Spamhaus: sprawdź IP i usuń wpis z blacklisty

Jak sprawdzić wpis w Spamhaus

Aby sprawdzić, czy Spamhaus listuje Twój adres IP lub domenę, wyszukaj go w serwisie IP and Domain Reputation Checker należącym do Spamhaus, pod adresem check.spamhaus.org. Pokazuje, która lista zawiera adres, z jakiego powodu i jak go usunąć. Ten checker zastąpił dawny Blocklist Removal Center w marcu 2021 r., więc poradnik, który nadal odsyła do „removal center”, ma na myśli tę stronę.

Spamhaus znaczy więcej niż większość blocklist, bo korzysta z niego bardzo wielu odbiorców poczty. Domyślne reguły SpamAssassin i Rspamd odpytują jego listę ZEN, odrzucenie Outlook.com 550 OU-001 odsyła do Spamhaus po usunięcie, a błędy Yahoo 553/554 potrafią brzmieć „Your IP is listed by Spamhaus”. Jeśli komunikat o niedostarczeniu (bounce) wspomina Spamhaus, sprawdzić trzeba adres IP z tego komunikatu.

Inne checkery blacklist albo tylko linkują do Spamhaus, albo same odpytują jego strefy DNS, a to działa tylko z właściwego resolvera (zobacz nasz test resolverów).

Listy Spamhaus: SBL, CSS, XBL, PBL, DBL i ZEN

Spamhaus prowadzi kilka list, a sposób wyjścia z listy zależy wyłącznie od tego, która ją zawiera. Cztery listują adresy IP i są połączone w ZEN (zen.spamhaus.org), jedyną strefę, którą musi odpytywać serwer poczty. Piąta, DBL, listuje nazwy domen.

ZEN to po prostu SBL + CSS + XBL + PBL w jednym zapytaniu, więc jedno wyszukiwanie może zwrócić kilka kodów naraz. Adres testowy Spamhaus 127.0.0.2 celowo jest na trzech listach, dlatego odpowiada jednocześnie 127.0.0.2, 127.0.0.4 i 127.0.0.10. Spamhaus prosi, by aplikacje parsowały kody zwrotne, więc czytaj każdy kod w odpowiedzi, nie tylko pierwszy.

Dlaczego Spamhaus blokuje mój adres IP?

Spamhaus nie publikuje dokładnych kryteriów, ale strona każdej listy mówi, jakie zachowanie powoduje wpis:

• XBL: urządzenie za tym adresem jest zainfekowane lub nadużywane. Malware na komputerze, aplikacja „darmowy VPN”, która używa Twojego łącza jako cudzego proxy, urządzenie biorące udział w atakach brute force albo coś, co próbuje przekazywać pocztę na skradzionych hasłach.
• CSS: sam serwer poczty wysyła złą pocztę. Niezamówione wiadomości, słaba higiena list, przejęta skrzynka lub CMS wysyłające spam albo serwer, którego nazwa HELO i odwrotny DNS do siebie nie pasują.
• SBL: Spamhaus powiązał adres z operacją spamerską lub nadużyciami. W hostingu współdzielonym lub tanim VPS może to być poprzedni najemca lub sąsiad, a Spamhaus może rozszerzyć wpisy na infrastrukturę samego dostawcy albo szersze zakresy, gdy dostawca hostuje nadużycia.
• PBL: adres jest domowy lub należy do innego użytkownika końcowego. Twój dostawca (lub Spamhaus) oznaczył go jako przestrzeń, która nie powinna dostarczać poczty bezpośrednio. Odrzucenie Outlook.com 550 DY-001 to ta sama polityka: zasadniczo nie przyjmuje on poczty bezpośrednio z dynamicznych adresów IP.
• DBL: domena w Twojej poczcie jest na liście. Twoja własna domena lub link w wiadomości pojawiły się w spamie albo w hostowanym phishingu lub malware. Przejęte legalne domeny też trafiają na listę, z własnymi kodami (127.0.1.102 do 127.0.1.106).

Przeczytaj powód z checkera, zanim cokolwiek zmienisz: naprawa zainfekowanego laptopa nie ma nic wspólnego z rozwiązaniem sprawy domowego łącza na PBL.

