Spamhaus : vérifier et retirer une IP de la blacklist

Comment vérifier un listage Spamhaus

Pour savoir si Spamhaus liste votre adresse IP ou votre domaine, interrogez-la sur le propre "IP and Domain Reputation Checker" de Spamhaus, à l'adresse check.spamhaus.org. Il indique quelle liste contient l'adresse, pourquoi, et l'option de retrait de cette liste. Le checker a remplacé l'ancien "Blocklist Removal Center" en mars 2021 : un guide qui vous envoie encore vers un "removal center" désigne donc cette page.

Spamhaus compte plus que la plupart des blocklists parce que beaucoup de destinataires l'utilisent. Les règles par défaut de SpamAssassin et de Rspamd interrogent toutes deux sa liste ZEN, le rejet 550 OU-001 d'Outlook.com vous renvoie vers Spamhaus pour le retrait, et les erreurs 553/554 de Yahoo peuvent indiquer "Your IP is listed by Spamhaus". Si un bounce mentionne Spamhaus, c'est l'adresse IP de ce bounce qu'il faut vérifier.

Les autres checkers de blacklist renvoient soit vers lui, soit interrogent eux-mêmes les zones DNS de Spamhaus, ce qui ne fonctionne que depuis le bon résolveur (voir notre test des résolveurs).

Les listes Spamhaus expliquées : SBL, CSS, XBL, PBL, DBL et ZEN

Spamhaus gère plusieurs listes, et la façon d'en sortir dépend entièrement de celle qui vous contient. Quatre listent des adresses IP et sont réunies dans ZEN (zen.spamhaus.org), la seule zone qu'un serveur de mail doit interroger. La cinquième, la DBL, liste des noms de domaine.

ZEN est simplement SBL + CSS + XBL + PBL en une seule requête, donc une requête peut renvoyer plusieurs codes à la fois. L'adresse de test 127.0.0.2 de Spamhaus figure volontairement sur trois listes, c'est pourquoi elle répond 127.0.0.2, 127.0.0.4 et 127.0.0.10 ensemble. Spamhaus demande aux applications d'analyser les codes de retour ("parse") : lisez donc chaque code de la réponse, pas seulement le premier.

Pourquoi Spamhaus bloque-t-il mon IP ?

Spamhaus ne publie pas ses critères exacts, mais la page de chaque liste indique quel comportement y fait entrer une adresse :

• XBL : un appareil derrière l'adresse est infecté ou détourné. Un malware sur un PC, une application de "VPN gratuit" qui utilise votre connexion comme proxy pour d'autres, un appareil qui participe à des attaques par force brute, ou quelque chose qui tente de relayer du mail avec des mots de passe volés.
• CSS : le serveur de mail lui-même envoie du mauvais courrier. Courrier non sollicité, mauvaise hygiène des listes, boîte mail ou CMS piraté qui envoie du spam, ou serveur dont le nom HELO et le DNS inverse ne concordent pas.
• SBL : Spamhaus a relié l'adresse à une opération de spam ou d'abus. Sur un hébergement mutualisé ou un VPS bon marché, cela peut venir d'un ancien locataire ou d'un voisin, et Spamhaus peut étendre les listages à l'infrastructure même d'un fournisseur ou à des plages plus larges quand celui-ci héberge des abus.
• PBL : l'adresse est celle d'un particulier ou d'un autre utilisateur final. Votre FAI (ou Spamhaus) l'a marquée comme un espace qui ne doit pas livrer de mail directement. Le rejet 550 DY-001 d'Outlook.com suit la même règle : il n'accepte en général pas le mail venant directement d'adresses IP dynamiques.
• DBL : un domaine de votre mail est listé. Votre propre domaine, ou un lien dans le message, est apparu dans du spam ou sur du phishing ou des malwares hébergés. Les domaines légitimes piratés sont listés aussi, avec leurs propres codes (127.0.1.102 à 127.0.1.106).

Lisez la raison indiquée par le checker avant de changer quoi que ce soit : réparer un portable infecté n'a rien à voir avec traiter une connexion domestique sur la PBL.

