Modul 5 · 5.2
Omdømme og blokkeringslister
Modul 5: Omdømme og de store mottakerne · Lesetid: 10 minutter
Læringsmål: Etter denne leksjonen kan du forklare hvordan mottakere bygger opp omdømmet til en IP-adresse og et domene, kontrollere en IP-adresse mot blokkeringslister og følge riktig rekkefølge hvis du står på en slik liste.
Nøkkelbegreper: omdømme, IP-omdømme, domeneomdømme, blokkeringsliste (DNSBL), Spamhaus (SBL, XBL, PBL), SpamCop, Barracuda, oppslag med en omvendt IP-adresse, 127.0.0.x-svar, feilkode 127.255.255.x, delt IP, oppvarming, fjerning fra liste (delisting)
Hva er omdømme?
SPF, DKIM og DMARC beviser hvem som sender e posten. De sier ingenting om hvorvidt denne avsenderen er til å stole på. En spammer kan fint ha sitt eget domene med pen SPF, DKIM og DMARC. Derfor holder mottakere også oversikt over hvordan en avsender oppfører seg. Det kalles omdømme.
Det finnes to typer:
- IP-omdømme: hvordan oppfører e posten som kommer fra denne IP-adressen seg? Mye spam, mange adresser som ikke finnes, plutselige topper: da synker omdømmet.
- Domeneomdømme: hvordan oppfører e posten seg som sendes på vegne av dette domenet, målt mot domenet i DKIM (
d=) og i avsenderadressen? Dette blir stadig viktigere, fordi et domene flytter med deg til en annen server, mens en IP-adresse ikke gjør det.
Hva teller med? De store mottakerne offentliggjør ikke formelen sin, men nevner stadig de samme signalene: hvor mange mottakere som markerer e posten din som spam (klager), hvor mye e post som går til adresser som ikke finnes, om mottakerne åpner, svarer på eller umiddelbart kaster e posten din, hvor regelmessig du sender, og om du treffer spamfeller (adresser som aldri er oppgitt av noen). Gmail viser klageprosenten i Postmaster Tools (leksjon 5.3), Microsoft viser bildet per IP-adresse i SNDS (leksjon 6.4).
Blokkeringslister: en delt svarteliste
I tillegg til sine egne målinger bruker mange mailservere offentlige blokkeringslister (også kalt svartelister eller RBL-er). En slik liste inneholder IP-adresser (noen ganger domener) som har sendt spam eller som aldri burde sende e post direkte. En mailserver som mottar en innkommende tilkobling fra 192.0.2.25, spør opp listen og avviser tilkoblingen hvis adressen står på den.
De mest kjente:
| Liste | Hva som står på den | Vei ut av listen |
|---|---|---|
| Spamhaus SBL | Adresser Spamhaus knytter til spam eller spamtjenester | Via administratoren av nettverket, etter at årsaken er løst |
| Spamhaus XBL | Infiserte maskiner: virus, botnett, hackede servere | Først løse infeksjonen, deretter fjerne via check.spamhaus.org |
| Spamhaus PBL | Adresser som ikke skal sende e post direkte, som hjemme og kundetilkoblinger | Dette er ikke en straff. Send e post via SMTP-serveren til leverandøren eller hostingselskapet ditt |
| SpamCop | Adresser brukere har meldt spam fra | Forsvinner av seg selv: uten nye meldinger innen høyst 24 timer |
| Barracuda | Adresser med dårlig omdømme ifølge Barracuda | Forespørsel om fjerning via barracudacentral.org |
Spamhaus kombinerer sine lister i ZEN (zen.spamhaus.org). I tillegg finnes det dusinvis av mindre lister. En oppføring på en liten liste som nesten ingen bruker, er sjelden en katastrofe. En oppføring på Spamhaus SBL eller XBL derimot: den brukes av en stor del av mailserverne.
Hvordan fungerer et oppslag?
