Репутація адреси, яку ви не обирали

IP-адресу ніхто не обирає. Вам просто видають одну, і разом з нею — десятиліття чужої поведінки, яка вже до неї причеплена. На офшорному діапазоні ця історія важча за середню, і причина тут структурна, а не випадкова — чесну версію цього речення жоден провайдер не напише на сторінці товару. Ось що адреса насправді вирішує, хто її судить, і те єдине рішення, яке переважає будь-який DNS-запис, який ви могли б налаштувати.

Історія, яку ви орендуєте разом з адресою

Нових адрес IPv4 не випускають з 2011 року. Кожну адресу, яку видають сьогодні, видавали й раніше, часто не один раз, а блок, до якого вона належить, накопичує репутаційні дані ще з часів, коли у вас навіть не було ідеї для сервісу. Коли провайдер видає вам адресу, він її не карбує — він її переробляє, і разом з квитанцією йдуть попередні орендарі.

Найбільше людей дивує гранулярність. Майже ніщо в інтернеті не судить окрему адресу. Списки блокування, поштові провайдери та системи оцінки шахрайства працюють із діапазонами — /24, а іноді й цілою автономною системою — бо це та одиниця, яку контролює оператор, і бо зловмисник, що спалив одну адресу, просто переходить до наступної в тому самому блоці. З цього випливають три наслідки, і жоден з них ви не контролюєте:

• Ваші сусіди — це ваша репутація. Інші 253 машини у вашому /24 ухвалюють рішення, наслідки яких лягають на вас, а хто вони, що на них запущено і скільки пошти вони надсилають, ви не бачите. Ви успадковуєте їхнє середнє.
• Записи в списках переживають орендарів. Діапазон може нести запис ще довго після того, як клієнта, що його заслужив, давно відключили, бо список не має способу дізнатися, що клієнт змінився, і жодного стимулу здогадуватися.
• Офшорні діапазони стартують нижче. Провайдер, що не питає особу, серед чесних клієнтів приваблює саме тих, кого потім заносять до списків, — а списки на це відповідають, розширюючись з окремої адреси на /24, а тоді й на всю мережу. Це справжня ціна рішення про юрисдикцію. Їй місце в самому рішенні, а не в несподіванці після першого рахунку.

Ще дві речі рухаються під вами, поки сама адреса лишається незмінною. Адреси тепер орендують і передають між організаціями, тож реєстровий запис на блок може змінити власника, а жоден пакет при цьому не змінить маршрут, — а репутаційні дані, що живуть при адресах, а не в реєстрі, за цими паперами не встигають. І бази геолокації відстають на місяці. Адреса, перенесена до Кишинева, у половині комерційних баз може й далі визначатися як амстердамська протягом кварталу чи довше, а це виглядає для системи оцінки шахрайства як нідерландська адреса на молдовському з’єднанні, і вона оцінює цю невідповідність. Жодне з цього не є дефектом. Обидва — звичайне тертя ринку адрес, запаси якого скінчилися п’ятнадцять років тому.

Наші власні правила допустимого використання називають цей механізм, а не приховують його: непрошена масова пошта заносить увесь діапазон у чорний список протягом кількох годин, а діапазон — спільний. Саме тому існує це правило, і саме тому санкція стосується порту, а не облікового запису. Поштові сервери та масова пошта, на яку ви маєте згоду дозволені прямо — межа проходить по згоді, а не по обсягу.

Шість суддів, і вони не погоджуються

«Чорний список» вживають так, ніби це один стан. Насправді їх щонайменше шість, і вирішують їх шість різних сторін, які використовують різні дані, публікують їх у різному обсязі, а у двох випадках взагалі ніколи не скажуть вам, що ухвалили рішення.

Шість сторін, що судять IP-адресу, що саме кожна блокує і що можна зробити

Хто судить	Як ви про це дізнаєтесь	Чи можна це виправити	Що це насправді блокує
Поштові провайдери	Відбій листа або тиша	Частково	Ваш лист — у теку спаму або взагалі за двері. Тут репутацію рахують окремо для адреси і окремо для домену надсилання, і стежать за ними окремо.
Spamhaus та великі публічні списки	Відбій із назвою списку	Так	SMTP-з’єднання — ще на порозі, до того, як лист прочитають. Це той випадок, коли відбій приходить із причиною, а тому це найкорисніша з можливих відмов.
Списки, що беруть гроші за видалення	Відбій, зрідка	Ні	На практиці — майже нічого. Деякі заносять до списку цілий /24 чи навіть усю мережу через одного відправника, а тоді пропонують платне термінове видалення. Оператори будь-якого масштабу до них не звертаються.
CDN та вебфаєрволи	Сторінка з перевіркою	Ні	Ваших відвідувачів — сторінкою з перевіркою, або ваші власні вихідні запити до сайтів, що стоять за таким захистом. Рішення ухвалюють щодо вашої мережі, а не щодо вашої машини.
Оцінка шахрайства та платежів	Ви — ніяк	Ні	Нічого видимого. Вона мовчки підвищує оцінку ризику на чужій формі оплати, як один із десятків чинників. Ви ніколи не побачите правило, і оскаржити рішення нема де.
Сайти, що блокують дата-центри оптом	Відмову у власних логах	Ні	Запити, які ваш сервер робить назовні, — скрапери, виклики API, перевірки стану. Це взагалі не проблема репутації. Це проблема категорії: ви — дата-центр, а їм потрібні були люди.

