Reputacja adresu, którego się nie wybiera

Nikt nie wybiera adresu IP. Dostaje się go gotowego, a wraz z nim dekadę cudzych zachowań, które już są do niego przypięte. Na puli offshore ta historia jest cięższa niż przeciętnie, z powodu strukturalnego, a nie przypadkowego — i uczciwej wersji tego zdania żaden dostawca nie umieszcza na stronie produktu. Poniżej wyjaśniono, co adres naprawdę decyduje, kto go ocenia, i która decyzja waży więcej niż każdy rekord DNS, jaki dałoby się ustawić.

Historia, którą wynajmuje się razem z adresem

Od 2011 roku nie powstały żadne nowe adresy IPv4. Każdy adres wydawany dziś był już wydawany wcześniej, często kilkakrotnie, a blok, w którym się znajduje, niesie dane reputacyjne odkąd istnieje — zanim jeszcze powstał pomysł na daną usługę. Gdy dostawca przydziela adres, nie tworzy nowego — on go odzyskuje z obiegu, a razem z nim dostaje się w spadku poprzednich najemców.

Zaskakuje zwykle ziarnistość tej oceny. Niemal nic w internecie nie ocenia pojedynczego adresu. Listy blokujące, dostawcy poczty i systemy oceny ryzyka działają na pulach adresów — /24, czasem cały autonomiczny system — bo to jest jednostka, którą operator faktycznie kontroluje, a nadużywający jeden adres po prostu przechodzi na kolejny w tym samym bloku. Wynikają z tego trzy konsekwencje, i żadna z nich nie zależy od klienta:

• O reputacji decydują sąsiedzi. Pozostałe 253 maszyny w tym samym /24 podejmują decyzje, które i tak spadają na klienta, a nie widać, kim są, co uruchamiają ani ile poczty wysyłają. Dziedziczy się ich średnią.
• Wpisy przeżywają najemców. Pula może nosić wpis długo po tym, jak klient, który go zasłużył, zniknął, bo lista nie ma jak wiedzieć, że klient się zmienił, ani powodu, by to zgadywać.
• Pule offshore startują niżej. Dostawca, który nie wymaga tożsamości, przyciąga wśród uczciwych klientów właśnie tych, których adresy trafiają potem na listy — a listy odpowiadają na to, rozszerzając wpis z pojedynczego adresu na /24, a potem na całą sieć. To realny koszt decyzji o jurysdykcji. Powinien być częścią tej decyzji, a nie niespodzianką po pierwszej fakturze.

Pod niezmienionym adresem poruszają się jeszcze dwie rzeczy. Adresy są dziś wydzierżawiane i przenoszone między organizacjami, więc wpis rejestrowy dla danego bloku może zmienić właściciela bez przesunięcia choćby jednego pakietu — a dane reputacyjne, związane z adresami, a nie z rejestrem, nie nadążają za papierologią. Do tego bazy geolokalizacyjne są opóźnione o miesiące. Adres przeniesiony do Kiszyniowa może przez kwartał lub dłużej nadal wskazywać Amsterdam w połowie komercyjnych baz, co dla silnika antyfraudowego wygląda jak holenderski adres na mołdawskim łączu i skutkuje punktacją za tę niezgodność. Żadne z tych zjawisk nie jest usterką. Oba to zwyczajne tarcie rynku adresów, który wyczerpał zapasy piętnaście lat temu.

Własne zasady dopuszczalnego użytkowania nazywają ten mechanizm wprost, zamiast go ukrywać: niezamówiona poczta masowa w ciągu kilku godzin trafia na czarną listę razem z całą pulą, bo pula jest współdzielona. Dlatego istnieje ta zasada i dlatego sankcją jest port, a nie konto. Serwery pocztowe i masowa wysyłka za zgodą odbiorców są wprost dozwolone — granica przebiega przy zgodzie, nie przy wolumenie.

