Blacklists d’IP ou de domaine : pourquoi vous vérifiez sans doute la mauvaise

Chaque semaine, des expéditeurs viennent nous voir persuadés qu'une blacklist tue leur délivrabilité. Ils collent leur IP dans MXToolbox, voient un listage et paniquent. Ou bien ils lancent un test de placement, obtiennent de mauvais résultats et en concluent que ce doit être une blacklist.

Le problème, c'est que la plupart du temps, le listage qu'ils ont trouvé n'est pas celui qui cause le problème. Et souvent, ils ne vérifient même pas la bonne IP au départ.

Il existe deux types de blacklists totalement différents qui touchent la délivrance des e-mails : les blacklists d'IP et les blacklists de domaine. Elles ne fonctionnent pas de la même façon, elles sont consultées à des moments différents de la délivrance, et corriger l'une ne change absolument rien à l'autre. Ajoutez des relais e-mail par-dessus, et la plupart des gens regardent depuis le début une IP qui n'est pas la bonne.

Reprenons tout point par point.

Deux types de blacklists, deux problèmes totalement différents

Avant d'entrer dans le détail, voici la distinction essentielle :

• Blacklist d'IP : liste l'adresse IP du serveur d'envoi. Consultée lors de la connexion SMTP, avant même que votre message soit accepté. Le serveur destinataire voit l'IP et décide immédiatement s'il laisse passer la connexion.
• Blacklist de domaine : liste les domaines présents dans votre message, y compris votre domaine d'envoi, vos liens et vos domaines de tracking. Consultée pendant l'analyse du contenu, une fois le message accepté. Une IP propre ne vous sauvera pas ici.

C'est important, parce que le correctif de l'une n'a rien à voir avec celui de l'autre. Vous pouvez avoir une IP impeccable et être filtré quand même parce qu'un lien de votre e-mail figure sur une liste de domaines. Ou l'inverse.

Blacklists d'IP : ce qu'elles sont et lesquelles comptent vraiment

Une blacklist d'IP (aussi appelée DNSBL ou RBL) est une liste publiée d'adresses IP dont la réputation d'envoi est mauvaise. Quand un serveur de messagerie destinataire reçoit une connexion de votre IP, il peut interroger l'une de ces listes en temps réel. Si votre IP est listée, la connexion peut être refusée avant même que votre e-mail arrive.

Voici celles qu'il faut connaître :

Spamhaus ZEN (Impact : élevé)

C'est la plus importante. Spamhaus ZEN est une zone combinée qui regroupe toutes les listes d'IP de Spamhaus en une seule requête. Elle comprend la SBL (sources de spam confirmées), la CSS (expéditeurs à gros volume et snowshoe), la XBL (machines compromises et botnets) et la PBL (plages d'IP qui ne devraient pas envoyer d'e-mails directement). Microsoft et la plupart des serveurs de messagerie d'entreprise s'appuient activement sur Spamhaus. Un listage ZEN a de vraies conséquences pour le cold email B2B.

Barracuda BRBL (Impact : moyen à élevé)

La Barracuda Reputation Block List recense les IP signalées par le réseau d'appliances et de spam traps de Barracuda. Si vos destinataires utilisent des serveurs de messagerie d'entreprise protégés par Barracuda (fréquent dans les ETI et les grands comptes), celle-ci compte. La bonne nouvelle : Barracuda propose un formulaire de délistage manuel et le traite en général en 12 heures environ, une fois le problème de fond corrigé.

SpamCop (SCBL) (Impact : moyen)

SpamCop liste les IP à partir des plaintes d'utilisateurs et des spam traps. Le score est pondéré dans le temps, donc les plaintes récentes comptent davantage, et les listages expirent d'eux-mêmes, en général dans les 24 heures après l'arrêt des signalements. Il n'y a pas de formulaire de délistage. Arrêtez le spam et cela se règle tout seul.

UCEPROTECT L2 / L3 (Impact : très faible)

Les zones secondaire et tertiaire d'UCEPROTECT listent des ASN ou des blocs réseau entiers, pas des IP individuelles. Presque aucun grand destinataire ne s'en sert pour ses décisions de délivrance, et ils vous font payer le délistage express. Ne payez pas. Ne perdez pas le sommeil pour un listage ici, sauf si vous les utilisez comme simple indicateur de « santé de mon IP ».

