Spamhaus: Kiểm tra IP và gỡ khỏi blacklist

Cách kiểm tra bạn có bị Spamhaus liệt kê không

Để biết Spamhaus có liệt kê địa chỉ IP hoặc tên miền của bạn không, hãy tra trên IP and Domain Reputation Checker của chính Spamhaus tại check.spamhaus.org. Công cụ cho biết danh sách nào chứa địa chỉ, lý do và cách gỡ khỏi danh sách đó. Công cụ này đã thay thế Blocklist Removal Center cũ vào tháng 3 năm 2021, nên bài hướng dẫn nào còn dẫn bạn tới "removal center" thì thực chất là nói đến trang này.

Spamhaus quan trọng hơn hầu hết các blocklist khác vì rất nhiều máy chủ nhận thư dùng nó. Quy tắc mặc định của SpamAssassin và Rspamd đều truy vấn danh sách ZEN của Spamhaus, lỗi từ chối 550 OU-001 của Outlook.com hướng bạn tới Spamhaus để gỡ, và lỗi 553/554 của Yahoo có thể ghi "Your IP is listed by Spamhaus". Nếu thư báo lỗi (bounce) nhắc đến Spamhaus, địa chỉ IP trong thư đó chính là địa chỉ cần tra.

Các công cụ kiểm tra blacklist khác hoặc chỉ dẫn link tới đó, hoặc tự truy vấn các vùng DNS của Spamhaus, và cách này chỉ hoạt động khi truy vấn từ đúng resolver (xem bài thử resolver của chúng tôi).

Các danh sách của Spamhaus: SBL, CSS, XBL, PBL, DBL và ZEN

Spamhaus vận hành nhiều danh sách, và cách gỡ hoàn toàn phụ thuộc vào danh sách nào đang chứa bạn. Bốn danh sách liệt kê địa chỉ IP và được gộp thành ZEN (zen.spamhaus.org), vùng duy nhất mà một máy chủ mail cần truy vấn. Danh sách thứ năm, DBL, liệt kê tên miền.

ZEN đơn giản là SBL + CSS + XBL + PBL trong một truy vấn, nên một lần tra có thể trả về nhiều mã cùng lúc. Địa chỉ thử nghiệm 127.0.0.2 của Spamhaus cố ý nằm trong ba danh sách, vì thế nó trả lời 127.0.0.2, 127.0.0.4 và 127.0.0.10 cùng lúc. Spamhaus yêu cầu ứng dụng phân tích (parse) các mã trả về, nên hãy đọc mọi mã trong câu trả lời, không chỉ mã đầu tiên.

Vì sao Spamhaus chặn IP của tôi?

Spamhaus không công bố chính xác các điều kiện kích hoạt, nhưng trang của từng danh sách nêu loại hành vi khiến một địa chỉ bị đưa vào:

• XBL: một thiết bị sau địa chỉ này bị nhiễm hoặc bị lạm dụng. Mã độc trên máy tính, ứng dụng "VPN miễn phí" dùng kết nối của bạn làm proxy cho người khác, thiết bị tham gia tấn công brute force, hoặc thứ gì đó cố chuyển tiếp thư bằng mật khẩu bị đánh cắp.
• CSS: chính máy chủ mail gửi thư xấu. Thư không được yêu cầu, quản lý danh sách kém, hộp thư hoặc CMS bị xâm nhập gửi spam, hoặc máy chủ có tên HELO và DNS ngược không khớp nhau.
• SBL: Spamhaus đã gắn địa chỉ với một hoạt động spam hoặc lạm dụng. Trên shared hosting hoặc VPS giá rẻ, đó có thể là người thuê trước hoặc người dùng chung, và Spamhaus có thể nâng listing lên hạ tầng riêng của nhà cung cấp hoặc các dải rộng hơn khi nhà cung cấp chứa nội dung lạm dụng.
• PBL: địa chỉ là địa chỉ gia đình hoặc người dùng cuối khác. ISP của bạn (hoặc Spamhaus) đã đánh dấu đó là dải địa chỉ không nên gửi thư trực tiếp. Lỗi từ chối 550 DY-001 của Outlook.com cũng là chính sách này: nói chung Outlook.com không nhận thư trực tiếp từ địa chỉ IP động.
• DBL: một tên miền trong thư của bạn bị liệt kê. Tên miền của bạn, hoặc một liên kết trong thư, đã xuất hiện trong spam hoặc trong phishing hay mã độc được lưu trữ. Tên miền hợp pháp bị xâm nhập cũng bị liệt kê, với mã riêng (127.0.1.102 đến 127.0.1.106).

Hãy đọc lý do mà công cụ kiểm tra đưa ra trước khi thay đổi bất cứ điều gì: sửa một chiếc laptop bị nhiễm hoàn toàn khác với xử lý một kết nối gia đình nằm trong PBL.

