Spamhaus: проверка IP и удаление из чёрного списка

Как проверить листинг в Spamhaus

Чтобы узнать, внесён ли ваш IP-адрес или домен в Spamhaus, найдите его в собственном сервисе Spamhaus IP and Domain Reputation Checker на check.spamhaus.org. Он показывает, в каком списке адрес, по какой причине и как его удалить. В марте 2021 года этот сервис заменил старый Blocklist Removal Center, поэтому инструкция, которая всё ещё отправляет вас в «removal center», означает эту страницу.

Spamhaus важнее большинства других блоклистов, потому что им пользуются очень многие получатели. Стандартные правила SpamAssassin и Rspamd опрашивают его список ZEN, отказ Outlook.com 550 OU-001 отправляет вас в Spamhaus за удалением, а ошибки Yahoo 553/554 могут содержать текст «Your IP is listed by Spamhaus». Если в уведомлении об ошибке доставки упомянут Spamhaus, проверять нужно именно тот IP-адрес, который указан в этом уведомлении.

Другие чекеры чёрных списков либо ссылаются на него, либо сами опрашивают DNS-зоны Spamhaus, а это работает только с правильного резолвера (см. наш тест резолверов).

Списки Spamhaus: SBL, CSS, XBL, PBL, DBL и ZEN

У Spamhaus несколько списков, и способ выхода целиком зависит от того, в каком из них вы числитесь. Четыре списка содержат IP-адреса и объединены в ZEN (zen.spamhaus.org), единственную зону, которую нужно опрашивать почтовому серверу. Пятый, DBL, содержит доменные имена.

ZEN это просто SBL + CSS + XBL + PBL в одном запросе, поэтому один запрос может вернуть сразу несколько кодов. Тестовый адрес Spamhaus 127.0.0.2 намеренно внесён в три списка, поэтому он отвечает сразу 127.0.0.2, 127.0.0.4 и 127.0.0.10. Spamhaus просит приложения разбирать (parse) коды ответа, так что читайте каждый код в ответе, а не только первый.

Почему Spamhaus блокирует мой IP?

Spamhaus не публикует точные триггеры, но на странице каждого списка описано, какое поведение приводит к попаданию в него:

• XBL: устройство за этим адресом заражено или используется во зло. Вредоносная программа на ПК, приложение «бесплатный VPN», которое использует ваше подключение как чужой прокси, устройство, участвующее в brute-force-атаках, или что-то, пытающееся рассылать почту по украденным паролям.
• CSS: сам почтовый сервер рассылает плохую почту. Нежелательные письма, неаккуратная работа со списками, взломанный ящик или CMS, рассылающие спам, либо сервер, у которого имя HELO и обратный DNS не сходятся.
• SBL: Spamhaus связал адрес со спамерской или вредоносной операцией. На виртуальном хостинге или дешёвом VPS это может быть прежний арендатор или сосед, а Spamhaus может распространить листинг на собственную инфраструктуру провайдера или более широкие диапазоны, если провайдер размещает злоупотребления.
• PBL: адрес домашний или другой клиентский. Ваш провайдер (или Spamhaus) пометил его как пространство, которое не должно доставлять почту напрямую. Отказ Outlook.com 550 DY-001 отражает ту же политику: он, как правило, не принимает почту напрямую с динамических IP-адресов.
• DBL: в вашем письме есть домен из списка. Ваш собственный домен или ссылка в сообщении попали в спам либо в фишинг или вредоносное ПО на хостинге. Взломанные легитимные домены тоже вносятся, с отдельными кодами (127.0.1.102 до 127.0.1.106).

Прочитайте причину в чекере, прежде чем что-то менять: починка заражённого ноутбука не имеет ничего общего с ситуацией, когда домашнее подключение значится в PBL.

Как выйти из списка Spamhaus

Сначала исправьте, потом просите. Spamhaus вносит адрес обратно, как только снова обнаруживает проблему, а число самостоятельных удалений ограничено, так что удаление, запрошенное до исправления, потрачено впустую.

1. Найдите адрес в спискеВозьмите IP-адрес из уведомления об ошибке доставки или лога почтового сервера: публичный адрес, с которого ушло письмо, а не 192.168.x.x.
2. Проверьте его на check.spamhaus.orgЗапишите список (SBL, CSS, XBL, PBL или DBL), причину листинга и номер ссылки, если он есть.
3. Устраните причинуОчистите заражённое устройство, закройте релей, исправьте обратный DNS и HELO или прекратите рассылку, из-за которой это случилось.
4. Запросите удаление или обратитесь к провайдеруДля листингов XBL, CSS, PBL и DBL используйте опцию удаления в чекере. Для листинга SBL откройте тикет в abuse-службе вашего провайдера или хостера.
5. Проверьте ещё разЗоны Spamhaus обновляются в течение нескольких минут, хотя некоторые сети отстают до суток. Если удаление нельзя обработать сразу, чекер открывает для вас тикет.

