Репутация IP-адреса, которую вы не выбирали

IP-адрес не выбирают. Вам его выдают — и вместе с ним прилагается десятилетие чужого поведения, уже накопленного на этом адресе. На офшорной подсети эта история хуже среднего, и причина тому структурная, а не случайная — а честная версия этой фразы такова, что ни один провайдер не поместит её на страницу продукта. Дальше о том, что на самом деле решает адрес, кто его судит, и о том единственном решении, которое перевешивает любую запись DNS, какую вы могли бы настроить.

История, которую вы арендуете вместе с адресом

Новых адресов IPv4 не выпускают с 2011 года. Каждый адрес, который выдают сегодня, уже выдавали раньше, часто не один раз, а блок, в котором он находится, копит репутационные данные ещё с тех времён, когда у вас и мысли не было о собственном сервисе. Когда провайдер выделяет вам адрес, он его не чеканит заново — он его переиспользует, и вместе с ним достаются прежние арендаторы.

Людей чаще всего удивляет масштаб оценки. Судят почти никогда не отдельный адрес. Списки блокировок, почтовые провайдеры и системы оценки мошенничества работают с диапазонами — /24, а иногда с целой автономной системой, — потому что это та единица, которой оператор реально управляет, и потому что нарушитель, спаливший один адрес, просто переходит к следующему в том же блоке. Отсюда три следствия, и ни одно из них не в вашей власти:

• Ваши соседи — это ваша репутация. Остальные 253 машины в вашем /24 принимают решения, последствия которых ложатся на вас, а вы не видите ни кто они, ни что они запускают, ни сколько почты отправляют. Вам достаётся их усреднённый результат.
• Записи переживают арендаторов. Диапазон может нести отметку в списке ещё долго после того, как клиент, заслуживший её, был отключён, — потому что у списка нет способа узнать о смене клиента и нет стимула догадываться.
• Офшорные диапазоны стартуют с более низкой планки. Провайдер, не требующий подтверждения личности, наряду с честными клиентами привлекает именно тех клиентов, которых заносят в списки, — а списки реагируют на это, расширяясь с одного адреса до /24, а затем до всей сети. Это настоящая цена решения о юрисдикции. Ей место в самом решении, а не в виде сюрприза после первого счёта.

Пока адрес остаётся тем же самым, под ним меняются ещё две вещи. Адреса теперь сдают в аренду и передают между организациями, так что регистрационная запись блока может сменить владельца без единого изменившегося маршрута пакетов — а репутационные данные, которые привязаны к адресам, а не к записи регистратора, за этой бумажной волокитой не поспевают. И ещё геолокационные базы отстают на месяцы. Адрес, перенесённый в Кишинёв, может по-прежнему определяться как Амстердам в половине коммерческих баз в течение квартала и дольше — и тогда система оценки мошенничества видит нидерландский адрес на молдавском соединении и штрафует за это несовпадение. Ни то, ни другое не является браком. Оба явления — обычное трение рынка адресов, у которого запасы кончились пятнадцать лет назад.

Наши собственные правила допустимого использования называют этот механизм прямо, а не скрывают его: несогласованная массовая рассылка приводит к тому, что весь диапазон попадает в чёрный список в течение нескольких часов, причём диапазон общий. Именно поэтому существует это правило и именно поэтому санкция — это порт, а не аккаунт. Почтовые серверы и массовая рассылка, на которую получено согласие, разрешены явно — граница проходит по согласию, а не по объёму.

Шесть судей, и мнения у них расходятся

Слово «в чёрном списке» звучит так, будто это одно-единственное состояние. На деле их как минимум шесть, и решение по каждому принимает своя сторона: используются разные данные, публикуется разный их объём, а в двух случаях вам вообще никогда не сообщат, что решение было принято.

