Как проверить, находится ли IP или домен в блеклисте

Что такое DNS-блеклист

DNSBL - это список адресов, опубликованный как DNS-записи. Принимающий почтовый сервер берет IP отправителя, разворачивает его в обратном порядке, добавляет домен блеклиста и спрашивает у DNS, существует ли запись. Если да, отправитель в списке, и ответ обычно кодирует причину. Весь обмен занимает один DNS-запрос, именно поэтому эта техника вообще используется: она позволяет почтовому серверу решить за миллисекунды, еще до принятия сообщения.

Сами списки ведут независимые операторы с разными политиками. Одни включают только адреса, пойманные на отправке спама на адрес-ловушку. Другие включают целые диапазоны потребительских или динамических IP-адресов из принципа, потому что легитимная почта оттуда идти не должна. Третьи включают на основании взломанных машин, открытых релеев или вредоносного трафика. Единого центрального органа и единого списка, важного везде, не существует, так что вопрос "я в блеклисте" на самом деле означает "я в списках, которыми пользуются мои получатели".

Как проверить

Простой способ - инструмент, опрашивающий много списков за один проход и показывающий, какие из них ответили. Вручную для одного списка это выглядит так, с октетами IP в обратном порядке:

# checking 198.51.100.25 against a list at dnsbl.example.org
dig +short 25.100.51.198.dnsbl.example.org A
dig +short 25.100.51.198.dnsbl.example.org TXT

Пустой ответ означает, что адреса в списке нет. A-запись, обычно в диапазоне 127.0.0.x, означает, что адрес в списке, а последний октет - код причины оператора. TXT-запись обычно несет объяснение для человека и ссылку на страницу удаления - именно это вам и нужно.

Проверяйте верный адрес. Для почты это публичный IP, с которого отправляет ваш почтовый сервер, что часто отличается от IP вашего сайта. Проверяйте каждый адрес, с которого отправляете, включая резервный MX и любой сервис транзакционной почты, которым вы пользуетесь на собственном домене.

Списки IP, списки доменов и системы репутации

• Блеклисты IP перечисляют адрес отправителя. Это классический DNSBL и тот, что с наибольшей вероятностью приводит к прямому отклонению.
• Блеклисты доменов (URIBL) перечисляют домены, встречающиеся внутри тела сообщений, а не отправителя. Домен может попасть в список, потому что спамеры рекламируют его в почте, отправляемой с чужих машин целиком, а значит вы можете оказаться в списке, никогда не отправляя эту почту сами.
• Системы репутации, которые ведут крупные почтовые провайдеры, вообще не являются публичными списками. Они непрерывно оценивают отправителей по частоте жалоб, доле отказов и аутентификации, и именно они дают ту версию этой проблемы, которую нельзя посмотреть: почта принимается и доставляется в спам. Ни один публичный запрос это не покажет, поэтому "нет ни в одном блеклисте" и "доставляется во входящие" - разные утверждения.

Списки веб-репутации и вредоносного ПО - четвертая категория. Они влияют на предупреждения браузера и видимость в поиске, а не на почту, и сайт может попасть в такой список после взлома, еще долго после того, как последствия взлома устранены.

Что делать, если вы в списке

1. Сначала прочитайте причину. TXT-запись или сайт списка объясняют, почему. Запрос на удаление без устранения причины приведет к повторному попаданию, часто с более длительным наказанием.
2. Найдите, что именно отправляет. Проверьте логи почтового сервера на всплески объема и на сообщения, которые вы не отправляли. Обычные причины - скомпрометированный почтовый аккаунт, уязвимая контактная форма или CMS, используемая как релей, неверно настроенный открытый релей, либо машина в вашей сети, зараженная и отправляющая напрямую.
3. Остановите это, затем проверьте. Смените скомпрометированные учетные данные, исправьте или отключите форму, закройте релей, устраните заражение. Убедитесь, что исходящий объем вернулся к норме, прежде чем делать что-либо еще.
4. Исправьте основы аутентификации. Валидный SPF, подпись DKIM, запись DMARC, совпадающие прямая и обратная DNS для отправляющего IP, и имя хоста в HELO, которое разрешается. Многие списки не снимут блокировку с хоста, проваливающего эти проверки, а системы репутации придают им большой вес.
5. Запросите удаление из списка. Используйте собственную форму оператора. У большинства есть самостоятельное удаление для первого попадания в список; некоторые снимают блокировку автоматически после периода затишья. Будьте конкретны насчет того, что было не так и что вы изменили.
6. Следите за окном повторного попадания в список. Повторные попадания ведут к эскалации. Проверьте снова через несколько дней и еще раз через пару недель.

Если в списке оказался целый диапазон, а не только ваш отдельный адрес, исправить это не в вашей власти. Свяжитесь с хостинг-провайдером, потому что затронут весь блок. Если ваш IP был недавно переназначен вам, попадание в список может принадлежать тому, у кого он был раньше, и запросы на удаление, объясняющие это, обычно принимаются.

Как поймать попадание в список, пока причина еще видна в логах

Попадание в блеклист - один из тех сбоев, которые никто не замечает вовремя. На вашем сервере ничего не ломается. Почта просто перестает доходить, и первым сигналом часто становится клиент, говорящий, что так и не получил сообщение, - спустя дни. Плановый мониторинг блеклистов перепроверяет ваши адреса по спискам с заданным интервалом и оповещает о новом попадании, так что вы узнаете об этом, пока причина еще прослеживается в логах, а не через недели. Мониторинг DNS-блеклистов выполняет эти проверки непрерывно, инструмент проверки блеклистов выполняет разовое сканирование, а как узнать, кто хостит сайт показывает, как найти контакт для жалоб у соответствующей сети.