La réputation d’une adresse IP que vous n’avez pas choisie

Personne ne choisit une adresse IP. On vous en attribue une, et elle arrive avec dix ans de comportements d’autrui déjà collés dessus. Sur une plage offshore, ce passé pèse plus lourd que la moyenne, pour une raison structurelle et non accidentelle — et la version honnête de cette phrase, aucun hébergeur ne l’écrit sur une page produit. Voici ce que l’adresse décide réellement, qui la juge, et la seule décision qui prime sur tous les enregistrements DNS que vous pourriez poser.

L’histoire que vous louez avec l’adresse

Il ne s’est plus créé d’adresse IPv4 neuve depuis 2011. Chaque adresse distribuée aujourd’hui a déjà servi, souvent plusieurs fois, et le bloc qui la contient porte des données de réputation depuis bien avant que vous n’ayez eu l’idée de votre service. Quand un hébergeur vous attribue une adresse, il n’en frappe pas une neuve — il en recycle une, et le reçu vient avec les anciens locataires attachés.

Ce qui surprend, c’est la granularité. Presque rien sur internet ne juge une adresse isolée. Les listes de blocage, les fournisseurs de messagerie et les moteurs de scoring anti-fraude raisonnent par plages — un /24, parfois tout un système autonome — parce que c’est l’unité qu’un opérateur contrôle, et parce qu’un abuseur qui grille une adresse passe simplement à la suivante dans le bloc. Trois conséquences en découlent, toutes trois hors de votre contrôle :

• Vos voisins sont votre réputation. Les 253 autres machines de votre /24 prennent des décisions qui retombent sur vous, sans que vous puissiez voir qui elles sont, ce qu’elles font tourner, ni combien de courrier elles envoient. Vous héritez de leur moyenne.
• Les inscriptions survivent aux locataires. Une plage peut porter une entrée longtemps après la résiliation du client qui l’a méritée, parce que la liste n’a aucun moyen de savoir qu’un client a changé, ni aucune raison de le deviner.
• Les plages offshore partent plus bas. Un hébergeur qui ne demande aucune identité attire, parmi des clients honnêtes, exactement ceux qui finissent inscrits sur une liste — et les listes réagissent en élargissant d’une seule adresse au /24, puis au réseau entier. C’est un coût réel de la décision de juridiction. Il doit entrer dans la décision, pas surgir en surprise après la première facture.

Deux autres choses bougent sous vos pieds pendant que l’adresse reste la même. Les adresses se louent et se transfèrent désormais entre organisations, si bien que l’enregistrement du registre pour un bloc peut changer de mains sans qu’un seul paquet ne change de route — et les données de réputation, qui vivent avec les adresses plutôt qu’avec le registre, ne suivent pas la paperasse. Et les bases de géolocalisation traînent de plusieurs mois. Une adresse déplacée à Chișinău peut continuer à résoudre vers Amsterdam dans la moitié des bases commerciales pendant un trimestre ou plus, ce qui se traduit, côté moteur anti-fraude, par une adresse néerlandaise vue sur une connexion moldave — et l’écart est noté contre vous. Aucun des deux n’est un défaut. Les deux sont le frottement ordinaire d’un marché de l’adresse à sec depuis quinze ans.

Notre propre politique d’usage acceptable nomme le mécanisme au lieu de le cacher : un courrier de masse non sollicité fait blacklister toute la plage en quelques heures, et la plage est partagée. C’est pourquoi la règle existe, et pourquoi la sanction porte sur le port plutôt que sur le compte. Les serveurs de messagerie et le courrier de masse pour lequel vous avez un consentement sont explicitement autorisés — la ligne de partage est le consentement, pas le volume.

Six juges, et ils ne sont pas d’accord

« Blacklisté » s’emploie comme s’il s’agissait d’un seul état. C’en est au moins six, décidés par six parties qui utilisent des données différentes, en publient des quantités différentes, et qui, dans deux cas, ne vous diront jamais qu’elles ont pris une décision.

