Un matin, vos messages ne partent plus. Le journal d’envoi répète la même ligne, et elle contient un nom : Spamhaus.
Commence alors une séquence prévisible. Quelqu’un cherche « faire retirer IP Spamhaus », tombe sur un service qui promet un déblocage en 24 heures contre paiement, et hésite.
Une phrase règle la question, et elle est publiée par Spamhaus : « There is never any charge or fee associated with removing any Spamhaus listing. »
Le critère, et ce qu’il ne regarde pas
La page de la liste principale, la SBL, énonce le critère d’inscription sans détour :
« Spamhaus’ listing criteria for SBL inclusion is « unsolicited bulk email » (UBE). Spamhaus does not evaluate the content or legality of the contents of an email message, merely whether that message constitutes spam by this definition. »
Relisez la seconde phrase. Spamhaus n’évalue ni le contenu, ni la légalité du contenu. Uniquement le caractère non sollicité et le caractère de masse.
Une campagne parfaitement licite, fondée sur l’intérêt légitime, adressée à des professionnels, avec toutes les mentions requises, entre dans cette définition dès lors qu’elle est massive et non sollicitée.
C’est la même ligne de partage que celle que nous avons décrite ailleurs : le droit et les opérateurs ne jugent pas la même chose. Être en règle avec la CNIL et listé chez Spamhaus n’est pas une contradiction. C’est deux tribunaux différents.
La liste sur laquelle vous êtes probablement, et qui n’est pas une sanction
Avant de vous croire accusé de spam, vérifiez de quelle liste il s’agit. La plus vaste, la PBL, ne dit rien de votre comportement.
« The Policy Blocklist is a dataset containing end-user IP address ranges from which email should never be sent directly to the final destination. »
Et cette précision, qui devrait figurer en tête de tout guide de dépannage :
« The IPs in this dataset are not necessarily « bad » – simply, they should never be sending email. »
La PBL contient plus de 1,4 milliard d’adresses IPv4, soit près de 40 % de l’espace IPv4 routable. Ce sont les plages résidentielles et les plages non destinées à héberger un serveur de messagerie.
Si votre application envoie directement depuis un serveur mal déclaré, ou depuis une connexion grand public, vous n’êtes pas puni : vous êtes simplement au mauvais endroit. La sortie est d’ailleurs prévue, à l’initiative de l’utilisateur : « If the Policy for a particular network allows it, end users can have their IP excluded from PBL. »
La SBL, elle, est incomparablement plus étroite : « On average, this dataset contains 30-40 thousand listings, maintained by an Open Source Intelligence (OSINT) research team. » Trente à quarante mille inscriptions, tenues par une équipe d’enquêteurs. Y figurer signifie qu’un humain vous a regardé.
Comment on en sort, réellement
La séquence publiée par Spamhaus tient en quatre étapes, et l’ordre compte.
Consulter la page de l’inscription, qui décrit le problème constaté. Régler ce problème de manière définitive. Contacter le service abus de son fournisseur. Laisser ce fournisseur soumettre la demande de retrait.
Le point qui surprend est le troisième. Sur une inscription SBL portant sur une plage, ce n’est pas vous qui demandez le retrait, c’est le propriétaire de l’espace d’adressage. Ce qui explique la lenteur ressentie : vous attendez un service abus qui n’a pas vos priorités.
La propagation, elle, est rapide : « The SBL DNS zone is rebuilt and reloaded every 5 minutes, 24/7, to ensure that new spam problems are swiftly blocked and that fixed problems are swiftly removed. »
Cinq minutes après la levée, la levée est effective partout. Le délai n’est jamais technique. Il est dans le temps qu’il vous faut pour corriger, et dans celui que met votre fournisseur à traiter le dossier.
Ce que Spamhaus recommande, et ce que cela dit de vous
La même page publie une liste de bonnes pratiques pour éviter l’inscription. Deux points méritent d’être relevés, parce qu’ils désignent des causes que l’on n’imagine pas.
Le premier concerne vos formulaires : Spamhaus recommande d’utiliser un captcha ou un autre mécanisme anti-robot « in order to prevent « mail bombing » and unauthorized subscriptions ».
Un formulaire d’inscription non protégé est une arme. Un attaquant y injecte des milliers d’adresses volées, votre système envoie consciencieusement un message de bienvenue à chacune, et c’est votre IP qui figure sur la liste. Vous n’avez rien fait de mal, sinon laisser une porte ouverte.
Le second concerne la sortie SMTP : « configure your firewall to allow outbound SMTP traffic (destination port 25) only if originated from your mail server internal IP ». Une machine compromise sur votre réseau qui parle en direct sur le port 25, c’est une inscription assurée, et le message d’erreur ne dira jamais quelle machine.
Le reste de la liste est plus attendu, et pourtant régulièrement négligé : hygiène de liste « to avoid spam traps and ensure only real and interested recipients are sent your emails », que règle une vérification de l’existence réelle des adresses avant l’envoi, et cohérence du nom d’hôte, du HELO et du DNS inverse.
Ce dernier point recoupe exactement l’exigence de DNS inverse cohérent que Google publie de son côté. Les mêmes causes, chez tout le monde.
Ce que les opérateurs en font
Spamhaus ne bloque rien. Il publie des données, et d’autres décident.
Yahoo, dans sa page de codes d’erreur, envoie explicitement l’expéditeur vers cette source : « Your IP is listed by Spamhaus. Please check with https://www.spamhaus.org. »
Google, dans ses lignes directrices, recommande de vérifier qu’une IP partagée ne figure sur aucune liste de blocage avant de l’utiliser.
L’usage des données est gratuit pour les petits volumes non commerciaux, et payant par abonnement annuel au-delà. C’est le modèle économique de Spamhaus : il vend l’accès aux données à ceux qui filtrent, jamais la sortie à ceux qui sont filtrés.
Ce que vous faites demain matin
Si vous êtes listé, identifiez d’abord la liste. PBL, CSS et SBL ne racontent pas la même histoire et ne se traitent pas de la même façon. La première est presque toujours une erreur d’architecture, la dernière est presque toujours un incident réel.
Cherchez ensuite la cause avant la sortie. Une IP retirée sans correction est une IP qui revient sur la liste, et les allers-retours pèsent plus lourd qu’une inscription unique.
Vérifiez, aujourd’hui, que votre formulaire d’inscription est protégé contre l’injection automatisée. C’est la cause la plus fréquente d’un incident chez une entreprise qui n’a rien à se reprocher, et c’est celle qui se corrige en une heure.
Et si un prestataire vous propose un déblocage express contre paiement, vous savez maintenant ce que vaut sa proposition. La sortie est gratuite, elle l’a toujours été, et Spamhaus prend la peine de l’écrire avec le mot « never ».
Sources
- Spamhaus. Spamhaus Blocklist (SBL)
- Spamhaus. Policy Blocklist (PBL)
- Spamhaus. Marketing email FAQ
- Yahoo. SMTP error codes, Yahoo Sender Hub
- Google. Email sender guidelines, Google Workspace Admin Help
LaFactory travaille l’emailing sur pièces : en-têtes, enregistrements DNS, journaux de rejet. Aucune promesse de taux d’ouverture, jamais. Contactez-nous pour un audit de délivrabilité.