Ce que renvoie réellement un serveur DNSBL lors d'une requête
Un lookup DNSBL fonctionne comme une requête DNS classique, mais avec une logique inversée. L'adresse IP testée est retournée à l'envers, puis concaténée au domaine de la liste noire. Pour tester 192.168.1.100 sur zen.spamhaus.org, on interroge 100.1.168.192.zen.spamhaus.org.
Le serveur répond soit par une absence de réponse (NXDOMAIN), soit par une adresse IP dans la plage 127.0.0.x. Ce code de retour (le A record response) concentre toute l'information utile. Mal lu, il génère des faux positifs ou des blocages injustifiés.
NXDOMAIN : la réponse la plus favorable
Quand le serveur retourne NXDOMAIN (Non-Existent Domain), l'IP interrogée n'est pas référencée dans la liste noire concernée. C'est la réponse attendue pour une adresse propre.
Attention tout de même : NXDOMAIN ne certifie pas que l'IP est propre. Elle n'est simplement pas connue de cette liste. Une IP peut être absente de Spamhaus et présente sur Barracuda, SORBS ou URIBL.
Les codes 127.0.0.x : lire la hiérarchie des risques
La logique des sous-codes
Quand un serveur DNSBL confirme la présence d'une IP, il retourne une adresse dans la plage 127.0.0.0/8. Le dernier octet encode la nature exacte de l'inscription.
Ce système permet à une même liste noire de distinguer plusieurs catégories de menaces dans une réponse unique. Le code 127.0.0.2 ne signifie pas la même chose que 127.0.0.11, même si les deux confirment une présence dans la liste.
Les codes Spamhaus SBL/XBL/PBL : la référence du secteur
Spamhaus est la liste noire la plus utilisée dans les configurations de filtrage email. Son bloc ZEN agrège plusieurs sous-listes, chacune associée à des codes distincts :
| Code retour | Signification | |---|---| | 127.0.0.2 | SBL, IP source de spam ou de malware | | 127.0.0.3 | SBL CSS, infrastructure de spam confirmée | | 127.0.0.4 à 127.0.0.7 | XBL, IP compromise, exploit, botnet | | 127.0.0.10 | PBL ISP, plage non destinée à l'envoi direct | | 127.0.0.11 | PBL Spamhaus, plage résidentielle ou dynamique |
Un code 127.0.0.2 chez Spamhaus correspond à une inscription SBL directe : l'adresse a été explicitement identifiée comme source de spam. C'est le niveau de sévérité le plus élevé, celui qui déclenche quasi systématiquement un rejet côté serveur de réception.
Les codes XBL : machines compromises et botnets
Les codes 127.0.0.4 à 127.0.0.7 correspondent à la Exploits Block List. Ils signalent des machines compromises par des botnets, des proxies ouverts ou des trojans qui utilisent l'IP pour envoyer du spam à l'insu de son propriétaire.
Ce type d'inscription n'implique pas forcément une intention malveillante de l'opérateur. Une machine infectée, un serveur NAS mal sécurisé, un routeur compromis peuvent suffire. Il faut nettoyer l'équipement avant toute demande de délisting.
Les codes PBL : adresses légitimes mais mal configurées
Les codes 127.0.0.10 et 127.0.0.11 désignent la Policy Block List. À la différence des inscriptions SBL ou XBL, une présence dans la PBL n'implique aucune activité malveillante.
La PBL recense les plages d'adresses qui, selon la politique de l'opérateur ou de Spamhaus, ne devraient pas initier de connexions SMTP directes. C'est le cas typique des FAI résidentiels, des connexions ADSL/fibre grand public ou des plages d'hébergement mutualisé sans relais dédié. Un serveur de messagerie légitime hébergé sur une IP résidentielle déclenchera cette erreur ; la solution est d'utiliser un smarthost ou un relais SMTP tiers.
Les autres listes majeures et leurs logiques de codage
Barracuda Reputation Block List (BRBL)
Barracuda utilise un système simple : un seul code de retour, 127.0.0.2, indique la présence de l'IP dans sa base. Pas de sous-catégories. La réponse est binaire.