Six parties qui jugent une adresse IP, ce que chacune bloque, et ce que vous pouvez faire

Qui juge	Comment vous le découvrez	Pouvez-vous le réparer	Ce que cela bloque réellement
Fournisseurs de messagerie	Un rejet, ou le silence	Partiellement	Votre message, dans le dossier spam ou carrément refusé à la porte. La réputation ici se note par adresse et par domaine d’envoi, et les deux sont suivies séparément.
Spamhaus et les grandes listes publiques	Un rejet qui nomme la liste	Oui	La connexion SMTP, à la porte, avant même que votre message soit lu. C’est la seule qui produit un rejet accompagné d’une raison, ce qui en fait l’échec le plus utile qui soit.
Listes qui font payer le retrait	Un rejet, rarement	Non	En pratique, presque rien. Certaines inscrivent un /24 entier, voire tout un réseau, sur la foi d’un seul expéditeur, puis proposent un retrait express payant. Les opérateurs sérieux ne les consultent pas.
CDN et pare-feux web	Une page de vérification	Non	Vos visiteurs, avec une page de vérification — ou vos propres requêtes sortantes vers des sites qui en utilisent une. La décision porte sur votre réseau, pas sur votre machine.
Scoring anti-fraude et paiement	Vous ne le découvrez pas	Non	Rien de visible. Cela relève un score de risque à la caisse de quelqu’un d’autre, en silence, comme une variable parmi des dizaines. Vous ne verrez jamais la règle, et il n’existe aucun guichet de recours.
Sites qui bloquent les data centers en bloc	Un refus dans vos propres journaux	Non	Les requêtes que votre serveur émet vers l’extérieur — scrapers, appels API, sondes de disponibilité. Ce n’est pas du tout un problème de réputation. C’est un problème de catégorie : vous êtes un data center, et ils voulaient des humains.

Lisez la troisième colonne de haut en bas, et la forme du problème apparaît. Un cas sur six est vraiment réparable par vous, un l’est partiellement, et quatre sont des décisions prises ailleurs, à propos d’une catégorie à laquelle vous appartenez. Ce ratio plaide pour concevoir son architecture autour de l’adresse plutôt que de la combattre — ce dont traite la dernière section.

Pourquoi le courrier juge le plus dur, et le plus honnêtement

Le courrier est le seul des six à vous dire, par écrit, au moment même de l’échec, exactement pourquoi il vous a refusé. Une page de vérification ne s’explique pas. Un score de fraude ne remonte jamais à la surface. Un message de rejet contient un code, un nom de liste et souvent une URL. Le courrier est le juge le plus dur de cette page et le seul honnête, et cette combinaison en fait l’endroit où investir votre effort de configuration.

Le DNS inverse, et la moitié que tout le monde oublie

Un enregistrement PTR fait correspondre votre adresse à un nom. Le poser est la moitié facile, et c’est là que la plupart des gens s’arrêtent. L’exigence est d’être confirmé dans les deux sens : le nom que renvoie votre PTR doit lui-même résoudre en retour vers la même adresse. Google l’énonce comme condition pour les expéditeurs de masse dans ces termes — des enregistrements directs et inverses valides, avec l’adresse d’envoi qui correspond à l’adresse du nom d’hôte du PTR. Un PTR pointant vers un nom qui ne résout nulle part, ou vers une autre machine, est pire que l’absence de PTR, parce que cela ressemble à une mauvaise configuration plutôt qu’à un oubli. Sur notre réseau, l’enregistrement inverse est le vôtre à poser, ce qui veut dire qu’il est aussi le vôtre à mal poser ; posez-le avant que le premier message ne parte, pas après le premier rejet.

SPF, DKIM et DMARC authentifient — ils ne recommandent pas

Les trois enregistrements prouvent qu’un message vient bien de qui il prétend. C’est tout ce qu’ils prouvent. Ce ne sont pas des lettres de recommandation, ce sont des papiers d’identité, et des papiers d’identité ne vous rendent bienvenu nulle part. Un message authentifié envoyé depuis une adresse inscrite sur liste reste un message authentifié envoyé depuis une adresse inscrite sur liste — il sera refusé avec plus d’assurance, pas moins. Posez les trois parce qu’ils sont désormais un plancher et non un avantage, et comprenez ensuite que vous n’avez encore rien fait pour la réputation.

Il y a aussi une distinction à comprendre avant de passer une semaine sur la mauvaise moitié. La réputation se suit contre votre adresse et contre votre domaine d’envoi, et les deux sont notés séparément. Cela a une conséquence pratique dans les deux sens : un domaine neuf et irréprochable qui envoie depuis une adresse propre n’a encore aucune réputation du tout — pas de réputation n’est pas la même chose que bonne réputation, et les premiers milliers de messages sont traités en conséquence — tandis qu’un domaine avec des années d’envoi bien tenu derrière lui transporte cette histoire à travers un changement d’adresse. La moitié « domaine » est la moitié portable, ce qui est le vrai argument pour signer avec DKIM sur votre propre domaine plutôt que sur celui que votre outil d’envoi propose par défaut.

