Ressources
Listes noires IP : les listes qui comptent, le retrait et son coût
Une liste noire IP (blocklist ou blacklist) est une liste d'adresses que les systèmes destinataires refusent ou traitent avec méfiance, le plus souvent parce qu'elles ont envoyé du spam ou montrent des signes de compromission. Certaines listes couvrent des plages ou des réseaux entiers plutôt que des adresses isolées, et une inscription peut rester attachée à une adresse lorsqu'elle passe à son titulaire suivant : l'historique d'un bloc compte donc autant que son usage. La plupart des inscriptions prennent fin gratuitement une fois la cause supprimée.
Comment fonctionne une liste noire
La plupart des listes noires répondent par le DNS. Un serveur de messagerie qui reçoit une connexion de 192.0.2.99 interroge la liste pour 99.2.0.192. suivi de la zone de la liste : une réponse telle que 127.0.0.2 signifie inscrit, l'absence de réponse signifie non inscrit, et un enregistrement texte donne en général la raison, qui finit souvent dans le message de rejet. Le RFC 5782 décrit cette convention.
Tout ce qu'on appelle liste noire ne fonctionne pas ainsi :
| Type | Ce qu'il répond | Exemples |
|---|---|---|
| Liste noire DNS | Inscrit ou non, par adresse ou par plage | Spamhaus, SpamCop, UCEPROTECT, Barracuda |
| Score de réputation | Un score gradué | Cisco Talos ; AbuseIPDB, de 0 à 100 |
| Flux de menaces | Une liste que les pare-feu et les routeurs utilisent pour rejeter tout le trafic, pas seulement le courrier | Spamhaus DROP, Spamhaus BCL |
| Classification | Une étiquette telle qu'hébergement, VPN ou proxy, pas un jugement d'abus | Les données d'IP anonymes de MaxMind, la liste des hébergeurs d'AWS WAF |
L'espace loué se heurte le plus souvent au dernier type. Un bloc sans aucun historique d'abus peut quand même être étiqueté comme espace d'hébergement et refusé par un service de streaming ou par un site placé derrière un pare-feu qui filtre sur cette étiquette.
Ce qui fait inscrire une adresse
| Cause | Listes alimentées |
|---|---|
| Du courrier envoyé à des pièges à spam | UCEPROTECT Level 1, PSBL, Abusix |
| Des destinataires qui signalent le courrier comme spam | SpamCop |
| Une machine compromise : logiciel malveillant, connexions par force brute, application proxy | Spamhaus XBL, Abusix |
| Des envois en masse de faible réputation, une mauvaise hygiène des listes, un serveur mal configuré | Spamhaus CSS, invaluement |
| Les opérations de spam et l'hébergement qui les soutient | Spamhaus SBL, qui peut étendre une inscription à un réseau entier |
| Des plages détournées ou louées par des organisations criminelles | Spamhaus DROP et sa liste d'ASN |
| De l'espace d'utilisateurs finaux qui ne devrait pas envoyer de courrier directement | Spamhaus PBL, qui indique que ses entrées ne sont « not necessarily 'bad' » (traduction : « pas nécessairement “mauvaises” ») |
| Des scans de ports et des attaques contre le réseau de la liste elle-même | UCEPROTECT Level 1 |
| Force brute et autres attaques signalées par les serveurs participants | blocklist.de |
| Le comportement d'un titulaire précédent | Toute liste qui n'a pas levé l'inscription |
Adresses isolées, plages et réseaux entiers
La plupart des listes nomment des adresses isolées. Plusieurs travaillent à plus grande échelle :
- Spamhaus SBL inscrit « both individual IPs and IP ranges » (traduction : « à la fois des IP isolées et des plages d'IP ») et peut étendre une inscription à l'infrastructure propre d'un réseau.
- Spamhaus PBL et DROP inscrivent des plages.
- UCEPROTECT Level 2 inscrit une allocation entière dès qu'elle cumule assez d'inscriptions de Level 1 en sept jours : quatre, pour un /24, et moins pour une plus petite, jusqu'à une seule en dessous d'un /27.
- UCEPROTECT Level 3 inscrit toutes les adresses annoncées par un ASN qui a trop d'inscriptions, si bien qu'un même bloc peut être inscrit sous un réseau et propre sous un autre.
- invaluement tient une liste de /24 entiers.
Un bloc propre peut donc être inscrit à cause de ses voisins ou du réseau qui l'annonce.
