Omdømme og blocklister

Modul 5: Omdømme og de store modtagere · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du forklare hvordan modtagere opbygger omdømmet for en IP-adresse og et domæne, kontrollere en IP-adresse på blocklister og holde den rigtige rækkefølge, hvis du står på en liste.

Kernebegreber: omdømme, IP-omdømme, domæneomdømme, blocklist (DNSBL), Spamhaus (SBL, XBL, PBL), SpamCop, Barracuda, opslag med en vendt IP-adresse, 127.0.0.x-svar, fejlkode 127.255.255.x, delt IP, opvarmning, delisting

Hvad er omdømme?

SPF, DKIM og DMARC beviser hvem der sender mailen. De siger ikke noget om, hvorvidt den afsender er til at stole på. En spammer kan sagtens have sit eget domæne med pæn SPF, DKIM og DMARC. Derfor holder modtagere også øje med, hvordan en afsender opfører sig. Det kaldes omdømme.

Der findes to slags:

• IP-omdømme: hvordan opfører den mail sig, der kommer fra denne IP-adresse? Meget spam, mange adresser der ikke findes, pludselige spidsbelastninger: så falder omdømmet.
• Domæneomdømme: hvordan opfører den mail sig, der kommer på vegne af dette domæne, målt på domænet i DKIM (d=) og i afsenderadressen? Dette bliver stadig vigtigere, fordi et domæne flytter med dig til en anden server, mens en IP-adresse ikke gør.

Hvad tæller med? Store modtagere offentliggør ikke deres formel, men nævner dog altid de samme signaler: hvor mange modtagere der markerer din mail som spam (klager), hvor meget mail der går til adresser der ikke findes, om modtagere åbner, besvarer eller straks sletter din mail, hvor regelmæssigt du sender, og om du rammer spamfælder (adresser som ingen nogensinde har tilmeldt). Gmail viser klageprocenten i Postmaster Tools (lektion 5.3), Microsoft viser billedet pr. IP-adresse i SNDS (lektion 6.4).

Blocklister: en delt sortliste

Ud over deres egne målinger bruger mange mailservere offentlige blocklister (også kaldet blacklister eller RBL'er). En sådan liste indeholder IP-adresser (nogle gange domæner), som har sendt spam, eller som aldrig burde sende mail direkte. En mailserver, der modtager en indgående forbindelse fra 192.0.2.25, slår listen op og afviser forbindelsen, hvis adressen står på den.

De mest kendte:

Spamhaus kombinerer sine lister i ZEN (zen.spamhaus.org). Derudover findes der snesevis af mindre lister. En optagelse på en lille liste, som næsten ingen bruger, er ofte ikke en katastrofe. En optagelse på Spamhaus SBL eller XBL derimod: den bruges af en stor del af mailserverne.

Hvordan virker et opslag?

En blocklist er bare en DNS-zone. Vil en server vide, om 192.0.2.25 står på ZEN, vender den adressen om (ligesom ved reverse DNS) og sætter navnet på listen bagefter:

dig +short 25.2.0.192.zen.spamhaus.org

• Intet svar (NXDOMAIN): ikke på listen.
• En adresse 127.0.0.x: står på listen. Det sidste tal fortæller hvilken dellliste. Ved ZEN er 127.0.0.2 SBL, 127.0.0.4 XBL og 127.0.0.10 eller 127.0.0.11 PBL.
• En adresse 127.255.255.x: en fejlkode, ikke en optagelse. Spamhaus giver for eksempel 127.255.255.254, hvis du spørger via en offentlig resolver som Cloudflares. Spamhaus tillader ikke det, og giver derfor ikke et reelt resultat.

Det sidste er en kendt faldgrube. Et værktøj eller en mailserver, der opfatter ethvert svar som "optaget på liste", slår fejlagtigt alarm, eller afviser endda al mail. Et værktøj, der opfatter ethvert ikke-svar som "rent", overser reelle optagelser. En pålidelig kontrol slår først et testadresse op pr. liste (127.0.0.2 står altid på enhver liste) og tæller kun et klart NXDOMAIN som "ikke optaget".

E-mailcheck og Domæne sundhed på weboke.dk fungerer sådan, ligesom de kendte uafhængige værktøjer som MXToolbox og Spamhaus' egen kontrolside (check.spamhaus.org).

Delte IP-adresser

Ved delt hosting og de fleste maildienester deler du IP-adressen på afsendelsesserveren med andre kunder. Det har en fordel og en ulempe:

• En velpasset delt server har et opbygget omdømme. Du drager fordel af det, selv hvis du selv sender lidt.
• Hvis en anden kunde sender spam (ofte fordi hans adgangskode er stjålet), kan IP-adressen havne på en liste, og du bliver også generet af det.