Comment être retiré de Spamhaus

Corrigez d'abord, demandez ensuite. Spamhaus relist une adresse dès qu'il détecte de nouveau le problème, et les retraits en libre-service sont limités : un retrait demandé avant la correction est un retrait gâché.

1. Trouver l'adresse listéePrenez l'adresse IP dans le bounce ou le journal de votre serveur de mail : l'adresse publique d'où le mail est parti, pas une 192.168.x.x.
2. L'interroger sur check.spamhaus.orgNotez la liste (SBL, CSS, XBL, PBL ou DBL), la raison du listage et l'éventuel numéro de référence.
3. Corriger la causeNettoyer l'appareil infecté, fermer le relais, corriger le DNS inverse et le HELO, ou arrêter l'envoi qui l'a provoqué.
4. Demander le retrait, ou solliciter votre fournisseurUtilisez l'option de retrait du checker pour les listages XBL, CSS, PBL et DBL. Pour un listage SBL, ouvrez un ticket auprès de l'équipe abuse de votre FAI ou hébergeur.
5. Vérifier de nouveauLes zones de Spamhaus se rechargent en quelques minutes, mais certains réseaux traînent jusqu'à un jour. Si un retrait ne peut pas être traité tout de suite, le checker ouvre un ticket pour vous.

SBL : votre FAI ou hébergeur doit demander le retrait

Vous ne pouvez pas retirer vous-même un listage SBL. Selon la page SBL de Spamhaus, la demande de retrait doit venir du FAI responsable de l'adresse, une fois l'abus traité. Ouvrez un ticket auprès de l'équipe abuse de votre fournisseur, joignez la référence SBL du checker et dites ce que vous avez corrigé.

Tant que le listage SBL existe, Spamhaus ne traite pas les retraits des autres listes pour cette adresse. Sur un hébergement mutualisé, quand le listage ne vous concerne pas, demander une adresse IP propre à l'hébergeur est souvent plus rapide que d'attendre la levée d'un listage portant sur toute une plage.

XBL : nettoyer l'appareil infecté, puis se retirer soi-même

Un listage XBL se retire en libre-service sur check.spamhaus.org, et il expire aussi de lui-même quelque temps après l'arrêt du trafic malveillant. La liste est très active : Spamhaus indique qu'elle contient en moyenne environ 2 millions de listages, avec environ 650 000 nouvelles détections toutes les 24 heures.

Le retirer avant d'avoir trouvé la cause ne tient pas : l'adresse est relistée dès que l'appareil infecté se reconnecte. La page XBL de Spamhaus suggère :

• Mettre à jour tous les appareils derrière l'adresse et lancer une analyse antimalware complète sur chacun.
• Supprimer les extensions de navigateur et les applications de "VPN gratuit" que vous ne reconnaissez pas.
• Mettre à jour le firmware du routeur, désactiver l'accès depuis l'extérieur dont vous n'avez pas besoin et n'ouvrir que les ports nécessaires.
• Pour stopper l'abus immédiatement, bloquer le port 25 sortant sur le routeur ou le pare-feu pour tout sauf votre vrai serveur de mail. Cela arrête le spam, pas l'infection ; netstat ou TCPView montre quelle machine continue d'essayer.

Tous les réseaux ne prennent pas les retraits en compte à la même vitesse : Spamhaus demande donc d'attendre 24 heures avant d'ouvrir un ticket pour un retrait qui n'apparaît pas.

CSS : réparer le serveur de mail, puis demander le retrait

Les listages CSS sont automatiques et courts. Ils expirent normalement trois jours après la dernière détection, plus longtemps dans certains cas d'abus chronique. Vous pouvez demander le retrait dans le checker une fois la cause corrigée, mais les retraits en libre-service sont limités et l'adresse est relistée immédiatement si le problème continue.

La configuration seule peut valoir un listage CSS. La page CSS de Spamhaus cite le HELO et le DNS inverse : l'enregistrement PTR doit exister et désigner le nom d'hôte que le serveur utilise, la résolution directe doit correspondre au nom HELO, et le HELO/EHLO doit être un nom de domaine complet, pas localhost.localdomain ni mail. Un répartiteur de charge devant les serveurs de mail peut aussi faire paraître l'adresse publique infectée.

