La reputazione di un indirizzo che non si è scelto

Nessuno sceglie un indirizzo IP. Lo si riceve già assegnato, con un decennio di comportamenti altrui attaccati sopra. Su una fascia offshore quella storia pesa più della media, per una ragione strutturale e non accidentale — ed è la versione onesta di questa frase che nessun provider scrive su una pagina prodotto. Ecco cosa decide davvero l’indirizzo, chi lo giudica, e l’unica decisione che conta più di ogni record DNS che si possa impostare.

La storia che si affitta insieme all’indirizzo

Non vengono più creati nuovi indirizzi IPv4 dal 2011. Ogni indirizzo assegnato oggi è già stato assegnato in passato, spesso più volte, e il blocco a cui appartiene porta con sé dati di reputazione da prima ancora che il servizio fosse un’idea. Quando un provider assegna un indirizzo, non ne conia uno nuovo: ne ricicla uno, e la ricevuta arriva con i precedenti inquilini allegati.

La parte che sorprende è la granularità. Quasi nulla, su internet, giudica un singolo indirizzo. Le liste di blocco, i provider di posta e i sistemi antifrode ragionano per fasce — un /24, a volte un intero sistema autonomo — perché è quella l’unità che un operatore controlla, e perché chi abusa di un indirizzo passa semplicemente al successivo dello stesso blocco. Ne conseguono tre effetti, tutti fuori dal proprio controllo:

• I vicini sono la propria reputazione. Le altre 253 macchine del /24 prendono decisioni che ricadono anche qui, senza che si possa sapere chi sono, cosa eseguono o quanta posta inviano. Se ne eredita la media.
• Le segnalazioni sopravvivono agli inquilini. Una fascia può restare segnalata ben oltre la fine del cliente che l’ha causata, perché la lista non ha modo di sapere che il cliente è cambiato, né alcun incentivo a supporlo.
• Le fasce offshore partono più in basso. Un provider che non chiede identità attira, insieme ai clienti onesti, esattamente quelli che finiscono segnalati — e le liste rispondono allargando il raggio dal singolo indirizzo al /24, fino all’intera rete. È un costo reale della scelta di giurisdizione, e va messo in conto prima, non scoperto a sorpresa dopo la prima fattura.

Altri due fattori si muovono sotto la superficie mentre l’indirizzo resta lo stesso. Gli indirizzi si affittano e si trasferiscono ormai fra organizzazioni, così il record di registro di un blocco può cambiare proprietario senza che un solo pacchetto cambi rotta — e i dati di reputazione, legati agli indirizzi e non al registro, non seguono la pratica amministrativa. E le banche dati di geolocalizzazione restano indietro di mesi. Un indirizzo trasferito a Chișinău può continuare a risolvere su Amsterdam in metà dei database commerciali per un trimestre o più, il che si traduce in un motore antifrode che vede un indirizzo olandese su una connessione moldava e penalizza la discrepanza. Nessuno dei due è un difetto: sono entrambi l’attrito ordinario di un mercato degli indirizzi rimasto senza scorte da quindici anni.

La nostra politica di uso accettabile nomina il meccanismo invece di nasconderlo: la posta massiva non richiesta fa mettere in blacklist l’intera fascia nel giro di ore, e la fascia è condivisa. È per questo che la regola esiste, ed è per questo che la sanzione colpisce la porta e non l’account. I server di posta e l’invio massivo con consenso sono esplicitamente permessi — il confine è il consenso, non il volume.

Sei giudici, e non sono d’accordo tra loro

«In blacklist» viene usato come se fosse una condizione unica. Sono almeno sei, decise da sei soggetti che usano dati diversi, ne pubblicano quantità diverse e, in due casi, non diranno mai di aver preso una decisione.