Blacklists de domaine : celles que la plupart des gens oublient

Les blacklists de domaine agissent à un tout autre niveau. Même si votre IP est parfaitement propre, un serveur destinataire peut analyser le contenu de votre message et le refuser à cause d'un domaine cité dans le corps ou dans l'enveloppe.

Spamhaus DBL (Impact : élevé)

La Spamhaus Domain Block List recense les domaines d'envoi, les domaines From et tout hôte d'URL présent dans le corps du message. Un listage DBL de votre domaine d'envoi principal fait partie des pires choses qui puissent arriver à un programme B2B, parce qu'il suit le message quelle que soit l'IP depuis laquelle vous envoyez.

SURBL (Impact : moyen à élevé)

SURBL signale les domaines qui apparaissent dans le corps des messages de spam. Elle est très utilisée par les filtres basés sur SpamAssassin chez les hébergeurs pour petites et moyennes entreprises. Si votre domaine de suivi des clics, de redirection ou de désinscription s'y retrouve, attendez-vous à voir les scores SpamAssassin s'envoler dans un grand nombre de boîtes.

URIBL (Black / Multi) (Impact : moyen)

Proche de SURBL mais gérée indépendamment, URIBL se concentre sur les hôtes d'URI présents dans le corps des messages. C'est un second avis courant à côté de SURBL dans les solutions de filtrage commerciales.

Un point pratique à surveiller : votre domaine de tracking personnalisé est lui aussi exposé. Si vous utilisez un domaine de suivi des clics basé sur un CNAME et qu'il se retrouve associé à des campagnes de spam, il peut finir sur une liste d'URI. C'est l'une des raisons pour lesquelles beaucoup d'expéditeurs expérimentés ont totalement abandonné le suivi des liens.

Pourquoi vérifier « votre IP » ne sert probablement à rien

C'est là que se trompent presque tous ceux qui envoient via un relais, un séquenceur ou une infrastructure d'envoi partagée.

Quand vous cliquez sur « envoyer » dans votre outil d'e-mailing, l'IP qui livre réellement le message à Gmail ou Outlook n'est presque jamais celle que vous imaginez. L'IP de délivrance appartient au MTA sortant qui a réellement remis le message au serveur de messagerie destinataire, en général un relais que votre plateforme d'envoi possède ou loue. L'IP de votre bureau, l'IP publique de votre serveur et l'IP affichée sur la page marketing de votre séquenceur n'entrent pas en ligne de compte.

C'est cette IP sortante que voit le serveur destinataire. C'est cette IP sortante qui peut être listée. Et c'est la seule qui vaille la peine d'être vérifiée sur Spamhaus, Barracuda et SpamCop.

Si vous collez votre IP dans un vérificateur de blacklist, vous regardez presque à coup sûr un numéro qui n'a rien à voir avec votre délivrabilité réelle.

Comment trouver l'IP qui vous a réellement fait lister

La vraie IP d'envoi sortante se cache dans les en-têtes de n'importe quel message que vous avez réussi à délivrer. Voici comment la trouver.

Étape 1 : envoyez un test vers une boîte que vous contrôlez

Utilisez une adresse Gmail ou Outlook neuve. Envoyez depuis la boîte mail exacte que vous dépannez, pour obtenir le bon chemin de relais.

Étape 2 : ouvrez les en-têtes bruts de l'e-mail

• Gmail : ouvrez le message, cliquez sur le menu à trois points à côté du bouton Répondre et choisissez « Afficher l'original ». Les en-têtes bruts complets s'ouvrent dans un nouvel onglet.
• Outlook sur le web : ouvrez le message, cliquez sur le menu à trois points « Autres actions », puis Afficher, puis « Afficher la source du message ».
• Apple Mail : Présentation → Message → Source brute (ou Tous les en-têtes).

Étape 3 : trouvez le dernier en-tête Received: (le plus bas) avant votre boîte de test

Les en-têtes Received: s'empilent dans l'ordre chronologique, le plus récent en haut, parce que chaque serveur ajoute le sien au début du message (RFC 5321, section 4.4). Lisez de bas en haut : la ligne Received: la plus basse écrite par le fournisseur destinataire est celle qui enregistre l'IP qui lui a réellement livré le message.

