Resurser
Svartlistning av IP-adresser: vilka listor som spelar roll, hur avlistning går till och vad den kostar
En blocklista för IP-adresser, eller svartlista, är en lista över adresser som mottagande system vägrar eller behandlar med misstänksamhet, oftast för att de har skickat spam eller visar tecken på att vara komprometterade. Vissa listor omfattar hela adressintervall eller nät snarare än enskilda adresser, och en listning kan följa med en adress när den går vidare till nästa innehavare, så ett blocks historik spelar lika stor roll som dess användning. De flesta listningar upphör gratis när orsaken har upphört.
Hur en blocklista fungerar
De flesta blocklistor svarar via DNS. En e-postserver som tar emot en anslutning från 192.0.2.99 frågar listan efter 99.2.0.192. följt av listans zon: ett svar som 127.0.0.2 betyder listad, inget svar betyder inte listad, och en textpost anger oftast skälet, som ofta hamnar i avvisningsmeddelandet. RFC 5782 beskriver konventionen.
Allt som kallas svartlista fungerar inte så:
| Typ | Hur den svarar | Exempel |
|---|---|---|
| DNS-blocklista | Listad eller inte, per adress eller intervall | Spamhaus, SpamCop, UCEPROTECT, Barracuda |
| Ryktespoäng | En graderad poäng | Cisco Talos; AbuseIPDB, från 0 till 100 |
| Hotflöde | En lista som brandväggar och routrar använder för att blockera all trafik, inte bara e-post | Spamhaus DROP, Spamhaus BCL |
| Klassificering | En etikett som hosting, VPN eller proxy, inte ett omdöme om missbruk | MaxMinds data om anonyma IP-adresser, AWS WAF:s lista över hostingleverantörer |
Hyrda adresser stöter oftast på den sista typen. Ett block utan historik av missbruk kan ändå märkas som hostingutrymme och vägras av en streamingtjänst eller en webbplats bakom en brandvägg som filtrerar på den etiketten.
Vad som gör att en adress listas
| Orsak | Listor den matar |
|---|---|
| E-post till spamfällor | UCEPROTECT Level 1, PSBL, Abusix |
| Mottagare som anmäler e-post som spam | SpamCop |
| En komprometterad maskin: skadlig kod, inloggningsförsök med brute force, en proxyapp | Spamhaus XBL, Abusix |
| Massutskick med lågt rykte, dålig listhygien, en felkonfigurerad server | Spamhaus CSS, invaluement |
| Spamverksamheter och hostingen som stöder dem | Spamhaus SBL, som kan utvidga en listning till ett helt nät |
| Adressintervall som tagits över eller hyrts av kriminella verksamheter | Spamhaus DROP och dess lista över ASN |
| Slutanvändarutrymme som inte ska skicka e-post direkt | Spamhaus PBL, som säger att dess poster ”not necessarily ’bad’” (översättning: inte nödvändigtvis ”dåliga”) |
| Portskanningar och attacker mot listans eget nät | UCEPROTECT Level 1 |
| Brute force och andra attacker som rapporteras av deltagande servrar | blocklist.de |
| En tidigare innehavares beteende | Varje lista som inte har tagit bort listningen |
Enskilda adresser, intervall och hela nät
De flesta listor anger enskilda adresser. Flera arbetar i större skala:
- Spamhaus SBL listar ”both individual IPs and IP ranges” (översättning: både enskilda IP-adresser och IP-intervall) och kan utvidga en listning till ett näts egen infrastruktur.
- Spamhaus PBL och DROP listar intervall.
- UCEPROTECT Level 2 listar en hel tilldelning när den samlar tillräckligt många träffar i Level 1 inom sju dagar: fyra, för ett /24, och färre för en mindre, ända ner till en enda träff under ett /27.
- UCEPROTECT Level 3 listar varje adress som annonseras av ett ASN med för många listningar, så samma block kan vara listat under ett nät och rent under ett annat.
- invaluement har en lista över hela /24.
Ett rent block kan därför vara listat på grund av sina grannar eller nätet som annonserar det.
