De reputatie van een IP-adres dat u niet zelf koos

Niemand kiest een IP-adres. U krijgt er een toegewezen, en het komt met tien jaar gedrag van anderen al aan zich vastgeplakt. Op een offshore reeks is die geschiedenis zwaarder dan gemiddeld, om een reden die structureel is en geen toeval — en de eerlijke versie van die zin zet geen enkele aanbieder op een productpagina. Dit is wat het adres werkelijk bepaalt, wie erover oordeelt, en de ene beslissing die zwaarder weegt dan elk DNS-record dat u zou kunnen instellen.

De geschiedenis die u meehuurt met het adres

Sinds 2011 zijn er geen nieuwe IPv4-adressen meer bijgekomen. Elk adres dat vandaag wordt uitgegeven, is al eerder uitgegeven, vaak meermaals, en het blok waarin het ligt draagt al reputatiegegevens mee van vóór u het idee voor uw dienst had. Wanneer een aanbieder u een adres toewijst, wordt er niets nieuws geslagen — het wordt gerecycled, en de vorige huurders zitten er nog aan vast.

Wat mensen verrast, is de granulariteit waarop dat gebeurt. Bijna niets op het internet beoordeelt één los adres. Blocklists, mailproviders en fraudescoringssystemen werken op reeksen — een /24, soms een heel autonoom systeem — omdat dat de eenheid is waarover een operator zeggenschap heeft, en omdat een misbruiker die één adres verbrandt gewoon naar het volgende in het blok springt. Daaruit volgen drie gevolgen, en geen ervan ligt in uw handen:

• Uw buren zijn uw reputatie. De andere 253 machines in uw /24 nemen beslissingen die op u neerkomen, en u kunt niet zien wie ze zijn, wat ze draaien, of hoeveel mail ze versturen. U erft hun gemiddelde.
• Vermeldingen overleven huurders. Een reeks kan een vermelding dragen lang nadat de klant die ze verdiende, is opgezegd, want de lijst heeft geen manier om te weten dat de klant is veranderd, en geen enkele reden om te gokken.
• Offshore reeksen beginnen lager. Een aanbieder die niet naar identiteit vraagt, trekt tussen de eerlijke klanten precies ook de klanten aan die vermeld raken — en lijsten reageren daarop door zich uit te breiden van één adres naar de /24 naar het hele netwerk. Dat is een reële kostenpost van de jurisdictiekeuze. Die hoort thuis in de beslissing, niet in een verrassing na de eerste factuur.

Er bewegen nog twee dingen onder u terwijl het adres hetzelfde blijft. Adressen worden tegenwoordig verhuurd en overgedragen tussen organisaties, waardoor het registerrecord van een blok van eigenaar kan wisselen zonder dat er één pakket van koers verandert — en reputatiegegevens, die aan de adressen kleven en niet aan het register, volgen het papierwerk niet. En geolocatiedatabases lopen maanden achter. Een adres dat naar Chișinău verhuist, kan in de helft van de commerciële databases nog een kwartaal of langer naar Amsterdam blijven verwijzen, wat bij een fraude-engine verschijnt als een Nederlands adres op een Moldavische verbinding, waarna de mismatch wordt afgestraft. Geen van beide is een gebrek. Beide zijn de gewone wrijving van een adressenmarkt die vijftien jaar geleden door de voorraad heen raakte.

Ons eigen beleid voor aanvaardbaar gebruik benoemt het mechanisme in plaats van het te verbergen: ongevraagde bulkmail zorgt ervoor dat de hele reeks binnen enkele uren op een blocklist belandt, en die reeks is gedeeld. Daarom bestaat de regel, en daarom treft de sanctie de poort en niet het account. Mailservers en bulkmail waarvoor u toestemming hebt zijn expliciet toegestaan — de grens ligt bij toestemming, niet bij volume.

Zes rechters, en ze zijn het oneens

„Geblokkeerd” wordt gebruikt alsof het één toestand is. Het zijn er minstens zes, bepaald door zes partijen die verschillende gegevens gebruiken, verschillende hoeveelheden daarvan publiceren, en in twee gevallen u nooit zullen laten weten dat ze überhaupt een beslissing hebben genomen.

