Hoe u controleert of een IP-adres of domein geblacklist is

Wat een DNS-blacklist is

Een DNSBL is een lijst met adressen die als DNS-records wordt gepubliceerd. Een ontvangende mailserver neemt het verzendende IP-adres, keert het om, voegt het domein van de blocklist toe, en vraagt DNS of er een record bestaat. Is dat zo, dan staat de afzender vermeld, en het antwoord codeert meestal een redencode. De hele uitwisseling kost één enkele DNS-query, en dat is precies waarom deze techniek wordt gebruikt: een mailserver kan zo binnen milliseconden beslissen, voordat een bericht wordt geaccepteerd.

De lijsten zelf worden beheerd door onafhankelijke operators met uiteenlopend beleid. Sommige vermelden alleen adressen die spam naar een lokadres stuurden. Sommige vermelden uit principe hele bereiken van consumenten- of dynamische IP-adressen, omdat legitieme mail daar niet vandaan zou moeten komen. Sommige vermelden op basis van gecompromitteerde machines, open relays of malwareverkeer. Er is geen centrale autoriteit en geen enkele lijst die overal telt, dus "sta ik op een blacklist" is eigenlijk "sta ik op de lijsten die mijn ontvangers gebruiken".

Hoe u controleert

De makkelijke manier is een tool die veel lijsten in één keer bevraagt en toont welke reageren. Handmatig voor één lijst ziet het er zo uit, met de IP-octetten omgekeerd:

# controle van 198.51.100.25 tegen een lijst op dnsbl.example.org
dig +short 25.100.51.198.dnsbl.example.org A
dig +short 25.100.51.198.dnsbl.example.org TXT

Een leeg antwoord betekent niet vermeld. Een A-record, doorgaans in het bereik 127.0.0.x, betekent vermeld, en het laatste octet is de redencode van de operator. Het TXT-record bevat meestal een leesbare uitleg en een link naar de verwijderingspagina, en dat is het deel dat u nodig heeft.

Controleer het juiste adres. Voor e-mail is dat het openbare IP-adres van waaraf uw mailserver verstuurt, wat vaak niet hetzelfde is als het IP-adres van uw website. Controleer elk adres waarvandaan u verstuurt, inclusief een back-up-MX en elke transactionele maildienst die u op uw eigen domein gebruikt.

IP-lijsten, domeinlijsten en reputatiesystemen

• IP-blocklists vermelden het verzendende adres. Dit is de klassieke DNSBL, en degene die het meest waarschijnlijk regelrechte weigering veroorzaakt.
• Domeinblocklists (URIBL's) vermelden domeinen die in berichttekst voorkomen, niet de afzender. Een domein kan worden vermeld omdat spammers het adverteren in mail die vanaf de machines van iemand anders wordt verstuurd, wat betekent dat u vermeld kunt raken zonder ooit zelf de mail te hebben verstuurd.
• Reputatiesystemen van grote mailboxproviders zijn helemaal geen openbare lijsten. Ze scoren afzenders doorlopend op klachtenpercentages, bounce-percentages en authenticatie, en produceren de versie van dit probleem die u niet kunt opzoeken: mail wordt geaccepteerd en afgeleverd in de spam. Geen enkele openbare zoekopdracht toont deze, en dat is waarom "op geen enkele blacklist" en "aflevering in de inbox" twee verschillende dingen zijn.

Webreputatie- en malwarelijsten zijn een vierde categorie. Die beïnvloeden browserwaarschuwingen en zoekzichtbaarheid in plaats van mail, en een site kan op zo'n lijst verschijnen nadat die is gecompromitteerd, lang nadat de inbraak al is opgeruimd.

Wat u doet wanneer u vermeld staat

1. Lees eerst de reden. Het TXT-record of de website van de lijst vermeldt waarom. Verwijdering aanvragen zonder de oorzaak te verhelpen, levert u een nieuwe vermelding op, vaak met een langere straftijd.
2. Vind wat er verstuurt. Controleer de logs van de mailserver op volumepieken en op berichten die u niet heeft verstuurd. De gebruikelijke oorzaken zijn een gecompromitteerd mailaccount, een kwetsbaar contactformulier of CMS dat als relay wordt misbruikt, een verkeerd geconfigureerde open relay, of een machine op uw netwerk die is geïnfecteerd en rechtstreeks verstuurt.
3. Stop het, controleer dan. Verander de gecompromitteerde inloggegevens, patch of schakel het formulier uit, sluit de relay, verwijder de infectie. Bevestig dat het uitgaande volume weer normaal is voordat u iets anders doet.
4. Herstel de authenticatiebasis. Geldige SPF, DKIM-ondertekening, een DMARC-record, overeenkomende voorwaartse en omgekeerde DNS voor het verzendende IP-adres, en een hostnaam in de HELO die resolvt. Meerdere lijsten verwijderen een host die hierop faalt niet, en reputatiesystemen wegen deze zwaar mee.
5. Vraag verwijdering aan. Gebruik het formulier van de operator zelf. De meeste bieden zelfbediende verwijdering bij een eerste vermelding; sommige verwijderen automatisch na een rustige periode. Wees specifiek over wat er mis was en wat u heeft veranderd.
6. Let op het venster voor herhaalde vermelding. Herhaalde vermeldingen lopen op. Controleer opnieuw na een paar dagen en nogmaals na een paar weken.

Staat de vermelding op een bereik in plaats van op uw enkele adres, dan is de oplossing niet aan u. Neem contact op met uw hostingprovider, want het hele blok is getroffen. Is uw IP-adres onlangs aan u toegewezen, dan kan de vermelding van de vorige eigenaar zijn, en verwijderingsverzoeken die dat uitleggen, worden meestal geaccepteerd.

Een vermelding opvangen terwijl de oorzaak nog in de logs staat

Blacklisting is een van de storingen die niemand op tijd opmerkt. Er breekt niets op uw server. Mail komt simpelweg niet meer aan, en het eerste signaal is vaak een klant die dagen later zegt het bericht nooit te hebben gekregen. Geplande blacklistmonitoring controleert uw adressen volgens een interval opnieuw tegen de lijsten en waarschuwt bij een nieuwe vermelding, zodat u het merkt terwijl de oorzaak nog traceerbaar is in de logs, in plaats van weken later. DNS-blacklistmonitoring voert die controles continu uit, de blacklist-controletool voert een eenmalige scan uit, en hoe u vindt wie een website host laat zien hoe u het misbruikcontact voor het betrokken netwerk vindt.