Шесть сторон, которые судят IP-адрес: что блокирует каждая и что можно сделать

Кто судит	Как вы об этом узнаёте	Можно ли это исправить	Что на самом деле блокируется
Почтовые провайдеры	Отказ или тишина	Частично	Ваше сообщение — либо в папку «Спам», либо вообще за порог. Репутация здесь считается отдельно по адресу и по домену отправки — эти два показателя отслеживаются раздельно.
Spamhaus и крупные публичные списки	Отказ с именем списка	Да	SMTP-соединение — ещё на пороге, до того как прочитано ваше сообщение. Это единственный отказ, который приходит с указанием причины, а значит — самый полезный из всех возможных отказов.
Списки, берущие плату за удаление	Отказ, но редко	Нет	На практике — почти ничего. Некоторые заносят в список целую /24 или всю сеть из-за одного отправителя, а затем предлагают платное срочное удаление. Операторы сколько-нибудь значимого масштаба к таким спискам не обращаются.
CDN и веб-файрволы	Страница проверки	Нет	Ваших посетителей — страницей проверки, либо ваши собственные исходящие запросы к сайтам, стоящим за таким же щитом. Решение принимается о вашей сети, а не о вашей машине.
Скоринг мошенничества и платежей	Вы не узнаёте	Нет	Ничего заметного. Он молча поднимает показатель риска на чужой странице оплаты — как один из десятков входных параметров. Вы никогда не увидите это правило, и обжаловать его негде.
Сайты, блокирующие дата-центры целиком	Отказ в ваших же логах	Нет	Исходящие запросы вашего сервера — сборщики данных, вызовы API, проверки доступности. Это вообще не проблема репутации. Это проблема категории: вы — дата-центр, а им были нужны люди.

Прочитайте третий столбец сверху вниз — и форма проблемы станет видна. Один пункт из шести действительно можно исправить самим, ещё один — частично, а четыре — это решения, принятые где-то в другом месте о категории, к которой вы принадлежите. Именно это соотношение — довод в пользу того, чтобы проектировать систему вокруг адреса, а не воевать с ним, о чём и пойдёт речь в последнем разделе.

Почему почта судит строже и честнее всех

Почта — единственная из шести сторон, которая письменно, в момент отказа, объясняет вам, почему вас отвергли. Страница проверки ничего не объясняет. Показатель мошенничества никогда не всплывает на поверхность. Письмо об отказе содержит код, имя списка и часто ссылку. Почта — самый суровый судья на этой странице и единственный честный, и именно это сочетание делает её тем местом, куда стоит вкладывать усилия по настройке.

Обратный DNS: половина, о которой все забывают

Запись PTR сопоставляет ваш адрес с именем. Настроить её — простая половина дела, и именно на ней большинство и останавливается. Требование звучит как подтверждение в обе стороны: имя, которое возвращает ваш PTR, должно само разрешаться обратно в тот же адрес. Google формулирует это как условие для массовых отправителей именно так — корректные прямая и обратная записи, где адрес отправки совпадает с адресом имени хоста в PTR. PTR, указывающий на имя, которое никуда не разрешается или указывает на другую машину, хуже, чем отсутствие PTR вовсе, потому что выглядит как ошибка настройки, а не как её отсутствие. В нашей сети обратную запись настраиваете вы сами, а значит, и ошибиться в ней можете тоже вы; настройте её до отправки первого письма, а не после первого отказа.

SPF, DKIM и DMARC подтверждают отправителя — но не ручаются за него

Эти три записи доказывают, что сообщение действительно пришло от того, от кого оно себя выдаёт. Это всё, что они доказывают. Они не рекомендация, а удостоверение личности, а удостоверение личности само по себе нигде не гарантирует радушный приём. Аутентифицированное сообщение с адреса из чёрного списка остаётся сообщением с адреса из чёрного списка — его отклонят с ещё большей, а не меньшей уверенностью. Настройте все три записи, потому что сегодня это не преимущество, а минимальный порог входа, — и после этого поймите, что для репутации вы пока не сделали ровным счётом ничего.

Есть ещё одно разделение, которое стоит понять прежде, чем потратить неделю не на ту половину задачи. Репутация отслеживается отдельно по вашему адресу и по вашему домену отправки, и эти два показателя считаются раздельно. У этого есть практическое следствие в обе стороны: безупречный новый домен, отправляющий с чистого адреса, всё равно не имеет никакой репутации вообще — отсутствие репутации не то же самое, что хорошая репутация, и первая тысяча писем оценивается соответственно, — тогда как домен с годами безупречной рассылки за плечами переносит эту историю через смену адреса. Именно домен — та переносимая половина, и это настоящий довод в пользу подписи DKIM на собственном домене, а не на том, что вам по умолчанию предложит инструмент рассылки.

