Liste IP, liste di dominio e sistemi di reputazione

• Le blocklist IP elencano l'indirizzo mittente. Questa è la DNSBL classica e quella più probabile a causare un rifiuto diretto.
• Le blocklist di dominio (URIBL) elencano domini che compaiono dentro il corpo dei messaggi, non il mittente. Un dominio può finire in lista perché gli spammer lo pubblicizzano in posta inviata da macchine di qualcun altro del tutto, il che significa che puoi finire in lista senza aver mai inviato la posta.
• I sistemi di reputazione gestiti dai grandi provider di caselle di posta non sono affatto liste pubbliche. Valutano i mittenti continuamente su tassi di reclamo, tassi di rimbalzo e autenticazione, e producono la versione di questo problema che non puoi verificare: la posta viene accettata e recapitata nello spam. Nessuna verifica pubblica mostra questi dati, motivo per cui "non in nessuna blacklist" e "recapitato nella posta in arrivo" sono affermazioni diverse.

La reputazione web e le liste malware sono una quarta categoria. Riguardano gli avvisi del browser e la visibilità nelle ricerche invece della posta, e un sito può comparire in una di esse dopo essere stato compromesso, molto tempo dopo che la compromissione è stata ripulita.

Cosa fare quando sei in lista

1. Leggi prima il motivo. Il record TXT o il sito della lista dice il perché. Richiedere la rimozione senza risolvere la causa ti fa finire di nuovo in lista, spesso con una penalità più lunga.
2. Trova cosa sta inviando. Controlla i log del server di posta per picchi di volume e per messaggi che non hai inviato tu. Le cause solite sono un account di posta compromesso, un modulo di contatto o un CMS vulnerabile usato come relay, un relay aperto mal configurato, oppure una macchina sulla tua rete infetta che invia direttamente.
3. Fermalo, poi verifica. Cambia le credenziali compromesse, applica una patch o disabilita il modulo, chiudi il relay, rimuovi l'infezione. Conferma che il volume in uscita sia tornato normale prima di fare qualsiasi altra cosa.
4. Sistema le basi dell'autenticazione. SPF valido, firma DKIM, un record DMARC, DNS diretto e inverso corrispondenti per l'IP mittente, e un nome host nell'HELO che si risolve. Diverse liste non rimuovono un host che fallisce questi controlli, e i sistemi di reputazione li pesano molto.
5. Richiedi la rimozione. Usa il modulo dell'operatore stesso. La maggior parte ha una rimozione self-service per una prima segnalazione; alcune rimuovono automaticamente dopo un periodo di quiete. Sii specifico su cosa non andava e cosa hai cambiato.
6. Attento alla finestra di rientro in lista. Le segnalazioni ripetute peggiorano. Riverifica dopo pochi giorni e di nuovo dopo un paio di settimane.

Se la segnalazione riguarda un intervallo invece del tuo singolo indirizzo, la soluzione non spetta a te. Contatta il tuo provider di hosting, perché è coinvolto l'intero blocco. Se il tuo IP ti è stato riassegnato di recente, la segnalazione potrebbe appartenere a chi lo aveva prima, e le richieste di rimozione che lo spiegano vengono di solito accettate.

Individuare una segnalazione mentre la causa è ancora nei log

Finire in blacklist è uno dei guasti che nessuno nota in tempo. Niente si rompe sul tuo server. La posta semplicemente smette di arrivare, e il primo segnale spesso è un cliente che dice di non aver mai ricevuto il messaggio, giorni dopo. Il monitoraggio blacklist pianificato riverifica i tuoi indirizzi contro le liste a intervalli regolari e avvisa su una nuova segnalazione, così che tu lo scopra mentre la causa è ancora rintracciabile nei log invece che settimane dopo. Il monitoraggio blacklist DNS esegue quei controlli continuamente, lo strumento di controllo blacklist esegue una scansione una tantum, e come trovare chi ospita un sito web mostra come ottenere il contatto per gli abusi della rete coinvolta.