Rykte och blocklistor

Modul 5: Rykte och de stora mottagarna · Lästid: 10 minuter

Lärandemål: Efter denna lektion kan du förklara hur mottagare bygger upp ryktet för en IP-adress och ett domän, kontrollera en IP-adress mot blocklistor och hålla rätt ordning om du hamnar på en sådan lista.

Nyckelbegrepp: rykte, IP-rykte, domänrykte, blocklista (DNSBL), Spamhaus (SBL, XBL, PBL), SpamCop, Barracuda, uppslagning med en omvänd IP-adress, 127.0.0.x-svar, felkod 127.255.255.x, delad IP-adress, uppvärmning, avlistning

Vad är rykte?

SPF, DKIM och DMARC bevisar vem som skickar mejlet. De säger ingenting om huruvida avsändaren är pålitlig. En spammare kan mycket väl ha ett eget domän med korrekt SPF, DKIM och DMARC. Därför håller mottagare dessutom koll på hur en avsändare beter sig. Det kallas rykte.

Det finns två typer:

• IP-rykte: hur beter sig mejlet som kommer från denna IP-adress? Mycket spam, många adresser som inte finns, plötsliga toppar: då sjunker ryktet.
• Domänrykte: hur beter sig mejlet som kommer i detta domäns namn, mätt utifrån domänet i DKIM (d=) och i avsändaradressen? Detta blir allt viktigare, eftersom ett domän flyttar med dig till en ny server, medan en IP-adress inte gör det.

Vad räknas? Stora mottagare offentliggör inte sin formel, men nämner ändå ständigt samma signaler: hur många mottagare som markerar ditt mejl som spam (klagomål), hur mycket mejl som går till adresser som inte finns, om mottagare öppnar, besvarar eller direkt kastar ditt mejl, hur regelbundet du skickar, och om du hamnar i spamfällor (adresser som ingen någonsin har registrerat). Gmail visar klagomålsfrekvensen i Postmaster Tools (lektion 5.3), Microsoft visar läget per IP-adress i SNDS (lektion 6.4).

Blocklistor: en delad svart lista

Förutom sina egna mätningar använder många mejlservrar offentliga blocklistor (även kallade blacklists eller RBL:er). En sådan lista innehåller IP-adresser (ibland domäner) som har skickat spam eller som aldrig borde skicka mejl direkt. En mejlserver som tar emot en inkommande anslutning från 192.0.2.25 slår upp listan och nekar anslutningen om adressen finns där.

De mest kända:

Spamhaus kombinerar sina listor i ZEN (zen.spamhaus.org). Dessutom finns det dussintals mindre listor. En notering på en liten lista som nästan ingen använder är ofta ingen katastrof. En notering på Spamhaus SBL eller XBL däremot: den används av en stor del av mejlservrarna.

Hur fungerar en uppslagning?

En blocklista är helt enkelt en DNS-zon. Vill en server veta om 192.0.2.25 finns på ZEN, vänder den på adressen (precis som vid reverse DNS) och lägger till listans namn efteråt:

dig +short 25.2.0.192.zen.spamhaus.org

• Inget svar (NXDOMAIN): finns inte på listan.
• En adress 127.0.0.x: finns på listan. Det sista talet anger vilken dellista. För ZEN är 127.0.0.2 SBL, 127.0.0.4 XBL och 127.0.0.10 eller 127.0.0.11 PBL.
• En adress 127.255.255.x: en felkod, ingen notering. Spamhaus ger till exempel 127.255.255.254 om du frågar via en offentlig resolver som Cloudflares. Spamhaus tillåter inte det, och ger då inget riktigt svar.

Det sistnämnda är en känd fallgrop. Ett verktyg eller en mejlserver som ser varje svar som "listad" slår onödigt larm, eller nekar till och med all mejl. Ett verktyg som ser varje uteblivet svar som "rent" missar riktiga noteringar. En tillförlitlig kontroll slår först upp en testadress per lista (127.0.0.2 finns alltid med på varje lista) och räknar endast en tydlig NXDOMAIN som "inte listad".

E-postkontrollen och Domänhälsa på weboke.se fungerar på det sättet, liksom kända oberoende verktyg som MXToolbox och Spamhaus egen kontrollsida (check.spamhaus.org).

Delade IP-adresser

Vid delat webbhotell och de flesta mejltjänster delar du IP-adressen för avsändarservern med andra kunder. Det har en fördel och en nackdel:

• En väl skött delad server har byggt upp ett rykte. Du drar nytta av det, även om du själv skickar lite mejl.
• Skickar en annan kund spam (ofta för att dennes lösenord är stulet), kan IP-adressen hamna på en lista och drabba dig också.