Цифры, которые публикует Gmail, и что они значат

Для отправителей примерно от пяти тысяч писем в день Google публикует не рекомендации, а требования: SPF и DKIM на домене отправки, наличие DMARC — политика none принимается, — отписка в один клик на маркетинговых и подписных рассылках, и доля жалоб на спам ниже 0,30 процента, при рекомендованных 0,10 процента. Эти цифры стоит перевести в конкретику. При пяти тысячах писем 0,30 процента — это пятнадцать жалоб. Пятнадцать человек, нажавших кнопку в тот день, когда вы разослали список, в котором не были до конца уверены, — это и есть разница между «доставлено» и «отфильтровано», и на ощупь этот порог не нащупать.

Исходящий порт 25 по умолчанию заблокирован у большинства крупных облачных провайдеров, поэтому там до всего этого попросту не доходит дело. Офшорный провайдер часто оставляет его открытым, и это не подарок: открытый порт на общем диапазоне означает, что репутацию диапазона решает кто угодно, кроме вас. У нас этот порт ограничен по скорости, а при повторных злоупотреблениях закрывается — и ровно по этой причине, а не по какой-либо другой.

Десять минут проверки — до оплаты

На каждый из этих вопросов можно получить ответ ещё до того, как деньги сменят владельца, и любой такой ответ полезнее, чем что угодно на странице продукта. Готовность провайдера отвечать на эти вопросы — уже сама по себе показательный результат.

1. Спросите, какой именно адрес вы получите (2 мин). Не диапазон — адрес. Провайдер, который не может сказать этого до оплаты, не сможет рассказать и о его истории, а это и есть ответ на тот вопрос, который вы на самом деле задавали.
2. Проверьте адрес, а затем проверьте /24 вокруг него (3 мин). Публичные сервисы проверки репутации принимают оба варианта запроса. Чистый адрес внутри основательно занесённого в списки блока говорит вам ровно то, что нужно знать о ближайших двух годах.
3. Узнайте, кто анонсирует этот диапазон (2 мин). Сеть, анонсирующая блок, говорит о нём больше, чем сам блок. Сеть с долгой историей и опубликованным контактом для жалоб на злоупотребления ведёт себя иначе, чем та, что появилась в прошлом квартале.
4. Проверьте исходящий порт 25, прежде чем проектировать систему вокруг него (1 мин). Откройте соединение с почтовым сервером, который вы контролируете, и посмотрите, что произойдёт. Узнать ответ уже после переезда — вот так и исчезают выходные.
5. Уточните, что обратная запись в вашем распоряжении, и насколько быстро (1 мин). Важны обе половины: сама возможность её настроить и то, что изменение занимает минуты, а не очередь тикетов, в которой вы будете сидеть в день запуска.
6. Спросите, что происходит, если адрес окажется непригодным (1 мин). Нужный вам ответ — что его заменят без споров и без доплаты. Получите это письменно: в день, когда это понадобится, договариваться будет уже не с руки.

Что можно исправить, а что — обойти

Пять ситуаций, и полезное различие между ними не в том, насколько плохо они выглядят. Оно в том, у кого рычаг — у вас, у кого-то другого или ни у кого.

Пять ситуаций и то, в чьих руках рычаг

Ситуация	Кто это решил	Можно ли исправить самим	Что делать
Внесены в политический список	Ваш провайдер	Да	Такой список — не обвинение. Большинство таких диапазонов вносит туда сам оператор сети, и это означает лишь то, что с этих адресов не должны напрямую отправлять почту. Есть возможность самостоятельного удаления — при условии статического адреса, настоящего почтового сервера и корректных записей в обе стороны, — а исключение для одного адреса истекает через год и отменяется в момент, когда замечен спам.
В списке за реальный спам с вашего адреса	Сам список	Частично	Сначала устраните причину: удаление из списка, которое вы тут же заново заслужите, хуже, чем исходная запись. Если эта история принадлежит прежнему арендатору, а не вам, решение — сменить адрес, а не подавать апелляцию.
Весь /24 внесён оператором с платным удалением	Только сам список	Нет	Не делайте ничего и уж точно не платите. Относитесь к этой записи как к информации о самом списке, а не о вас, и проверьте, обращается ли к нему хоть один провайдер, который вам действительно важен. Обычно ни один не обращается.
CDN перед чужим сайтом проверяет ваших посетителей	Кто-то другой	Нет	Ничего на вашей машине это не изменит, потому что и решается это не на вашей машине. Это ещё одна вещь, которая решается уровнем выше — рядом с реестром и прокси.
Почту отклоняют при чистых списках и верных записях	По сути, никто	Частично	Это уже репутация, а не запись в списке, а репутация строится через отправку: сначала небольшой объём, настоящие получатели, и счёт идёт на недели, а не на дни. Либо вы перестаёте пытаться нарастить её именно на этом адресе — об этом следующий раздел.