Les chiffres que Gmail publie, et ce qu’ils impliquent

Pour les expéditeurs d’environ cinq mille messages par jour ou plus, Google publie des exigences plutôt que des conseils : SPF et DKIM sur le domaine d’envoi, DMARC présent — une politique none est acceptée — désabonnement en un clic sur le courrier marketing et les abonnements, et un taux de plainte pour spam maintenu sous 0,30 %, avec 0,10 % recommandé. Ces chiffres valent la peine d’être convertis. Sur cinq mille messages, 0,30 % représente quinze plaintes. Quinze personnes qui cliquent sur un bouton, le jour où vous avez envoyé une liste dont vous n’étiez pas certain, c’est la différence entre délivré et filtré — et ce n’est pas un seuil qu’on approche au tâtonnement.

Le port 25 sortant est bloqué par défaut chez la plupart des grands clouds, ce qui explique que personne là-bas ne découvre rien de tout cela. Un hébergeur offshore le laisse souvent ouvert, et ce n’est pas un cadeau : un port ouvert sur une plage partagée signifie que la réputation de la plage se décide par quiconque d’autre l’utilise. Le nôtre est limité en débit puis fermé en cas de récidive, pour cette raison précise et aucune autre.

Dix minutes de vérification, avant de payer

Chacune de ces questions a une réponse avant que l’argent ne change de mains, et chaque réponse vaut plus que n’importe quelle promesse sur une page produit. La volonté d’un hébergeur d’y répondre est déjà, en soi, un résultat.

1. Demandez quelle adresse vous obtiendrez (2 min). Pas la plage — l’adresse. Un hébergeur incapable de vous la dire avant paiement ne pourra rien vous dire non plus sur son histoire, et c’est déjà la réponse à la question que vous posiez vraiment.
2. Vérifiez l’adresse, puis vérifiez le /24 qui l’entoure (3 min). Les vérificateurs de réputation publics acceptent les deux. Une adresse propre à l’intérieur d’un bloc largement inscrit sur liste vous dit précisément ce qu’il faut savoir sur vos deux prochaines années.
3. Cherchez qui annonce la plage (2 min). Le réseau qui annonce un bloc vous en dit plus que le bloc lui-même. Un réseau avec une longue histoire et un contact abus publié se comporte différemment de celui apparu le trimestre dernier.
4. Testez le port 25 sortant avant de concevoir votre architecture autour (1 min). Ouvrez une connexion vers un serveur de messagerie que vous contrôlez, et regardez ce qui se passe. Découvrir la réponse après la migration, c’est ainsi qu’un week-end disparaît.
5. Confirmez que l’enregistrement inverse est le vôtre, et à quelle vitesse (1 min). Les deux moitiés comptent : que vous puissiez le poser du tout, et que le changement prenne des minutes plutôt qu’une file de tickets où vous patienterez le jour du lancement.
6. Demandez ce qui se passe si une adresse s’avère inutilisable (1 min). La réponse que vous voulez, c’est qu’on vous l’échange, sans discussion et sans frais. Obtenez-le par écrit, parce que le jour où vous en aurez besoin, vous ne serez pas en position de négocier.

Ce qui se répare, et ce qui se contourne

Cinq situations, et la distinction utile entre elles n’est pas leur gravité apparente. C’est de savoir si le levier est entre vos mains, celles de quelqu’un d’autre, ou celles de personne.

Cinq situations, et si le levier vous appartient

Situation	Qui en a décidé	À vous de réparer	La marche à suivre
Inscrit sur une liste de politique	Votre hébergeur	Oui	Une inscription de politique n’est pas une accusation. La plupart de ces plages sont soumises par l’opérateur du réseau lui-même, disant seulement que les adresses qui s’y trouvent ne devraient pas envoyer de courrier directement. Un retrait en libre-service existe, sous conditions : adresse fixe, vrai serveur de messagerie, enregistrements corrects dans les deux sens — et l’exclusion d’une adresse unique expire au bout d’un an et s’annule dès qu’un spam y est détecté.
Inscrit pour du spam réel envoyé depuis votre adresse	La liste	Partiellement	Réglez d’abord la cause, parce qu’un retrait obtenu puis regagné à la loyale est pire que l’inscription initiale. Si l’histoire appartient à un ancien locataire plutôt qu’à vous, la solution est une autre adresse, pas un recours.
Tout le /24 inscrit par un opérateur payant au retrait	La liste, seule	Non	Ne faites rien, et surtout ne payez pas. Traitez l’inscription comme une information sur la liste plutôt que sur vous, et vérifiez si un hébergeur qui compte vraiment pour vous la consulte. En général, aucun ne le fait.
Visiteurs mis au défi par un CDN devant quelqu’un d’autre	Quelqu’un d’autre	Non	Rien sur votre machine ne change cela, parce que rien de tout cela ne se décide sur votre machine. C’est une chose de plus réglée une couche au-dessus de vous, aux côtés du registre et du proxy.
Courrier refusé malgré des listes propres et des enregistrements corrects	Personne, exactement	Partiellement	C’est de la réputation plutôt que de l’inscription, et la réputation se construit en envoyant : petit volume d’abord, vrais destinataires, et des semaines plutôt que des jours. Ou vous cessez de vouloir la construire sur cette adresse — ce qui fait l’objet de la section suivante.