Sei soggetti che giudicano un indirizzo IP, cosa blocca ciascuno e cosa si può fare

Chi giudica	Come lo si scopre	Si può risolvere	Cosa blocca davvero
Provider di posta	Un rifiuto, o il silenzio	Parzialmente	Il messaggio, nella cartella spam oppure fuori dalla porta del tutto. Qui la reputazione è valutata per indirizzo e per dominio di invio, e le due vengono tracciate separatamente.
Spamhaus e le principali liste pubbliche	Un rifiuto che nomina la lista	Sì	La connessione SMTP, alla porta, prima ancora che il messaggio venga letto. È quella che restituisce un rifiuto con un motivo indicato, il che la rende l’errore più utile che si possa ricevere.
Liste che fanno pagare la rimozione	Un rifiuto, raramente	No	In pratica, ben poco. Alcune segnalano un intero /24 o un’intera rete sulla base di un solo mittente, per poi offrire una rimozione espressa a pagamento. Gli operatori seri non le consultano.
CDN e firewall applicativi	Una pagina di verifica	No	I visitatori, con una pagina di verifica — oppure le richieste in uscita verso siti dietro uno di questi sistemi. La decisione riguarda la rete, non la singola macchina.
Scoring antifrode e dei pagamenti	Non lo si scopre	No	Nulla di visibile. Alza un punteggio di rischio alla cassa di qualcun altro, in silenzio, come uno fra decine di fattori. La regola resta invisibile e non esiste un ricorso.
Siti che bloccano i data center in blocco	Un rifiuto nei propri log	No	Le richieste in uscita dal server — scraper, chiamate API, controlli di stato. Non è affatto un problema di reputazione, ma di categoria: è un data center, e loro volevano persone.

Leggendo la terza colonna dall’alto verso il basso emerge la forma del problema. Uno su sei è davvero risolvibile in autonomia, uno lo è in parte, e quattro sono decisioni prese altrove riguardo a una categoria a cui si appartiene. Questo rapporto è l’argomento a favore di progettare intorno all’indirizzo invece di combatterlo — di cui parla l’ultima sezione.

Perché la posta giudica più duramente, e con più onestà

La posta è l’unica, fra i sei, a dire per iscritto, nel momento stesso del rifiuto, il motivo esatto per cui ha respinto il messaggio. Una pagina di verifica non si spiega. Un punteggio antifrode non emerge mai. Un messaggio di rifiuto contiene un codice, il nome di una lista e spesso un URL. La posta è il giudice più severo di questa pagina e l’unico onesto, e questa combinazione è ciò che rende utile concentrare qui lo sforzo di configurazione.

Il DNS inverso, e la metà che tutti dimenticano

Un record PTR associa l’indirizzo a un nome. Impostarlo è la metà facile, ed è quella a cui quasi tutti si fermano. Il requisito è la conferma incrociata: il nome restituito dal PTR deve a sua volta risolvere di nuovo sullo stesso indirizzo. Google lo indica proprio in questi termini come condizione per i mittenti massivi — record diretti e inversi validi, con l’indirizzo di invio corrispondente a quello del nome host nel PTR. Un PTR che punta a un nome che non risolve da nessuna parte, o verso un’altra macchina, è peggio di nessun PTR, perché sembra un errore di configurazione più che una lacuna. Su questa rete il record inverso è configurabile dal cliente, il che significa anche che si può sbagliare da soli; va impostato prima del primo messaggio, non dopo il primo rifiuto.

SPF, DKIM e DMARC autenticano — non garantiscono

I tre record dimostrano che un messaggio proviene davvero da chi dichiara di averlo inviato. Tutto qui. Non sono una referenza, sono un documento d’identità, e un documento d’identità non rende benvenuti da nessuna parte. Un messaggio autenticato proveniente da un indirizzo segnalato resta un messaggio autenticato proveniente da un indirizzo segnalato — verrà respinto con più sicurezza, non con meno. Vanno impostati tutti e tre perché ormai sono un requisito minimo, non un vantaggio, e a quel punto non si è ancora fatto nulla per la reputazione.

C’è anche una distinzione da capire prima di passare una settimana a lavorare sulla metà sbagliata. La reputazione viene tracciata sia sull’indirizzo sia sul dominio di invio, e le due vengono valutate separatamente. Questo ha una conseguenza pratica in entrambe le direzioni: un dominio nuovo e pulito che invia da un indirizzo pulito non ha comunque alcuna reputazione — nessuna reputazione non equivale a buona reputazione, e i primi mille messaggi vengono trattati di conseguenza — mentre un dominio con anni di invio corretto alle spalle porta quella storia anche dopo un cambio di indirizzo. La metà legata al dominio è quella portabile, ed è il vero argomento a favore di firmare con DKIM sul proprio dominio invece che su quello offerto di default dallo strumento di invio.