En god udbyder holder derfor øje med sine egne IP-adresser på blocklister, sætter afsendelsesgrænser og griber ind ved misbrug. Hos WebOké er det for eksempel beskrevet i videnbaseartiklen om, hvordan spam stoppes, og om misbrugte adresser; andre udbydere har tilsvarende regler.

En ny IP-adresse: opvarmning

En IP-adresse, der aldrig har sendt mail, har intet omdømme. Starter den straks med tusindvis af mails om dagen, ser modtagere det som mistænkeligt. Microsoft bremser for eksempel sådan en adresse med en midlertidig fejl (451 4.7.500 Server busy, lektion 6.4).

Derfor varmer du en ny IP-adresse op: du starter med et lille antal mails om dagen, helst til modtagere der forventer og åbner din mail, og øger det trin for trin over nogle uger. Afsendelsestjenester gør dette for dig, hvis du køber en egen IP-adresse hos dem. Til almindelig forretningsmail via en hostingpakke eller maildienst behøver du ikke gøre dette.

Du står på en liste: hvad nu?

Rækkefølgen er vigtig:

1. Find ud af hvilken IP-adresse det drejer sig om. Står den i fejlmeddelelsen? Er det adressen på din hostingvirksomhed eller maildienst, eller på din egen internetforbindelse? Det sidste betyder som regel, at dit mailprogram ikke sender via din udbyders SMTP-server (lektion 1.4).
2. Er det ikke din egen server, meld det så til administratoren. Ved delt hosting eller en maildienst løser udbyderen dette. Send hele fejlmeddelelsen med.
3. Er det din egen server, find så først årsagen. En hacket adgangskode, en utæt kontaktformular, en inficeret hjemmeside der sender mail, en købt adresseliste. Så længe årsagen består, havner du straks på listen igen.
4. Anmod først derefter om fjernelse, via listens hjemmeside. Hos SpamCop er det ikke nødvendigt: den optagelse udløber af sig selv, hvis der ikke kommer nye anmeldelser.
5. Kontrollér igen efter en dag.

Betal aldrig en part der lover at "fjerne dig fra alle lister". Seriøse lister fjerner gratis.

I praksis: sådan ser det ud

I dette eksempel bruger vi E-mailcheck på weboke.dk: den viser under Blacklist Status pr. liste, om IP-adressen på din første mailserver står på den. Bemærk: det er adressen, hvor din mail kommer ind (MX'en). For din udgående mail skal du kontrollere IP-adressen på afsendelsesserveren, og den finder du i headerne (lektion 5.1). Uafhængige værktøjer som MXToolbox og check.spamhaus.org fungerer på samme måde: du indtaster en IP-adresse og ser resultatet pr. liste.

Opsummering

• Omdømme handler om adfærd: klager, ukendte adresser, spidsbelastninger, spamfælder. SPF, DKIM og DMARC siger kun hvem der sender.
• Modtagere kigger på IP-omdømme og i stigende grad på domæneomdømme.
• En blocklist er en DNS-zone: et 127.0.0.x-svar er en optagelse, 127.255.255.x er en fejlkode, NXDOMAIN betyder ikke optaget.
• Spamhaus PBL er ikke en straf, men et tegn på at du skal sende via din udbyders server.
• Ved en optagelse: find først den rigtige IP-adresse og årsagen, anmod derefter om fjernelse.

Quiz

Opgave

Opgave Z5.2: Din afsender-IP på blocklister. Brug IP-adressen på din afsendelsesserver fra opgaven i lektion 5.1 (eller adressen på mx00.t-online.de). Slå den selv op hos check.spamhaus.org eller et andet blocklist-værktøj og angiv: står adressen på Spamhaus (ja/nej), og i så fald på hvilken delliste. Programmet kontrollerer den samme adresse live hos Spamhaus, SpamCop og Barracuda og sammenligner.

Opgave O5.2: Hvad gør du ved en optagelse på en liste? Du får en case: en lille webshop på sin egen VPS har siden i morges stået på Spamhaus XBL. Skriv i højst fem trin, hvad du gør, og i hvilken rækkefølge. Bagefter ser du modelsvaret.

Læs mere

Trinene i disse artikler gælder for WebOkés kontrolpaneler; hos andre udbydere fungerer det på tilsvarende vis.

• DirectAdmin vejledning 9.5: Afsendelse afvist: blacklister og grænser
• Hvordan blokerer WebOké spam?
• Overtaget mailboks eller spam fra din adresse: sådan rydder du op
• Min e-mail kommer ikke frem eller havner i spam: sådan finder du ud af det
• E-mailcheck (gratis kontrol af MX, SPF, DMARC og blocklister): https://www.weboke.dk/e-mail-tjek
• Spamhaus, kontrol og forklaring: https://check.spamhaus.org/
• RFC 5782 (hvordan DNS-blocklister fungerer)