Comment fonctionnent les listes noires DNS anti-spam
Les listes noires DNS, connues sous l'acronyme DNSBL (DNS-Based Blackhole List) ou RBL (Real-time Blackhole List), comptent parmi les mécanismes de filtrage les plus répandus contre le spam. Leur principe repose sur une architecture distribuée assez simple : un serveur de messagerie interroge une base de données DNS pour vérifier si l'adresse IP ou le domaine expéditeur y figure comme source de spam.
Le fonctionnement technique s'appuie sur des requêtes DNS inversées. Quand un email arrive, le serveur destinataire inverse l'adresse IP (par exemple, 192.0.2.1 devient 1.2.0.192), puis interroge un suffixe DNSBL spécifique. Si la réponse DNS retourne un enregistrement de type A, l'adresse est bloquée. L'absence de réponse signifie que l'IP est propre.
L'architecture a un avantage réel : la légèreté. Une simple requête DNS bloque des milliers de spams avant même leur analyse de contenu. Le coût en calcul reste minimal comparé aux filtres bayésiens ou aux analyses comportementales.
Les grandes catégories de listes noires DNS
Les listes basées sur les adresses IP
C'est la forme la plus ancienne et la plus répandue. Ces listes recensent les adresses IP ayant émis du spam, hébergé des botnets ou mal configuré leurs serveurs de messagerie. Elles représentent encore aujourd'hui plus de 80 % du volume total des DNSBL actives.
Certaines listes ciblent les IP ayant envoyé du spam de manière confirmée ; d'autres bloquent préventivement des plages d'adresses entières appartenant à des fournisseurs d'accès réputés laxistes. Cette seconde approche génère davantage de faux positifs mais couvre plus largement les nouveaux vecteurs d'attaque.
Les listes basées sur les domaines
Les URIBL (URI-based Blacklists) et SURBL (Spam URI Real-time Blocklists) analysent non pas l'expéditeur, mais les URL contenues dans le corps des emails. Un spam peut très bien transiter via un serveur légitime tout en pointant vers un domaine malveillant.
Ces listes sont particulièrement efficaces contre le spam de type « snowshoe », où les spammeurs répartissent leurs envois sur des centaines d'adresses IP pour diluer leur empreinte. L'analyse des domaines de destination perce cette stratégie.
Les listes de politiques d'envoi
Une troisième catégorie regroupe les listes qui ne sanctionnent pas un comportement abusif avéré, mais l'absence de configuration conforme aux bonnes pratiques. La PBL (Policy Block List) de Spamhaus en est l'exemple le plus connu : elle répertorie les plages IP qui ne devraient pas émettre d'emails directement, comme les adresses résidentielles des FAI.
Panorama des principales DNSBL actives
Spamhaus
Fondée en 1998, Spamhaus est l'opérateur de DNSBL le plus influent au monde, avec plusieurs milliards de requêtes traitées chaque jour. L'organisation maintient plusieurs listes distinctes aux usages différents.
La SBL (Spamhaus Block List) couvre les adresses IP directement impliquées dans l'envoi de spam ou hébergeant des spammeurs connus. Les inscriptions sont manuelles et documentées, ce qui limite les faux positifs. La XBL (Exploits Block List) agrège des données de multiples sources pour identifier les machines compromises, proxies ouverts, bots et systèmes infectés ; elle intègre notamment les données de la CBL (Composite Blocking List). La PBL (Policy Block List) couvre les plages d'adresses dynamiques des FAI, environ 600 millions d'adresses au total. La DBL (Domain Block List) cible les domaines utilisés dans le spam, le phishing et les malwares, en complément des listes IP. ZEN, enfin, combine SBL, XBL et PBL en une seule requête DNS : c'est le point d'entrée recommandé pour la majorité des administrateurs systèmes, car il simplifie la configuration sans réduire la couverture.
Barracuda Reputation Block List (BRBL)
La BRBL de Barracuda Networks est alimentée par un réseau de honeypots et par les retours des millions d'appliances Barracuda déployées en entreprise. Cette origine matérielle lui donne une vue en temps réel sur les flux de spam effectifs plutôt que sur des signalements après coup.
Son taux de couverture sur les campagnes de spam massives est élevé, mais ses procédures de délisting sont souvent décriées : elles passent par un formulaire propriétaire sans délai garanti.
SORBS (Spam and Open Relay Blocking System)
SORBS est l'une des plus anciennes DNSBL encore actives. Elle maintient plusieurs sous-listes : dnsbl.sorbs.net (liste agrégée), smtp.dnsbl.sorbs.net (relais ouverts), et http.dnsbl.sorbs.net (proxies HTTP ouverts).
Sa réputation est contrastée. Très exhaustive dans sa couverture, elle génère historiquement plus de faux positifs que Spamhaus. Les administrateurs l'utilisent souvent en complément plutôt que comme liste primaire, en lui attribuant un score plus faible dans les configurations SpamAssassin.
SpamCop Blocking List (SCBL)
SpamCop agrège les signalements soumis volontairement par des utilisateurs via son service de rapport. La liste est donc corrélée à la perception humaine du spam plutôt qu'à des critères techniques.