Zes partijen die een IP-adres beoordelen, wat elk blokkeert, en wat u eraan kunt doen

Wie oordeelt	Hoe u het merkt	Kunt u dit verhelpen	Wat het daadwerkelijk blokkeert
Mailproviders	Een bounce, of stilte	Deels	Uw bericht, naar de spammap of helemaal de deur uit. Reputatie wordt hier gescoord per adres én per verzenddomein, en de twee worden apart bijgehouden.
Spamhaus en de grote publieke lijsten	Een bounce met lijstnaam	Ja	De SMTP-verbinding, aan de deur, voordat uw bericht wordt gelezen. Dit is degene die een bounce oplevert met een reden erbij, wat er de nuttigste mislukking van maakt die u kunt hebben.
Lijsten die voor verwijdering laten betalen	Een bounce, zelden	Nee	In de praktijk heel weinig. Sommige vermelden een heel /24 of een heel netwerk op grond van één verzender, en bieden dan een snelle verwijdering aan tegen betaling. Operators van enige omvang raadplegen ze niet.
CDN’s en webfirewalls	Een uitdagingspagina	Nee	Uw bezoekers, met een uitdagingspagina — of uw eigen uitgaande verzoeken aan sites die achter zo’n CDN schuilen. De beslissing gaat over uw netwerk, niet over uw machine.
Fraude- en betalingsscoring	U merkt het niet	Nee	Zichtbaar niets. Het verhoogt een risicoscore bij iemand anders’ afrekenscherm, stilletjes, als een van tientallen factoren. U ziet de regel nooit en er is geen bezwaarloket.
Sites die datacenters en bloc blokkeren	Weigering in uw logs	Nee	Verzoeken die uw server naar buiten stuurt — scrapers, API-aanroepen, health checks. Dit is helemaal geen reputatieprobleem. Het is een categorieprobleem: u bent een datacenter, en zij wilden mensen.

Lees de derde kolom van boven naar beneden en de vorm van het probleem wordt zichtbaar. Eén op zes is werkelijk door uzelf te verhelpen, één deels, en vier zijn beslissingen die elders worden genomen over een categorie waartoe u toevallig behoort. Die verhouding is het argument om uw opzet rond het adres te ontwerpen in plaats van ertegen te vechten — waar de laatste sectie over gaat.

Waarom mail het strengst oordeelt, en het eerlijkst

Mail is de enige van de zes die u zwart-op-wit, op het moment van de mislukking, precies vertelt waarom u werd geweigerd. Een uitdagingspagina legt zichzelf niet uit. Een fraudescore komt nooit boven water. Een bouncebericht bevat een code, een lijstnaam en vaak een URL. Mail is de strengste rechter op deze pagina en de enige eerlijke, en die combinatie maakt het de juiste plek om uw configuratie-inspanning in te steken.

Reverse DNS, en de helft die iedereen vergeet

Een PTR-record koppelt uw adres terug aan een naam. Die instellen is de makkelijke helft, en het is de helft waar de meeste mensen bij stoppen. De eis is forward-confirmed: de naam die uw PTR teruggeeft, moet zelf weer terug resolven naar hetzelfde adres. Google formuleert dit letterlijk zo als voorwaarde voor bulkverzenders — geldige forward- en reverse-records, waarbij het verzendadres overeenkomt met het adres van de hostnaam in de PTR. Een PTR die naar een naam wijst die nergens naar resolvt, of naar een andere machine, is erger dan geen PTR, omdat het eruitziet als een verkeerde configuratie in plaats van een omissie. Op ons netwerk is het reverse-record aan u om in te stellen, wat betekent dat het ook aan u is om het fout te doen; stel het in voordat het eerste bericht vertrekt, niet na de eerste bounce.

SPF, DKIM en DMARC authenticeren — ze staan niet garant

De drie records bewijzen dat een bericht echt afkomstig is van wie het beweert. Meer bewijzen ze niet. Het zijn geen aanbevelingen, het zijn identiteitsbewijzen, en een identiteitsbewijs maakt u nog nergens welkom. Een geauthenticeerd bericht van een vermeld adres blijft een geauthenticeerd bericht van een vermeld adres — het wordt met meer overtuiging geweigerd, niet met minder. Stel alle drie in, want ze zijn inmiddels een ondergrens en geen voorsprong meer, en besef daarna dat u nog niets hebt gedaan aan reputatie.

Er is ook een tweedeling die het waard is te begrijpen voordat u een week aan de verkeerde helft besteedt. Reputatie wordt bijgehouden tegen uw adres én tegen uw verzenddomein, en de twee worden apart gescoord. Dat heeft in beide richtingen een praktisch gevolg: een smetteloos nieuw domein dat vanaf een schoon adres verstuurt, heeft nog altijd helemaal geen reputatie — geen reputatie is niet hetzelfde als een goede reputatie, en de eerste duizend berichten worden daarnaar behandeld — terwijl een domein met jaren keurig verzendgedrag die geschiedenis meeneemt over een adreswissel heen. De domeinhelft is de overdraagbare helft, en dat is het echte argument om met DKIM op uw eigen domein te tekenen in plaats van op wat de verzendtool standaard aanbiedt.