Cách gỡ khỏi danh sách Spamhaus (delist)

Sửa trước, yêu cầu sau. Spamhaus liệt kê lại địa chỉ ngay khi phát hiện lại vấn đề, và số lần tự gỡ bị giới hạn, nên yêu cầu gỡ trước khi sửa là phí một lượt gỡ.

1. Tìm địa chỉ bị liệt kêLấy địa chỉ IP từ thư báo lỗi (bounce) hoặc nhật ký máy chủ mail: địa chỉ công khai mà thư gửi đi, không phải địa chỉ dạng 192.168.x.x.
2. Tra tại check.spamhaus.orgGhi lại danh sách (SBL, CSS, XBL, PBL hoặc DBL), lý do bị liệt kê và số tham chiếu nếu có.
3. Khắc phục nguyên nhânLàm sạch thiết bị bị nhiễm, đóng relay, sửa DNS ngược và HELO, hoặc ngừng đợt gửi thư gây ra vấn đề.
4. Yêu cầu gỡ, hoặc nhờ nhà cung cấp của bạnDùng tùy chọn gỡ của công cụ kiểm tra cho các mục XBL, CSS, PBL và DBL. Với mục SBL, hãy mở ticket gửi nhóm abuse của ISP hoặc nhà cung cấp hosting.
5. Kiểm tra lạiCác vùng của Spamhaus tải lại trong vài phút, dù một số mạng chậm tới một ngày. Nếu việc gỡ không xử lý được ngay, công cụ kiểm tra sẽ mở ticket giúp bạn.

SBL: ISP hoặc nhà cung cấp hosting phải yêu cầu gỡ

Bạn không thể tự gỡ một mục SBL. Trang SBL của Spamhaus nói rằng yêu cầu gỡ phải do ISP phụ trách địa chỉ gửi, sau khi việc lạm dụng đã được xử lý. Hãy mở ticket gửi nhóm abuse của nhà cung cấp, kèm mã tham chiếu SBL từ công cụ kiểm tra và nêu rõ bạn đã sửa gì.

Spamhaus sẽ không xử lý việc gỡ khỏi các danh sách khác cho địa chỉ đó cho đến khi mục SBL biến mất. Trên shared hosting, khi mục đó không liên quan đến bạn, xin nhà cung cấp một địa chỉ IP sạch thường nhanh hơn chờ cả dải địa chỉ được gỡ.

XBL: làm sạch thiết bị bị nhiễm rồi tự gỡ

Mục XBL có thể tự gỡ tại check.spamhaus.org, và cũng tự hết hạn sau một thời gian kể từ khi lưu lượng độc hại dừng. Danh sách này rất bận rộn: Spamhaus cho biết trung bình có khoảng 2 triệu mục, với khoảng 650.000 lượt phát hiện mới mỗi 24 giờ.

Gỡ trước khi tìm ra nguyên nhân sẽ không bền: địa chỉ bị liệt kê lại ngay lần kế tiếp thiết bị nhiễm kết nối. Trang XBL của Spamhaus gợi ý:

• Cập nhật mọi thiết bị sau địa chỉ đó và chạy quét chống mã độc toàn diện trên từng thiết bị.
• Gỡ các tiện ích mở rộng trình duyệt và ứng dụng "VPN miễn phí" mà bạn không nhận ra.
• Cập nhật firmware router, tắt truy cập từ bên ngoài không cần thiết và chỉ mở các cổng cần dùng.
• Để chặn lạm dụng ngay, hãy chặn cổng 25 đi ra trên router hoặc tường lửa cho mọi thứ trừ máy chủ mail thật của bạn. Việc đó chặn spam, không chặn được nhiễm mã độc; netstat hoặc TCPView cho biết máy nào vẫn đang cố gắng.

Không phải mạng nào cũng áp dụng việc gỡ nhanh như nhau, nên Spamhaus yêu cầu bạn chờ 24 giờ trước khi mở ticket về một yêu cầu gỡ chưa hiện ra.

CSS: sửa máy chủ mail rồi yêu cầu gỡ

Mục CSS là tự động và ngắn hạn. Thường chúng hết hạn sau ba ngày kể từ lần phát hiện cuối, lâu hơn trong một số trường hợp lạm dụng kéo dài. Bạn có thể yêu cầu gỡ tại công cụ kiểm tra sau khi sửa nguyên nhân, nhưng số lần tự gỡ bị giới hạn và địa chỉ bị liệt kê lại ngay nếu vấn đề vẫn tiếp diễn.