Cette approche participative rend la SCBL très réactive face aux nouvelles campagnes, mais aussi volatile : une IP peut être listée puis retirée en quelques heures selon le volume de signalements. Son TTL court, de quelques heures, reflète cette dynamique.
UCEPROTECT
UCEPROTECT propose trois niveaux de blocage d'agressivité croissante. Le niveau 1 cible les IP spécifiquement signalées, le niveau 2 étend le blocage aux sous-réseaux /24 contaminés, et le niveau 3 bloque des systèmes autonomes (AS) entiers si leur ratio de spam dépasse un seuil défini.
Les niveaux 2 et 3 sont vivement contestés dans la communauté des administrateurs. Bloquer un AS entier revient à pénaliser des milliers d'utilisateurs légitimes pour le comportement de quelques-uns ; la plupart des administrateurs expérimentés recommandent de ne déployer UCEPROTECT qu'au niveau 1.
Comparatif des DNSBL : critères clés
Taux de détection et faux positifs
Le taux de détection mesure la proportion de spams effectivement bloqués. Les faux positifs désignent les emails légitimes incorrectement bloqués. Ces deux métriques sont en tension permanente : une liste plus agressive détecte davantage de spam mais risque de bloquer du courrier légitime.
| DNSBL | Agressivité | Faux positifs | Usage recommandé | |---|---|---|---| | Spamhaus ZEN | Modérée | Faible | Production, liste primaire | | Barracuda BRBL | Modérée | Faible à modéré | Complément à Spamhaus | | SpamCop SCBL | Élevée | Modéré | Score additif seulement | | SORBS | Élevée | Modéré à élevé | Complément avec pondération | | UCEPROTECT L1 | Modérée | Faible | Complément à Spamhaus | | UCEPROTECT L2/L3 | Très élevée | Élevé | Déconseillé en production |
Latence et disponibilité
Une DNSBL doit répondre en quelques millisecondes pour ne pas ralentir la réception des emails. Spamhaus publie des statistiques de disponibilité supérieures à 99,99 % sur ses serveurs publics. Barracuda et SpamCop affichent des performances comparables.
Les opérateurs gérant des volumes importants, au-delà de 100 000 requêtes par jour, ont intérêt à utiliser des zones DNS locales (rsync ou feeds commerciaux) plutôt que les serveurs publics, soumis à des conditions d'utilisation strictes.
Procédures de délisting
Sortir rapidement d'une liste noire compte beaucoup pour les expéditeurs légitimes victimes d'une compromission ou d'un abus. Spamhaus propose un formulaire en ligne avec des délais documentés. SpamCop effectue un délisting automatique dès que les signalements cessent.
Certaines listes, notamment UCEPROTECT aux niveaux 2 et 3, ont mis en place des délistings payants. Cette pratique est unanimement rejetée par la communauté et assimilée à de l'extorsion par plusieurs spécialistes de la délivrabilité.
Stratégies de déploiement pour les administrateurs systèmes
Configuration avec Postfix
Dans Postfix, les DNSBL se configurent via la directive smtpd_recipient_restrictions. Une configuration typique multi-listes ressemble à :
smtpd_recipient_restrictions =
reject_rbl_client zen.spamhaus.org,
reject_rbl_client b.barracudacentral.org,
permit
L'ordre des listes importe : Postfix applique la première règle correspondante. Placer les listes les plus fiables en premier réduit l'exposition aux faux positifs.
Configuration avec SpamAssassin
SpamAssassin intègre un système de score qui permet d'utiliser plusieurs DNSBL sans rejet binaire. Chaque liste contribue à un score global, et seul le dépassement d'un seuil déclenche le marquage ou le rejet.
Cette approche convient particulièrement aux listes agressives comme SORBS ou SpamCop : leur attribuer des scores faibles (1 à 2 points) plutôt que de les utiliser en rejet direct réduit nettement les faux positifs tout en conservant leur signal.
Surveillance continue des listes
Aucune configuration DNSBL n'est figée. Les listes évoluent, certaines ferment, d'autres changent de politique. Des outils comme multirbl.valli.org ou mxtoolbox.com permettent de vérifier en temps réel si une IP figure dans les principales DNSBL.
Mettre en place des alertes automatiques via des scripts de monitoring (Nagios, Zabbix ou solutions cloud) permet de détecter immédiatement toute inscription non souhaitée, notamment après une compromission de serveur.
Tendances et évolutions du secteur
Le marché des DNSBL se consolide. Plusieurs listes historiques ont fermé ces dernières années, faute de financement ou de maintien actif. Cette réduction du nombre d'acteurs renforce le poids de Spamhaus, qui concentre désormais une part disproportionnée du filtrage mondial.
Les menaces évoluent aussi. Le spam traditionnel par email recule au profit de vecteurs alternatifs comme les SMS et les messageries instantanées, tandis que les attaques BEC (Business Email Compromise) contournent les DNSBL en exploitant des comptes légitimes compromis. Les listes noires DNS restent utiles mais ne suffisent plus face à ces menaces ciblées.
Plusieurs opérateurs expérimentent des listes alimentées par du machine learning, capables d'anticiper les nouvelles sources de spam avant même le premier envoi détecté, en analysant les comportements de configuration DNS et les schémas d'enregistrement de domaines.
