Ce que mesure vraiment une DNSBL
Une liste noire DNS (DNSBL) est une base de données d'adresses IP ou de domaines identifiés comme sources de spam, de malwares ou d'activités malveillantes. Le principe est simple : un serveur de messagerie interroge la liste avant d'accepter un e-mail. Si l'IP expéditrice y figure, le message est rejeté ou marqué comme suspect.
Toutes les DNSBL ne se valent pas. Trois critères permettent de les évaluer : le taux de détection (quelle proportion de spams réels sont bloqués), la couverture (combien d'adresses IP malveillantes sont indexées) et le taux de faux positifs (combien de messages légitimes sont bloqués à tort). Ce dernier point est souvent le plus coûteux en pratique.
Les grandes DNSBL du marché : panorama comparatif
Spamhaus : la référence industrielle
Spamhaus reste la liste noire la plus utilisée au monde, avec environ 3 milliards de requêtes DNS par jour. Elle opère plusieurs sous-listes complémentaires.
La SBL (Spamhaus Block List) cible les IP directement liées à des opérations de spam. La XBL (Exploits Block List) référence les machines compromises, proxies ouverts et botnets. La PBL (Policy Block List) liste les plages d'IP dynamiques qui ne devraient pas envoyer d'e-mails directement. Combinées dans la ZEN, elles couvrent un spectre large ; le taux de faux positifs reste sous 0,1 % selon les opérateurs de messagerie qui l'utilisent en production.
Barracuda Reputation Block List (BRBL)
La BRBL de Barracuda Networks est gratuite pour les volumes modérés. Elle s'appuie sur un réseau de pièges à spam (honeypots) distribués mondialement pour alimenter ses données en temps réel.
La couverture tient bien sur les spammeurs de masse. Mais la liste peut se montrer agressive : des IP d'envoi légitimes mal configurées y apparaissent rapidement. Le délistage, bien que documenté, demande une intervention manuelle.
SORBS (Spam and Open Relay Blocking System)
SORBS découpe son catalogue en plus d'une dizaine de sous-listes : relais ouverts, proxies, spammeurs avérés, zones géographiques entières. Cette granularité autorise un filtrage précis, mais complique la configuration.
Son taux de faux positifs dépasse celui de Spamhaus, surtout sur les sous-listes géographiques. Des retours de terrain signalent des blocages d'IP d'entreprises européennes lors de migrations d'hébergeurs.
SpamCop
SpamCop repose sur un modèle participatif : les utilisateurs signalent les spams reçus, et l'outil analyse automatiquement les en-têtes pour identifier les IP sources. La liste se met à jour en quasi-temps réel.
Cette réactivité joue en faveur de SpamCop face aux campagnes éphémères. La durée de listing reste courte (48 heures environ pour une IP inactive), ce qui le rend peu adapté au blocage long terme. Le mécanisme déclaratif expose aussi à des signalements erronés volontaires.
URIBL et SURBL : les listes orientées domaines
Contrairement aux listes IP, URIBL et SURBL analysent les domaines présents dans le corps des messages. Un spam peut provenir d'une IP propre mais pointer vers un domaine blacklisté ; ces deux listes couvrent ce cas.
SURBL agrège des données issues de SpamCop, de rapports d'abus et de ses propres honeypots. URIBL est alimentée en grande partie par des fournisseurs de services e-mail. Les deux atteignent des taux de détection élevés sur les campagnes de phishing et les spams publicitaires. Le risque de faux positifs se concentre sur les domaines à courte durée de vie partagés entre utilisateurs légitimes et malveillants.
Analyse comparative : efficacité et couverture
Taux de détection : qui bloque le plus de spams réels ?
