Reputatie en blocklists

Module 5: Reputatie en de grote ontvangers · Leestijd: 10 minuten

Leerdoel: Na deze les kun je uitleggen hoe ontvangers de reputatie van een IP-adres en een domein opbouwen, een IP-adres op blocklists controleren en de goede volgorde aanhouden als je erop staat.

Kernbegrippen: reputatie, IP-reputatie, domeinreputatie, blocklist (DNSBL), Spamhaus (SBL, XBL, PBL), SpamCop, Barracuda, opvraging met een omgedraaid IP-adres, 127.0.0.x-antwoord, foutcode 127.255.255.x, gedeeld IP, warm-up, delisting

Wat is reputatie?

SPF, DKIM en DMARC bewijzen wie de mail stuurt. Ze zeggen niets over de vraag of die afzender te vertrouwen is. Een spammer kan prima een eigen domein met keurige SPF, DKIM en DMARC hebben. Daarom houden ontvangers daarnaast bij hoe een afzender zich gedraagt. Dat heet reputatie.

Er zijn twee soorten:

• IP-reputatie: hoe gedraagt de mail die van dit IP-adres komt zich? Veel spam, veel adressen die niet bestaan, plotselinge pieken: dan daalt de reputatie.
• Domeinreputatie: hoe gedraagt de mail zich die namens dit domein komt, gemeten aan het domein in DKIM (d=) en in het afzenderadres? Dit wordt steeds belangrijker, omdat een domein met je meeverhuist naar een andere server, en een IP-adres niet.

Wat telt mee? Grote ontvangers maken hun formule niet bekend, maar noemen wel steeds dezelfde signalen: hoeveel ontvangers je mail als spam markeren (klachten), hoeveel mail naar adressen gaat die niet bestaan, of ontvangers je mail openen, beantwoorden of meteen weggooien, hoe regelmatig je verstuurt, en of je in spamvallen (adressen die nooit iemand heeft opgegeven) terechtkomt. Gmail laat het klachtenpercentage zien in Postmaster Tools (les 5.3), Microsoft het beeld per IP-adres in SNDS (les 6.4).

Blocklists: een gedeelde zwarte lijst

Naast hun eigen metingen gebruiken veel mailservers openbare blocklists (ook wel blacklists of RBL's genoemd). Zo'n lijst bevat IP-adressen (soms domeinen) die spam hebben verstuurd of die nooit rechtstreeks zouden moeten mailen. Een mailserver die een binnenkomende verbinding krijgt van 192.0.2.25, vraagt de lijst op en weigert de verbinding als het adres erop staat.

De bekendste:

Spamhaus combineert zijn lijsten in ZEN (zen.spamhaus.org). Daarnaast bestaan er tientallen kleinere lijsten. Een vermelding op een kleine lijst die bijna niemand gebruikt, is vaak geen ramp. Een vermelding op Spamhaus SBL of XBL wel: die wordt door een groot deel van de mailservers gebruikt.

Hoe werkt een opvraging?

Een blocklist is gewoon een DNS-zone. Wil een server weten of 192.0.2.25 op ZEN staat, dan draait hij het adres om (net als bij reverse DNS) en zet de naam van de lijst erachter:

dig +short 25.2.0.192.zen.spamhaus.org

• Geen antwoord (NXDOMAIN): niet op de lijst.
• Een adres 127.0.0.x: wel op de lijst. Het laatste getal zegt welke deellijst. Bij ZEN is 127.0.0.2 de SBL, 127.0.0.4 de XBL en 127.0.0.10 of 127.0.0.11 de PBL.
• Een adres 127.255.255.x: een foutcode, geen vermelding. Spamhaus geeft bijvoorbeeld 127.255.255.254 als je vraagt via een openbare resolver zoals die van Cloudflare. Spamhaus staat dat niet toe, en geeft dan geen echte uitslag.

Dat laatste is een bekende valkuil. Een tool of mailserver die elk antwoord als "gelist" ziet, roept ten onrechte alarm, of weigert zelfs alle mail. Een tool die elk niet-antwoord als "schoon" ziet, mist echte vermeldingen. Een betrouwbare controle vraagt per lijst eerst een testadres op (127.0.0.2 staat op elke lijst altijd vermeld) en telt alleen een duidelijk NXDOMAIN als "niet gelist".

De E-mailcheck en Domein gezondheid op weboke.nl werken zo, net als de bekende onafhankelijke tools zoals MXToolbox en de controlepagina van Spamhaus zelf (check.spamhaus.org).

Gedeelde IP-adressen

Bij gedeelde hosting en de meeste maildiensten deel je het IP-adres van de verzendserver met andere klanten. Dat heeft een voordeel en een nadeel:

• Een goed beheerde gedeelde server heeft een opgebouwde reputatie. Je profiteert daarvan, ook als je zelf weinig verstuurt.
• Verstuurt een andere klant spam (vaak omdat zijn wachtwoord is gestolen), dan kan het IP-adres op een lijst komen en hinder jij er ook last van.