Sześciu sędziów, którzy nie są zgodni

Słowo „czarna lista” bywa używane tak, jakby oznaczało jeden stan. W rzeczywistości to co najmniej sześć różnych stanów, o których decyduje sześć stron korzystających z różnych danych, ujawniających różną ich część, a w dwóch przypadkach nigdy nieinformujących, że jakakolwiek decyzja w ogóle zapadła.

Sześć stron oceniających adres IP, co każda z nich blokuje i co da się z tym zrobić

Kto ocenia	Jak się o tym dowiedzieć	Czy da się to naprawić	Co faktycznie blokuje
Dostawcy poczty	Odrzucenie albo cisza	Częściowo	Wiadomość — do folderu spam albo w ogóle poza próg. Reputacja jest tu liczona osobno dla adresu i osobno dla domeny nadawcy.
Spamhaus i główne publiczne listy	Odrzucenie z nazwą listy	Tak	Połączenie SMTP, już przy drzwiach, zanim wiadomość zostanie odczytana. To jedyny z sześciu, który daje odrzucenie z podanym powodem, czyli najbardziej użyteczną z możliwych porażek.
Listy płatnego usuwania	Odrzucenie, rzadko	Nie	W praktyce niewiele. Niektóre wpisują cały /24 albo całą sieć na podstawie jednego nadawcy, po czym oferują ekspresowe usunięcie za opłatą. Operatorzy liczący się na rynku ich nie sprawdzają.
CDN-y i zapory sieciowe	Strona z wyzwaniem	Nie	Odwiedzający — stroną z wyzwaniem — albo własne zapytania wychodzące do serwisów stojących za taką zaporą. Decyzja dotyczy całej sieci, nie pojedynczej maszyny.
Ocena ryzyka i płatności	Nic nie widać	Nie	Nic widocznego. Podnosi wynik ryzyka przy cudzej kasie, po cichu, jako jeden z kilkudziesięciu czynników. Reguły nie da się zobaczyć i nie ma trybu odwołania.
Serwisy blokujące całe centra danych	Odmowa we własnych logach	Nie	Zapytania wychodzące z serwera — scrapery, wywołania API, testy dostępności. To w ogóle nie jest problem reputacji. To problem kategorii: to centrum danych, a one chciały ludzi.

Czytając trzecią kolumnę od góry do dołu, widać kształt problemu. Jeden z sześciu da się naprawić naprawdę, jeden częściowo, a cztery to decyzje podejmowane gdzie indziej, dotyczące kategorii, do której się należy. Ta proporcja jest argumentem za tym, by projektować wokół adresu, zamiast z nim walczyć — i o tym jest ostatnia część.

Dlaczego poczta sądzi najsurowiej i najuczciwiej

Poczta jest jedynym z sześciu sędziów, który w chwili odmowy podaje na piśmie dokładny powód odrzucenia. Strona z wyzwaniem niczego nie tłumaczy. Wynik antyfraudowy nigdy nie wypływa na wierzch. Wiadomość odrzucająca zawiera kod, nazwę listy i często adres URL. Poczta jest tu najsurowszym sędzią i jedynym uczciwym, i to połączenie sprawia, że warto właśnie w nią wkładać wysiłek konfiguracyjny.

Odwrotny DNS, i połowa, o której wszyscy zapominają

Rekord PTR łączy adres z powrotem z nazwą. Ustawienie go to łatwa połowa zadania, i to na niej większość ludzi kończy. Wymóg brzmi potwierdzenie w obie strony: nazwa, którą zwraca PTR, musi sama rozwiązywać się z powrotem do tego samego adresu. Google formułuje to jako warunek dla nadawców masowych właśnie w ten sposób — poprawne rekordy w obie strony, przy czym adres wysyłający musi zgadzać się z adresem nazwy hosta z PTR. PTR wskazujący na nazwę, która nigdzie się nie rozwiązuje albo prowadzi do innej maszyny, jest gorszy niż jego brak, bo wygląda na błąd konfiguracji, a nie na przeoczenie. Rekord odwrotny w tej sieci ustawia się samodzielnie, co znaczy, że samodzielnie można go też źle ustawić; trzeba to zrobić przed wysłaniem pierwszej wiadomości, nie po pierwszym odrzuceniu.