L'inscription chez Barracuda repose sur l'analyse de flux réels reçus par les appliances déployées en entreprise. Une présence ici indique que des emails issus de cette IP ont été catégorisés comme spam par un volume significatif de destinataires réels.
SORBS (Spam and Open Relay Blocking System)
SORBS utilise plusieurs sous-domaines correspondant à des catégories distinctes :
dnsbl.sorbs.net: liste agrégée généralespam.dnsbl.sorbs.net: IP ayant envoyé du spam confirméhttp.dnsbl.sorbs.net: proxies HTTP ouvertssocks.dnsbl.sorbs.net: proxies SOCKS ouvertszombie.dnsbl.sorbs.net: machines membres d'un botnet
Le code de retour reste 127.0.0.2 dans la plupart des sous-listes, mais c'est le sous-domaine interrogé qui porte la sémantique. Les outils de lookup multi-listes doivent donc afficher le nom complet de la liste, pas uniquement le code numérique.
URIBL et SURBL : les listes orientées domaines
Ces deux listes fonctionnent différemment : elles analysent les domaines présents dans les URLs des messages, pas les adresses IP des serveurs expéditeurs. Les codes de retour URIBL incluent :
127.0.0.2: domaine présent dans des spams (liste BLACK)127.0.0.4: domaine en liste GREY (spam possible, moins certain)127.0.0.8: domaine en liste RED (spam en temps réel)127.0.0.14: présence dans plusieurs sous-listes simultanément
Pour SURBL, 127.0.0.8 correspond à la liste multi, agrégat de plusieurs sources.
Pourquoi le même code peut avoir des implications très différentes
Contexte de la liste : réputation et fraîcheur des données
Un 127.0.0.2 chez Spamhaus n'a pas le même poids qu'un 127.0.0.2 chez une liste moins maintenue. Spamhaus traite des volumes de données considérables et applique des critères stricts avant inscription. D'autres listes peuvent inscrire des adresses sur signalement non vérifié, avec des taux de faux positifs plus élevés.
La fraîcheur des données compte aussi. Certaines listes conservent des inscriptions pendant des mois sans réévaluation. Une IP listée depuis 18 mois pour un incident résolu reste théoriquement dangereuse dans ces bases.
Score cumulatif ou blocage unique
La plupart des serveurs de messagerie modernes (Postfix, Exchange, SpamAssassin) ne bloquent pas sur la présence dans une seule liste, sauf pour Spamhaus SBL. Ils appliquent un système de score : chaque résultat positif ajoute des points, et le rejet intervient au-delà d'un seuil.
SpamAssassin attribue par défaut 3,5 points pour une présence dans zen.spamhaus.org, et des valeurs inférieures pour d'autres listes. Le seuil de rejet classique se situe à 5 points. Une IP présente dans trois listes mineures peut donc déclencher un blocage sans aucune inscription Spamhaus.
Lire un résultat de lookup multi-listes : points d'attention
Distinguer « listé » et « bloqué »
Un outil de lookup peut afficher 15 listes testées dont 3 positives. Ça ne signifie pas que les emails sont bloqués par 3 serveurs sur 15. Le blocage dépend des listes effectivement utilisées par les serveurs de réception, et cette configuration varie selon chaque opérateur.
Gmail, Outlook et les hébergeurs professionnels utilisent leurs propres combinaisons de listes, souvent complétées par des systèmes internes. Un résultat positif sur une liste obscure ne prédit pas un problème de délivrabilité réel.
Vérifier la date d'inscription
Les APIs de Spamhaus et de certaines autres listes permettent d'obtenir la date d'inscription via des requêtes TXT complémentaires. Cette information est utile : une inscription récente (moins de 30 jours) indique un problème actif. Une inscription ancienne peut signaler un problème résolu mais jamais déclaré pour délisting.
Identifier la cause avant de demander un délisting
Chaque code de retour pointe vers une catégorie de problème distincte. Demander un délisting sans avoir traité la cause sous-jacente entraîne une réinscription rapide, parfois dans des délais plus courts. Certaines listes appliquent des pénalités pour récidive. Le code de retour est le point de départ du diagnostic, pas une étiquette à effacer.