Les cinq situations s’améliorent énormément dès qu’on arrête de deviner. Trois outils ne coûtent rien et se mettent en place en un après-midi : un tableau de bord postmaster chez les grands fournisseurs, qui affiche votre taux de spam et votre taux d’authentification face à leurs propres chiffres plutôt qu’aux vôtres ; des boucles de retour, qui vous disent qui s’est plaint pour que vous cessiez de le mailer avant que le taux ne bouge ; et l’habitude de lire correctement les rejets. Un code 4xx est un refus temporaire, souvent une limite de débit — ralentissez. Un 5xx est une décision, et le texte qui l’accompagne nomme en général la liste ou la politique qui l’a prise. La plupart des gens suppriment les deux sans les lire, puis qualifient le résultat de mystérieux.

Une configuration qui survit à une mauvaise adresse

Une décision prime sur tous les enregistrements de ce guide, et c’est une décision d’architecture plutôt que de configuration : n’envoyez pas votre courrier depuis la machine qui fait tourner votre application. Passez par un relais dont la réputation est le métier à temps plein de quelqu’un, entretenue sur un pool d’adresses chauffées, surveillées et remplacées. Vous ne sous-traitez pas un problème que vous auriez pu résoudre ; vous renoncez à reconstruire, sur une seule adresse d’une plage partagée, une chose qui demande une équipe dédiée pour continuer à fonctionner.

Cela laisse la machine offshore faire ce que la juridiction vous a réellement acheté — héberger le service, garder les données, rester en ligne quand une plainte arrive — et place la délivrabilité là où elle est déjà un produit. Les deux préoccupations cessent d’être couplées, ce qui veut dire qu’un mauvais mois pour l’adresse cesse d’être un mauvais mois pour vos réinitialisations de mot de passe.

Si vous démarrez aujourd’hui, l’ordre compte plus que la liste. Posez l’enregistrement inverse et confirmez qu’il résout bien vers vous avant tout le reste, parce que tout ce qui suit est jugé contre lui. Publiez SPF et DKIM, puis DMARC à none pour recevoir les rapports sans casser la délivrabilité pendant que vous les lisez. Envoyez cent messages réels à des personnes réelles et lisez les résultats. Ce n’est qu’ensuite que vous déciderez si cette adresse sera un jour une adresse d’envoi — et si la réponse est non, décidez-le maintenant plutôt qu’après avoir bâti une file d’attente sur l’hypothèse contraire.

Si vous devez héberger votre courrier vous-même, séparez les adresses : une pour le web public, une qui ne fait qu’envoyer. Un /29 rend cela trivial, et coûte moins qu’un mois à déboguer pourquoi une réinitialisation de mot de passe envoyée depuis votre IP marketing se fait filtrer. Demandez avant d’en avoir besoin, pas pendant.

Le point plus général est celui que ce site répète en d’autres termes. Passer offshore achète une chose précise et la facture en frottement d’écosystème, et voici à quoi ce frottement ressemble de l’intérieur plutôt que comme puce sur une page comparative. Si votre profil de risque n’a pas besoin de la juridiction, une adresse propre chez un hébergeur ordinaire vous vaudra plus que tout ce qui est sur cette page. Si vous en avez besoin, achetez la juridiction et louez la réputation à quelqu’un d’autre — et si vous comptez héberger votre courrier sérieusement vous-même, partez d’une machine livrée avec son propre bloc d’adresses plutôt que d’une adresse noyée dans la foule.

Rédigé par les ingénieurs qui exploitent la plateforme, et relu aujourd’hui. Si quelque chose ici est faux ou obsolète, dites-le depuis le panel — c’est de là que vient environ la moitié de ces pages.