Reputazione e blocklist

Modulo 5: Reputazione e i grandi provider · Tempo di lettura: 10 minuti

Obiettivo formativo: dopo questa lezione saprà spiegare come i destinatari costruiscono la reputazione di un indirizzo IP e di un dominio, controllare un indirizzo IP sulle blocklist e seguire la giusta sequenza di azioni se vi compare.

Concetti chiave: reputazione, reputazione IP, reputazione del dominio, blocklist (DNSBL), Spamhaus (SBL, XBL, PBL), SpamCop, Barracuda, interrogazione con indirizzo IP invertito, risposta 127.0.0.x, codice di errore 127.255.255.x, IP condiviso, warm up, delisting

Cos'è la reputazione?

SPF, DKIM e DMARC dimostrano chi invia la mail. Non dicono nulla sul fatto che questo mittente sia affidabile. Uno spammer può benissimo avere un proprio dominio con SPF, DKIM e DMARC impostati in modo impeccabile. Per questo i destinatari tengono traccia anche del comportamento del mittente. Questo si chiama reputazione.

Ne esistono due tipi:

• Reputazione IP: come si comporta la mail proveniente da questo indirizzo IP? Molto spam, molti indirizzi inesistenti, picchi improvvisi: la reputazione scende.
• Reputazione del dominio: come si comporta la mail inviata a nome di questo dominio, misurata sul dominio presente in DKIM (d=) e nell'indirizzo del mittente? Questo aspetto diventa sempre più importante, perché un dominio La segue quando cambia server, mentre un indirizzo IP no.

Cosa conta? I grandi provider non rendono pubblica la loro formula, ma citano sempre gli stessi segnali: quanti destinatari segnalano la Sua mail come spam (reclami), quanta mail va a indirizzi inesistenti, se i destinatari aprono la Sua mail, rispondono o la cestinano subito, con quale regolarità invia, e se finisce in spam trap (indirizzi che nessuno ha mai fornito volontariamente). Gmail mostra la percentuale di reclami in Postmaster Tools (lezione 5.3), Microsoft il quadro per indirizzo IP in SNDS (lezione 6.4).

Blocklist: una lista nera condivisa

Oltre alle proprie misurazioni, molti server di posta usano blocklist pubbliche (chiamate anche blacklist o RBL). Una lista di questo tipo contiene indirizzi IP (a volte domini) che hanno inviato spam o che non dovrebbero mai inviare mail direttamente. Un server di posta che riceve una connessione in entrata da 192.0.2.25 interroga la lista e rifiuta la connessione se l'indirizzo vi compare.

Le più conosciute:

Spamhaus combina le proprie liste in ZEN (zen.spamhaus.org). Esistono inoltre decine di liste minori. Una presenza in una lista piccola usata da quasi nessuno spesso non è un disastro. Una presenza in Spamhaus SBL o XBL lo è: viene usata da gran parte dei server di posta.

Come funziona un'interrogazione?

Una blocklist è semplicemente una zona DNS. Se un server vuole sapere se 192.0.2.25 compare in ZEN, inverte l'indirizzo (come per il reverse DNS) e vi aggiunge il nome della lista:

dig +short 25.2.0.192.zen.spamhaus.org

• Nessuna risposta (NXDOMAIN): non è presente nella lista.
• Un indirizzo 127.0.0.x: è presente nella lista. L'ultimo numero indica quale sottolista. In ZEN, 127.0.0.2 è l'SBL, 127.0.0.4 è l'XBL e 127.0.0.10 o 127.0.0.11 è la PBL.
• Un indirizzo 127.255.255.x: un codice di errore, non una presenza effettiva. Spamhaus restituisce ad esempio 127.255.255.254 se l'interrogazione avviene tramite un resolver pubblico come quello di Cloudflare. Spamhaus non lo consente e quindi non fornisce un esito reale.

Quest'ultimo punto è una trappola nota. Uno strumento o un server di posta che interpreta ogni risposta come "presente in lista" lancia un falso allarme, o addirittura rifiuta tutta la mail. Uno strumento che interpreta ogni assenza di risposta come "pulito" può non rilevare presenze reali. Un controllo affidabile interroga prima un indirizzo di test per ciascuna lista (127.0.0.2 compare sempre in ogni lista) e considera "non presente" solo un NXDOMAIN inequivocabile.

Il controllo email e la verifica del dominio su weboke.it funzionano così, come anche i noti strumenti indipendenti come MXToolbox e la pagina di controllo di Spamhaus stessa (check.spamhaus.org).

Indirizzi IP condivisi

Con l'hosting condiviso e la maggior parte dei servizi di posta, Lei condivide l'indirizzo IP del server di invio con altri clienti. Questo comporta un vantaggio e uno svantaggio:

• Un server condiviso ben gestito ha una reputazione consolidata. Ne beneficia, anche se Lei stesso invia poca posta.
• Se un altro cliente invia spam (spesso perché la sua password è stata rubata), l'indirizzo IP può finire in una lista e anche Lei ne risente.

