Ce qu'est réellement Spamhaus ZEN
Spamhaus ZEN est une liste consolidée qui regroupe en un seul point d'interrogation l'ensemble des bases de données IP de Spamhaus. Concrètement, ZEN fusionne trois listes distinctes : SBL (Spamhaus Block List), XBL (Exploits Block List) et PBL (Policy Block List).
Cette architecture combinée permet aux administrateurs systèmes de n'effectuer qu'une seule requête DNS pour obtenir un verdict complet sur une adresse IP. Côté charge serveur et latence de filtrage, le gain est réel. C'est pourquoi ZEN s'est imposé comme référence dans la configuration des serveurs mail sous Postfix, Exim ou Sendmail.
L'organisation Spamhaus, fondée en 1998, maintient ces bases de données depuis plus de deux décennies et traite quotidiennement des milliards de requêtes DNS en provenance de systèmes de messagerie à travers le monde.
Les trois composantes de ZEN
SBL : les expéditeurs de spam identifiés
La Spamhaus Block List cible les adresses IP directement impliquées dans l'envoi de spam. Elle inclut aussi les réseaux contrôlés par des spammeurs professionnels, des bulletproof hosters et des services CSS (Cybercrime Support Services).
Une inscription en SBL résulte d'une analyse manuelle par les équipes de Spamhaus. Le processus n'est pas automatisé, ce qui limite les faux positifs mais ralentit les mises à jour face à des campagnes d'envoi massif très rapides.
XBL : les machines compromises
L'Exploits Block List recense les adresses IP de machines infectées par des malwares, des botnets ou des proxies ouverts exploités pour relayer du spam. Cette liste s'appuie notamment sur les données de CBL (Composite Blocking List), intégrée à XBL.
Une IP inscrite en XBL n'appartient pas nécessairement à un spammeur volontaire. Il peut s'agir d'un particulier ou d'une entreprise dont l'infrastructure a été compromise. Cette distinction compte pour comprendre la démarche de désinscription.
PBL : les plages IP non autorisées à émettre
La Policy Block List fonctionne différemment. Elle liste les plages d'adresses IP que les FAI et opérateurs ont eux-mêmes déclarées comme ne devant pas émettre directement vers des serveurs mail. Il s'agit typiquement des adresses IP dynamiques des connexions résidentielles.
Une IP en PBL n'est pas considérée comme malveillante. Elle est simplement incompatible avec un usage de serveur mail en direct, sans relais SMTP. Le processus de désinscription de la PBL est accessible en libre-service sur le site de Spamhaus.
Les codes de retour DNS : lire le résultat d'une requête ZEN
Lorsqu'une requête ZEN retourne un résultat positif, le code IP renvoyé indique précisément quelle sous-liste a déclenché la correspondance. Ces codes suivent la convention standard des DNSBL avec des adresses en 127.0.0.x.
| Code retourné | Sous-liste concernée | |---|---| | 127.0.0.2 | SBL : spammeur direct | | 127.0.0.3 | SBL CSS : infrastructure cybercriminelle | | 127.0.0.4 à 127.0.0.7 | XBL : machine compromise | | 127.0.0.9 | SBL : adresse Snowshoe | | 127.0.0.10 et 127.0.0.11 | PBL : plage IP non autorisée à émettre |
Cette granularité permet d'adapter la politique de filtrage. Certains administrateurs rejettent catégoriquement les codes SBL et XBL, tout en acceptant les emails issus d'IP en PBL si d'autres mécanismes d'authentification (SPF, DKIM) sont validés.
Critères d'inscription dans ZEN
Ce qui déclenche une inscription en SBL
Spamhaus inscrit une IP ou un bloc réseau en SBL sur la base de preuves d'envoi de spam. Les éléments pris en compte incluent les traps (pièges à spam), les signalements d'utilisateurs, les analyses de campagnes et les données issues de partenaires. Un hébergeur qui tolère des clients spammeurs peut voir l'ensemble de son espace d'adressage inscrit.
Les réseaux de type Snowshoe spam méritent une mention particulière. Le principe : fragmenter les envois sur de très nombreuses IP pour diluer les signaux de détection. Spamhaus maintient une base dédiée (SBL CSS) pour ces acteurs.
Ce qui déclenche une inscription en XBL
L'inscription en XBL est automatisée. Elle repose sur la détection de comportements caractéristiques des machines compromises : connexions vers des serveurs de command-and-control, relayage de spam détecté par des sondes distribuées, identification comme proxy ouvert.
