Quand vos voisins font blacklister votre IP
Une liste noire d’IP ne connaît pas votre nom. Une inscription s’attache à une adresse — parfois à toute une plage d’adresses — et chaque serveur de messagerie qui consulte la liste juge quiconque envoie aujourd’hui depuis cette adresse à l’aune de son passé enregistré. Si l’adresse n’appartient qu’à vous et que vous vous comportez bien, c’est assez juste. Mais une grande partie d’internet envoie depuis des adresses qu’il ne fait que louer ou partager : un compte d’hébergement mutualisé, une instance cloud avec une IP publique recyclée, un bureau derrière un pool NAT d’opérateur. Dans ces configurations, vous héritez de l’histoire de l’adresse et vous partagez son présent, et la campagne de spam d’un inconnu peut devenir votre problème de délivrabilité du jour au lendemain. Cet article explique comment surviennent les inscriptions par voisinage et par héritage, comment les distinguer d’une inscription que vous avez gagnée vous-même, et ce qui fonctionne vraiment quand l’une d’elles vous tombe dessus. Commencez par passer l’adresse depuis laquelle vous envoyez au vérificateur de listes noires et notez les dates d’inscription qu’il rapporte : ici, les dates sont toute l’histoire.
L’inscription appartient à l’adresse, pas à vous
Les listes noires DNS sont indexées par adresse IP parce que c’est la seule chose qu’un serveur destinataire puisse vérifier pendant la conversation SMTP : l’adresse de connexion est un fait de la poignée de main TCP, pas quelque chose que l’expéditeur peut falsifier dans un en-tête. Les normes qui décrivent ces listes, RFC 5782 et RFC 6471, sont écrites entièrement en termes d’adresses et de plages — il n’existe aucun champ pour « mais le locataire a changé mardi dernier ». Un serveur destinataire qui fait confiance à la liste traite donc le dossier accumulé de l’adresse comme votre dossier, qui que vous soyez.
Et ce n’est pas toujours une seule adresse. Quand l’abus depuis une plage persiste, les opérateurs de listes escaladent : une adresse devient un /24, et parfois un bloc bien plus large, précisément pour faire pression sur le propriétaire du réseau afin qu’il s’occupe des locataires en cause. La SBL de Spamhaus, par exemple, inscrit des plages utilisées par des opérations de spam et peut élargir une inscription lorsque l’opérateur responsable n’agit pas. Cette escalade est une pression collatérale délibérée — la liste s’appuie sur le propriétaire parce que le locataire n’écoute pas. Si votre adresse se trouve dans une telle plage, votre courrier est lui aussi collatéral, et rien dans votre propre comportement ne l’a causé ni ne peut le guérir directement.
Le locataire précédent : hériter d’une adresse sale
Les adresses cloud sont recyclées vite. Une instance est terminée le matin, son IP publique retourne au pool à midi, et le soir elle est attachée à votre serveur de messagerie flambant neuf — chargée de tout ce que le détenteur précédent a gagné : des inscriptions ouvertes, une réputation brûlée chez les grands fournisseurs de boîtes aux lettres, et parfois une place sur des listes de blocage internes qu’aucune consultation publique ne vous montrera jamais. Les inscriptions publiques au moins expirent ou peuvent être retirées ; les données privées de réputation des grands destinataires s’érodent simplement avec le temps, et vous ne pouvez pas faire appel auprès d’un système qui ne se publie pas lui-même.
Vérifiez donc l’adresse avant de construire dessus, pas après le début des rebonds. Passez-la au vérificateur de listes noires, examinez son DNS inverse et ce que l’on connaît publiquement de son histoire, et envoyez du courrier de test aux principaux fournisseurs de boîtes aux lettres avant de migrer quoi que ce soit de réel. Si l’adresse arrive sale, la réparation la moins chère se situe tout au début : rendez-la et demandez-en une autre, ou demandez un remplacement propre au fournisseur, avant que les enregistrements DNS, les includes SPF et les configurations clients ne vous soudent à elle. Changer après un mois de chauffe gaspille le mois ; changer le premier jour coûte des minutes.
Si vous gardez l’adresse, traitez son passé comme un fait documenté plutôt que comme un mystère. Conservez les preuves d’inscription avec leurs dates — la plupart des inscriptions héritées sont antérieures à votre arrivée, et cet écart est votre atout le plus fort dans chaque conversation qui suit, avec votre fournisseur comme avec les opérateurs de listes. Réglez ensuite les bases que le locataire précédent a pu négliger : un enregistrement PTR sensé et confirmé dans le sens direct, SPF, DKIM et DMARC fonctionnels pour votre domaine, et un nom HELO raisonnable. Rien de tout cela ne vous retire d’une liste à soi seul, mais cela sépare « nouveau locataire qui fait les choses correctement » de « même opération, nouveau nom » — exactement la distinction que recherchent les examinateurs.
Les voisins actuels : partager une adresse aujourd’hui
L’héritage est un événement unique ; une adresse partagée est une exposition permanente. Sur l’hébergement mutualisé classique, des dizaines ou des centaines de sites sans rapport envoient via l’IP de messagerie de l’hébergeur, et un seul voisin compromis — un formulaire web détourné, une boîte aux lettres hameçonnée — peut inscrire l’adresse pour tout le monde. La même forme réapparaît à plus grande échelle : les pools d’envoi partagés des fournisseurs de messagerie, où vos campagnes partent aux côtés de celles d’inconnus, et les pools NAT de niveau opérateur, derrière lesquels des quartiers entiers d’abonnés haut débit apparaissent comme une poignée d’adresses publiques. Dans chaque cas, le comportement inscrit est réel. Il n’est simplement pas le vôtre.