Un buon fornitore sorveglia quindi i propri indirizzi IP sulle blocklist, imposta limiti di invio e interviene in caso di abuso. Presso WebOké, questo è descritto ad esempio nell'articolo della knowledge base su come viene contrastato lo spam e sugli indirizzi usati in modo abusivo; altri fornitori hanno regole simili.

Un nuovo indirizzo IP: il warm up

Un indirizzo IP che non ha mai inviato mail non ha alcuna reputazione. Se inizia subito a inviare migliaia di mail al giorno, i destinatari lo considerano sospetto. Microsoft, ad esempio, rallenta un indirizzo del genere con un errore temporaneo (451 4.7.500 Server busy, lezione 6.4).

Per questo motivo si effettua il warm up di un nuovo indirizzo IP: si inizia con un numero ridotto di mail al giorno, preferibilmente verso destinatari che si aspettano e aprono la Sua mail, e lo si aumenta gradualmente nel giro di alcune settimane. I servizi di invio fanno questo per Lei se acquista da loro un indirizzo IP dedicato. Per la normale posta aziendale tramite un pacchetto di hosting o un servizio di posta, questo passaggio non è necessario.

Il Suo indirizzo compare in una lista: cosa fare?

La sequenza è importante:

1. Stabilisca di quale indirizzo IP si tratta. Compare nel messaggio di errore? È l'indirizzo del Suo fornitore di hosting o servizio di posta, oppure della Sua connessione internet personale? Quest'ultimo caso di solito significa che il Suo programma di posta non invia tramite il server SMTP del Suo fornitore (lezione 1.4).
2. Se non è il Suo server, lo segnali al gestore. Con hosting condiviso o un servizio di posta, risolve il fornitore. Invii il messaggio di errore completo.
3. Se è il Suo server, cerchi prima la causa. Una password violata, un modulo di contatto vulnerabile, un sito web compromesso che invia mail, una lista di indirizzi acquistata. Finché la causa persiste, Lei torna subito nella lista.
4. Richieda la rimozione solo dopo, tramite il sito della lista. Con SpamCop non serve: quella presenza scade automaticamente se non arrivano nuove segnalazioni.
5. Verifichi di nuovo dopo un giorno.

Non paghi mai un soggetto che promette di "rimuoverLa da tutte le liste". Le liste serie rimuovono gratuitamente.

Nella pratica: ecco come si presenta

In questo esempio utilizziamo il controllo email di weboke.it: alla voce Blacklist Status mostra, per ciascuna lista, se l'indirizzo IP del Suo primo server di posta vi compare. Attenzione: questo è l'indirizzo su cui la Sua mail arriva (l'MX). Per la Sua mail in uscita deve verificare l'indirizzo IP del server di invio, che trova nelle intestazioni (lezione 5.1). Strumenti indipendenti come MXToolbox e check.spamhaus.org funzionano allo stesso modo: inserisce un indirizzo IP e vede l'esito per ciascuna lista.

Riepilogo

• La reputazione riguarda il comportamento: reclami, indirizzi sconosciuti, picchi, spam trap. SPF, DKIM e DMARC dicono solo chi invia.
• I destinatari osservano la reputazione IP e sempre più anche la reputazione del dominio.
• Una blocklist è una zona DNS: una risposta 127.0.0.x è una presenza in lista, 127.255.255.x è un codice di errore, NXDOMAIN significa non presente.
• Spamhaus PBL non è una penalizzazione ma un'indicazione che deve inviare tramite il server del Suo fornitore.
• In caso di presenza in lista: prima verifichi l'indirizzo IP corretto e la causa, poi richieda la rimozione.

Quiz

Esercizio

Esercizio Z5.2: Il Suo IP di invio nelle blocklist. Utilizzi l'indirizzo IP del Suo server di invio ricavato dall'esercizio della lezione 5.1 (oppure l'indirizzo di mx00.t-online.de). Lo cerchi autonomamente su check.spamhaus.org o un altro strumento per blocklist e indichi: l'indirizzo compare in Spamhaus (sì/no), e in caso affermativo in quale sottolista. Il programma verifica in tempo reale lo stesso indirizzo su Spamhaus, SpamCop e Barracuda e confronta i risultati.

Esercizio O5.2: Cosa fare in caso di inserimento in una lista nera? Le viene presentato un caso: un piccolo negozio online su un proprio VPS compare da questa mattina in Spamhaus XBL. Scriva in massimo cinque passaggi cosa fare e in quale ordine. Successivamente vedrà la risposta modello.

Per approfondire

I passaggi descritti in questi articoli valgono per i pannelli di WebOké; presso altri fornitori il funzionamento è simile.

• Guida DirectAdmin 9.5: Invio rifiutato: blacklist e limiti
• Come blocca lo spam WebOké?
• Casella di posta compromessa o spam inviato dal Suo indirizzo: ecco come risolvere
• La mia email non arriva o finisce nello spam: ecco come scoprirne il motivo
• Controllo email (verifica gratuita di MX, SPF, DMARC e blocklist): https://www.weboke.it/verifica-email
• Spamhaus, controllo e spiegazione: https://check.spamhaus.org/
• RFC 5782 (come funzionano le blocklist DNS)