SpamCop Blocking List : une liste noire fondée sur les signalements d'utilisateurs
La SpamCop Blocking List (SCBL) occupe une place à part parmi les listes noires DNS. Contrairement aux blacklists construites à partir d'honeypots ou d'analyses automatisées, la SCBL repose sur un principe collaboratif : ce sont les destinataires de spams qui alimentent la base en signalant les messages indésirables qu'ils reçoivent.
Cisco gère cette liste depuis le rachat de SpamCop en 2003. Elle traite chaque jour plusieurs millions de signalements. Sa réactivité tranche avec d'autres systèmes comparables : une adresse IP peut être inscrite en quelques heures après avoir commencé à émettre du spam.
Le mécanisme de signalement : comment les IPs entrent dans la SCBL
Le parsing automatique des en-têtes email
Quand un utilisateur soumet un spam à SpamCop via l'interface web ou par transfert à [email protected], le système analyse automatiquement les en-têtes du message. Il remonte la chaîne des serveurs relais pour identifier l'adresse IP d'origine réelle, celle du serveur émetteur, en ignorant les en-têtes forgés ou ajoutés par des intermédiaires légitimes.
Ce parsing est l'un des plus éprouvés du secteur. SpamCop maintient une base des IPs de relais connus pour éviter de blacklister des serveurs légitimes de transmission.
Le calcul du score et le seuil d'inscription
L'inscription d'une IP ne repose pas sur un seul signalement. SpamCop utilise un algorithme qui pondère plusieurs facteurs :
- Le volume de signalements reçus pour une IP sur une fenêtre temporelle glissante
- Le volume légitime estimé : si une IP envoie des millions d'emails dont très peu sont signalés comme spam, le ratio reste favorable
- La vitesse d'accumulation des signalements, qui détecte les pics d'activité malveillante
Concrètement, une IP qui génère soudainement 10 signalements en une heure alors qu'elle n'en avait aucun depuis 30 jours sera inscrite bien plus vite qu'une IP d'envoi massif affichant un taux de plainte inférieur à 0,1 %.
La durée de vie des inscriptions : le système d'expiration automatique
Une blacklist à mémoire courte par conception
La SCBL fonctionne sur un principe d'expiration automatique. Si aucun nouveau signalement ne vient confirmer l'activité spam d'une IP, l'inscription disparaît au bout de 24 à 48 heures. Ce délai court distingue la SCBL des listes comme la Spamhaus SBL, qui peuvent conserver des entrées pendant des mois.
La logique est simple : bloquer l'activité spam en cours, pas sanctionner les expéditeurs sur le long terme. Une IP compromise dont le problème est résolu rapidement retrouve une réputation propre dans les 48 heures.
Les conséquences pratiques pour les expéditeurs légitimes
Ce système génère des faux positifs plus fréquents que sur d'autres listes. Un serveur d'envoi partagé chez un hébergeur peut se retrouver inscrit à cause d'un autre client de la même plateforme, sans que l'expéditeur légitime y soit pour rien.
Avantage réel : si l'hébergeur ou l'expéditeur corrige rapidement le problème, la désinscription est quasi automatique, sans démarche manuelle. SpamCop ne propose pas de procédure de suppression manuelle accélérée ; la durée de vie courte remplace ce mécanisme.
Utilisation de la SCBL : qui l'intègre et comment
Intégration dans les systèmes de filtrage
La SCBL est requêtable via le protocole DNSBL standard. Les serveurs de messagerie comme Postfix, Exim ou Microsoft Exchange peuvent l'interroger en temps réel lors de chaque connexion entrante. La zone DNS à requêter est bl.spamcop.net.
Une requête DNS type inverse l'IP : 192.0.2.1 devient 1.2.0.192.bl.spamcop.net et renvoie 127.0.0.2 si l'IP est listée, NXDOMAIN si elle est propre. Cette mécanique standardisée permet une intégration en quelques lignes de configuration.
Recommandation d'usage : filtrage, pas rejet
Cisco et SpamCop déconseillent explicitement d'utiliser la SCBL comme seul critère de rejet des emails. La recommandation officielle est de s'en servir en scoring : ajouter des points négatifs au score de réputation d'un expéditeur, combinés à d'autres signaux (SPF, DKIM, contenu, autres DNSBL).