I numeri pubblicati da Gmail, e cosa implicano

Per chi invia più o meno cinquemila messaggi al giorno, Google pubblica requisiti, non semplici indicazioni: SPF e DKIM sul dominio di invio, DMARC presente — una policy none è accettata — cancellazione con un clic sulla posta di marketing e in abbonamento, e un tasso di reclami spam mantenuto sotto lo 0,30%, con lo 0,10% consigliato. Vale la pena convertire queste cifre. Su cinquemila messaggi, lo 0,30% equivale a quindici reclami. Quindici persone che premono un pulsante in un giorno in cui è stata inviata una lista non del tutto verificata sono la differenza fra consegnato e filtrato, ed è una soglia che non si percepisce per tentativi.

La porta 25 in uscita è bloccata di default sulla maggior parte dei grandi cloud, ed è per questo che nessuno, lì, scopre nulla di tutto ciò. Un provider offshore spesso la lascia aperta, e non è un regalo: una porta aperta su una fascia condivisa significa che la reputazione della fascia viene decisa da chiunque altro la stia usando. Qui è limitata nella frequenza e poi chiusa in caso di abuso ripetuto, per questa sola ragione.

Dieci minuti di verifica, prima di pagare

Ognuno di questi punti ha una risposta prima ancora che il pagamento avvenga, e ogni risposta vale più di qualunque promessa su una pagina prodotto. La disponibilità di un provider a rispondere è già di per sé un risultato.

1. Chiedere quale indirizzo verrà assegnato (2 min). Non la fascia: l’indirizzo. Un provider che non sa dirlo prima del pagamento non può dire nulla nemmeno sulla sua storia, e questa è già la risposta alla domanda reale.
2. Controllare l’indirizzo, poi controllare il /24 che lo circonda (3 min). Gli strumenti pubblici di verifica della reputazione accettano entrambi. Un indirizzo pulito dentro un blocco pesantemente segnalato dice con precisione cosa aspettarsi nei prossimi due anni.
3. Verificare chi annuncia la fascia (2 min). La rete che annuncia un blocco dice più cose del blocco stesso. Una rete con una lunga storia e un contatto abusi pubblicato si comporta diversamente da una comparsa dell’ultimo trimestre.
4. Testare la porta 25 in uscita prima di progettare tutto intorno ad essa (1 min). Aprire una connessione verso un server di posta sotto il proprio controllo e osservare cosa succede. Scoprirlo dopo la migrazione è il modo in cui sparisce un weekend.
5. Confermare che il record inverso è configurabile in autonomia, e in quanto tempo (1 min). Contano entrambe le cose: poterlo impostare, e che la modifica richieda minuti e non una coda di ticket da attendere proprio il giorno del lancio.
6. Chiedere cosa succede se un indirizzo risulta inutilizzabile (1 min). La risposta cercata è che venga sostituito, senza discussioni e senza costi. Farselo mettere per iscritto, perché il giorno in cui servirà non ci sarà margine per negoziare.

Cosa si può correggere, e cosa si aggira

Cinque situazioni, e la distinzione utile fra loro non è quanto sembrino gravi. È se la leva sia nelle proprie mani, in quelle di qualcun altro, o di nessuno.

Cinque situazioni, e se la leva sia nelle proprie mani

Situazione	Chi l’ha decisa	Si può correggere	La mossa
Segnalato su una policy list	Il proprio provider	Sì	Una segnalazione di policy non è un’accusa. La maggior parte di quelle fasce viene sottoposta dallo stesso operatore di rete, per indicare soltanto che quegli indirizzi non dovrebbero inviare posta direttamente. Esiste una rimozione in autonomia, condizionata a un indirizzo statico, un vero server di posta e record corretti in entrambe le direzioni — e l’esclusione di un singolo indirizzo scade dopo un anno e si annulla non appena viene rilevato dello spam.
Segnalato per spam realmente inviato dal proprio indirizzo	La lista	Parzialmente	Correggere prima la causa, perché una rimozione ottenuta e poi rimeritata è peggio della segnalazione originale. Se la storia appartiene a un inquilino precedente e non a chi la subisce ora, la soluzione è un indirizzo diverso, non un ricorso.
Intero /24 segnalato da un operatore a pagamento	Solo la lista	No	Non fare nulla, e in particolare non pagare. Trattare la segnalazione come un’informazione sulla lista, non su di sé, e verificare se un provider a cui si tiene davvero la consulta. Di solito nessuno lo fa.
Visitatori sottoposti a verifica da un CDN altrui	Qualcun altro	No	Nulla, alla propria macchina, cambia la situazione, perché nulla di essa si decide lì. È un’altra cosa risolta un livello più in alto, insieme a il registry e il proxy.
Posta respinta con liste pulite e record corretti	Nessuno, esattamente	Parzialmente	Qui si tratta di reputazione e non di segnalazione, e la reputazione si costruisce inviando: volumi bassi all’inizio, destinatari reali, e settimane più che giorni. Oppure si smette di provare a costruirla su questo indirizzo, il che porta alla sezione successiva.