De cijfers die Gmail publiceert, en wat ze betekenen

Voor verzenders van ruwweg vijfduizend berichten per dag of meer publiceert Google eisen in plaats van aanwijzingen: SPF en DKIM op het verzenddomein, DMARC aanwezig — een beleid van none wordt geaccepteerd — afmelden met één klik op marketing- en abonnementsmail, en een spamklachtenpercentage onder 0,30 procent, met 0,10 procent als aanbeveling. Die cijfers zijn de moeite van het omrekenen waard. Bij vijfduizend berichten is 0,30 procent vijftien klachten. Vijftien mensen die op een knop klikken op een dag dat u een lijst verstuurde waar u niet zeker van was, is het verschil tussen afgeleverd en gefilterd, en het is geen drempel waar u op de tast naartoe kunt werken.

Uitgaande poort 25 staat bij de meeste grote clouds standaard dicht, en daarom komt daar niemand hier ooit achter. Een offshore aanbieder laat hem vaak open staan, en dat is geen cadeau: een open poort op een gedeelde reeks betekent dat de reputatie van die reeks wordt bepaald door wie hem verder nog gebruikt. Bij ons is de poort snelheidsbeperkt en wordt ze bij herhaald misbruik gesloten, om precies die reden en geen andere.

Tien minuten controleren, voordat u betaalt

Elk van deze vragen is te beantwoorden voordat er geld van eigenaar wisselt, en elk antwoord is nuttiger dan welke bewering op een productpagina dan ook. De bereidheid van een aanbieder om ze te beantwoorden, is op zich al de uitkomst.

1. Vraag welk adres u krijgt (2 min). Niet de reeks — het adres. Een aanbieder die u dat niet vóór betaling kan vertellen, kan u ook niets over de geschiedenis ervan vertellen, en dat is het antwoord op de vraag die u eigenlijk stelde.
2. Controleer het adres, en controleer daarna de /24 eromheen (3 min). De publieke reputatiecheckers accepteren allebei. Een schoon adres binnen een grondig vermeld blok vertelt u precies wat u moet weten over uw komende twee jaar.
3. Zoek op wie de reeks aankondigt (2 min). Het netwerk dat een blok aankondigt, vertelt u meer dan het blok zelf. Een netwerk met een lange geschiedenis en een gepubliceerd misbruikcontact gedraagt zich anders dan een netwerk dat vorig kwartaal opdook.
4. Test uitgaande poort 25 voordat u er uw opzet omheen bouwt (1 min). Open een verbinding naar een mailserver die u zelf beheert en kijk wat er gebeurt. Het antwoord pas na de migratie ontdekken is hoe een weekend verdwijnt.
5. Bevestig dat het reverse-record van u is, en hoe snel (1 min). Beide helften tellen: dát u het kunt instellen, en dat de wijziging minuten kost in plaats van een ticketrij waarin u staat te wachten op de dag van uw lancering.
6. Vraag wat er gebeurt als een adres onbruikbaar blijkt (1 min). Het antwoord dat u wilt horen, is dat het wordt vervangen, zonder discussie en zonder kosten. Zorg dat u het op schrift hebt, want op de dag dat u het nodig hebt, staat u niet in een onderhandelingspositie.

Wat u kunt herstellen, en wat u omzeilt

Vijf situaties, en het bruikbare onderscheid tussen ze is niet hoe erg ze eruitzien. Het is of de hefboom in uw handen ligt, in die van iemand anders, of in niemands handen.

Vijf situaties, en of de hefboom bij u ligt

Situatie	Wie besliste	Door u te verhelpen	De aanpak
Vermeld op een beleidslijst	Uw aanbieder	Ja	Een beleidsvermelding is geen beschuldiging. De meeste van die reeksen worden door de netwerkoperator zelf aangemeld, en zeggen alleen dat adressen daar geen mail rechtstreeks zouden moeten versturen. Er bestaat zelfbedieningsverwijdering, op voorwaarde van een vast adres, een echte mailserver en correcte records in beide richtingen — en de uitsluiting van één adres vervalt na een jaar en keert terug zodra er spam wordt gezien.
Vermeld wegens daadwerkelijke spam vanaf uw adres	De lijst	Deels	Verhelp eerst de oorzaak, want een verwijdering die is toegekend en daarna opnieuw verdiend wordt, is erger dan de oorspronkelijke vermelding. Als de geschiedenis van een vorige huurder is en niet van u, is een ander adres de oplossing, geen bezwaarschrift.
De hele /24 vermeld door een lijst die voor verwijdering laat betalen	Alleen de lijst	Nee	Doe niets, en betaal vooral niet. Behandel de vermelding als informatie over de lijst, niet over u, en ga na of enige aanbieder waar het u echt om gaat, die lijst raadpleegt. Meestal doet niemand dat.
Bezoekers tegengehouden door andermans CDN	Iemand anders	Nee	Niets aan uw machine verandert hieraan iets, want er wordt niets over beslist op uw machine. Het is nog iets dat een laag boven u wordt beslecht, naast het register en de proxy.
Mail geweigerd ondanks schone lijsten en correcte records	Eigenlijk niemand	Deels	Dit is reputatie, geen vermelding, en reputatie wordt opgebouwd door te versturen: eerst een laag volume, echte ontvangers, en weken in plaats van dagen. Of u stopt met proberen die op dit adres op te bouwen, wat de volgende sectie is.