Cette prudence tient au taux de faux positifs plus élevé que sur des listes comme Spamhaus. Utilisée seule en mode rejet strict, la SCBL peut bloquer des emails légitimes provenant d'infrastructures partagées touchées par un compte compromis.
La SCBL dans l'écosystème des listes noires DNS
Comparaison avec les principales alternatives
| Liste | Mécanisme principal | Durée inscription | Faux positifs | |-------|--------------------|--------------------|---------------| | SCBL (SpamCop) | Signalements utilisateurs | 24-48h | Élevés | | Spamhaus SBL | Analyse manuelle + auto | Semaines à mois | Faibles | | Spamhaus ZEN | Composite (SBL+XBL+PBL) | Variable | Très faibles | | Barracuda BRBL | Honeypots + signalements | Variable | Modérés | | SORBS | Multiple | Variable | Modérés |
La SCBL excelle sur la réactivité : elle détecte les campagnes spam actives en quelques heures, avant que les autres listes les aient identifiées. Son point faible est la précision, conséquence directe de son ouverture aux signalements humains, lesquels sont parfois erronés ou malveillants.
La question du spam bombing
Un risque connu de tout système fondé sur les signalements est le spam bombing (ou joe job) : un acteur malveillant peut théoriquement organiser des signalements massifs contre une IP légitime. SpamCop a mis en place des contremesures pour détecter les signalements coordonnés atypiques, mais aucun système ne résiste totalement à ce type d'attaque.
Vérifier et gérer une inscription dans la SCBL
Comment savoir si une IP est listée
La vérification se fait directement via le site SpamCop en consultant https://www.spamcop.net/bl.shtml et en entrant l'adresse IP concernée. Le résultat indique si l'IP est listée, avec le score actuel et les données de signalement agrégées, sans révéler les sources individuelles, conformément à la politique de confidentialité du service.
Des outils tiers comme MXToolbox ou MultiRBL permettent aussi de vérifier simultanément la présence d'une IP sur plusieurs dizaines de listes noires, dont la SCBL.
Que faire en cas d'inscription
Si votre IP apparaît dans la SCBL, voici le protocole à suivre :
- Identifier la source du spam : analyser les logs du serveur pour trouver le compte compromis ou le script malveillant responsable.
- Stopper l'émission : couper immédiatement l'accès au compte ou script incriminé.
- Sécuriser l'infrastructure : changer les mots de passe, mettre à jour les logiciels vulnérables.
- Patienter : sans nouvelle activité spam, l'inscription expire sous 48 heures.
Il n'existe pas de bouton de désinscription express. SpamCop considère que le seul moyen légitime de sortir de la liste est de cesser d'émettre du spam, ce qui amène mécaniquement l'expiration automatique.
Limites et évolutions du modèle collaboratif
La dépendance aux signalements actifs
La SCBL ne détecte que les spams qui lui sont soumis. Si aucun destinataire ne signale une campagne, parce qu'elle cible des boîtes email abandonnées ou des utilisateurs peu sensibilisés, elle n'apparaîtra pas dans la liste. C'est une limite structurelle de tout système fondé sur les signalements.
La SCBL est donc plus efficace sur les spams de masse ciblant un grand nombre d'utilisateurs actifs que sur les attaques ciblées ou les campagnes de faible volume.
Un outil parmi d'autres dans une stratégie anti-spam multicouche
La SCBL est un maillon utile, mais pas suffisant. Sa force tient à sa capacité à capturer rapidement les vagues de spam actives grâce à l'intelligence collective de ses contributeurs. Sa faiblesse tient à la nature même de cette intelligence : humaine, donc imparfaite.
Les opérateurs de messagerie qui obtiennent les meilleurs résultats l'utilisent avec des listes à plus haute précision comme Spamhaus ZEN, des filtres bayésiens et des mécanismes d'authentification (SPF, DKIM, DMARC). Aucune liste noire, aussi réactive soit-elle, ne suffit seule à filtrer le spam.