Jak zostać usuniętym z listy Spamhaus

Najpierw napraw, potem proś. Spamhaus dopisuje adres ponownie, gdy tylko znów wykryje problem, a samodzielne usunięcia są limitowane, więc usunięcie zażądane przed naprawą to usunięcie zmarnowane.

1. Znajdź wpisany adresWeź adres IP z komunikatu bounce lub logu serwera poczty: publiczny adres, z którego wyszła poczta, a nie 192.168.x.x.
2. Wyszukaj go na check.spamhaus.orgZanotuj listę (SBL, CSS, XBL, PBL lub DBL), powód wpisu i numer referencyjny, jeśli jest.
3. Napraw przyczynęOczyść zainfekowane urządzenie, zamknij relay, popraw odwrotny DNS i HELO albo zatrzymaj wysyłkę, która to spowodowała.
4. Poproś o usunięcie lub zwróć się do dostawcyDla wpisów XBL, CSS, PBL i DBL użyj opcji usunięcia w checkerze. Przy wpisie SBL otwórz zgłoszenie w zespole abuse swojego dostawcy lub hosta.
5. Sprawdź ponownieStrefy Spamhaus przeładowują się w ciągu minut, choć niektóre sieci spóźniają się nawet o dobę. Jeśli usunięcia nie da się obsłużyć od razu, checker otwiera dla Ciebie zgłoszenie.

SBL: usunięcia musi zażądać Twój dostawca lub host

Wpisu SBL nie usuniesz samodzielnie. Strona SBL Spamhaus mówi, że wnioski o usunięcie musi wysłać dostawca odpowiedzialny za adres, po zlikwidowaniu nadużycia. Otwórz zgłoszenie w zespole abuse dostawcy, dołącz numer SBL z checkera i napisz, co naprawiono.

Dopóki wpis SBL nie zniknie, Spamhaus nie obsłuży usunięć tego adresu z innych list. W hostingu współdzielonym, gdy wpis nie dotyczy Ciebie, poproszenie hosta o czysty adres IP bywa szybsze niż czekanie na zdjęcie wpisu z całego zakresu.

XBL: oczyść zainfekowane urządzenie, potem usuń się sam

Wpis XBL usuwa się samodzielnie na check.spamhaus.org, a ponadto wygasa sam jakiś czas po ustaniu złośliwego ruchu. Lista jest zajęta: według Spamhaus zawiera średnio około 2 mln wpisów i około 650 000 nowych wykryć na dobę.

Usunięcie przed znalezieniem przyczyny nie utrzyma się: adres wróci na listę, gdy tylko zainfekowane urządzenie znów się połączy. Strona XBL Spamhaus sugeruje:

• Zaktualizuj każde urządzenie za tym adresem i uruchom na każdym pełne skanowanie antymalware.
• Usuń rozszerzenia przeglądarki i aplikacje „darmowy VPN”, których nie rozpoznajesz.
• Zaktualizuj firmware routera, wyłącz niepotrzebny dostęp z zewnątrz i otwórz tylko potrzebne porty.
• Aby natychmiast zatrzymać nadużycie, zablokuj wychodzący port 25 na routerze lub firewallu dla wszystkiego poza Twoim prawdziwym serwerem poczty. To zatrzyma spam, nie infekcję; netstat lub TCPView pokażą, która maszyna wciąż próbuje.

Nie każda sieć stosuje usunięcia z tą samą szybkością, więc Spamhaus prosi, by odczekać 24 godziny, zanim otworzysz zgłoszenie o usunięciu, które się jeszcze nie pokazało.

CSS: napraw serwer poczty, potem poproś o usunięcie

Wpisy CSS są automatyczne i krótkie. Zwykle wygasają trzy dni po ostatnim wykryciu, w niektórych przypadkach chronicznych nadużyć dłużej. Gdy przyczyna jest naprawiona, możesz poprosić o usunięcie w checkerze, ale samodzielne usunięcia są limitowane, a adres wraca na listę natychmiast, jeśli problem trwa.

Sama konfiguracja może zapewnić wpis CSS. Strona CSS Spamhaus wyróżnia HELO i odwrotny DNS: rekord PTR powinien istnieć i wskazywać nazwę hosta używaną przez serwer, zapytanie wprost powinno pasować do nazwy HELO, a HELO/EHLO musi być w pełni kwalifikowaną nazwą domeny (FQDN), a nie localhost.localdomain czy mail. Load balancer przed serwerami poczty także może sprawić, że publiczny adres wygląda na zainfekowany.