Les tests publiés par MXToolbox et les équipes de messagerie de grands hébergeurs aboutissent à un classement stable. Spamhaus ZEN affiche les meilleurs résultats globaux, avec des taux de détection supérieurs à 95 % sur les spams entrants dans des configurations standard. La BRBL de Barracuda se situe entre 88 et 92 % selon les études. SpamCop oscille autour de 85 %, mais excelle sur les vagues fraîches grâce à sa mise à jour en temps réel.
SORBS, malgré sa granularité, livre des performances variables selon les sous-listes activées. Utilisée avec discernement, elle peut compléter efficacement Spamhaus.
Couverture géographique et secteurs ciblés
La couverture varie selon les zones. Les listes américaines ont historiquement une meilleure prise sur les infrastructures d'hébergement nord-américaines et asiatiques. Les IP européennes, notamment celles issues de petits FAI, sont parfois sous-représentées.
Spamhaus maintient des équipes dédiées à la surveillance des réseaux européens. SORBS a longtemps été plus réactif sur les serveurs de messagerie mal configurés en Europe de l'Est.
Faux positifs : le critère décisif en production
Bloquer un e-mail commercial légitime, une notification transactionnelle ou une communication B2B a un coût direct. Les enquêtes menées auprès d'administrateurs de messagerie montrent que Spamhaus ZEN génère le moins de contestations : moins de 0,05 % des blocages sont remis en question dans les environnements e-commerce testés.
SORBS et ses listes géographiques arrivent en tête des réclamations. La liste DUHL (Dynamic User and Host List) a bloqué des IP statiques d'entreprises mal classifiées lors de réattributions de plages par les opérateurs. SpamCop, du fait de son modèle déclaratif, enregistre des pics de faux positifs lors de campagnes d'e-mail marketing légitimes mal optimisées.
Comment choisir sa DNSBL selon son contexte
Pour un serveur de messagerie d'entreprise
La combinaison Spamhaus ZEN + URIBL couvre 90 % des besoins sans surveillance quotidienne lourde. Ajouter la BRBL en couche secondaire renforce la détection si le volume d'e-mails sortants est maîtrisé.
Attention à ne pas empiler les listes sans supervision : chaque liste supplémentaire augmente le risque de faux positif cumulé.
Pour un hébergeur ou un opérateur de messagerie mutualisée
Les environnements mutualisés hébergent des dizaines ou centaines de domaines sur des IP partagées. Une IP listée pénalise tous les utilisateurs. La réactivité au délistage et la qualité du processus de contestation deviennent donc les deux critères qui comptent vraiment.
Spamhaus propose des SLA clairs pour ses abonnés payants. La BRBL offre un formulaire de délistage automatisé qui fonctionne bien pour les IP à faible historique de spam. SORBS est déconseillé en environnement mutualisé : son processus de révision est lent et peu transparent.
Pour un filtre antispam sur messagerie personnelle
Les services grand public (Gmail, Outlook) n'exposent généralement pas leurs DNSBL directement. Des outils comme Rspamd ou SpamAssassin permettent d'activer des listes personnalisées. Dans ce contexte, SpamCop associé à URIBL offre une bonne réactivité avec un taux de faux positifs acceptable, à condition que les e-mails légitimes proviennent de fournisseurs reconnus.
Ce qui change en 2024-2025
Le spam a évolué. Les campagnes modernes passent par des infrastructures cloud légitimes (AWS, Azure, OVH) pour contourner les listes IP traditionnelles. Les DNSBL purement IP montrent leurs limites face à ces techniques. C'est ce qui explique la progression des listes orientées domaines (URIBL, SURBL) et des systèmes hybrides intégrant l'analyse comportementale.
Spamhaus a intégré des signaux de réputation fondés sur les domaines d'expédition et les certificats TLS dans ses nouvelles offres commerciales. La frontière entre DNSBL classique et plateforme de réputation e-mail s'estompe progressivement. Pour les administrateurs, l'enjeu n'est plus de choisir une liste : c'est de construire une architecture de filtrage multicouche capable de s'adapter à des vecteurs d'attaque qui mutent en permanence.