Een goede aanbieder bewaakt daarom zijn eigen IP-adressen op blocklists, stelt verzendlimieten in en grijpt in bij misbruik. Bij WebOké is dat bijvoorbeeld beschreven in het kennisbankartikel over hoe spam wordt tegengehouden en over misbruikte adressen; andere aanbieders hebben vergelijkbare regels.

Een nieuw IP-adres: opwarmen

Een IP-adres dat nog nooit mail heeft verstuurd, heeft geen reputatie. Begint het meteen met duizenden mails per dag, dan zien ontvangers dat als verdacht. Microsoft remt zo'n adres bijvoorbeeld af met een tijdelijke fout (451 4.7.500 Server busy, les 6.4).

Daarom warm je een nieuw IP-adres op: je begint met een klein aantal mails per dag, bij voorkeur aan ontvangers die je mail verwachten en openen, en verhoogt dat in een paar weken stap voor stap. Verzenddiensten doen dit voor je als je een eigen IP-adres bij ze afneemt. Voor gewone zakelijke mail via een hostingpakket of maildienst hoef je dit niet te doen.

Je staat op een lijst: wat nu?

De volgorde is belangrijk:

1. Stel vast welk IP-adres het is. Staat het in de foutmelding? Is het het adres van je hostingbedrijf of maildienst, of van je eigen internetaansluiting? Dat laatste betekent meestal dat je mailprogramma niet via de SMTP-server van je aanbieder verstuurt (les 1.4).
2. Is het niet jouw server, meld het dan bij de beheerder. Bij gedeelde hosting of een maildienst lost de aanbieder dit op. Stuur de volledige foutmelding mee.
3. Is het wel jouw server, zoek dan eerst de oorzaak. Een gehackt wachtwoord, een lek contactformulier, een besmette website die mail verstuurt, een gekochte adressenlijst. Zolang de oorzaak er is, kom je meteen weer op de lijst.
4. Vraag daarna pas verwijdering aan, via de site van de lijst. Bij SpamCop hoeft dat niet: die vermelding verloopt vanzelf als er geen nieuwe meldingen komen.
5. Controleer na een dag opnieuw.

Betaal nooit een partij die belooft je "van alle lijsten af te halen". Serieuze lijsten verwijderen gratis.

In de praktijk: zo ziet het eruit

In dit voorbeeld gebruiken we de E-mailcheck van weboke.nl: die laat bij Blacklist Status per lijst zien of het IP-adres van je eerste mailserver erop staat. Let op: dat is het adres waar je mail binnenkomt (de MX). Voor je uitgaande mail moet je het IP-adres van de verzendserver controleren, en dat haal je uit de kopregels (les 5.1). Onafhankelijke tools als MXToolbox en check.spamhaus.org werken op dezelfde manier: je vult een IP-adres in en ziet per lijst de uitslag.

Samenvatting

• Reputatie gaat over gedrag: klachten, onbekende adressen, pieken, spamvallen. SPF, DKIM en DMARC zeggen alleen wie er verstuurt.
• Ontvangers kijken naar IP-reputatie en steeds meer naar domeinreputatie.
• Een blocklist is een DNS-zone: een 127.0.0.x-antwoord is een vermelding, 127.255.255.x is een foutcode, NXDOMAIN is niet gelist.
• Spamhaus PBL is geen straf maar een teken dat je via de server van je aanbieder moet versturen.
• Bij een vermelding: eerst het juiste IP-adres en de oorzaak, dan pas verwijdering aanvragen.

Quiz

Opdracht

Opdracht Z5.2: Je verzend-IP op blocklists. Gebruik het IP-adres van je verzendserver uit de opdracht van les 5.1 (of het adres van mx00.t-online.de). Zoek het zelf op bij check.spamhaus.org of een andere blocklisttool en vul in: staat het adres op Spamhaus (ja/nee), en zo ja op welke deellijst. Het programma controleert hetzelfde adres live op Spamhaus, SpamCop en Barracuda en vergelijkt.

Opdracht O5.2: Wat doe je bij een vermelding? Je krijgt een casus: een kleine webwinkel op een eigen VPS staat sinds vanochtend op Spamhaus XBL. Schrijf in maximaal vijf stappen op wat je doet en in welke volgorde. Daarna zie je het modelantwoord.

Verder lezen

De stappen in deze artikelen gelden voor de panelen van WebOké; bij andere aanbieders werkt het vergelijkbaar.

• DirectAdmin handleiding 9.5: Verzenden geweigerd: blacklists en limieten
• Hoe houdt WebOké spam tegen?
• Mailbox overgenomen of spam vanaf je adres: zo ruim je op
• Mijn e-mail komt niet aan of belandt in de spam: zo zoek je het uit
• E-mailcheck (gratis controle van MX, SPF, DMARC en blocklists): https://www.weboke.nl/emailcheck
• Spamhaus, controle en uitleg: https://check.spamhaus.org/
• RFC 5782 (hoe DNS-blocklists werken)