PBL: to nie kara, więc zmień sposób wysyłania

PBL listuje zakresy adresów użytkowników końcowych, dynamiczne i statyczne, „z których poczta nigdy nie powinna być wysyłana bezpośrednio do odbiorcy końcowego”. Wiele z tych zakresów dodają sami dostawcy, a Spamhaus mówi, że adresy „nie są koniecznie złe”. Domowy adres szerokopasmowy na PBL to norma.

Jeśli wpis PBL powoduje odrzucanie Twojej poczty, rozwiązaniem jest zwykle zmiana sposobu wysyłania, a nie usuwanie wpisu:

• Wysyłaj przez serwer wychodzący swojego dostawcy internetu lub poczty (smarthost), zamiast dostarczać wprost na serwery odbiorców.
• Włącz uwierzytelnianie SMTP i używaj portów submission 587 lub 465, nie 25.
• Tylko jeśli naprawdę prowadzisz na tym adresie serwer poczty, a polityka dostawcy na to pozwala, poproś o wyłączenie na check.spamhaus.org. Wyłączenie pojedynczego IP trwa rok (dostawcy mogą ustawić krótszy okres) i jest cofane, jeśli z adresu zobaczono spam.

DBL: usuwanie domeny z listy

DBL listuje domeny, nigdy adresy IP. Wyszukaj domenę w checkerze i postępuj według jego instrukcji; strona DBL Spamhaus nazywa go jedynym miejscem, gdzie obsługuje się usunięcia z DBL. Zatwierdzone wnioski zwykle pojawiają się w kilka minut, niektóre systemy potrzebują do 24 godzin, a wpis, który po dobie wciąż jest, warto zgłosić do Spamhaus. Wpisy także wygasają, gdy aktywność ustaje.

Jeśli stronę włamano (np. instalacja WordPress serwująca strony phishingowe), najpierw ją wyczyść i zmień wszystkie hasła: domena, która nadal serwuje taką treść, trafi na listę ponownie. Formularz nie gwarantuje usunięcia, a Spamhaus może blokować osoby zbyt często żądające usunięcia.

Napraw to najpierw, żeby wpis nie wrócił

Usunięcie leczy objaw. Oto przyczyny, przez które adres wraca na listę, mniej więcej w kolejności, w jakiej warto je sprawdzać:

Żadna z powyższych przyczyn wpisu w Spamhaus nie jest brakującym rekordem SPF lub DMARC, więc jego opublikowanie nie zdejmie wpisu. Odbiorcy sprawdzają je jednak przy każdej wiadomości: wytyczne dla nadawców Google wymagają SPF lub DKIM oraz poprawnego DNS wprost i odwrotnego od każdego nadawcy, a SPF, DKIM i DMARC od każdego, kto wysyła 5000 lub więcej wiadomości dziennie do Gmaila; radzą też nadawcom na wspólnym IP upewnić się, że adres nie jest na żadnej blocklist.

Konfigurujesz nowego dostawcę poczty? Nasz poradnik o Titan Email krok po kroku omawia jego rekordy MX, SPF i DKIM.

Dlaczego 8.8.8.8 i 1.1.1.1 nie sprawdzą Spamhaus (nasz test)

Wiele checkerów blacklist, skryptów, a nawet serwerów poczty odpytuje Spamhaus przez duży publiczny resolver. Spamhaus to blokuje, bo publiczne resolvery ukrywają, kto pyta. We wpisie z 2018 r. napisał, że jeden publiczny resolver, prawdopodobnie najpopularniejszy, wysyłał mu około dwóch miliardów zapytań dziennie, mniej więcej 20% wszystkich jego zapytań. Dlatego publiczne resolvery dostają zamiast danych kod błędu lub pustą odpowiedź „nie na liście”.

Test DNS Robot z 26 października 2026 r. (z Indii): zapytaliśmy siedem adresów resolverów o udokumentowane wpisy testowe Spamhaus, po pięć razy każdy. 2.0.0.127.zen.spamhaus.org to adres testowy 127.0.0.2 zapisany od tyłu i musi odpowiedzieć 127.0.0.2, 127.0.0.4 i 127.0.0.10. dbltest.com.dbl.spamhaus.org musi odpowiedzieć 127.0.1.2. Oba to opublikowane wpisy testowe Spamhaus, a nie czyjś prawdziwy adres lub domena.