PBL : pas une punition, donc corrigez votre façon d'envoyer

La PBL liste des plages d'adresses d'utilisateurs finaux, dynamiques ou fixes, "depuis lesquelles le courrier ne devrait jamais être envoyé directement à sa destination finale". Les FAI ajoutent eux-mêmes beaucoup de ces plages, et Spamhaus dit que ces adresses "ne sont pas forcément mauvaises". Une adresse d'accès domestique sur la PBL est normale.

Si un listage PBL fait rejeter votre mail, la solution est généralement de changer votre façon d'envoyer, pas de demander le retrait :

• Envoyez via le serveur sortant de votre FAI ou de votre fournisseur de messagerie (un smarthost) au lieu de livrer directement aux serveurs des destinataires.
• Activez l'authentification SMTP et utilisez les ports de soumission 587 ou 465, pas le 25.
• Seulement si vous exploitez vraiment un serveur de mail sur cette adresse et que la politique de votre FAI le permet, demandez une exclusion sur check.spamhaus.org. L'exclusion d'une IP unique dure un an (les FAI peuvent fixer une durée plus courte) et est annulée si du spam provient de l'adresse.

DBL : retirer un domaine

La DBL liste des domaines, jamais des adresses IP. Interrogez le domaine dans le checker et suivez ses instructions ; la page DBL de Spamhaus en fait le seul endroit où les retraits DBL sont traités. Les demandes approuvées apparaissent en général en quelques minutes, certains systèmes mettent jusqu'à 24 heures, et un listage encore présent après un jour mérite un message à Spamhaus. Les listages expirent aussi une fois l'activité terminée.

Si le site a été piraté (une installation WordPress qui servait des pages de phishing, par exemple), nettoyez-le et changez tous les mots de passe d'abord : un domaine qui sert encore le contenu est relisté. Le formulaire ne garantit pas le retrait, et Spamhaus peut bloquer ceux qui demandent trop de retraits.

À corriger d'abord pour que le listage ne revienne pas

Le retrait ne traite que le symptôme. Voici les causes qui remettent une adresse sur la liste, à vérifier à peu près dans cet ordre :

Aucune des raisons de listage de Spamhaus ci-dessus n'est un enregistrement SPF ou DMARC manquant : en publier un ne lèvera donc pas un listage. Les destinataires les vérifient toutefois à chaque message : les consignes pour les expéditeurs de Google exigent SPF ou DKIM et un DNS direct et inverse valides de la part de tout expéditeur, et SPF, DKIM et DMARC de la part de quiconque envoie 5 000 messages ou plus par jour à Gmail ; elles disent aussi aux expéditeurs sur une IP partagée de s'assurer qu'elle ne figure sur aucune blocklist.

Vous configurez un nouveau fournisseur de mail ? Notre guide Titan Email détaille pas à pas ses enregistrements MX, SPF et DKIM.

Pourquoi 8.8.8.8 et 1.1.1.1 ne peuvent pas vérifier Spamhaus (notre test)

De nombreux checkers de blacklist, scripts et même serveurs de mail interrogent Spamhaus via un grand résolveur public. Spamhaus bloque cela, car les résolveurs publics masquent qui pose la question. Dans un billet de 2018, Spamhaus écrivait qu'un seul résolveur public, sans doute le plus populaire, lui envoyait environ deux milliards de requêtes par jour, soit environ 20 % de toutes ses requêtes. Les résolveurs publics reçoivent donc un code d'erreur ou une réponse "non listé" vide au lieu des données.

Test de DNS Robot le 26 octobre 2026 (depuis l'Inde) : nous avons interrogé sept adresses de résolveurs sur les entrées de test documentées de Spamhaus, cinq fois chacune. 2.0.0.127.zen.spamhaus.org est l'adresse de test 127.0.0.2 écrite à l'envers, et doit répondre 127.0.0.2, 127.0.0.4 et 127.0.0.10. dbltest.com.dbl.spamhaus.org doit répondre 127.0.1.2. Ce sont deux entrées de test publiées par Spamhaus, pas l'adresse ni le domaine réel de quelqu'un.