Tutte e cinque migliorano enormemente non appena si smette di procedere alla cieca. Tre strumenti non costano nulla e richiedono un pomeriggio da configurare: una dashboard da postmaster presso i grandi provider, che mostra il proprio tasso di spam e il tasso di autenticazione superata a confronto con i loro stessi numeri; i feedback loop, che dicono chi ha segnalato come spam, così da smettere di scrivere a quella persona prima che il tasso peggiori; e l’abitudine di leggere davvero i messaggi di rifiuto. Un codice 4xx è un rifiuto temporaneo, spesso un limite di frequenza: bisogna rallentare. Un 5xx è una decisione, e il testo accanto di solito nomina la lista o la policy che l’ha presa. Quasi tutti cancellano entrambi senza leggerli, per poi definire il risultato misterioso.

Una configurazione che sopravvive a un indirizzo compromesso

Una decisione conta più di ogni record citato in questa guida, ed è una decisione di architettura, non di configurazione: non inviare la posta dalla macchina su cui gira l’applicazione. Inviarla attraverso un relay la cui reputazione è il lavoro a tempo pieno di qualcun altro, mantenuta su un pool di indirizzi scaldati, monitorati e sostituiti. Non si sta esternalizzando un problema risolvibile in proprio: si sta rinunciando a ricostruire, su un solo indirizzo di una fascia condivisa, qualcosa che richiede un team dedicato per continuare a funzionare.

Questo lascia alla macchina offshore il compito per cui la giurisdizione è stata scelta — ospitare il servizio, custodire i dati, restare operativa quando arriva un reclamo — e colloca la recapitabilità dove è già un prodotto a sé. I due problemi smettono di essere legati, il che significa che un brutto mese per l’indirizzo smette di essere un brutto mese per il reset delle password altrui.

Se si parte oggi, l’ordine conta più della lista. Impostare il record inverso e verificare che risolva di nuovo verso di sé prima di ogni altra cosa, perché tutto il resto viene giudicato a partire da lì. Pubblicare SPF e DKIM, poi DMARC su none per ricevere i report senza compromettere la consegna nel frattempo. Inviare cento messaggi reali a persone reali e leggerne i risultati. Solo a quel punto decidere se questo indirizzo sarà mai un indirizzo di invio, e se la risposta è no, deciderlo subito invece che dopo aver costruito una coda sull’ipotesi contraria.

Se la posta va autogestita, separare gli indirizzi: uno per il web pubblico, uno che non fa altro che inviare. Un /29 rende la cosa banale e costa meno di un mese passato a capire perché un reset password inviato dall’IP di marketing viene filtrato. Chiederlo prima che serva, non durante.

Il punto più ampio è quello che questo sito ripete in altre parole. Andare offshore compra qualcosa di preciso e lo fa pagare in attrito dell’ecosistema, e questo è come si presenta quell’attrito visto da dentro, invece che come punto elenco su una pagina di confronto. Se il proprio profilo di rischio non richiede la giurisdizione, un indirizzo pulito su un provider ordinario vale più di tutto ciò che c’è in questa pagina. Se invece la richiede, conviene comprare la giurisdizione e affittare la reputazione da qualcun altro — e se si intende autogestire la posta sul serio, conviene partire da una macchina che include già un proprio blocco di indirizzi invece che un solo indirizzo in mezzo alla folla.

Scritto dagli ingegneri che gestiscono la piattaforma, e riletto il oggi. Se qualcosa qui è sbagliato o non è più aggiornato, lo segnali dal pannello cliente — è da lì che proviene circa la metà di queste voci.