Op een bloklijst: hoe je er af komt
Post die als spam wordt behandeld, verdwijnt vaak al vóór de inhoud wordt gelezen: de ontvanger vraagt het verzendende adres op bij een bloklijst en wijst af. Die bloklijst is een DNS-zone — een vraag over je adres kost één recordopzoeking, dus elke mailserver ter wereld kan en vraagt het. Staan je adressen ergens vermeld, dan raakt dat elke verzending vanaf die adressen.
Blacklist controle vraagt élk publieke IPv4-adres van je mail — via de MX of kaal ingetikt — op bij Barracuda Central, SpamCop, Abuse CBL, PSBL en SpamRATS, en zet per adres neer wat elke zone antwoordde: vermeld met de reden die de zone zelf geeft, niet vermeld, of n/b omdat de zone onze vragen niet beantwoordde.
Dit artikel leest hoe die zones werken en wanenbaar zijn — RFC 5782 — wat élke zone van je mag verwachten, en waar het verwijderingspad loopt, want dat verschilt per zone meer dan alles andere. De afzenderkant van hetzelfde verhaal, SPF en DMARC, staat in SPF, DKIM en DMARC; hier gaat het over de reputatie van het adres zelf.
1. Een bloklijst is een DNS-zone die adressen onthoudt
De vraag aan een bloklijst is een ordinair DNS-verzoek: zet je adres achterstevoren vóór de zone — 203.0.113.10 wordt 10.113.0.203.b.barracudacentral.org — dan antwoordt de zone met een nep-adres in 127.0.0.0/8 als het adres vermeld staat (127.0.0.2 is de code die élke zone in deze roster kent; SpamRATS beantwoordt zijn eigen testnaam met 127.0.0.38), en met "bestaat niet" als het niet vermeld is. Bij een vermelding staat er vaak ook een TXT-record met de reden of het opzoekpad van de zone zelf. Codes in 127.255.0.0/16 zijn geen vermeldingen: dat zijn de eigen foutcodes van de zone, zoals "je vroeg een domein in plaats van een adres".
Twee eigenschappen maken dit lastig en interessant. Een bloklijst kent adressen, niet domeinen: wat op élke van deze vijf zones staat, is het IP-adres van je mailserver, niet je domeinnaam. En élke zone meet iets anders: Barracuda vermeldt op grond van wat zijn eigen afweernetwerk zag, SpamCop op grond van rapporten van zijn gebruikers en spamvallen, Abuse CBL op grond van detecties van besmette en onbeveiligde machines, PSBL op grond van mail die bij de spamvallen van haar deelnemers aankwam, en SpamRATS op grond van sensoren die dynamische adressen, adressen zonder reverse en spambronnen zien — dus een treffer bij de ene zone zegt iets heel anders dan een treffer bij de andere. De Spamhaus-lijsten SBL en ZEN laten we in deze tool weg: die weigeren vragen van datacenter-netwerken en open resolvers, en vanaf dit netwerk is hun antwoord niet betrouwbaar te noemen; Abuse CBL, vandaag de Exploits Blocklist van Spamhaus, beantwoordt onze zelftest wél.
2. De zelftest eerst: RFC 5782 scheidt "niet vermeld" van "we weten niets"
Een bloklijst die jou niet vermeldt en een bloklijst die jou weigeren, zien er allebei uit als "geen antwoord" — en dat is precies het gevaar. RFC 5782 gaf elke zone daarom twee vaste testnamen: 2.0.0.127.vordezone moet élke zich-houdende zone vermeld beantwoorden, en 1.0.0.127.vordezone mag élke eerlijke zone niet beantwoorden. Blijft de vermeld-test stil, dan beantwoordt de zone onze vragen niet — vanaf ons netwerk, want zones kunnen per netwerk anders reageren — en is "niet vermeld" bij die zone geen meting maar onwetendheid. Beantwoordt de zone zéls de nette testnaam, dan is de zone (of de resolver ertussen) niet te vertrouwen.
Blacklist controle doet die zelftest per zone vóór élke vraag over jouw adres, en laat de uitkomst in het rapport zien: een geweigerde zone krijgt geen adresvragen en blijft n/b, en een halve meting levert geen "net"-oordeel op. Adresvragen aan de zones betreffen alleen publieke IPv4-adressen — de zones kennen geen IPv6, en privé-adressen staan per definitie op geen enkele bloklijst.
3. Van vermelding naar herstel: élk pad is anders
De treatment verschilt per zone meer dan alles andere. Barracuda Central heeft een verwijderingsformulier: IP-adres, e-mailadres, telefoonnummer en een onderbouwde reden; met een geldige reden wordt een verzoek doorgaans binnen 12 uur behandeld, en een tweede verzoek voor hetzelfde adres wordt genegeerd — één kans, goed onderbouwd. SpamCop aanvaardt geen verwijderingsverzoeken: het adres valt automatisch uit de lijst 24 uur na de laatste rapport, élke nieuwe rapport zet die klok terug, en tot vier uur later staan de spiegels er ook zonder. Abuse CBL verwijder je uitsluitend via de Reputation Checker van Spamhaus, PSBL via een eigen formulier dat binnen een half uur werkt — en verloopt zelf na enkele weken — en SpamRATS via zijn removal-pagina, waar wie geen eigen mailserver beheert niets hoeft te doen. Een vermelding zonder kennis van de bron is een onbewezen beschuldiging: daarom staat in het rapport bij élke zone haar eigen policy en haar eigen verwijderingspad, en bij een vermelding de TXT-reden die de zone zelf meegaf.
Voordat je verwijdering aanvraagt, vind de oorzaak: een open relay of relay die onbedoeld open staat, een gecompromitteerde machine op het netwerk, een webformulier dat mail naar willekeurige adressen verstuurt, een dynamic IP dat toch mail verstuurt, of een adres dat al ouder op de lijst staat dan jouw dienst. Bij SpamCop helpt de TXT-reden — vaak met een rapport-link — de eerste rapport te vinden; bij Barracuda is het formele argument dat je adres, je rol (mailserver van je domein) en de herstelmaatregel in één keer overtuigend maken.
4. Wat het cijfer wel en niet zegt
De tool oordeelt wat hij gemeten heeft: een vermelding bij een zone is een fail, een geweigerde of onbetrouwbare zone een waarschuwing, en alleen vijf zones die élk hun zelftest haalden en schoon antwoordden geven een net-oordeel. Een A betekent: geen van de vijf zones behandelt je adres vandaag als spambron — niet dat je nergens staat, want er zijn meer bloklijsten en élke zone heeft andere bronnen. En n/b is geen cijfer: een zone die weigert, is geen bewijs van netheid.
Begin bij de meetkant: Blacklist controle voor je status bij de vijf zones, Mailpoorten om te zien of je mailserver op poort 25 überhaupt bereikbaar is — dezelfde poort die verzenders jou benaderen — en DNS controle voor de omgekeerde vraag: het PTR-record achter je adres, dat veel zones als basis van een mail-reputation lezen. Die drie samen zijn de reputatiekant van je mail.