SPF, DKIM i DMARC uwierzytelniają — nie ręczą za nikogo

Te trzy rekordy dowodzą, że wiadomość naprawdę pochodzi od tego, za kogo się podaje. Tylko tyle. Nie są rekomendacją, są dowodem tożsamości, a dowód tożsamości nigdzie samoistnie nie otwiera drzwi. Uwierzytelniona wiadomość z adresu wpisanego na listę wciąż jest wiadomością z adresu wpisanego na listę — zostanie odrzucona z większą pewnością, nie mniejszą. Wszystkie trzy warto ustawić, bo są dziś minimum, a nie przewagą, i dopiero potem staje się jasne, że w kwestii reputacji nic jeszcze nie zrobiono.

Warto też rozumieć pewien podział, zanim tydzień pracy pójdzie w niewłaściwą połowę. Reputację śledzi się osobno względem adresu i osobno względem domeny nadawczej, a oba te wyniki liczy się oddzielnie. Ma to praktyczne konsekwencje w obie strony: zupełnie czysta nowa domena, wysyłająca z czystego adresu, wciąż nie ma żadnej reputacji — brak reputacji to nie to samo, co dobra reputacja, i pierwszy tysiąc wiadomości jest traktowany zgodnie z tym — podczas gdy domena z latami nienagannej wysyłki za sobą niesie tę historię nawet przy zmianie adresu. To domena jest częścią przenośną, co jest właściwym argumentem za podpisywaniem DKIM na własnej domenie, a nie na tej, którą domyślnie oferuje narzędzie do wysyłki.

Liczby, które publikuje Gmail, i co z nich wynika

Dla nadawców wysyłających około pięciu tysięcy wiadomości dziennie lub więcej Google publikuje wymogi, a nie wskazówki: SPF i DKIM na domenie nadawczej, obecny DMARC — polityka none jest akceptowana — wypisanie się jednym kliknięciem z poczty marketingowej i subskrypcyjnej, oraz wskaźnik skarg na spam utrzymywany poniżej 0,30 procent, przy zalecanych 0,10 procent. Te liczby warto przeliczyć. Przy pięciu tysiącach wiadomości 0,30 procent to piętnaście skarg. Piętnaście osób klikających przycisk w dniu, gdy wysłano listę, co do której nie było pewności, to różnica między dostarczeniem a odfiltrowaniem, a tego progu nie da się wyczuć po omacku.

Wychodzący port 25 jest domyślnie zablokowany w większości dużych chmur, dlatego nikt tam tego wszystkiego nie odkrywa. Dostawca offshore często zostawia go otwartym, co nie jest prezentem: otwarty port na współdzielonej puli oznacza, że o reputacji tej puli decyduje każdy, kto akurat z niej korzysta. Tutaj port jest ograniczany przepustowością, a przy powtarzających się nadużyciach zamykany — z dokładnie tego powodu i żadnego innego.

Dziesięć minut sprawdzania, zanim się zapłaci

Na każde z poniższych pytań da się odpowiedzieć, zanim pieniądze zmienią właściciela, a każda odpowiedź jest bardziej przydatna niż jakiekolwiek zapewnienie na stronie produktu. Sama gotowość dostawcy do odpowiedzi jest już wynikiem tego sprawdzenia.