Chỉ riêng cấu hình cũng có thể khiến bạn bị CSS liệt kê. Trang CSS của Spamhaus nhấn mạnh HELO và DNS ngược: bản ghi PTR phải tồn tại và trỏ đúng tên máy chủ mà server dùng, tra cứu xuôi phải khớp với tên HELO, và HELO/EHLO phải là tên miền đầy đủ (FQDN), không phải localhost.localdomain hay mail. Một bộ cân bằng tải đặt trước các máy chủ mail cũng có thể khiến địa chỉ công khai trông như bị nhiễm.

PBL: không phải hình phạt, nên hãy đổi cách gửi thư

PBL liệt kê các dải địa chỉ người dùng cuối, động và tĩnh, "từ đó thư không bao giờ nên được gửi trực tiếp tới đích cuối cùng". Nhiều dải trong số này do chính ISP thêm vào, và Spamhaus nói các địa chỉ đó "không nhất thiết là xấu". Một địa chỉ băng thông rộng gia đình nằm trong PBL là chuyện bình thường.

Nếu mục PBL khiến thư của bạn bị từ chối, cách sửa thường là đổi cách gửi chứ không phải delist:

• Gửi qua máy chủ gửi đi của ISP hoặc nhà cung cấp email (smarthost) thay vì gửi thẳng tới máy chủ của người nhận.
• Bật xác thực SMTP và dùng các cổng submission 587 hoặc 465, không dùng 25.
• Chỉ khi bạn thật sự chạy máy chủ mail tại địa chỉ đó, và chính sách của ISP cho phép, mới yêu cầu ngoại lệ tại check.spamhaus.org. Ngoại lệ cho một IP kéo dài một năm (ISP có thể đặt thời hạn ngắn hơn) và bị thu hồi nếu thấy spam từ địa chỉ đó.

DBL: gỡ một tên miền

DBL liệt kê tên miền, không bao giờ là địa chỉ IP. Hãy tra tên miền tại công cụ kiểm tra và làm theo hướng dẫn; trang DBL của Spamhaus gọi đó là nơi duy nhất xử lý việc gỡ DBL. Yêu cầu được duyệt thường hiện ra sau vài phút, một số hệ thống mất tới 24 giờ, và mục nào vẫn còn sau một ngày thì đáng để nhắn cho Spamhaus. Các mục cũng hết hạn khi hoạt động dừng lại.

Nếu trang web bị xâm nhập (chẳng hạn bản cài WordPress phục vụ các trang phishing), hãy dọn sạch và đổi mọi mật khẩu trước: tên miền vẫn phục vụ nội dung đó sẽ bị liệt kê lại. Biểu mẫu không đảm bảo việc gỡ, và Spamhaus có thể chặn những ai yêu cầu gỡ quá nhiều lần.

Sửa những điều này trước để mục không quay lại

Delist chỉ chữa triệu chứng. Đây là những nguyên nhân khiến địa chỉ bị đưa lại vào danh sách, xếp gần đúng theo thứ tự nên kiểm tra:

Không lý do liệt kê nào của Spamhaus ở trên là thiếu bản ghi SPF hay DMARC, nên việc đăng ký chúng sẽ không gỡ được mục nào. Tuy nhiên bên nhận kiểm tra chúng ở mọi thư: hướng dẫn dành cho người gửi của Google yêu cầu SPF hoặc DKIM cùng DNS xuôi và ngược hợp lệ từ mọi người gửi, và SPF, DKIM cùng DMARC từ ai gửi 5.000 thư trở lên mỗi ngày tới Gmail; Google cũng khuyên người gửi dùng IP dùng chung phải bảo đảm IP đó không nằm trong blocklist nào.

Đang thiết lập nhà cung cấp email mới? Hướng dẫn Titan Email của chúng tôi đi qua từng bước các bản ghi MX, SPF và DKIM.

Vì sao 8.8.8.8 và 1.1.1.1 không kiểm tra được Spamhaus (bài thử của chúng tôi)

Nhiều công cụ kiểm tra blacklist, script và cả máy chủ mail hỏi Spamhaus qua một resolver công cộng lớn. Spamhaus chặn việc này, vì resolver công cộng che giấu ai đang hỏi. Trong bài viết năm 2018, Spamhaus cho biết một resolver công cộng, có thể nói là phổ biến nhất, gửi khoảng hai tỷ truy vấn mỗi ngày, xấp xỉ 20% tổng số truy vấn của họ. Vì thế resolver công cộng nhận về một mã lỗi hoặc câu trả lời trống "không bị liệt kê" thay vì dữ liệu.