Étape 4 : extrayez l'IP de cette ligne

Vous cherchez quelque chose comme from mail.example.com ([203.0.113.42]). L'IP entre crochets est la vraie IP d'envoi sortante.

Étape 5 : vérifiez cette IP (et vos domaines)

Passez maintenant l'IP sortante dans un vérificateur multi-listes comme notre vérificateur de blacklist. Séparément, vérifiez votre domaine d'envoi et tous vos domaines de liens ou de tracking sur Spamhaus DBL, SURBL et URIBL.

Puis demandez-vous : voyez-vous vraiment des erreurs de bounce qui citent une blacklist précise ? Si la réponse est non, le listage que vous avez trouvé n'est peut-être pas du tout la cause de votre problème.

Quelles blacklists touchent vraiment le cold email B2B ?

Voici une évaluation honnête de l'impact pour du cold email envoyé vers des boîtes professionnelles :

Liste	Impact	Pourquoi
Spamhaus ZEN	Très élevé	Utilisée par Microsoft et la plupart des filtres d'entreprise
Spamhaus DBL	Très élevé	Suit votre domaine sur toutes les IP
Barracuda BRBL	Élevé	Courante dans les ETI et les grands comptes
SURBL	Moyen à élevé	Très utilisée dans les configurations SpamAssassin
URIBL	Moyen	Second avis à côté de SURBL
SpamCop	Moyen	Pondérée dans le temps, se lève d'elle-même
UCEPROTECT L2/L3	Très faible	Presque jamais utilisée pour les décisions de délivrance

Comment vraiment régler un problème de blacklist

01. Trouvez d'abord la bonne IP. Récupérez les en-têtes bruts d'un e-mail de test délivré et trouvez la vraie IP d'envoi sortante. Ne vérifiez pas l'IP de votre serveur, celle de votre bureau ni le nom d'hôte de soumission.

02. Confirmez que c'est vraiment le point de blocage. Regardez les vrais messages de bounce. Si les serveurs destinataires ne citent pas une blacklist précise dans l'erreur SMTP, le listage que vous fixez n'est probablement pas la cause.

03. Vérifiez vos domaines séparément. Passez votre domaine d'envoi, vos domaines de liens et votre domaine de tracking sur Spamhaus DBL, SURBL et URIBL. Une IP propre ne sert à rien si une URI du message est listée.

04. Corrigez le comportement de fond avant de demander le délistage. La plupart des listes vous relisteront en quelques heures si les plaintes pour spam, les spam traps ou les pics de volume à l'origine du listage continuent. Mettez les envois en pause, identifiez la source, puis demandez le délistage.

05. Sachez quand vous arrêter. Si votre taux de plaintes pour spam approche 0,3 %, si votre taux de bounce dépasse 5 %, ou si vous avez un listage Spamhaus SBL ou DBL confirmé avec de vrais bounces à l'appui, arrêtez d'envoyer et corrigez avant de reprendre.

En résumé

La plupart des problèmes de délivrabilité attribués aux blacklists n'en sont pas. Ceux qui en sont concernent en général une autre IP ou une autre liste que celle qu'on vérifie. Récupérez votre vraie IP sortante dans les en-têtes, vérifiez à la fois votre IP et vos domaines, et ne tenez un listage pour la cause que lorsque les bounces le citent réellement.

MailVitals surveille 25 DNSBL sur vos IP et vos domaines d'envoi, pour que les listages apparaissent le jour même, vérifiés sur l'IP qui livre réellement vos e-mails.

👉 À lire aussi : Comment savoir si je suis blacklisté ? · Pourquoi mes e-mails arrivent-ils en spam ?

Sources

• RFC 5782: DNS Blacklists and Whitelists : comment les blocklists d'IP et de domaine sont publiées dans le DNS et interrogées.
• ZEN Blocklist (Spamhaus) : ZEN comme combinaison des listes Spamhaus SBL, CSS, XBL et PBL.
• Domain Blocklist (DBL) (Spamhaus) : la liste de domaines Spamhaus appliquée aux domaines d'envoi et aux domaines en lien.
• SURBL reputation lists : les sous-listes de SURBL (ABUSE, PH, MW, CR, CT, DM) et leur codage dans multi.surbl.org.
• SpamCop Blocking List : les listages SpamCop sont limités dans le temps et se lèvent quand les signalements s'arrêtent.