Listes de blocage DNS et zones Spamhaus

Spamhaus est le fournisseur de données de réputation le plus utilisé dans l’univers de l’email. Des fournisseurs de messagerie comme Comcast, RoadRunner et Sky utilisent des filtres anti-spam commerciaux et des données de réputation fournies par des acteurs comme Cloudmark et Spamhaus ; les plus grands fournisseurs de messagerie gratuite (Gmail, Hotmail/Outlook.com, Verizon Media — l’ancien Yahoo et AOL) s’appuient surtout sur un filtrage maison construit à partir des données de leurs propres utilisateurs, et peuvent ou non le combiner avec des données commerciales. Une inscription par un fournisseur de données de réputation largement adopté peut donc bloquer la livraison auprès de milliers de réseaux de réception à la fois.

Il existe des centaines de listes de blocage, mais seules quelques-unes ont une portée large. N’importe quel outil complet de vérification des listes de blocage (voir Outils de test de délivrabilité) montrera votre adresse IP ou votre domaine inscrit quelque part ; le sérieux à accorder à une inscription dépend de qui l’émet. Une inscription sur la SBL de Spamhaus a une portée considérable ; une inscription sur une liste disparue ou confidentielle peut être ignorée.

Fonctionnement d’une DNSBL

Une liste de blocage fondée sur le DNS (DNSBL) publie ses données d’inscription sous forme de zone DNS. Le serveur de réception vérifie l’IP qui se connecte (ou un domaine vu pendant la transaction) au moyen d’une requête DNS ordinaire de type A :

• Listes d’adresses IP : inversez les octets de l’IP et ajoutez la zone. Pour vérifier 192.0.2.99 dans ZEN, interrogez 99.2.0.192.zen.spamhaus.org.
• Listes de domaines : ajoutez le domaine devant la zone, par exemple example.com.dbl.spamhaus.org.

Si l’IP ou le domaine n’est pas inscrit, la requête renvoie NXDOMAIN. S’il est inscrit, la requête renvoie une ou plusieurs adresses dans 127.0.0.0/8 ; le code de retour précis indique quel jeu de données l’a inscrit et pourquoi. Une seule requête ZEN peut renvoyer plusieurs réponses dans le même paquet — une par jeu de données où figure l’IP —, c’est pourquoi interroger ZEN équivaut à interroger séparément SBL, CSS, XBL et PBL (et coûte moins cher).

Les serveurs de réception utilisent la réponse à différentes étapes :

Les zones Spamhaus

Codes de retour

Une requête qui aboutit à une inscription renvoie un ou plusieurs de ces codes :

Toute réponse dans 127.255.255.0/24 est un signal d’erreur, pas une inscription — traitez-la comme « ne pas bloquer ».

Conditions d’utilisation

L’utilisation des miroirs DNSBL publics de Spamhaus est gratuite pour les utilisateurs à faible volume et non commerciaux, dans le cadre de la politique d’utilisation équitable des DNSBL (DNSBL Fair Use Policy) ; les utilisateurs commerciaux et à fort volume doivent passer par le service payant Data Query Service (DQS). ZEN ne couvre que les adresses IP — elle n’offre aucune protection contre les domaines malveillants, et c’est précisément le rôle de DBL et de ZRD.

Pourquoi un expéditeur se retrouve inscrit

Pour un expéditeur légitime (par opposition à un hôte compromis), les inscriptions remontent presque toujours à des problèmes de données, et non de contenu :

• Adresses pièges touchées — le signal le plus fort d’une mauvaise acquisition d’adresses ou d’une mauvaise hygiène de base de données (voir la typologie des adresses pièges plus bas).
• Volumes de plaintes élevés auprès des serveurs de réception et via les feedback loops.
• Envoi à des listes achetées, louées, collectées (harvesting), issues d’un enrichissement de fichiers (appending) ou de co-enregistrement (co-reg). La position de Spamhaus, alignée sur celle du M3AAWG : « La pratique consistant à vendre, acheter ou envoyer à des listes d’adresses email achetées — qu’il s’agisse de B2B, de B2C ou d’autres catégories — contrevient directement aux valeurs fondamentales du M3AAWG. » Le consentement n’est pas transférable ; une liste achetée ne peut jamais porter de consentement.
• Taux élevés d’utilisateurs inconnus (rebonds définitifs) — la signature d’une liste périmée ou fabriquée.
• Des volumes irréguliers, par à-coups, qui imitent un hôte infecté.
• Une infrastructure compromise — un formulaire piraté, un relais ouvert, des identifiants SMTP volés (→ XBL/CSS/AuthBL).
• Un envoi direct vers les serveurs MX depuis une plage d’adresses IP dynamique ou résidentielle (→ PBL ; ce n’est pas une accusation de spam, seulement une déclaration de politique sur cette plage d’adresses IP).
• Des domaines tout neufs qui envoient dès leur enregistrement (→ ZRD pendant les 24 premières heures ; une raison d’enregistrer ses domaines bien avant de les utiliser).