Les listes qui comptent en 2026
| Liste | Comment une inscription prend fin |
|---|---|
| Spamhaus SBL, CSS, XBL, PBL, DROP | SBL : seul l'opérateur du réseau peut demander le retrait. CSS : environ trois jours après le dernier spam, ou retrait par soi-même. XBL : automatiquement, une fois le comportement arrêté. Jamais de frais |
| Barracuda BRBL | Une demande de retrait, en général traitée sous 12 heures |
| SpamCop, géré par Cisco | Automatiquement, 24 heures après le dernier signalement |
| UCEPROTECT Levels 1 à 3 | Level 1 : sept jours après le dernier piège à spam touché. Levels 2 et 3 : dès que les critères ne sont plus remplis. Retrait plus rapide contre paiement |
| Microsoft, expéditeurs bloqués | En libre-service sur son portail de retrait, ce qui peut prendre jusqu'à 24 heures ou plus |
| Proofpoint et Cloudmark | Une demande via son outil de recherche |
| Abusix | En libre-service après inscription ; sinon, les inscriptions expirent environ cinq jours après le dernier incident |
| Mailspike | Un formulaire de demande, traité en 6 à 36 heures |
| PSBL | N'importe qui peut retirer une adresse, gratuitement |
| AbuseIPDB, géré par Marathon Studios | Un score issu des signalements des utilisateurs qui diminue avec le temps ; il n'y a pas de retrait |
| blocklist.de | Une page de retrait |
Les listes ferment et fusionnent. SORBS a fermé le 5 juin 2024, NiX Spam a fermé en janvier 2025, le CBL a rejoint Spamhaus XBL en 2021, Spamhaus a intégré EDROP à DROP le 10 avril 2024, et son Blocklist Removal Center est devenu l'IP and Domain Reputation Checker le 4 mars 2021. Un outil de contrôle qui signale encore SORBS n'est pas à jour.
Obtenir un retrait
- Trouvez d'abord la cause et supprimez-la. Une demande pour une adresse qui envoie encore du spam est refusée, et les demandes répétées sont souvent ignorées.
- Suivez la procédure de la liste elle-même, d'après le tableau ci-dessus. Une liste qui nomme un réseau, comme une inscription SBL, attend la demande de l'opérateur du réseau, pas de l'utilisateur final.
- Ne payez pas un tiers. Spamhaus ne facture jamais rien, et indique que toute offre de retrait payant d'une inscription Spamhaus est une arnaque. Là où des frais existent, c'est la liste elle-même qui les facture : UCEPROTECT demande 89 CHF pour retirer immédiatement une adresse du Level 1, 249 CHF pour une allocation et 449 CHF pour un ASN, tout cela étant facultatif, puisque les inscriptions expirent aussi gratuitement.
- Respectez le délai propre à la liste. SpamCop lève l'inscription après 24 heures, Spamhaus CSS après environ trois jours, Abusix après environ cinq, UCEPROTECT Level 1 après sept.
Contrôler un bloc
| Outil | Ce qu'il contrôle |
|---|---|
| Spamhaus IP and Domain Reputation Checker | Toutes les listes Spamhaus, pour l'IPv4, l'IPv6 et les domaines |
| MxToolbox | Plus d'une centaine de listes noires DNS, avec surveillance dans ses offres |
| MultiRBL | Des centaines de listes, pour l'IPv4, l'IPv6 et les domaines |
| HetrixTools | Quelque 60 listes IP, IPv4 uniquement, avec surveillance à partir d'une fois par jour |
| UCEPROTECT | Ses trois niveaux, et si une plage ou l'ASN est inscrit |
| AbuseIPDB | Les signalements visant une adresse, et un /24 d'un coup via son API |
| Microsoft SNDS | Les données d'Outlook.com pour les adresses dont vous avez prouvé le contrôle |
Contrôlez via votre propre résolveur : Spamhaus répond aux requêtes qui passent par des résolveurs DNS publics avec 127.255.255.254, ce qui est un refus, pas une inscription. Avant de prendre un bloc, contrôlez chacune de ses adresses, la plage et le réseau qui l'annoncera ; le reste de ce qu'il faut examiner se trouve dans contrôler un bloc avant de l'acheter, et la manière de le garder propre dans la gestion de la réputation IP.
À quelle fréquence contrôler
Aucune norme ne fixe d'intervalle : le nôtre découle de la durée des inscriptions. Au moins une fois par jour : SpamCop lève une inscription après un jour et Spamhaus CSS après environ trois, si bien qu'un contrôle hebdomadaire peut en manquer une entièrement. Toutes les quelques heures pour les adresses qui envoient du courrier. Ce qui compte le plus, c'est qu'une nouvelle inscription parvienne à quelqu'un qui agit.
La place de RTM Networks
Nous contrôlons en continu chaque adresse IPv4 que nous détenons sur plus de 10 listes noires. Un bloc que nous vous louons est contrôlé avant que vous ne le receviez et surveillé tant que vous l'avez, et nous surveillons aussi les blocs d'autres entreprises, avec un rapport de leurs inscriptions : voir la surveillance des listes noires, et demandez-nous si vous la souhaitez pour les vôtres.
Contact
Vous voulez garder vos adresses IP propres ?
Dites-nous quelles plages vous voulez faire surveiller et comment les signalements d'abus doivent être transmis à vos clients. Nous répondons en général sous 1 à 3 heures ouvrées.
