Reputação e listas de bloqueio

Módulo 5: Reputação e os grandes destinatários · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: Depois desta lição, saberá explicar como os destinatários constroem a reputação de um endereço IP e de um domínio, verificar um endereço IP em listas de bloqueio e seguir a ordem correta caso o seu endereço lá conste.

Conceitos-chave: reputação, reputação de IP, reputação de domínio, lista de bloqueio (DNSBL), Spamhaus (SBL, XBL, PBL), SpamCop, Barracuda, consulta com endereço IP invertido, resposta 127.0.0.x, código de erro 127.255.255.x, IP partilhado, aquecimento (warm-up), remoção de listas (delisting)

O que é a reputação?

O SPF, o DKIM e o DMARC comprovam quem envia o email. Não dizem nada sobre se esse remetente é de confiança. Um spammer pode perfeitamente ter o seu próprio domínio com SPF, DKIM e DMARC corretamente configurados. Por isso, os destinatários também registam o comportamento de um remetente. A isso chama-se reputação.

Existem dois tipos:

• Reputação de IP: como se comporta o correio proveniente deste endereço IP? Muito spam, muitos endereços inexistentes, picos repentinos: tudo isto faz a reputação descer.
• Reputação de domínio: como se comporta o correio enviado em nome deste domínio, medido pelo domínio presente no DKIM (d=) e no endereço de remetente? Isto está a tornar-se cada vez mais importante, porque um domínio muda consigo para um novo servidor, ao contrário de um endereço IP.

O que conta? Os grandes destinatários não divulgam a sua fórmula, mas referem sempre os mesmos sinais: quantos destinatários marcam o seu correio como spam (reclamações), quanto correio é enviado para endereços inexistentes, se os destinatários abrem, respondem ou eliminam imediatamente o seu correio, com que regularidade envia mensagens e se cai em armadilhas de spam (endereços que ninguém jamais forneceu). O Gmail mostra a percentagem de reclamações no Postmaster Tools (lição 5.3), e a Microsoft mostra o panorama por endereço IP no SNDS (lição 6.4).

Listas de bloqueio: uma lista negra partilhada

Além das suas próprias medições, muitos servidores de correio utilizam listas de bloqueio públicas (também chamadas blacklists ou RBL). Uma lista destas contém endereços IP (por vezes domínios) que enviaram spam ou que nunca deveriam enviar correio diretamente. Um servidor de correio que recebe uma ligação de 192.0.2.25 consulta a lista e recusa a ligação se o endereço lá constar.

As mais conhecidas:

A Spamhaus combina as suas listas em ZEN (zen.spamhaus.org). Além disso, existem dezenas de listas mais pequenas. Constar numa lista pequena que quase ninguém utiliza raramente é um problema grave. Constar na Spamhaus SBL ou XBL já é: estas são utilizadas por grande parte dos servidores de correio.

Como funciona uma consulta?

Uma lista de bloqueio é simplesmente uma zona DNS. Se um servidor quiser saber se 192.0.2.25 consta na ZEN, inverte o endereço (tal como no DNS inverso) e acrescenta o nome da lista:

dig +short 25.2.0.192.zen.spamhaus.org

• Sem resposta (NXDOMAIN): não consta na lista.
• Um endereço 127.0.0.x: consta na lista. O último número indica qual sublista. Na ZEN, 127.0.0.2 corresponde à SBL, 127.0.0.4 à XBL e 127.0.0.10 ou 127.0.0.11 à PBL.
• Um endereço 127.255.255.x: um código de erro, não uma listagem. A Spamhaus devolve, por exemplo, 127.255.255.254 se a consulta for feita através de um resolvedor público como o da Cloudflare. A Spamhaus não permite isso e, nesse caso, não dá uma resposta real.

Esta última situação é uma armadilha conhecida. Uma ferramenta ou servidor de correio que interprete qualquer resposta como "listado" dispara um alarme indevido, ou até recusa todo o correio. Uma ferramenta que interprete qualquer ausência de resposta como "limpo" perde listagens reais. Uma verificação fiável consulta primeiro um endereço de teste por lista (127.0.0.2 consta sempre em todas as listas) e só conta um NXDOMAIN claro como "não listado".

A Verificação de email e a Saúde do domínio em weboke.nl/pt funcionam desta forma, tal como as conhecidas ferramentas independentes, como o MXToolbox e a própria página de verificação da Spamhaus (check.spamhaus.org).

Endereços IP partilhados

No alojamento partilhado e na maioria dos serviços de correio, partilha o endereço IP do servidor de envio com outros clientes. Isto tem uma vantagem e uma desvantagem:

• Um servidor partilhado bem gerido tem uma reputação consolidada. Beneficia disso, mesmo que envie pouco correio.
• Se outro cliente enviar spam (frequentemente porque a sua palavra-passe foi roubada), o endereço IP pode acabar numa lista e o senhor também sofre as consequências.

