自分では選べない IP アドレスのレピュテーション

IP アドレスは誰も自分で選べません。手渡されるだけであり、そこには十年分もの他人の振る舞いがすでに付着しています。オフショアの範囲ではその過去は平均より重く、しかもそれは偶然ではなく構造的な理由によるものです。その正直な言い方は、どのプロバイダーも製品ページには書きません。ここでは、そのアドレスが実際に何を決めているのか、誰がそれを判定しているのか、そしてどの DNS レコードよりも優先される、たった一つの決定について解説します。

借りたアドレスに付いてくる過去

2011 年以降、新しい IPv4 アドレスは発行されていません。今日割り当てられるアドレスは、すべて以前にも、多くの場合は何度も使われたものであり、それが属するブロックは、自分がサービスを思いつくよりずっと前からレピュテーションデータを積み重ねてきました。プロバイダーがアドレスを割り当てるとき、それは新規に鋳造しているのではなく再利用しているのであり、その受け渡しには前の住人たちの記録が付いてきます。

意外に思われるのは、その粒度です。インターネット上でアドレス単体を裁くものはほとんどありません。ブロックリストもメールプロバイダーも不正検知システムも、範囲単位 — /24、時には自律システム全体 — で判断します。それが運用者にコントロールできる単位だからであり、また一つのアドレスを焼き尽くした不正利用者が、同じブロック内の次のアドレスへ単に移動するだけだからです。ここから三つの帰結が生じ、そのいずれも自分ではコントロールできません。

• 隣人こそが自分のレピュテーションです。同じ /24 にいる残り 253 台のマシンが下す判断が自分に降りかかってきますが、それが誰で、何を動かし、どれだけメールを送っているかは見えません。自分はその平均を受け継ぐことになります。
• リスト登録は住人より長生きします。ある範囲は、それを招いた顧客が契約を打ち切られたあとも長くリストに残ることがあります。リスト側には顧客が変わったことを知る手段も、それを推測する動機もないからです。
• オフショアの範囲はスタート地点が低いのです。身元確認を求めないプロバイダーは、誠実な顧客に混じって、まさにリスト入りするような顧客も引き寄せます。そしてリストは、単一のアドレスから /24、さらにはネットワーク全体へと対象を広げることで応じます。これは司法管轄の選択にともなう正真正銘のコストであり、最初の請求書のあとに驚くことではなく、選択そのものに織り込んでおくべきものです。

アドレス自体は変わらないまま、さらに二つのことがその足元で動いています。アドレスは今や組織間でリースや譲渡がなされるようになっており、ブロックのレジストリ記録は、パケットの経路を一つも変えることなく持ち主を変えることがあります。そしてレピュテーションデータはレジストリではなくアドレスに紐付いているため、その名義変更には追随しません。さらに、ジオロケーションデータベースは数か月遅れます。キシナウに移されたアドレスが、商用データベースの半分ではその後 1 四半期以上もアムステルダムのまま解決され続けることがあり、これは不正検知エンジンから見ると、モルドバからの接続にオランダのアドレスが結び付いている不一致として現れます。どちらも欠陥ではありません。どちらも、15 年前に在庫が尽きたアドレス市場の、ありふれた摩擦にすぎません。

当社自身の利用規定も、この仕組みを隠さずに名指ししています。同意のない大量メールは数時間で範囲全体をブラックリスト入りさせ、しかもその範囲は他の利用者と共有されています。だからこそこのルールは存在し、制裁の対象がアカウントではなく port になっています。 メールサーバーと、同意を得た上での大量メール送信は明確に許可されています — 境界線は送信量ではなく同意の有無です。

六つの判定者、意見は一致しない

「ブラックリスト入り」は、あたかも一つの状態であるかのように使われます。しかし実際には少なくとも六通りあり、それぞれ異なるデータを使い、公開する情報量も異なる六つの当事者が判定を下しています。そのうち二つは、判定を下したことすら決して教えてくれません。