Les symptômes diffèrent de ceux d’une inscription que vous avez gagnée, et c’est ainsi que vous les reconnaissez. La délivrabilité se dégrade par vagues qui ne correspondent à rien de ce que vous avez envoyé ; les rebonds citent des volumes ou des horodatages datant de moments où votre serveur était silencieux ; le motif déclaré décrit un contenu que vous n’avez jamais produit. Vous ne pouvez pas réparer la compromission d’un voisin, et vous ne pouvez pas gagner la désinscription à force d’innocence tant que l’abus continue deux portes plus loin — l’adresse sera simplement inscrite à nouveau. L’acteur qui peut changer les choses est celui qui contrôle l’adresse : l’hébergeur, l’ESP, l’opérateur. Vos leviers sont la preuve, l’escalade et, en fin de compte, la sortie — un ticket portant les références exactes de l’inscription et vos propres journaux d’envoi propres, une demande de déplacement vers une autre adresse ou un autre pool, et la volonté de partir si le pool continue de brûler. Un contrôle de délivrabilité comme le contrôle de délivrabilité des e-mails aide à séparer ce que votre domaine contrôle de la réputation au niveau de l’adresse que vous ne faites qu’emprunter.
Dédiée ou partagée : le compromis honnête
Une IP d’envoi dédiée achète le contrôle au prix de la responsabilité exclusive. Tout ce qu’elle fait est à vous, en bien comme en mal, et personne d’autre ne peut la brûler — mais elle démarre aussi à froid, et les systèmes de réputation récompensent un historique stable et reconnaissable. Un expéditeur à faible volume ou irrégulier sur une adresse dédiée peut ne jamais accumuler assez de bon historique pour compenser une mauvaise semaine, et délivrera souvent moins bien que depuis un pool. Les adresses dédiées gagnent leur place à volume soutenu et constant, là où votre propre historique est assez profond pour être un atout et où le comportement d’un voisin est un risque réel pour lui.
Un pool partagé réputé est le marché inverse : réputation empruntée, risque partagé. Les bons fournisseurs surveillent leurs pools avec agressivité — ils limitent ou éjectent vite les expéditeurs abusifs, répartissent les clients sur de nombreuses adresses, surveillent en continu le statut dans les listes — parce que la réputation du pool est leur produit. Pour la plupart des petits et moyens expéditeurs, cette réputation empruntée est un avantage réel, et le risque de voisinage devient le travail à plein temps du fournisseur plutôt que votre passe-temps. Le mode d’échec à éviter est le pire des deux mondes : un pool bon marché et sans surveillance où personne ne regarde rien. Quel que soit votre choix, choisissez-le comme une décision sur qui gère la réputation de l’adresse — vous, ou un fournisseur dont l’activité en dépend — et non comme un réglage par défaut dans lequel vous êtes tombé.
Quand cela vous tombe dessus : le plan d’action
D’abord, prouvez la forme du problème. Comparez la date de l’inscription et sa fenêtre de preuves avec la date à laquelle l’adresse vous a été attribuée et avec ce que montrent vos propres journaux. Si l’inscription est antérieure à votre arrivée, ou cite un trafic que vos journaux prouvent que vous n’avez jamais envoyé, vous avez un cas d’héritage ou de voisinage, et la paperasse est la solution : les registres d’attribution de votre fournisseur, les factures ou les horodatages de création d’instance, la date à laquelle votre enregistrement PTR a changé. Fournisseurs et opérateurs de listes répondent bien mieux à « cette adresse nous a été attribuée le 14 ; l’inscription cite le 3 » qu’à n’importe quel volume de protestation.
Ensuite, travaillez les deux sorties à la fois. Demandez à votre fournisseur de vous déplacer vers une adresse propre ou un autre pool — pour les inscriptions héritées, c’est généralement la résolution la plus rapide qui existe, et les fournisseurs compétents le font en routine, parce qu’ils savent que leurs pools recyclent les adresses. En parallèle, déposez la demande de désinscription avec vos preuves jointes ; le pas-à-pas du processus de désinscription lui-même est couvert dans comment sortir d’une liste noire DNS. Et pendant que vous attendez, acheminez le courrier qui ne peut pas se permettre de rebondir — réinitialisations de mot de passe, factures, alertes — via un relais réputé, afin que l’activité ne soit pas l’otage d’un litige d’adresse.
Enfin, faites-en un état surveillé plutôt qu’une surprise. Contrôlez chaque adresse depuis laquelle vous envoyez selon un calendrier régulier, et contrôlez toute nouvelle adresse avant qu’elle ne transporte du courrier de production, exactement comme vous contrôleriez un domaine avant de l’acheter. Conservez les papiers de votre location : le jour où vous pouvez prouver quand une adresse est devenue la vôtre est le jour où une inscription héritée passe d’une semaine d’arrêt à un après-midi d’e-mails. Une adresse IP est un terrain loué. Gardez le bail, surveillez le voisinage, et ne soyez pas le seul locataire surpris par la réputation de la rue.