# Cloudflare: refused, and the TXT record says why
$ dig @1.1.1.1 2.0.0.127.zen.spamhaus.org +short
127.255.255.254
$ dig @1.1.1.1 2.0.0.127.zen.spamhaus.org TXT +short
"Error: open resolver; https://check.spamhaus.org/returnc/pub/2400:cb00:222:1024::a29e:c644/"

# Google: NXDOMAIN, which looks exactly like "not listed"
$ dig @8.8.8.8 2.0.0.127.zen.spamhaus.org
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN
zen.spamhaus.org. 10 IN SOA need.to.know.only. hostmaster.spamhaus.org. ...

# Our ISP's resolver, through the home router: the real answer
$ dig 2.0.0.127.zen.spamhaus.org TXT +short
"Listed by PBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by XBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by SBL, see https://check.spamhaus.org/sbl/query/SBL2"

Odpowiedź Google jest tą niebezpieczną. NXDOMAIN to dokładnie to, co zwraca czysty adres, więc checker lub filtr spamu pytający przez 8.8.8.8 zgłasza „nie na liście” dla adresów, które Spamhaus faktycznie listuje. Spamhaus sam o tym ostrzega: przez Google Public DNS „in most cases” dostaniesz odpowiedź „nie na liście”. Odpowiedź niesie nawet wskazówkę: dołączony do niej rekord SOA nazywa swój serwer need.to.know.only.

Odpowiedź Cloudflare jest przynajmniej uczciwa. 127.255.255.254 leży w zakresie błędów Spamhaus, a przez 1.1.1.1 dostał go nawet niewpisany na listę adres testowy 1.0.0.127. Ryzyko leży po drugiej stronie: Spamhaus zauważa, że niektóre serwery poczty błędnie odrzucają całą pocztę, gdy zobaczą kod 127.255.255.x. Quad9 i OpenDNS odpowiedziały poprawnie z naszego łącza, ale to może się zmienić bez zapowiedzi: Spamhaus wymienia oba, obok Google i Cloudflare, gdy ostrzega przed odpytywaniem przez publiczne usługi DNS. Jego zasady rozsądnego użytkowania wymagają zapytań z resolvera w Twojej własnej sieci lub z publicznego resolvera obsługującego EDNS Client Subnet.

Kody zwrotne Spamhaus: co oznacza każda odpowiedź

Spamhaus dokumentuje każdy kod, który zwracają jego strefy. Wszystko w 127.255.255.0/24 to błąd, nigdy wpis, a odpowiedź spoza 127.0.0.0/8 oznacza, że coś manipuluje Twoim DNS (np. dostawca przekierowujący nieznane nazwy na stronę wyszukiwania): Spamhaus każe ją zignorować.

Jak poprawnie odpytywać Spamhaus: własny resolver lub DQS

Spamhaus zaleca odpytywanie z własnych serwerów DNS: rekurencyjnego resolvera w Twojej sieci, takiego jak Unbound, BIND czy Knot Resolver na serwerze poczty lub obok niego, z poprawną nazwą hosta, która Cię identyfikuje. Jego polityka rozsądnego użytkowania DNSBL ogranicza bezpłatne serwery publiczne do użytku niekomercyjnego przez małe i średnie organizacje i nie przyjmuje zapytań z dużych środowisk hostingu współdzielonego.

Gdy to niemożliwe, zarejestruj się po bezpłatny klucz Data Query Service (DQS). Spamhaus daje go użytkownikom niekomercyjnym i osobom prywatnym z niskim wolumenem zapytań; użytkownicy komercyjni, dostawcy internetu, komercyjne filtry spamu i każdy z większym ruchem potrzebują płatnej subskrypcji. Z kluczem zapytania przechodzą do stref .net Spamhaus, a przewodnik migracji Spamhaus mówi, że to droga, jeśli nadal chcesz używać publicznego resolvera:

# Free public mirror: ask from your own resolver
2.0.0.127.zen.spamhaus.org

# DQS: your key goes in front of the zone, and .org becomes .net
2.0.0.127.<your-query-key>.zen.dq.spamhaus.net