IP アドレスを判定する六つの当事者と、それぞれが何をブロックするか、そして自分にできること

誰が判定するか	気づき方	直せるか	実際に何をブロックするか
メールプロバイダー	バウンスか沈黙	一部	あなたのメッセージを、迷惑メールフォルダー行きにするか、完全に締め出します。ここでのレピュテーションはアドレスごとと送信ドメインごとに別々にスコアリングされ、両者は個別に追跡されます。
Spamhaus と主要な公開リスト	リスト名入りのバウンス	はい	メッセージが読まれる前、入り口の時点で SMTP 接続そのものを拒否します。理由付きのバウンスを返す唯一の仕組みであり、だからこそ最も役に立つ失敗と言えます。
削除に課金するリスト	まれにバウンス	いいえ	実質的にはほとんど何も。一件の送信者を根拠に /24 全体やネットワーク全体をリストし、そのうえで有料の優先削除を持ちかけるものもあります。ある程度の規模の運用者はこうしたリストを参照しません。
CDN と Web ファイアウォール	チャレンジページ	いいえ	自分のサイトの訪問者にチャレンジページを表示させる、あるいはその背後にあるサイトへの自分自身の outbound リクエストを止めます。判定はマシンについてではなく、ネットワークについて下されています。
不正・決済スコアリング	分からない	いいえ	目に見える形では何も起きません。他人のチェックアウトの場で、何十もの入力の一つとして、静かにリスクスコアを押し上げます。そのルールを目にすることは決してなく、異議申し立ての窓口もありません。
データセンターを一括遮断するサイト	自分のログ上の拒否	いいえ	サーバーが外部へ送るリクエスト — スクレイピング、API 呼び出し、ヘルスチェック — が対象です。これはレピュテーションの問題ではまったくなく、カテゴリーの問題です。自分はデータセンターであり、相手が求めていたのは人間だったのです。

三列目を上から下へ読んでいくと、問題の輪郭が見えてきます。六つのうち本当に自分で直せるのは一つ、部分的に直せるのが一つ、残り四つはどこか別の場所で、自分が属するカテゴリーについて下された決定です。この比率こそが、アドレスと戦うのではなくそれを前提に設計すべき理由であり、それが最後の節のテーマです。

メールが最も厳しく、最も誠実に判定する理由

六つの判定者のうち、拒否した瞬間にその理由を書面で正確に伝えてくれるのはメールだけです。チャレンジページは何も説明しません。不正スコアが表に出ることもありません。バウンスメッセージにはコードとリスト名、しばしば URL まで含まれています。メールはこのページで最も厳しい判定者であり、唯一誠実な判定者でもあります。この組み合わせこそが、設定にかける労力を注ぐべき場所をメールにしている理由です。

逆引き DNS と、誰もが忘れる半分

PTR レコードは、自分のアドレスを名前へと逆に対応付けます。これを設定するのは簡単な半分にすぎませんが、ほとんどの人はそこで止まってしまいます。求められているのは正引きで裏付けが取れることです。つまり PTR が返す名前自体が、同じアドレスへと逆に解決できなければなりません。Google は大量送信者への条件として、まさにこの言葉 — 送信アドレスが PTR のホスト名のアドレスと一致する、有効な正引き・逆引きレコード — を掲げています。どこにも解決しない名前や、別のマシンを指す PTR は、何も設定しないより悪い状態です。設定漏れではなく設定ミスに見えるからです。 当社のネットワークでは逆引きレコードを自分で設定できますが、それは自分で間違えることもできるという意味でもあります。最初のメッセージを送る前に設定してください。最初のバウンスのあとではありません。

SPF・DKIM・DMARC が証明するのは真正性であり、信用の保証ではない

この三つのレコードが証明するのは、メッセージが名乗った送信元から本当に届いたということだけです。それ以上のことは何も証明しません。これらは推薦状ではなく身分証明書であり、身分証明書はどこであれ歓迎を保証してはくれません。リスト入りしたアドレスから届く認証済みメッセージは、あくまでリスト入りしたアドレスから届く認証済みメッセージであり、より確信を持って拒否されることはあっても、その逆はありません。この三つは今や強みではなく最低条件なので、すべて設定した上で、レピュテーションについてはまだ何もしていないと理解しておいてください。

間違った半分に一週間を費やす前に、理解しておく価値のある区分けがもう一つあります。レピュテーションはアドレスに対しても送信ドメインに対しても追跡され、両者は別々にスコアリングされます。これは両方向に実際的な結果をもたらします。汚点のない新しいドメインが、クリーンなアドレスから送信しても、レピュテーションはまだゼロです — レピュテーションがないことは良いレピュテーションがあることと同じではなく、最初の千通はそのように扱われます。一方で、長年きちんと送信してきたドメインは、アドレスが変わってもその実績を引き継ぎます。持ち運べるのはドメイン側の実績であり、これこそが送信ツールが既定で用意する DKIM ではなく、自分自身のドメインで DKIM に署名すべき本当の理由です。