SBL: удаление должен запросить ваш провайдер или хостер

Листинг SBL самостоятельно не снять. Согласно странице SBL, запросы на удаление должен отправлять провайдер, отвечающий за адрес, после того как злоупотребление прекращено. Откройте тикет в abuse-службе провайдера, приложите ссылку на SBL из чекера и опишите, что вы исправили.

Пока листинг SBL не снят, Spamhaus не обрабатывает удаление этого адреса из других списков. На виртуальном хостинге, когда листинг не про вас, попросить у хостера чистый IP-адрес часто быстрее, чем ждать снятия листинга всего диапазона.

XBL: очистите заражённое устройство, затем снимите листинг

Листинг XBL снимается самостоятельно на check.spamhaus.org, а ещё он сам истекает через какое-то время после прекращения вредоносного трафика. Список очень загружен: по данным Spamhaus, в нём в среднем около 2 миллионов записей и около 650 000 новых обнаружений за 24 часа.

Удаление до выяснения причины не держится: адрес снова попадёт в список при следующем подключении заражённого устройства. На странице XBL Spamhaus советует:

• Обновите все устройства за этим адресом и запустите на каждом полную проверку антивирусом.
• Удалите незнакомые расширения браузера и приложения «бесплатный VPN».
• Обновите прошивку роутера, отключите ненужный внешний доступ и откройте только необходимые порты.
• Чтобы сразу остановить злоупотребление, заблокируйте исходящий порт 25 на роутере или файрволе для всех, кроме вашего настоящего почтового сервера. Это остановит спам, но не заражение; netstat или TCPView покажут, какая машина продолжает пытаться.

Не все сети применяют удаления с одинаковой скоростью, поэтому Spamhaus просит подождать 24 часа, прежде чем открывать тикет по удалению, которое не отобразилось.

CSS: исправьте почтовый сервер, затем запросите удаление

Листинги CSS автоматические и короткие. Обычно они истекают через три дня после последнего обнаружения, а в некоторых случаях хронических нарушений дольше. Когда причина устранена, можно запросить удаление в чекере, но самостоятельные удаления ограничены, и адрес вносится заново сразу же, если проблема продолжается.

Один лишь конфиг способен привести к листингу CSS. На странице CSS Spamhaus выделяет HELO и обратный DNS: запись PTR должна существовать и указывать имя хоста, которое использует сервер, прямой запрос должен совпадать с именем HELO, а HELO/EHLO должно быть полным доменным именем (FQDN), а не localhost.localdomain или mail. Балансировщик нагрузки перед почтовыми серверами тоже может сделать публичный адрес похожим на заражённый.

PBL: это не наказание, поэтому меняйте способ отправки

PBL содержит клиентские диапазоны адресов, динамические и статические, «с которых почта никогда не должна отправляться напрямую конечному получателю». Многие из этих диапазонов добавляют сами провайдеры, а Spamhaus говорит, что эти адреса «не обязательно плохие». Домашний адрес в PBL это нормально.

Если листинг PBL отклоняет вашу почту, обычно нужно поменять способ отправки, а не выходить из списка:

• Отправляйте через исходящий сервер вашего провайдера или почтовой службы (smarthost), а не напрямую на серверы получателей.
• Включите SMTP-аутентификацию и используйте порты отправки 587 или 465, а не 25.
• Только если вы действительно держите на этом адресе почтовый сервер и политика провайдера это разрешает, запросите исключение на check.spamhaus.org. Исключение для одного IP действует один год (провайдеры могут установить меньший срок) и отменяется, если с адреса замечен спам.

DBL: удаление домена

DBL содержит домены и никогда IP-адреса. Найдите домен в чекере и следуйте его инструкциям; на странице DBL Spamhaus называет его единственным местом, где обрабатывается удаление из DBL. Одобренные запросы обычно отображаются через несколько минут, некоторым системам нужно до 24 часов, а если листинг остался и через сутки, стоит написать в Spamhaus. Листинги также истекают, когда активность прекращается.

Если сайт взломали (скажем, установка WordPress раздавала фишинговые страницы), сначала очистите его и смените все пароли: домен, который всё ещё отдаёт такое содержимое, внесут снова. Форма не гарантирует удаление, а Spamhaus может блокировать тех, кто запрашивает удаление слишком часто.

Что исправить в первую очередь, чтобы листинг не вернулся

Удаление лечит симптом. Вот причины, из-за которых адрес снова попадает в список, примерно в том порядке, в каком их стоит проверять:

Ни одна из перечисленных выше причин листинга Spamhaus не сводится к отсутствию записи SPF или DMARC, так что её публикация листинг не снимет. Получатели, однако, проверяют их в каждом письме: рекомендации Google для отправителей требуют SPF или DKIM и корректный прямой и обратный DNS от каждого отправителя, а от тех, кто отправляет 5 000 и более писем в день на Gmail, SPF, DKIM и DMARC; кроме того, отправителям с общим IP они советуют убедиться, что адрес не внесён ни в один блоклист.