Le délai entre la compromission d'une machine et son inscription en XBL est typiquement de quelques heures. La base est mise à jour en temps quasi réel, ce qui en fait l'un des outils de détection les plus réactifs disponibles.
Ce qui déclenche une inscription en PBL
La PBL est alimentée principalement par les opérateurs eux-mêmes. Les FAI soumettent leurs plages d'IP dynamiques ou résidentielles pour inscription, selon leur propre politique de gestion du spam sortant. Certaines plages sont inscrites par Spamhaus en l'absence de déclaration explicite de l'opérateur, à partir de l'analyse du type d'adressage.
Comment utiliser ZEN dans une configuration mail
Intégration dans Postfix
La configuration de Spamhaus ZEN dans Postfix s'effectue dans le fichier main.cf. La directive à utiliser est smtpd_recipient_restrictions ou smtpd_client_restrictions, selon le niveau de filtrage souhaité.
smtpd_recipient_restrictions =
reject_rbl_client zen.spamhaus.org,
permit
Cette directive ordonne à Postfix de rejeter toute connexion entrante dont l'IP expéditrice figure dans ZEN. Le rejet intervient au niveau SMTP, avant même l'acceptation du corps du message, ce qui économise des ressources serveur.
Conditions d'utilisation : la question des licences
L'utilisation de ZEN est gratuite pour les opérateurs non commerciaux dont le volume de requêtes reste modéré. Au-delà d'un seuil de 100 000 utilisateurs ou de volumes élevés, Spamhaus exige une licence commerciale via son service Data Query Service (DQS).
Les requêtes effectuées depuis les serveurs DNS publics (8.8.8.8, 1.1.1.1, etc.) ne fonctionnent pas avec les DNSBL de Spamhaus. Le serveur qui interroge ZEN doit disposer de sa propre résolution DNS récursive. C'est une contrainte souvent ignorée lors des premières configurations, et elle génère des comportements difficiles à diagnostiquer.
Combiner ZEN avec d'autres listes
ZEN ne devrait pas être le seul filtre en place. Une architecture solide associe ZEN à des listes complémentaires comme Barracuda, SORBS ou SpamCop, et à des mécanismes de vérification de réputation de domaine (URIBL, SURBL).
Empiler plusieurs DNSBL élargit la couverture de détection, mais nécessite une pondération des scores pour éviter de rejeter des emails légitimes. Des outils comme SpamAssassin permettent d'attribuer un score à chaque hit de liste et de définir un seuil de rejet global plutôt qu'un blocage binaire.
Désinscription de ZEN : la démarche selon la sous-liste
Pour une IP inscrite en SBL
La désinscription de la SBL nécessite de soumettre une demande via le portail de Spamhaus en démontrant que la source du spam a été éliminée. Pour un hébergeur ou une entreprise, cela implique d'identifier le compte ou le service responsable, de le suspendre, puis de documenter les mesures correctives prises.
Spamhaus examine les demandes manuellement. Le délai varie de quelques heures à plusieurs jours selon la charge et la complexité du dossier.
Pour une IP inscrite en XBL
La procédure passe par le CBL Lookup Tool. L'outil identifie le type de compromission détectée et fournit des instructions spécifiques pour nettoyer la machine concernée. Une fois le problème résolu, la désinscription peut être demandée directement depuis l'interface.
Si l'IP est réinscrite dans les jours suivant la désinscription, la compromission n'a pas été complètement éliminée. Les réinfections successives entraînent un délai de réinscription croissant.
Pour une IP inscrite en PBL
La PBL propose un formulaire de désinscription en libre-service, accessible sans justification particulière, à condition de prouver la légitimité de l'usage via une adresse email associée à l'IP concernée. La désinscription reste effective 90 jours, après quoi l'IP peut être réinscrite automatiquement si elle ne présente pas les caractéristiques d'un serveur mail fixe.
Évaluer l'efficacité réelle de ZEN
Des études indépendantes sur les DNSBL situent le taux de détection de ZEN entre 85 % et 95 % des flux de spam testés, avec un taux de faux positifs inférieur à 0,1 % dans les environnements correctement configurés. Ces chiffres varient selon les types de flux mail analysés et la géographie des expéditeurs.
ZEN reste la liste noire la plus déployée dans les infrastructures mail professionnelles en Europe et en Amérique du Nord. Sa longévité, sa rigueur méthodologique et la transparence de ses critères d'inscription en font une référence que même ses concurrents mesurent à son aune.