Gmail が公表する数字と、その意味するところ

1 日あたりおよそ 5,000 通以上を送信する送信者に対して、Google はヒントではなく要件を公表しています。送信ドメインへの SPF と DKIM、DMARC の設置 — ポリシーは none で構いません —、マーケティングおよび購読メールでのワンクリック配信停止、そして 0.30% 未満、推奨は 0.10% というスパム苦情率です。この数字は具体的に置き換えてみる価値があります。5,000 通のうち 0.30% は苦情 15 件です。確信の持てないリストに送った日に、15 人がボタンをクリックするかどうかが、配信されるか除外されるかの分かれ目であり、感覚だけで探り当てられる閾値ではありません。

大手クラウドの大半では outbound の port 25 が既定でブロックされており、そこでは誰もこの話に気づきません。オフショアのプロバイダーはしばしばこれを開けたままにしていますが、それは贈り物ではありません。共有された範囲の中で port が開いているということは、その範囲のレピュテーションを、他の誰かが決めているということです。当社が rate-limited のうえで繰り返しの不正利用時に閉鎖するのは、まさにその理由だけによるものです。

支払う前の 10 分間のチェック

これらはいずれも、お金を払う前に答えが得られる項目であり、その答えは製品ページのどんな謳い文句よりも役に立ちます。プロバイダーがそれに答えようとするかどうか自体が、一つの発見です。

1. どのアドレスが割り当てられるか尋ねる（2 分）。範囲ではなく、そのアドレスそのものです。支払い前にそれを答えられないプロバイダーは、その履歴についても何も答えられません。それこそが、本当に尋ねたかった問いへの答えです。
2. アドレスを確認し、次にその周囲の /24 を確認する（3 分）。公開されているレピュテーションチェッカーはどちらも受け付けます。徹底的にリストされたブロックの中にあるクリーンなアドレスは、これから二年間について知っておくべきことを正確に教えてくれます。
3. その範囲を広告しているネットワークを調べる（2 分）。ブロックそのものより、それを広告するネットワークの方が多くを語ります。長い歴史があり苦情窓口を公開しているネットワークは、先四半期に現れたばかりのネットワークとは振る舞いが異なります。
4. 設計を決める前に、送信用の port 25 を実際にテストする（1 分）。自分が管理するメールサーバーへ接続を開き、何が起きるか確認します。移行を終えてから答えを知ることになれば、週末が丸ごと消えます。
5. 逆引きレコードを自分で設定できるか、そしてどれだけ速く反映されるかを確認する（1 分）。両方とも重要です。そもそも設定できること、そして変更が公開日に待たされるチケット待ちの列ではなく、数分で反映されることです。
6. アドレスが使い物にならないと判明したときどうなるか尋ねる（1 分）。求めるべき答えは、議論も手数料もなく交換してもらえることです。必要になったその日には交渉できる立場にないので、書面で確約を得てください。

直せること、回避すべきこと

五つの状況があり、そのあいだで意味を持つ区別は、見た目の深刻さではありません。レバーが自分の手にあるか、他人の手にあるか、それとも誰の手にもないかです。

五つの状況と、レバーが自分の手にあるかどうか

状況	誰が決めたか	自分で直せるか	取るべき対応
ポリシーリストへの登録	自分のプロバイダー	はい	ポリシーリストへの登録は非難ではありません。そうした範囲の多くはネットワーク運用者自身によって申告されたもので、そこにあるアドレスが直接メールを送るべきではないと述べているだけです。セルフサービスでの削除は、固定アドレスであること、実在するメールサーバーであること、双方向で正しいレコードが設定されていることを条件に可能で、単一アドレスの除外は 1 年で失効し、スパムが検知された瞬間に元に戻ります。
自分のアドレスからの実際のスパムによる登録	そのリスト	一部	まず原因を直してください。削除を受けてから再び登録されるのは、最初の登録より悪い結果だからです。その履歴が自分のものではなく前の住人のものであるなら、直すべきはアドレスであって、異議申し立てではありません。
有料削除業者による /24 全体の登録	そのリスト単独	いいえ	何もしないでください。特に、お金は払わないでください。この登録を、自分についての情報ではなくそのリストについての情報として扱い、本当に気にすべきプロバイダーがそれを参照しているかどうかを確認してください。たいていは誰も参照していません。
他人の手前にある CDN による訪問者へのチャレンジ	他人	いいえ	自分のマシン側で何を変えても、これは変わりません。何一つ自分のマシンで決まっていないからです。これはレジストリやプロキシと並んで、もう一段上で決まっている事柄です。
リストも記録も清潔なのにメールが拒否される	特に誰でもない	一部	これはリスト登録ではなくレピュテーションの問題であり、レピュテーションは送信によって築かれます。まず少量から、実在する受信者へ、日ではなく週の単位で。あるいは、このアドレスでレピュテーションを築こうとするのをやめる、というのが次の節の話です。