Listorna som spelar roll 2026
| Lista | Hur en listning upphör |
|---|---|
| Spamhaus SBL, CSS, XBL, PBL, DROP | SBL: bara nätoperatören kan begära borttagning. CSS: ungefär tre dagar efter den senaste spammen, eller självborttagning. XBL: automatiskt, när beteendet upphör. Aldrig en avgift |
| Barracuda BRBL | En begäran om borttagning, oftast hanterad inom 12 timmar |
| SpamCop, drivs av Cisco | Automatiskt, 24 timmar efter den senaste anmälan |
| UCEPROTECT Level 1 till 3 | Level 1: sju dagar efter den senaste träffen i en spamfälla. Level 2 och 3: när kriterierna inte längre stämmer. Snabbare borttagning mot avgift |
| Microsoft blockerade avsändare | Självbetjäning i dess portal för avlistning, vilket kan ta upp till 24 timmar eller längre |
| Proofpoint och Cloudmark | En begäran via dess uppslag |
| Abusix | Självbetjäning efter registrering; annars löper listningar ut ungefär fem dagar efter den senaste dåliga händelsen |
| Mailspike | Ett formulär, hanterat inom 6 till 36 timmar |
| PSBL | Vem som helst kan ta bort en adress, gratis |
| AbuseIPDB, drivs av Marathon Studios | En poäng från användarnas anmälningar som avtar med tiden; det finns ingen avlistning |
| blocklist.de | En sida för avlistning |
Listor stängs och slås ihop. SORBS stängdes den 5 juni 2024, NiX Spam stängde i januari 2025, CBL blev en del av Spamhaus XBL 2021, Spamhaus slog ihop EDROP med DROP den 10 april 2024, och dess Blocklist Removal Center har sedan den 4 mars 2021 varit IP and Domain Reputation Checker. Ett verktyg som fortfarande rapporterar SORBS är inaktuellt.
Att bli avlistad
- Hitta orsaken och stoppa den först. En begäran för en adress som fortfarande skickar spam avslås, och upprepade förfrågningar ignoreras ofta.
- Använd listans egen process, från tabellen ovan. En lista som anger ett nät, som en listning i SBL, tar emot begäran från nätoperatören, inte från slutanvändaren.
- Betala inte en tredje part. Spamhaus tar aldrig betalt och säger att varje erbjudande om att ta bort en Spamhaus-listning mot betalning är ett bedrägeri. Där det finns en avgift säljer listan den själv: UCEPROTECT tar CHF 89 för att avlista en adress från Level 1 direkt, CHF 249 för en tilldelning och CHF 449 för ett ASN, allt frivilligt, eftersom listningarna också löper ut gratis.
- Vänta på listans egen tidsplan. SpamCop tar bort efter 24 timmar, Spamhaus CSS efter ungefär tre dagar, Abusix efter ungefär fem, UCEPROTECT Level 1 efter sju.
Kontrollera ett block
| Verktyg | Vad det kontrollerar |
|---|---|
| Spamhaus IP and Domain Reputation Checker | Varje lista hos Spamhaus, för IPv4, IPv6 och domäner |
| MxToolbox | Över hundra DNS-blocklistor, med övervakning i dess abonnemang |
| MultiRBL | Hundratals listor, för IPv4, IPv6 och domäner |
| HetrixTools | Ett sextiotal IP-listor, bara IPv4, med övervakning från en gång om dagen |
| UCEPROTECT | Dess tre nivåer, och om ett intervall eller ASN:et är listat |
| AbuseIPDB | Anmälningar mot en adress, och ett /24 på en gång via dess API |
| Microsoft SNDS | Data från Outlook.com för adresser som du har visat att du kontrollerar |
Kontrollera via din egen resolver: Spamhaus svarar på frågor som kommer via publika DNS-resolvrar med 127.255.255.254, vilket är en vägran, inte en listning. Innan du tar ett block, kontrollera varje adress i det, intervallet och nätet som ska annonsera det; resten av det du ska titta på finns i kontrollera ett block innan du köper det, och hur du håller det rent finns i hantering av IP-rykte.
Hur ofta du ska kontrollera
Ingen standard anger ett intervall, så vårt följer av hur länge listningar varar. Minst en gång om dagen: SpamCop tar bort en listning efter en dag och Spamhaus CSS efter ungefär tre, så en kontroll i veckan kan missa en helt. Med några timmars mellanrum för adresser som skickar e-post. Det viktigaste är att en ny listning når någon som agerar på den.
Var RTM Networks passar in
Vi kontrollerar varje IPv4-adress vi har mot 10+ blocklistor kontinuerligt. Ett block vi hyr ut till dig kontrolleras innan du får det och övervakas medan du har det, och vi övervakar block åt andra företag också, med en rapport över deras listningar: se övervakning av svartlistor, och fråga oss om du vill ha det för dina.
Kontakt
Vill du hålla dina IP-adresser rena?
Berätta vilka intervall du vill ha övervakade och hur abuse-anmälningar ska skickas vidare till dina kunder. Vi svarar oftast inom 1 till 3 timmar under kontorstid.