Подключаете нового почтового провайдера? Наше руководство по Titan Email шаг за шагом разбирает его записи MX, SPF и DKIM.

Почему 8.8.8.8 и 1.1.1.1 не годятся для проверки Spamhaus (наш тест)

Многие чекеры чёрных списков, скрипты и даже почтовые серверы опрашивают Spamhaus через крупный публичный резолвер. Spamhaus это блокирует, потому что публичные резолверы скрывают, кто спрашивает. В заметке 2018 года он писал, что один публичный резолвер, возможно самый популярный, присылал ему около двух миллиардов запросов в сутки, примерно 20% всех его запросов. Поэтому публичные резолверы вместо данных получают код ошибки или пустой ответ «не в списке».

Тест DNS Robot, 26 октября 2026 г. (из Индии): мы опросили семь адресов резолверов по задокументированным тестовым записям Spamhaus, по пять раз каждую. 2.0.0.127.zen.spamhaus.org это тестовый адрес 127.0.0.2, записанный задом наперёд, и он должен отвечать 127.0.0.2, 127.0.0.4 и 127.0.0.10. dbltest.com.dbl.spamhaus.org должен отвечать 127.0.1.2. Обе записи это опубликованные тестовые записи Spamhaus, а не чей-то реальный адрес или домен.

# Cloudflare: refused, and the TXT record says why
$ dig @1.1.1.1 2.0.0.127.zen.spamhaus.org +short
127.255.255.254
$ dig @1.1.1.1 2.0.0.127.zen.spamhaus.org TXT +short
"Error: open resolver; https://check.spamhaus.org/returnc/pub/2400:cb00:222:1024::a29e:c644/"

# Google: NXDOMAIN, which looks exactly like "not listed"
$ dig @8.8.8.8 2.0.0.127.zen.spamhaus.org
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN
zen.spamhaus.org. 10 IN SOA need.to.know.only. hostmaster.spamhaus.org. ...

# Our ISP's resolver, through the home router: the real answer
$ dig 2.0.0.127.zen.spamhaus.org TXT +short
"Listed by PBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by XBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by SBL, see https://check.spamhaus.org/sbl/query/SBL2"

Ответ Google самый опасный. NXDOMAIN это именно то, что возвращает чистый адрес, поэтому чекер или спам-фильтр, спрашивающий через 8.8.8.8, сообщает «не в списке» для адресов, которые Spamhaus на самом деле внёс. Об этом предупреждает и сам Spamhaus: через Google Public DNS «в большинстве случаев» вы получите ответ «не в списке». В ответе даже есть подсказка: запись SOA, которая идёт вместе с ним, называет свой сервер need.to.know.only.

Ответ Cloudflare хотя бы честный. 127.255.255.254 лежит в диапазоне ошибок Spamhaus, и через 1.1.1.1 его получил даже тестовый адрес 1.0.0.127, которого нет в списках. Риск здесь другой: Spamhaus отмечает, что некоторые почтовые серверы по ошибке отклоняют всю почту, увидев код 127.255.255.x. Quad9 и OpenDNS ответили верно с нашего подключения, но это может измениться без предупреждения: Spamhaus называет оба, наряду с Google и Cloudflare, когда предостерегает от запросов через публичные DNS-сервисы. Его правила добросовестного использования просят отправлять запросы с резолвера в вашей собственной сети или с публичного резолвера, поддерживающего EDNS Client Subnet.

Коды ответов Spamhaus: что означает каждый

Spamhaus документирует каждый код, который возвращают его зоны. Всё в 127.255.255.0/24 это ошибка, а не листинг, а ответ вне 127.0.0.0/8 означает, что что-то вмешивается в ваш DNS (например, провайдер, перенаправляющий неизвестные имена на страницу поиска): Spamhaus говорит игнорировать такой ответ.

Как правильно опрашивать Spamhaus: свой резолвер или DQS

Spamhaus рекомендует опрашивать со своих DNS-серверов: рекурсивного резолвера в вашей сети, например Unbound, BIND или Knot Resolver на почтовом сервере или рядом с ним, с корректным именем хоста, которое вас идентифицирует. Его политика добросовестного использования DNSBL ограничивает бесплатные публичные серверы некоммерческим использованием малыми и средними организациями и не принимает запросы из крупных общих хостинговых сред.

Если это невозможно, зарегистрируйте бесплатный ключ Data Query Service (DQS). Spamhaus выдаёт его некоммерческим пользователям и частным лицам с небольшим числом запросов; коммерческим пользователям, провайдерам, коммерческим спам-фильтрам и всем, у кого больше трафика, нужна платная подписка. С ключом запросы переходят в зоны Spamhaus .net, и, как сказано в руководстве Spamhaus по миграции, это путь для тех, кто всё же хочет использовать публичный резолвер:

# Free public mirror: ask from your own resolver
2.0.0.127.zen.spamhaus.org

# DQS: your key goes in front of the zone, and .org becomes .net
2.0.0.127.<your-query-key>.zen.dq.spamhaus.net