1. Zapytać, jaki adres zostanie przydzielony (2 min). Nie pulę — adres. Dostawca, który nie potrafi tego powiedzieć przed płatnością, nie powie też nic o jego historii, a to jest odpowiedź na prawdziwe pytanie.
2. Sprawdzić adres, a potem cały /24 wokół niego (3 min). Publiczne narzędzia do sprawdzania reputacji przyjmują oba typy zapytań. Czysty adres wewnątrz gruntownie wpisanego na listy bloku mówi dokładnie tyle, ile trzeba wiedzieć o kolejnych dwóch latach.
3. Sprawdzić, kto ogłasza tę pulę (2 min). Sieć ogłaszająca blok mówi więcej niż sam blok. Sieć z długą historią i opublikowanym kontaktem do zgłaszania nadużyć zachowuje się inaczej niż ta, która pojawiła się w zeszłym kwartale.
4. Przetestować wychodzący port 25, zanim zaprojektuje się coś wokół niego (1 min). Otworzyć połączenie do kontrolowanego serwera pocztowego i sprawdzić, co się stanie. Odkrycie odpowiedzi dopiero po migracji to sposób na stracenie całego weekendu.
5. Potwierdzić, że rekord odwrotny da się ustawić samodzielnie, i jak szybko (1 min). Liczą się obie połowy: to, że w ogóle da się go ustawić, oraz to, że zmiana zajmuje minuty, a nie kolejkę zgłoszeń, w której trzeba czekać w dniu startu.
6. Zapytać, co się dzieje, gdy adres okaże się bezużyteczny (1 min). Dobrą odpowiedzią jest wymiana bez sporu i bez opłaty. Warto mieć to na piśmie, bo w dniu, w którym będzie to potrzebne, nie będzie już miejsca na negocjacje.

Co da się naprawić, a co trzeba obejść

Pięć sytuacji, a przydatne rozróżnienie między nimi nie dotyczy tego, jak źle wyglądają. Dotyczy tego, czy dźwignia znajduje się w rękach klienta, kogoś innego, czy w niczyich.

Pięć sytuacji i to, czy dźwignia znajduje się po stronie klienta

Sytuacja	Kto o tym zdecydował	Czy da się naprawić	Co robić
Wpis na liście porządkowej	Własny dostawca	Tak	Wpis porządkowy nie jest oskarżeniem. Większość takich pul zgłasza sam operator sieci, informując wyłącznie, że adresy w tym zakresie nie powinny wysyłać poczty bezpośrednio. Istnieje samodzielne usuwanie, pod warunkiem stałego adresu, prawdziwego serwera pocztowego i poprawnych rekordów w obie strony — a wyłączenie pojedynczego adresu wygasa po roku i cofa się w chwili wykrycia spamu.
Wpis za faktyczny spam z tego adresu	Sama lista	Częściowo	Najpierw trzeba usunąć przyczynę, bo usunięcie wpisu ponownie zasłużone jest gorsze niż pierwotny wpis. Jeśli historia należy do poprzedniego najemcy, a nie do obecnego, rozwiązaniem jest inny adres, nie odwołanie.
Cały /24 wpisany przez operatora płatnego usuwania	Sama lista, samodzielnie	Nie	Nie robić nic, a zwłaszcza nie płacić. Traktować wpis jako informację o samej liście, nie o sobie, i sprawdzić, czy jakikolwiek liczący się dostawca w ogóle z niej korzysta. Zwykle żaden nie korzysta.
Odwiedzający napotykają wyzwanie CDN u kogoś innego	Ktoś inny	Nie	Nic na własnej maszynie tego nie zmieni, bo nic w tej sprawie nie jest decydowane na własnej maszynie. To kolejna rzecz rozstrzygana o warstwę wyżej, obok rejestru i serwera proxy.
Poczta odrzucana mimo czystych list i poprawnych rekordów	Właściwie nikt	Częściowo	To już reputacja, a nie wpis na liście, a reputację buduje się wysyłką: najpierw mały wolumen, prawdziwi odbiorcy, tygodnie zamiast dni. Albo rezygnuje się z budowania jej na tym adresie, co jest tematem kolejnej części.