Um bom fornecedor, por isso, monitoriza os seus próprios endereços IP em listas de bloqueio, define limites de envio e intervém em caso de abuso. Na WebOké, isto está descrito, por exemplo, no artigo da base de conhecimento sobre como o spam é travado e sobre endereços utilizados de forma abusiva; outros fornecedores têm regras semelhantes.

Um novo endereço IP: aquecimento

Um endereço IP que nunca enviou correio não tem reputação. Se começar logo a enviar milhares de mensagens por dia, os destinatários consideram isso suspeito. A Microsoft, por exemplo, trava um endereço destes com um erro temporário (451 4.7.500 Server busy, lição 6.4).

Por isso, aquece um novo endereço IP gradualmente: começa com um pequeno número de mensagens por dia, de preferência para destinatários que esperam e abrem o seu correio, e aumenta esse número passo a passo ao longo de algumas semanas. Os serviços de envio fazem isto por si se adquirir um endereço IP próprio junto deles. Para correio empresarial comum através de um pacote de alojamento ou serviço de correio, não precisa de fazer isto.

O seu endereço consta numa lista: o que fazer agora?

A ordem é importante:

1. Determine de que endereço IP se trata. Consta na mensagem de erro? É o endereço da sua empresa de alojamento ou serviço de correio, ou da sua própria ligação à internet? Isto último significa geralmente que o seu programa de correio não envia através do servidor SMTP do seu fornecedor (lição 1.4).
2. Se não for o seu servidor, comunique ao administrador. No alojamento partilhado ou num serviço de correio, o fornecedor resolve isto. Envie a mensagem de erro completa.
3. Se for o seu servidor, procure primeiro a causa. Uma palavra-passe comprometida, um formulário de contacto vulnerável, um sítio web infetado que envia correio, uma lista de endereços comprada. Enquanto a causa existir, voltará imediatamente à lista.
4. Só depois peça a remoção, através do sítio da lista. Na SpamCop isso não é necessário: a listagem expira automaticamente se não houver novas denúncias.
5. Volte a verificar após um dia.

Nunca pague a uma entidade que prometa "remover o seu endereço de todas as listas". As listas sérias removem gratuitamente.

Na prática: é assim que se apresenta

Neste exemplo, utilizamos a Verificação de email de weboke.nl/pt: em Blacklist Status, mostra, por lista, se o endereço IP do seu primeiro servidor de correio lá consta. Atenção: este é o endereço onde o seu correio chega (o MX). Para o seu correio de saída, tem de verificar o endereço IP do servidor de envio, que obtém a partir dos cabeçalhos (lição 5.1). As ferramentas independentes, como o MXToolbox e check.spamhaus.org, funcionam da mesma forma: introduz um endereço IP e vê o resultado por lista.

Resumo

• A reputação diz respeito ao comportamento: reclamações, endereços desconhecidos, picos, armadilhas de spam. O SPF, o DKIM e o DMARC apenas indicam quem envia.
• Os destinatários analisam a reputação de IP e, cada vez mais, a reputação de domínio.
• Uma lista de bloqueio é uma zona DNS: uma resposta 127.0.0.x é uma listagem, 127.255.255.x é um código de erro, NXDOMAIN significa não listado.
• A Spamhaus PBL não é uma penalização, mas um sinal de que deve enviar através do servidor do seu fornecedor.
• Perante uma listagem: primeiro determine o endereço IP correto e a causa, só depois peça a remoção.

Quiz

Exercício

Exercício Z5.2: O seu IP de envio em listas de bloqueio. Utilize o endereço IP do seu servidor de envio obtido no exercício da lição 5.1 (ou o endereço de mx00.t-online.de). Consulte-o pessoalmente em check.spamhaus.org ou noutra ferramenta de listas de bloqueio e preencha: o endereço consta na Spamhaus (sim/não) e, em caso afirmativo, em que sublista. O programa verifica em tempo real o mesmo endereço na Spamhaus, SpamCop e Barracuda e compara os resultados.

Exercício O5.2: O que fazer perante uma listagem? Recebe um caso: uma pequena loja online com um VPS próprio consta, desde esta manhã, na Spamhaus XBL. Escreva, em no máximo cinco passos, o que faz e em que ordem. Depois, verá a resposta-modelo.

Para saber mais

Os passos descritos nestes artigos aplicam-se aos painéis da WebOké; junto de outros fornecedores, o funcionamento é semelhante.

• Manual DirectAdmin 9.5: Envio recusado: listas negras e limites
• Como bloqueia a WebOké o spam?
• Caixa de correio comprometida ou envio de spam a partir do seu endereço: saiba como resolver
• O meu e-mail não chega ou vai parar ao spam: assim pode descobrir porquê
• Verificação de email (verificação gratuita de MX, SPF, DMARC e listas de bloqueio): https://www.weboke.nl/pt/verificar-email
• Spamhaus, verificação e explicação: https://check.spamhaus.org/
• RFC 5782 (como funcionam as listas de bloqueio DNS)