Все пять ситуаций становятся заметно проще, как только вы перестаёте гадать. Три инструмента ничего не стоят и настраиваются за полдня: панель постмастера у крупных провайдеров, показывающая ваш уровень спама и прохождение аутентификации по их собственным цифрам, а не по вашим; петли обратной связи, которые сообщают, кто именно пожаловался, чтобы вы могли перестать писать этому адресату раньше, чем сдвинется показатель; и привычка внимательно читать отказы. Код 4xx — временный отказ, часто просто ограничение скорости: замедлитесь. 5xx — это уже решение, и текст рядом с ним обычно называет список или правило, из-за которого оно принято. Большинство людей удаляют и то и другое, не читая, а затем называют результат загадочным.

Настройка, которая переживёт плохой адрес

Есть одно решение, которое перевешивает все записи из этого руководства, и это решение об архитектуре, а не о настройке: не отправляйте почту с той же машины, на которой работает ваше приложение. Отправляйте её через ретранслятор, чью репутацию поддерживают как отдельную полноценную работу, на пуле адресов, которые прогревают, отслеживают и заменяют. Вы не передаёте на аутсорс проблему, которую сами могли бы решить, — вы отказываетесь заново отстраивать, на одном адресе в общем диапазоне, то, что требует отдельной команды, чтобы работать бесперебойно.

Тогда офшорная машина занимается именно тем, за что вы на самом деле платили юрисдикции, — размещает сервис, хранит данные, остаётся в строю, когда приходит жалоба, — а доставляемость письма оказывается там, где она уже давно готовый продукт. Эти две задачи перестают быть связаны друг с другом, а значит, плохой месяц для адреса больше не означает плохой месяц для писем со сбросом пароля.

Если вы начинаете сегодня, порядок действий важнее самого списка. В первую очередь настройте обратную запись и убедитесь, что она разрешается обратно к вам, — потому что всё дальнейшее оценивается именно относительно неё. Опубликуйте SPF и DKIM, затем DMARC с политикой none, чтобы получать отчёты, не мешая доставке, пока вы их читаете. Отправьте сотню настоящих писем настоящим людям и прочитайте результаты. И только потом решайте, станет ли этот адрес вообще адресом для отправки, — а если ответ «нет», примите это решение сейчас, а не после того, как выстроите очередь рассылки в расчёте на то, что станет.

Если вам необходимо размещать почту самостоятельно, разделите адреса: один для публичного веба, другой — только для отправки, и ничего больше. /29 делает это тривиальным и обходится дешевле, чем месяц отладки того, почему письмо со сбросом пароля с вашего маркетингового IP попадает под фильтр. Спрашивайте об этом заранее, а не тогда, когда уже понадобилось.

Более широкая мысль — та же самая, которую этот сайт разными словами повторяет снова и снова. Уход в офшор покупает конкретную вещь и берёт плату за неё трением всей экосистемы, и здесь показано, как это трение выглядит изнутри, а не пунктом сравнительной таблицы. Если ваш профиль риска не требует такой юрисдикции, чистый адрес у обычного провайдера стоит для вас больше, чем всё написанное на этой странице. Если требует — покупайте юрисдикцию и арендуйте репутацию у кого-то другого, а если вы всерьёз собираетесь размещать почту самостоятельно, начните с машины, у которой уже есть собственный блок адресов, а не с одного адреса в толпе.

Написано инженерами, которые управляют платформой, и перечитано сегодня. Если здесь что-то неверно или устарело, сообщите об этом из панели — именно оттуда пришла примерно половина этих материалов.