En bra leverantör bevakar därför sina egna IP-adresser mot blocklistor, inför utskicksgränser och ingriper vid missbruk. Hos WebOké beskrivs detta till exempel i kunskapsbankens artikel om hur spam stoppas och om missbrukade adresser; andra leverantörer har liknande regler.

En ny IP-adress: uppvärmning

En IP-adress som aldrig har skickat mejl har inget rykte. Börjar den direkt med tusentals mejl per dag, uppfattar mottagare det som misstänkt. Microsoft bromsar till exempel en sådan adress med ett tillfälligt fel (451 4.7.500 Server busy, lektion 6.4).

Därför värmer du upp en ny IP-adress: du börjar med ett litet antal mejl per dag, helst till mottagare som förväntar sig och öppnar ditt mejl, och ökar det stegvis under några veckor. Utskickstjänster gör detta åt dig om du köper en egen IP-adress hos dem. För vanlig affärsmejl via ett webbhotellspaket eller en mejltjänst behöver du inte göra detta.

Du finns på en lista: vad gör du nu?

Ordningen är viktig:

1. Fastställ vilken IP-adress det gäller. Står den i felmeddelandet? Är det adressen till ditt webbhotell eller din mejltjänst, eller till din egen internetanslutning? Det sistnämnda innebär oftast att ditt mejlprogram inte skickar via leverantörens SMTP-server (lektion 1.4).
2. Är det inte din server, rapportera det då till administratören. Vid delat webbhotell eller en mejltjänst löser leverantören detta. Skicka med hela felmeddelandet.
3. Är det din server, leta då först reda på orsaken. Ett hackat lösenord, ett läckande kontaktformulär, en infekterad webbplats som skickar mejl, en köpt adresslista. Så länge orsaken finns kvar hamnar du genast på listan igen.
4. Begär avlistning först efter det, via listans webbplats. Hos SpamCop behöver det inte göras: den noteringen upphör av sig själv om inga nya rapporter kommer in.
5. Kontrollera igen efter ett dygn.

Betala aldrig en part som lovar att "ta bort dig från alla listor". Seriösa listor tar bort gratis.

I praktiken: så här ser det ut

I det här exemplet använder vi E-postkontrollen på weboke.se: den visar under Blacklist Status per lista om IP-adressen till din första mejlserver finns med. Observera: det är adressen dit ditt mejl kommer in (MX-posten). För din utgående mejl måste du kontrollera IP-adressen till avsändarservern, och den hittar du i rubrikrader (lektion 5.1). Oberoende verktyg som MXToolbox och check.spamhaus.org fungerar på samma sätt: du fyller i en IP-adress och ser resultatet per lista.

Sammanfattning

• Rykte handlar om beteende: klagomål, okända adresser, toppar, spamfällor. SPF, DKIM och DMARC visar bara vem som skickar.
• Mottagare tittar på IP-rykte och i allt större utsträckning på domänrykte.
• En blocklista är en DNS-zon: ett 127.0.0.x-svar är en notering, 127.255.255.x är en felkod, NXDOMAIN betyder inte listad.
• Spamhaus PBL är inget straff utan ett tecken på att du bör skicka via din leverantörs server.
• Vid en notering: fastställ först rätt IP-adress och orsak, begär sedan avlistning.

Quiz

Uppgift

Uppgift Z5.2: Din avsändar-IP på blocklistor. Använd IP-adressen till din avsändarserver från uppgiften i lektion 5.1 (eller adressen till mx00.t-online.de). Slå själv upp det på check.spamhaus.org eller ett annat blocklistverktyg och fyll i: finns adressen på Spamhaus (ja/nej), och i så fall på vilken dellista. Programmet kontrollerar samma adress live mot Spamhaus, SpamCop och Barracuda och jämför.

Uppgift O5.2: Vad gör du vid en listning? Du får ett scenario: en liten webbutik på en egen VPS finns sedan i morse på Spamhaus XBL. Skriv ner i högst fem steg vad du gör och i vilken ordning. Sedan ser du facit.

Läs mer

Stegen i dessa artiklar gäller för WebOkés paneler; hos andra leverantörer fungerar det på liknande sätt.

• DirectAdmin-guide 9.5: Skicka nekad: svarta listor och gränser
• Hur blockerar WebOké skräppost?
• Har någon tagit över din brevlåda eller skickas det skräppost från din adress? Så här städar du upp
• Mitt e-postmeddelande kommer inte fram eller hamnar i skräppost: så tar du reda på varför
• E-postkontroll (gratis kontroll av MX, SPF, DMARC och blocklistor): https://www.weboke.se/e-postkontroll
• Spamhaus, kontroll och förklaring: https://check.spamhaus.org/
• RFC 5782 (hur DNS-blocklistor fungerar)