En blokkeringsliste er rett og slett en DNS-sone. Vil en server vite om 192.0.2.25 står på ZEN, snur den om adressen (akkurat som ved reverse DNS) og setter navnet på listen bak:
dig +short 25.2.0.192.zen.spamhaus.org- Ingen svar (NXDOMAIN): ikke på listen.
- En adresse
127.0.0.x: står på listen. Det siste tallet sier hvilken dellist. For ZEN er127.0.0.2SBL,127.0.0.4XBL og127.0.0.10eller127.0.0.11PBL. - En adresse
127.255.255.x: en feilkode, ikke en oppføring. Spamhaus gir for eksempel127.255.255.254hvis du spør via en offentlig resolver som Cloudflares. Spamhaus tillater ikke dette, og gir da ikke et ekte resultat.
Det siste er en kjent felle. Et verktøy eller en mailserver som tolker ethvert svar som «på listen», slår feilaktig alarm, eller avviser til og med all e post. Et verktøy som tolker ethvert ikke-svar som «ren», går glipp av ekte oppføringer. En pålitelig kontroll spør først opp en testadresse per liste (127.0.0.2 står alltid på hver liste) og teller bare et tydelig NXDOMAIN som «ikke på listen».
E-postsjekken og Domenehelse på weboke.no fungerer slik, i likhet med kjente uavhengige verktøy som MXToolbox og Spamhaus' egen kontrollside (check.spamhaus.org).
Delte IP-adresser
Ved delt hosting og de fleste e posttjenester deler du IP-adressen til sendeserveren med andre kunder. Det har en fordel og en ulempe:
- En godt administrert delt server har et opparbeidet omdømme. Du drar nytte av det, selv om du selv sender lite.
- Hvis en annen kunde sender spam (ofte fordi passordet er stjålet), kan IP-adressen havne på en liste, og du merker det også.
En god leverandør overvåker derfor sine egne IP-adresser mot blokkeringslister, setter sendegrenser og griper inn ved misbruk. Hos WebOké er dette for eksempel beskrevet i kunnskapsbaseartikkelen om hvordan spam stanses og om misbrukte adresser; andre leverandører har tilsvarende regler.
En ny IP-adresse: oppvarming
En IP-adresse som aldri har sendt e post før, har intet omdømme. Begynner den med en gang med tusenvis av e poster per dag, ser mottakerne det som mistenkelig. Microsoft bremser for eksempel en slik adresse med en midlertidig feil (451 4.7.500 Server busy, leksjon 6.4).
Derfor varmer du opp en ny IP-adresse: du begynner med et lite antall e poster per dag, helst til mottakere som forventer og åpner e posten din, og øker dette gradvis over noen uker. Sendetjenester gjør dette for deg hvis du kjøper en egen IP-adresse hos dem. For vanlig forretningsmessig e post via en hostingpakke eller e posttjeneste trenger du ikke gjøre dette.
Du står på en liste: hva nå?
Rekkefølgen er viktig:
- Finn ut hvilken IP-adresse det gjelder. Står den i feilmeldingen? Er det adressen til hostingselskapet eller e posttjenesten din, eller til din egen internettilkobling? Det siste betyr som regel at e postprogrammet ditt ikke sender via SMTP-serveren til leverandøren din (leksjon 1.4).
- Er det ikke din server, meld det til administratoren. Ved delt hosting eller en e posttjeneste løser leverandøren dette. Send med hele feilmeldingen.
- Er det din server, finn først årsaken. Et hacket passord, et sårbart kontaktskjema, et infisert nettsted som sender e post, en kjøpt adresseliste. Så lenge årsaken består, havner du straks på listen igjen.
- Be først deretter om fjerning, via nettstedet til listen. Hos SpamCop er det ikke nødvendig: den oppføringen utløper av seg selv hvis det ikke kommer nye meldinger.
- Kontroller på nytt etter en dag.
Betal aldri en aktør som lover å «fjerne deg fra alle lister». Seriøse lister fjerner gratis.