Retrait de liste

Toute vérification et toute demande de retrait passent par l’IP & Domain Reputation Checker, sur check.spamhaus.org (gratuit, sans compte pour vérifier ; l’outil détecte et évalue automatiquement l’IP de votre client au chargement). Il indique quel jeu de données vous inscrit, pourquoi, et vous guide dans une procédure de diagnostic et de retrait.

Particularités par liste :

• PBL : retrait en libre-service pour les utilisateurs finaux qui exploitent légitimement un serveur de messagerie sur l’IP ; ou bien faites passer les messages par le smarthost de votre fournisseur. Les plages désignées par le fournisseur d’accès (127.0.0.10) sont des déclarations de politique du propriétaire du réseau.
• XBL : libre-service après avoir assaini l’appareil compromis ou supprimé le logiciel malveillant. La réinscription est rapide si l’infection persiste.
• CSS (127.0.0.3) : inscriptions automatisées qui se résorbent en grande partie d’elles-mêmes ; avant de demander un retrait, vous devez respecter les bonnes règles d’envoi des RFC 5321/5322 (rDNS valide, HELO concordant, etc.). L’outil de vérification comprend une étape de diagnostic dédiée à CSS.
• SBL (127.0.0.2) : examen manuel ; le retrait suppose de convaincre un chercheur de Spamhaus que le problème est résolu. Les enquêtes exigent souvent une preuve de consentement (voir la collecte des données plus bas) ; les fournisseurs de messagerie et les fournisseurs de données de réputation peuvent aussi exiger de redemander l’autorisation à toute la liste.
• DBL : les inscriptions expirent automatiquement une fois que le domaine ne répond plus aux critères d’inscription ; retrait manuel via l’outil de vérification (« utiliser le formulaire ne garantit pas le retrait »). Les retraits approuvés se propagent en quelques minutes, jusqu’à 24 heures pour certains miroirs.

Le retrait de liste est toujours gratuit. Spamhaus : « Toute offre, d’où qu’elle vienne, de retirer une inscription Spamhaus contre paiement est une escroquerie. »

Notez que les blocages côté serveur de réception qui citent Spamhaus (par exemple 554 The IP address of your mail server (…) was found in the Spamhaus blocklist. See https://check.spamhaus.org/) sont levés selon le calendrier du serveur de réception une fois l’inscription retirée — généralement 24 à 72 heures après la disparition du problème déclencheur.

Les recommandations de Spamhaus en matière de délivrabilité (Deliverability 101)

Le livre électronique « Deliverability 101 » de Spamhaus est écrit du point de vue du fournisseur de données de réputation. Son message central rejoint les fondamentaux de cette base de connaissances : il n’y a pas de raccourci — envoyer régulièrement des emails correctement authentifiés et soigneusement ciblés à un public engagé. Les sections qui suivent reprennent ce qu’il apporte au-delà des articles existants.

Ce qui alimente la réputation (dans le modèle de Spamhaus)

La réputation se compose d’un nombre inconnu de variables que les fournisseurs de messagerie et les fournisseurs de données de réputation ne dévoilent pas, mais les composantes connues sont :

Une asymétrie fondamentale, voulue et sans exception : il est bien plus facile de faire chuter une réputation que de la réparer. La réputation des adresses IP est aussi devenue moins centrale que celle des domaines et du contenu : avec les quelque 340 sextillions d’adresses d’IPv6, les criminels grillent des adresses IP sans compter, si bien que les filtres s’appuient sur les domaines. Le placement en boîte de réception est recalculé très rapidement en fonction des réactions des utilisateurs finaux ; le traitement peut changer d’un instant à l’autre. La mise en liste blanche par les fournisseurs de messagerie n’existe plus.

Paraître légitime : liste de contrôle de configuration

Les intentions comptent bien moins que le comportement : les filtres anti-spam ne peuvent pas distinguer un expéditeur bien intentionné d’un spammeur si les bases comportementales manquent.