Alle vijf verbeteren enorm zodra u stopt met gokken. Drie instrumenten kosten niets en zijn in een middag aan te sluiten: een postmasterdashboard bij de grote providers, dat uw spampercentage en het percentage geslaagde authenticaties toont tegen hun eigen cijfers in plaats van de uwe; feedbackloops, die u vertellen wie er klaagde, zodat u kunt stoppen met mailen naar diegene voordat het percentage beweegt; en de gewoonte om bounces goed te lezen. Een 4xx-code is een tijdelijke weigering en vaak een snelheidslimiet — vertraag. Een 5xx is een beslissing, en de tekst ernaast noemt meestal de lijst of het beleid dat de beslissing nam. De meeste mensen wissen beide zonder ze te lezen, en noemen het resultaat daarna mysterieus.

Een opzet die een slecht adres overleeft

Eén beslissing weegt zwaarder dan elk record in deze gids, en het is een beslissing over architectuur, niet over configuratie: verstuur uw mail niet vanaf de machine waar uw applicatie op draait. Stuur ze via een relay waarvan de reputatie iemands voltijdse baan is, onderhouden over een pool van adressen die worden opgewarmd, gemonitord en vervangen. U besteedt geen probleem uit dat u zelf had kunnen oplossen; u weigert om, op één adres op een gedeelde reeks, iets opnieuw op te bouwen waar een toegewijd team voor nodig is om het werkend te houden.

Dat laat de offshore machine doen waarvoor de jurisdictie eigenlijk werd gekocht — de dienst hosten, de gegevens bewaren, online blijven als er een klacht binnenkomt — en legt de bezorgbaarheid daar neer waar het al een product is. De twee zorgen raken losgekoppeld, wat betekent dat een slechte maand voor het adres geen slechte maand meer is voor uw wachtwoordresets.

Als u vandaag begint, telt de volgorde meer dan de lijst zelf. Stel eerst het reverse-record in en bevestig dat het naar u terugwijst, want alles stroomafwaarts wordt daartegen beoordeeld. Publiceer SPF en DKIM, en daarna DMARC op none, zodat u rapporten ontvangt zonder de bezorging te breken terwijl u ze leest. Verstuur honderd echte berichten aan echte mensen en lees de resultaten. Beslis pas dan of dit adres ooit een verzendadres wordt, en als het antwoord nee is, beslis dat nu, niet nadat u een wachtrij hebt gebouwd rond de aanname dat het wel zo zou zijn.

Als u zelf mail moet hosten, scheid dan de adressen: één voor het publieke web, één dat niets doet behalve versturen. Een /29 maakt dat triviaal, en kost minder dan een maand debuggen waarom een wachtwoordreset vanaf uw marketing-IP wordt gefilterd. Vraag ernaar voordat u het nodig hebt, niet tijdens.

Het bredere punt is hetzelfde dat deze site steeds opnieuw maakt, in andere woorden. Offshore gaan koopt iets specifieks en rekent daarvoor af in ecosysteemwrijving, en dit is hoe die wrijving eruitziet van binnenuit, in plaats van als opsommingspunt op een vergelijkingspagina. Als uw risicoprofiel de jurisdictie niet nodig heeft, is een schoon adres bij een gewone aanbieder meer waard voor u dan wat er verder op deze pagina staat. Heeft u de jurisdictie wel nodig, koop ze dan en huur de reputatie van iemand anders — en als u serieus zelf mail gaat hosten, begin dan bij een machine die zijn eigen blok adressen meebrengt in plaats van één adres in een menigte.

Geschreven door de engineers die het platform beheren, en herzien op vandaag. Als hier iets onjuist is of verouderd is geraakt, meld dat via het klantenpaneel — dat is waar ongeveer de helft hiervan vandaan komt.