Zone DNS / RBL

Interrogez la liste noire ReportedIP en tant que liste de blocage DNS (DNSBL / RBL) directement depuis votre serveur de messagerie ou votre pare-feu. Chaque abonnement vous fournit une chaîne de zone privée, authentifiée par jeton, que vous pouvez ajouter à Postfix, Rspamd, une zone RPZ de BIND ou tout autre logiciel compatible avec les listes RBL.

Votre chaîne de zone

Une fois votre abonnement souscrit, un jeton s'affiche sur votre tableau de bord. Votre chaîne de zone est :

<your-token>.bl.reportedip.de

Un serveur de messagerie ajoute l'adresse IP du client, en l'inversant. Par exemple, en vérifiant 1.2.3.4 requêtes 4.3.2.1.<your-token>.bl.reportedip.de et lit la réponse.

IPv6 est pris en charge de la même manière, en utilisant le format « nibble inversé » (comme dans ip6.arpa) : les 32 octets de l'adresse entièrement développée, en commençant par le plus faible, suivis de .<your-token>.bl.reportedip.de. La plupart des serveurs de messagerie le créent automatiquement.

Codes de retour

Point de test (conformément à la RFC 5782) : recherche 127.0.0.2 — c'est-à-dire en interrogeant la forme inversée 2.0.0.127.<your-token>.bl.reportedip.de — renvoie toujours 127.0.0.2, ce qui vous permet de vérifier votre configuration sans avoir à fournir une adresse réelle. La même adresse de test sur IPv6 correspond à sa forme mappée ::FFFF:7F00:2 (interrogées sous forme de quarts d'octets inversés), ce qui renvoie également 127.0.0.2. Ce point de test n'est pas soumis au quota quotidien ni à la limite de débit.

Au-delà de ces réponses de type A-record, une requête qui dépasse la limite de débit par jeton reçoit la réponse suivante : REFUSED plutôt qu'une adresse (voir la section « Limites et mise en cache » ci-dessous).

Ajoutez-le à votre serveur de messagerie

Postfix

Ajoutez la zone à vos restrictions sous forme d'entrée simple — ne pas ajouter le texte de rejet en ligne (Postfix l'interpréterait comme une restriction supplémentaire et échouerait avec unknown smtpd restriction: "554"). La réponse personnalisée doit figurer dans une directive distincte.

Le single reject_rbl_client Cette directive s'applique aussi bien aux expéditeurs IPv4 qu'IPv6 — Postfix génère automatiquement la requête inversée pour chacune des deux familles (aucune configuration distincte n'est nécessaire). Les recherches DNSBL IPv6 nécessitent Postfix 2.6 ou une version plus récente, c'est-à-dire toutes les versions actuellement prises en charge.

# main.cf
smtpd_recipient_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_rbl_client <your-token>.bl.reportedip.de=127.0.0.[2..3],
    ...

Recommandé — réponse par zone. La plupart des serveurs interrogent plusieurs listes de blocage, alors utilisez rbl_reply_maps: cela remplace le texte de uniquement cette zone et évite que votre jeton ne se retrouve dans la liste des messages rejetés et le journal, tandis que Spamhaus et ses concurrents conservent leurs propres réponses par défaut.

# main.cf
rbl_reply_maps = texthash:/etc/postfix/rbl_reply

# /etc/postfix/rbl_reply  (texthash: needs no postmap)
<your-token>.bl.reportedip.de    554 5.7.1 Blocked - your IP is listed at reportedip.de

Recharger avec postfix reload. L'expéditeur (et votre journal) n'affichent alors que 554 5.7.1 Blocked - your IP is listed at reportedip.de — le jeton n'apparaît jamais.

Juste une liste noire ? Si ReportedIP le seulement DNSBL que vous interrogez, la commande en une ligne universelle default_rbl_reply = 554 5.7.1 Blocked - your IP is listed at reportedip.de Cela revient au même. Évitez cette option si vous utilisez plusieurs listes de blocage : cela leur enverrait à toutes la même réponse.

Rspamd

# local.d/rbl.conf
rbls {
  reportedip {
    rbl = "<your-token>.bl.reportedip.de";
    ipv4 = true;
    ipv6 = true;
    returncodes {
      REPORTEDIP_HIGH   = "127.0.0.2";
      REPORTEDIP_MEDIUM = "127.0.0.3";
    }
  }
}

Rspamd ajoute simplement un symbole (par exemple REPORTEDIP_HIGH) au score, de sorte que le jeton ne soit pas envoyé à l'expéditeur. Ne l'enregistrez pas non plus dans vos propres fichiers : évitez de consigner le nom d'hôte RBL résolu au niveau de débogage et ne le divulguez pas dans les X-Spam-* en-têtes.

Sous-zones de catégorie

Filtrez par type de menace en insérant un slug de catégorie avant la zone :

<reversed-ip>.<your-token>.<slug>.bl.reportedip.de

Limaces : spam, brute-force, cms-login, web-attacks, malware, ddos, fraud, infrastructure, apt. Un résultat n'est renvoyé que si l'adresse IP figure dans cette catégorie.

Limites et mise en cache

Chaque jeton comprend 100 000 requêtes DNS par jour (réinitialisation à 00 h 00 UTC). Lorsque la limite est atteinte, le jeton revient 127.255.255.251 et cesse de fonctionner jusqu'à la prochaine réinitialisation ; par conséquent, abonnez-vous à un jeton supplémentaire si vous avez besoin de plus de capacité pour gérer davantage de serveurs de messagerie.

Une limite de débit par jeton d'environ 50 requêtes par seconde protège contre les pics de courant ; les pics prolongés au-delà de cette valeur sont compensés par REFUSED. En fonctionnement normal, vous n'atteindrez aucune de ces limites, car votre résolveur met les réponses en cache : un résultat répertorié est conservé en cache pendant 30 minutes (TTL 1800) et un NXDOMAIN pendant 5 minutes (TTL 300), de sorte que la plupart des requêtes de résolution répétées ne quittent jamais votre réseau.

La zone est mise à jour à partir de la liste noire de la communauté toutes les quelques minutes, de sorte que les adresses IP nouvellement ajoutées commencent à être bloquées sans que vous ayez à intervenir.

Normes et compatibilité

La zone suit RFC 5782, la norme DNSBL/DNSWL : les adresses IPv4 sont interrogées sous forme d'octets inversés, les adresses IPv6 sous forme inversée ip6.arpa petites bouchées, le point de test 127.0.0.2 est toujours indiqué, et le 127.255.255.0/24 Cette plage est réservée aux codes d'erreur (il ne s'agit jamais d'une liste réelle). La structure « token-in-query » (<reversed-ip>.<your-token>.bl.reportedip.de) est conforme à la convention DNSBL par clé utilisée par des services reconnus tels que le Data Query Service de Spamhaus ; ainsi, tout logiciel compatible RBL — Postfix, Rspamd, un BIND RPZ — fonctionne immédiatement, sans nécessiter de code personnalisé.

Contrairement à la plupart des listes de blocage gratuites et traditionnelles, qui ne prennent en charge que l'IPv4, cette zone couvre aussi bien l'IPv4 que l'IPv6.