Wszystkie pięć sytuacji poprawia się ogromnie, gdy przestaje się zgadywać. Trzy narzędzia nic nie kosztują i da się je uruchomić w jedno popołudnie: panel postmastera u dużych dostawców, pokazujący wskaźnik spamu i wskaźnik zdanego uwierzytelnienia na tle ich własnych progów, nie własnych; pętle zwrotne, które pokazują, kto złożył skargę, więc można przestać wysyłać do tej osoby, zanim wskaźnik drgnie; oraz nawyk uważnego czytania odrzuceń. Kod 4xx to tymczasowa odmowa, często ograniczenie tempa — trzeba zwolnić. Kod 5xx to decyzja, a tekst obok zwykle wskazuje listę lub politykę, która ją podjęła. Większość ludzi kasuje jedno i drugie bez czytania, a potem opisuje wynik jako zagadkowy.

Konfiguracja, która przetrwa zły adres

Jedna decyzja waży więcej niż wszystkie rekordy z tego poradnika, i jest to decyzja architektoniczna, nie konfiguracyjna: nie wysyłać poczty z tej samej maszyny, na której działa aplikacja. Warto wysyłać ją przez przekaźnik, którego reputacja jest czyimś pełnoetatowym zajęciem, utrzymywany na puli adresów rozgrzewanych, monitorowanych i wymienianych. To nie jest zlecanie na zewnątrz problemu, który dałoby się rozwiązać samodzielnie; to rezygnacja z odtwarzania, na jednym adresie we współdzielonej puli, czegoś, co wymaga dedykowanego zespołu, żeby w ogóle działało.

Dzięki temu maszyna offshore robi dokładnie to, co faktycznie kupuje jurysdykcja — utrzymuje usługę, przechowuje dane, działa dalej, gdy nadejdzie skarga — a dostarczalność zostaje tam, gdzie już jest produktem samym w sobie. Te dwie sprawy przestają być powiązane, co znaczy, że zły miesiąc dla adresu przestaje być złym miesiącem dla resetowania haseł.

Zaczynając dzisiaj, kolejność liczy się bardziej niż sama lista kroków. Najpierw ustawić rekord odwrotny i potwierdzić, że rozwiązuje się z powrotem do właściwego adresu, bo wszystko dalej jest oceniane względem tego. Opublikować SPF i DKIM, potem DMARC w trybie none, żeby otrzymywać raporty bez psucia dostarczalności podczas ich czytania. Wysłać sto prawdziwych wiadomości do prawdziwych ludzi i przeczytać wyniki. Dopiero wtedy zdecydować, czy ten adres w ogóle będzie kiedyś adresem wysyłającym, a jeśli odpowiedź brzmi nie, zdecydować to teraz, a nie po zbudowaniu kolejki opartej na założeniu, że jednak będzie.

Jeśli poczta ma być hostowana samodzielnie, warto rozdzielić adresy: jeden dla publicznej strony, drugi wyłącznie do wysyłki. /29 sprawia, że to trywialne, i kosztuje mniej niż miesiąc szukania, dlaczego reset hasła jest filtrowany, bo poszedł z tego samego adresu IP co newsletter marketingowy. O to warto zapytać, zanim będzie potrzebne, nie w trakcie.

Szerszy wniosek jest tym samym, który ta witryna powtarza innymi słowami przy każdej okazji. Wybór offshore kupuje konkretną rzecz i pobiera za nią opłatę w postaci tarcia całego ekosystemu, a to, jak wygląda to tarcie od środka, a nie jako punkt na stronie porównawczej, właśnie tu zostało opisane. Jeśli profil ryzyka nie wymaga tej jurysdykcji, czysty adres u zwykłego dostawcy jest wart więcej niż wszystko na tej stronie. Jeśli wymaga, warto kupić jurysdykcję i wynająć reputację od kogoś innego — a jeśli poczta ma być hostowana samodzielnie na poważnie, lepiej zacząć od maszyny, która od razu ma własną pulę adresów, a nie od jednego adresu w tłumie.

Napisane przez inżynierów, którzy prowadzą tę platformę, i ponownie sprawdzone dziś. Jeśli coś tu jest błędne albo nieaktualne, można to zgłosić z panelu — stamtąd pochodzi mniej więcej połowa z tych treści.