五つすべては、推測をやめた瞬間に大きく改善します。費用がかからず午後だけで組み込める仕組みが三つあります。大手プロバイダーの postmaster ダッシュボードは、自分の数字ではなく相手側の基準に照らしてスパム率と認証通過率を示してくれます。フィードバックループは、率が動く前に送信を止められるよう、誰が苦情を申し立てたかを教えてくれます。そしてバウンスをきちんと読む習慣です。4xx は一時的な拒否で、多くは rate limit です — 送信ペースを落としてください。5xx は決定であり、その脇のテキストには、たいていそれを下したリストやポリシーの名前が書かれています。ほとんどの人はどちらも読まずに削除し、結果を「原因不明」と表現します。

悪いアドレスでも生き残る構成

このガイドのどのレコードよりも優先される決定が一つあり、それは設定ではなくアーキテクチャに関する決定です。アプリケーションを動かしているマシンから、直接メールを送らないことです。レピュテーション管理を専業とする誰かが、ウォームアップ・監視・入れ替えを続けるアドレス群のプールを使って中継してくれるリレーを通して送ってください。これは自分で解決できたはずの問題を外部に丸投げしているのではありません。共有範囲上の一つのアドレスの上に、専任チームでなければ維持できないものを自前で再構築することを、あえて選ばないというだけです。

これにより、オフショアのマシンは、司法管轄が実際にもたらしてくれるもの — サービスをホスティングし、データを保持し、苦情が届いても稼働し続けること — に専念できます。そして到達率については、それを既に事業として提供している側に委ねることになります。二つの関心事は切り離され、アドレスにとって悪い月が、パスワード再設定にとって悪い月ではなくなります。

今日から始めるなら、リストの中身より順番の方が重要です。まず何よりも先に逆引きレコードを設定し、それが自分に解決して戻ってくることを確認してください。以降のすべてが、これを基準に判定されるからです。次に SPF と DKIM を公開し、DMARC は none にしておきます。そうすればレポートを読みながら、配信を壊さずに済みます。実在する 100 人へ実際にメッセージを送り、その結果を読んでください。それを終えて初めて、このアドレスを送信用アドレスにするかどうかを決めてください。答えが「しない」なら、そのつもりで組んだキューを後から作り直すのではなく、今のうちに決めてしまってください。

どうしてもメールを自前で運用する必要があるなら、アドレスを分けてください。一つは公開 Web 用、もう一つは送信専用です。/29 があればこれは造作もないことで、マーケティング用の IP からのパスワード再設定がなぜフィルタされるのかを 1 か月かけてデバッグするより、はるかに安く済みます。必要になってから尋ねるのではなく、必要になる前に尋ねてください。

より大きな論点は、このサイトが繰り返し、言葉を変えて述べていることと同じです。オフショアを選ぶことは特定のものを買うことであり、その代金はエコシステムの摩擦というかたちで支払われます。そしてこれは、その摩擦を比較ページの箇条書きとしてではなく、内側から見た姿です。自分のリスクプロファイルにその司法管轄が必要ないなら、通常のプロバイダー上のクリーンなアドレスの方が、このページのどんな内容よりも価値があります。必要なら、司法管轄を買い、レピュテーションは他の誰かから借りてください — そして本気で自前のメール運用に取り組むつもりなら、群衆の中の一つのアドレスではなく、最初から自分専用のアドレスブロックが付いてくるマシンから始めてください。

このプラットフォームを運用するエンジニアが執筆し、本日 に見直しました。内容に誤りがある、または古くなっている場合は、顧客パネルからお知らせください。実際、ここに載っている内容の半分ほどはそこから届いたものです。