• Authentifiez tout, avec au minimum SPF et DKIM ; gardez l’enregistrement SPF aussi restreint que possible (autoriser l’Internet entier comme expéditeur invite aux abus). Voir DMARC pour les règles d’alignement.
• Stratégie de domaine pour les clients d’un ESP, de la meilleure à la pire : (1) déléguer un sous-domaine du domaine principal de la marque, par exemple email.customerbrand.com ; (2) customerbrand.espdomain.com ; (3) en dernier recours, un domaine sosie comme customerbrand-email.com — s’il est inévitable, il doit clairement se rattacher à la marque, car le phishing a rendu les utilisateurs méfiants envers les domaines ressemblants.
• N’utilisez pas de WHOIS anonymisé sur les domaines d’envoi ; une entreprise légitime n’a aucune raison de cacher son identité (les bureaux d’enregistrement qui ont activé la confidentialité par défaut après le RGPD la lèvent généralement sur demande).
• Limitez le nombre de domaines d’envoi distincts : plus il y a de domaines uniques qui envoient le même message, plus les alertes se multiplient. Utilisez le domaine principal de l’entreprise ou ses sous-domaines.
• Chaque domaine qui envoie des emails doit disposer d’adresses abuse@ et postmaster@ fonctionnelles, ainsi que d’un site web actif ; les domaines de liens et de suivi doivent rediriger vers le site principal de l’entreprise.
• Utilisez si possible des adresses IP contiguës sur le même réseau ; n’utilisez pas plus d’adresses IP que nécessaire — des centaines d’adresses IP dispersées sur plusieurs réseaux, c’est la définition même du snowshoeing (voir Attribution des adresses IP : les bases).
• ESP : publiez une politique d’utilisation acceptable et des conditions d’utilisation (AUP/ToS) faciles à trouver et appliquées ; surveillez les journaux SMTP pour repérer les rebonds inattendus, les échecs temporaires (tempfails) et les anomalies des flux d’envoi.
• La réputation s’établit pendant la chauffe d’IP, alors planifiez-la : choisissez des destinataires très engagés pour les premiers envois et augmentez le volume en fonction des résultats de chaque envoi précédent (voir Chauffe d’IP).

Acquisition d’adresses et preuves de consentement

Enregistrez pour chaque contact, puis conservez et mettez à jour :

• La date et l’heure d’inscription en UTC
• Le canal par lequel l’adresse a été obtenue
• L’adresse IP depuis laquelle elle a été soumise

Si une IP ou un domaine est inscrit sur une liste de blocage et qu’une intervention manuelle est nécessaire, les fournisseurs de messagerie et les fournisseurs de données de réputation exigent souvent cette preuve de consentement ; sans elle, la résolution prend plus de temps ou échoue. Elle protège aussi contre les plaintes de type RGPD.

Règles pour les formulaires : les cases d’opt-in doivent être cochées volontairement (les cases précochées sont malhonnêtes, et illégales dans certains pays) ; protégez les formulaires par CAPTCHA/reCAPTCHA — depuis août 2016 environ, les formulaires d’inscription non sécurisés subissent des abus croissants de la part de robots, qui empoisonnent les bases de données (y compris par la soumission malveillante d’adresses pièges) et équivalent à un déni de service (DoS).

Méthodes d’acquisition, classées :

Fréquence, engagement et politique de mise en sommeil (sunset policy)

Annoncez la fréquence d’envoi dans le message de confirmation ou de bienvenue, et tenez-vous-y : des emails inattendus ou irréguliers provoquent des signalements de spam. L’exemple d’échelle de mise en sommeil proposé par Spamhaus :

1. Le destinataire n’a rien ouvert depuis plus d’une semaine → passer d’un envoi hebdomadaire à un envoi mensuel.
2. Rien ouvert depuis plus d’un mois → envoyer un message « souhaitez-vous poursuivre votre abonnement ? » avec un lien de confirmation.
3. Pas de réponse → ajouter l’adresse à la liste de suppression et arrêter.

Examinez l’engagement en continu et écartez les inactifs par segmentation ; le seuil de départ habituel est d’un an d’inactivité, resserré ensuite à six mois, puis à trois, selon les résultats. Envoyer en masse à des adresses qui n’ont jamais consenti, c’est du spam ; continuer d’envoyer à des adresses auxquelles aucun message n’a jamais pu être livré, c’est aussi du spam.

Le prétendu « durcissement des règles » des fournisseurs de messagerie et des fournisseurs de données de réputation pendant les fêtes de fin d’année est un mythe : rien ne change côté réception. Ce sont les expéditeurs qui, en puisant dans de vieux segments inactifs (ou en achetant des listes) pour le chiffre d’affaires des fêtes, déclenchent eux-mêmes le déclin de leur réputation : échecs temporaires, reports de remise, blocages, et parfois des inscriptions chez Spamhaus.

Gestion des rebonds

Rebond définitif — échec permanent, sans nouvelle tentative (5xx). Si vous en recevez un, n’envoyez plus jamais à ce contact : supprimez-le ou placez-le en liste de suppression. Codes que les expéditeurs voient souvent :

Dans un contexte marketing, la plupart des rebonds définitifs résultent directement d’une mauvaise hygiène des données ; notez que des domaines inexistants peuvent devenir plus tard des adresses pièges.