Bài thử của DNS Robot ngày 26 tháng 10 năm 2026 (từ Ấn Độ): chúng tôi hỏi bảy địa chỉ resolver về các mục thử nghiệm đã được Spamhaus công bố, mỗi mục năm lần. 2.0.0.127.zen.spamhaus.org là địa chỉ thử nghiệm 127.0.0.2 viết ngược, và phải trả lời 127.0.0.2, 127.0.0.4 và 127.0.0.10. dbltest.com.dbl.spamhaus.org phải trả lời 127.0.1.2. Cả hai đều là mục thử nghiệm do Spamhaus công bố, không phải địa chỉ hay tên miền thật của ai.

# Cloudflare: refused, and the TXT record says why
$ dig @1.1.1.1 2.0.0.127.zen.spamhaus.org +short
127.255.255.254
$ dig @1.1.1.1 2.0.0.127.zen.spamhaus.org TXT +short
"Error: open resolver; https://check.spamhaus.org/returnc/pub/2400:cb00:222:1024::a29e:c644/"

# Google: NXDOMAIN, which looks exactly like "not listed"
$ dig @8.8.8.8 2.0.0.127.zen.spamhaus.org
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN
zen.spamhaus.org. 10 IN SOA need.to.know.only. hostmaster.spamhaus.org. ...

# Our ISP's resolver, through the home router: the real answer
$ dig 2.0.0.127.zen.spamhaus.org TXT +short
"Listed by PBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by XBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by SBL, see https://check.spamhaus.org/sbl/query/SBL2"

Câu trả lời của Google là cái nguy hiểm. NXDOMAIN chính là thứ một địa chỉ sạch trả về, nên công cụ kiểm tra hay bộ lọc spam hỏi qua 8.8.8.8 sẽ báo "không bị liệt kê" cho những địa chỉ mà Spamhaus thực sự liệt kê. Chính Spamhaus cũng cảnh báo điều này: qua Google Public DNS, "in most cases" bạn nhận được câu trả lời không bị liệt kê. Câu trả lời thậm chí còn mang một manh mối: bản ghi SOA đi kèm đặt tên máy chủ của nó là need.to.know.only.

Câu trả lời của Cloudflare ít nhất là trung thực. 127.255.255.254 nằm trong dải lỗi của Spamhaus, và qua 1.1.1.1 ngay cả địa chỉ thử nghiệm không bị liệt kê 1.0.0.127 cũng nhận mã này. Rủi ro nằm ở phía ngược lại: Spamhaus lưu ý một số máy chủ mail từ chối nhầm toàn bộ thư khi thấy mã 127.255.255.x. Quad9 và OpenDNS trả lời đúng từ kết nối của chúng tôi, nhưng điều đó có thể đổi mà không báo trước: Spamhaus nêu tên cả hai, cùng với Google và Cloudflare, khi cảnh báo không nên truy vấn qua dịch vụ DNS công cộng. Điều khoản sử dụng hợp lý của họ yêu cầu truy vấn từ resolver trong mạng của chính bạn hoặc một resolver công cộng hỗ trợ EDNS Client Subnet.

Mã trả về của Spamhaus: ý nghĩa từng câu trả lời

Spamhaus ghi lại mọi mã mà các vùng của họ trả về. Mọi thứ trong 127.255.255.0/24 là lỗi, không bao giờ là một mục liệt kê, và câu trả lời nằm ngoài 127.0.0.0/8 nghĩa là có thứ gì đó đang can thiệp vào DNS của bạn (chẳng hạn ISP chuyển hướng tên không xác định tới trang tìm kiếm): Spamhaus nói hãy bỏ qua nó.

Cách truy vấn Spamhaus đúng: resolver riêng hoặc DQS

Spamhaus khuyến nghị truy vấn từ máy chủ DNS của chính bạn: một resolver đệ quy trong mạng của bạn, như Unbound, BIND hoặc Knot Resolver đặt trên hoặc cạnh máy chủ mail, với tên máy chủ đúng để nhận diện bạn. Chính sách sử dụng hợp lý DNSBL của họ giới hạn các máy chủ công cộng miễn phí cho mục đích phi thương mại của các tổ chức vừa và nhỏ, và không chấp nhận truy vấn từ các môi trường shared hosting lớn.

Khi không thể làm vậy, hãy đăng ký khóa Data Query Service (DQS) miễn phí. Spamhaus cấp cho người dùng phi thương mại và cá nhân có lượng truy vấn thấp; người dùng thương mại, ISP, bộ lọc spam thương mại và ai có lưu lượng lớn hơn cần gói trả phí. Với khóa, truy vấn chuyển sang các vùng .net của Spamhaus, và hướng dẫn di chuyển của Spamhaus nói đây là con đường nếu bạn vẫn muốn dùng resolver công cộng:

# Free public mirror: ask from your own resolver
2.0.0.127.zen.spamhaus.org

# DQS: your key goes in front of the zone, and .org becomes .net
2.0.0.127.<your-query-key>.zen.dq.spamhaus.net