# Cloudflare: refused, and the TXT record says why
$ dig @1.1.1.1 2.0.0.127.zen.spamhaus.org +short
127.255.255.254
$ dig @1.1.1.1 2.0.0.127.zen.spamhaus.org TXT +short
"Error: open resolver; https://check.spamhaus.org/returnc/pub/2400:cb00:222:1024::a29e:c644/"

# Google: NXDOMAIN, which looks exactly like "not listed"
$ dig @8.8.8.8 2.0.0.127.zen.spamhaus.org
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN
zen.spamhaus.org. 10 IN SOA need.to.know.only. hostmaster.spamhaus.org. ...

# Our ISP's resolver, through the home router: the real answer
$ dig 2.0.0.127.zen.spamhaus.org TXT +short
"Listed by PBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by XBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by SBL, see https://check.spamhaus.org/sbl/query/SBL2"

La réponse de Google est la plus dangereuse. NXDOMAIN est exactement ce que renvoie une adresse propre : un checker ou un filtre antispam qui interroge via 8.8.8.8 indique donc "non listé" pour des adresses que Spamhaus liste bel et bien. Spamhaus le met lui-même en garde : via Google Public DNS, vous obtenez "in most cases" une réponse non listé. La réponse contient même un indice : l'enregistrement SOA qui l'accompagne nomme son serveur need.to.know.only.

La réponse de Cloudflare est au moins honnête. 127.255.255.254 se trouve dans la plage d'erreurs de Spamhaus, et via 1.1.1.1, même l'adresse de test non listée 1.0.0.127 l'a obtenu. Le risque est de l'autre côté : Spamhaus note que certains serveurs de mail rejettent par erreur tout le courrier quand ils voient un code 127.255.255.x. Quad9 et OpenDNS ont donné des réponses correctes depuis notre connexion, mais cela peut changer sans préavis : Spamhaus cite les deux, avec Google et Cloudflare, quand il déconseille d'interroger via des services DNS publics. Ses conditions d'utilisation équitable demandent des requêtes depuis un résolveur de votre propre réseau ou un résolveur public qui prend en charge EDNS Client Subnet.

Codes de retour Spamhaus : ce que signifie chaque réponse

Spamhaus documente chaque code que renvoient ses zones. Tout ce qui est dans 127.255.255.0/24 est une erreur, jamais un listage, et une réponse hors de 127.0.0.0/8 signifie que quelque chose altère votre DNS (un FAI qui redirige les noms inconnus vers une page de recherche, par exemple) : Spamhaus dit de l'ignorer.

Comment interroger Spamhaus correctement : votre résolveur ou DQS

Spamhaus recommande d'interroger depuis vos propres serveurs DNS : un résolveur récursif sur votre réseau, comme Unbound, BIND ou Knot Resolver sur ou à côté du serveur de mail, avec un nom d'hôte correct qui vous identifie. Sa politique d'utilisation équitable DNSBL limite les serveurs publics gratuits à un usage non commercial par de petites et moyennes organisations et n'accepte pas les requêtes de grands environnements d'hébergement mutualisé.

Quand ce n'est pas possible, inscrivez-vous pour une clé gratuite du Data Query Service (DQS). Spamhaus la donne aux utilisateurs non commerciaux et aux particuliers à faible volume de requêtes ; les utilisateurs commerciaux, les FAI, les filtres antispam commerciaux et quiconque a plus de trafic doivent prendre un abonnement payant. Avec une clé, les requêtes passent dans les zones .net de Spamhaus, et le guide de migration de Spamhaus dit que c'est la voie à suivre si vous voulez malgré tout utiliser un résolveur public :

# Free public mirror: ask from your own resolver
2.0.0.127.zen.spamhaus.org

# DQS: your key goes in front of the zone, and .org becomes .net
2.0.0.127.<your-query-key>.zen.dq.spamhaus.net