I praksis: slik ser det ut
I dette eksempelet bruker vi E-postsjekken på weboke.no: den viser under Blacklist Status per liste om IP-adressen til din første mailserver står på den. Legg merke til: det er adressen der e posten din kommer inn (MX-en). For din utgående e post må du kontrollere IP-adressen til sendeserveren, og den finner du i headerne (leksjon 5.1). Uavhengige verktøy som MXToolbox og check.spamhaus.org fungerer på samme måte: du fyller inn en IP-adresse og ser resultatet per liste.
Oppsummering
- Omdømme handler om atferd: klager, ukjente adresser, topper, spamfeller. SPF, DKIM og DMARC sier bare hvem som sender.
- Mottakere ser på IP-omdømme og i økende grad på domeneomdømme.
- En blokkeringsliste er en DNS-sone: et
127.0.0.x-svar er en oppføring,127.255.255.xer en feilkode, NXDOMAIN betyr ikke på listen. - Spamhaus PBL er ikke en straff, men et tegn på at du må sende via serveren til leverandøren din.
- Ved en oppføring: først finn riktig IP-adresse og årsak, så be om fjerning.
Quiz
Oppgave
Oppgave Z5.2: Utsendings-IP-en din på blokkeringslister. Bruk IP-adressen til sendeserveren din fra oppgaven i leksjon 5.1 (eller adressen til mx00.t-online.de). Slå det opp selv hos check.spamhaus.org eller et annet blokkeringslisteverktøy og fyll inn: står adressen på Spamhaus (ja/nei), og i så fall på hvilken dellist. Programmet kontrollerer samme adresse live mot Spamhaus, SpamCop og Barracuda og sammenligner.
Oppgave O5.2: Hva gjør du ved en oppføring på en blokkeringsliste? Du får en case: en liten nettbutikk på egen VPS har siden i morges stått på Spamhaus XBL. Skriv ned i høyst fem trinn hva du gjør og i hvilken rekkefølge. Deretter ser du modellsvaret.
Oppgave O5.2: Hva gjør du ved en oppføring på en blokkeringsliste?
Case: en liten nettbutikk på en egen VPS har stått på Spamhaus XBL siden i morges; kunder får ikke ordrebekreftelsen sin. Hva gjør du, i maks fem trinn?
1. Sjekk hvilken IP-adresse og hvilken liste (check.spamhaus.org), og om det faktisk er VPS-ens adresse. 2. Finn årsaken: XBL betyr infeksjon eller misbruk (hacket nettside, lekk kontaktskjema, skadevare); se i maillogg og kø, og stopp utgående e-post. 3. Løs årsaken: tett lekkasjen, bytt passord, fjern skadevare, tøm køen for spam. 4. Be først da om fjerning fra listen. 5. I mellomtiden sendes ordrebekreftelser via en annen rute (SMTP med innlogging hos leverandøren eller en transaksjonstjeneste), og sjekk på nytt etter en dag. Stopp og reparer først, så fjerner du deg fra listen; ellers er du der igjen i morgen.
Avkrysningene og notatene dine blir kun i denne nettleseren; vi sender dem ikke noe sted. Er du logget inn, lagrer vi kun i Mine kurs at du har gjort oppgaven.
Les mer
Trinnene i disse artiklene gjelder for panelene til WebOké; hos andre leverandører fungerer det på en tilsvarende måte.
- DirectAdmin-veiledning 9.5: Sending avvist: svartelister og grenser
- Hvordan blokkerer WebOké spam?
- E-postkonto kapret eller spam fra din adresse: slik rydder du opp
- Min e-post kommer ikke frem eller havner i spam: slik finner du ut hvorfor
- E-postsjekk (gratis kontroll av MX, SPF, DMARC og blokkeringslister): https://www.weboke.no/e-postsjekk
- Spamhaus, kontroll og forklaring: https://check.spamhaus.org/
- RFC 5782 (hvordan DNS-blokkeringslister fungerer)