Rebond temporaire — échec passager, une nouvelle tentative aura lieu (4xx) ; le système de l’expéditeur réessaie jusqu’à acceptation ou expiration du délai (délai fixé côté expéditeur, qui varie selon les réseaux) :

Certains fournisseurs de messagerie réagissent à une baisse de réputation par des échecs temporaires (tempfails) (« 421 4.7.0 [TS01] Messages from x.x.x.x temporarily deferred due to user complaints ») : les messages sont reportés jusqu’à ce que le flux s’arrête ou que la réputation se rétablisse. Les adresses touchées par un échec temporaire ne doivent pas être retirées automatiquement de la liste — corrigez plutôt le problème de qualité de la liste.

Blocage définitif par un fournisseur de messagerie (hard block) — un rejet par la politique du serveur de réception visant tout le flux, généralement 554, souvent accompagné d’une URL à consulter (par exemple une référence Spamhaus). Causes : blocage d’une URL ou du contenu du corps, authentification absente, mauvaise réputation de l’IP ou du domaine, ou présence sur une liste de blocage utilisée par le serveur de réception. Les blocages sont en général levés au bout d’un délai arbitraire de 24 à 72 heures une fois le déclencheur disparu ; sinon, réglez d’abord la cause profonde, puis ouvrez un ticket auprès du réseau qui bloque. Certains fournisseurs, Gmail en tête, n’offrent aucun canal de remédiation — la progression habituelle côté réception est : classement en spam → échecs temporaires/limitation de débit → rebonds → blocage définitif.

Plaintes et feedback loops

Causes de plaintes sur lesquelles vous avez prise : pas de véritable inscription, attentes non fixées quant à la fréquence ou au contenu, trop d’emails ou un changement brutal de fréquence, listes achetées, contenu non pertinent, et envois après un désabonnement (retirez l’adresse immédiatement lors du désabonnement, quel que soit le délai de grâce que la loi applicable autorise). Causes moins maîtrisables : les destinataires qui ne se souviennent tout simplement pas de s’être inscrits (envoyez rapidement après l’inscription — un premier email reçu des semaines plus tard est oublié), les fautes de frappe lors d’une collecte en point de vente, et les utilisateurs excédés qui signalent en masse toute leur boîte de réception.

Pour réduire les plaintes : tenez la promesse faite lors de l’opt-in ; proposez un centre de préférences avec des options de fréquence ; ne précochez jamais de cases ; n’achetez jamais de listes ; rendez le désabonnement très simple (n’exigez jamais de connexion — c’est illégal dans certains pays ; placez le lien là où on le trouve plus vite que le bouton spam, par exemple en haut du message).

Sources de données de surveillance : SNDS d’Outlook/Hotmail (volume de messages, reports de remise, taux de plaintes, adresses pièges touchées, par IP), Google Postmaster Tools (volumes de plaintes et réputation des domaines), et toutes les feedback loops (FBL) disponibles — les fournisseurs de messagerie renvoient les plaintes de spam de leurs utilisateurs au réseau d’origine au format ARF (Abuse Reporting Format, données personnelles masquées) ; traitez les signalements rapidement et placez immédiatement les plaignants en liste de suppression.

Typologie des adresses pièges

Une adresse piège est la preuve d’un problème de collecte ou d’hygiène des données — corrigez le processus, pas le piège. Leurs propriétaires ne révèlent jamais les adresses pièges (elles font partie de la recette secrète du filtrage, et des pièges identifiés seraient simplement supprimés des listes par les acteurs malveillants, sans rien corriger). Types :

Contexte juridique (consultez un juriste — il existe des lois sur l’email et la protection des données dans au moins 77 pays)

• CAN-SPAM (États-Unis) : loi fédérale ; la FTC a poursuivi des contrevenants avec succès.
• LCAP (CASL, Canada) : s’applique si le message est adressé à un domaine canadien ou à un utilisateur canadien, ou s’il transite par le Canada.
• RGPD (UE, en vigueur depuis le 25 mai 2018) : couvre les résidents de l’UE et de l’EEE ainsi que les transferts de données hors de ces zones ; amendes lourdes ; les preuves de consentement réduisent sensiblement l’exposition.
• CCPA (Californie, en vigueur depuis le 1er janvier 2020) : droit de savoir, droit à l’effacement, droit de s’opposer à la vente des données et droit à la non-discrimination ; les moins de 16 ans doivent donner leur consentement par opt-in (celui des parents pour les moins de 13 ans).