Прочитайте третю колонку згори вниз — і форма проблеми стає видимою. Одну з шести справді можете виправити ви самі, ще одну — частково, а чотири — це рішення, ухвалені деінде щодо категорії, до якої ви належите. Саме це співвідношення й доводить, що адресу варто обходити в конструкції, а не боротися з нею, — про це остання частина статті.

Чому пошта судить найсуворіше і найчесніше

Пошта — єдина з шести, що письмово, в момент відмови, скаже вам, чому саме вона вас відхилила. Сторінка з перевіркою нічого не пояснює. Оцінка шахрайства ніколи не спливає на поверхню. У повідомленні про відбій є код, назва списку і часто посилання. Пошта — найсуворіший суддя на цій сторінці й водночас єдиний чесний, і саме тому варто витрачати зусилля на її налаштування.

Зворотний DNS і та половина, про яку всі забувають

Запис PTR прив’язує вашу адресу до імені. Налаштувати його — легша половина роботи, і саме на ній більшість і зупиняється. Вимога — підтвердження в обидва боки: ім’я, яке повертає ваш PTR, має саме розв’язуватися назад у ту саму адресу. Google формулює це як умову для масових відправників буквально так: дійсні прямі й зворотні записи, де адреса відправника збігається з адресою імені хосту в PTR. PTR, що вказує на ім’я, яке нікуди не розв’язується або веде на іншу машину, гірший за відсутність PTR узагалі, бо виглядає як помилка налаштування, а не як прогалина. У нашій мережі зворотний запис ви налаштовуєте самі, а отже, самі можете й помилитися; налаштуйте його до першого листа, а не після першого відбою.

SPF, DKIM і DMARC підтверджують автентичність — вони не рекомендують

Ці три записи доводять, що лист справді надійшов від того, хто заявлений відправником. Це все, що вони доводять. Це не рекомендація, а документ, що посвідчує особу, а документ, що посвідчує особу, ніде не гарантує вам гостинного прийому. Автентифікований лист із занесеної до списку адреси лишається листом із занесеної до списку адреси — його відхилять із ще більшою впевненістю, а не з меншою. Налаштуйте всі три, бо сьогодні це вже не перевага, а мінімальна вимога, а тоді усвідомте, що для репутації ви поки що не зробили нічого.

Є ще один поділ, який варто зрозуміти, перш ніж витратити тиждень не на ту половину. Репутацію рахують окремо для вашої адреси і окремо для вашого домену надсилання, і оцінюють їх нарізно. Це має практичний наслідок в обидва боки: бездоганно новий домен, що надсилає з чистої адреси, усе одно не має жодної репутації — відсутність репутації не те саме, що добра репутація, і перша тисяча листів піде саме за цим правилом, — тоді як домен із роками бездоганного надсилання за плечима переносить цю історію навіть при зміні адреси. Саме половина з доменом переносна, і це справжній аргумент на користь підпису DKIM на власному домені, а не на тому, який за замовчуванням пропонує інструмент розсилки.

Цифри, які публікує Gmail, і що з них випливає

Для відправників приблизно від п’яти тисяч листів на день Google публікує не поради, а вимоги: SPF і DKIM на домені надсилання, наявність DMARC — політика none приймається, — відписка в один клік на маркетинговій і передплатній пошті, а рівень скарг на спам — нижче 0,30 %, з рекомендованим показником 0,10 %. Ці цифри варто перевести в людські числа. При п’яти тисячах листів 0,30 % — це п’ятнадцять скарг. П’ятнадцять людей, що натиснули кнопку в день, коли ви надіслали список, у якому не були певні, — це і є різниця між доставленим і відфільтрованим, і цей поріг не намацаєш навпомацки.

Вихідний порт 25 за замовчуванням заблоковано в більшості великих хмар, тому там про все це просто ніхто не дізнається. Офшорний провайдер часто лишає його відкритим, і це не подарунок: відкритий порт на спільному діапазоні означає, що репутацію діапазону вирішує будь-хто інший, хто ним користується. У нас цей порт обмежують за швидкістю, а тоді закривають при повторних зловживаннях, і саме з цієї причини, і жодної іншої.

Десять хвилин перевірки, перш ніж платити

На кожне з цих запитань можна отримати відповідь ще до того, як гроші перейдуть з рук у руки, і кожна відповідь корисніша за будь-яке твердження на сторінці товару. Готовність провайдера відповісти на них — це вже саме по собі результат перевірки.

1. Запитайте, яку саме адресу ви отримаєте (2 хв). Не діапазон — саме адресу. Провайдер, що не може сказати цього до оплати, не зможе розповісти і про її історію, а це вже відповідь на те запитання, яке ви насправді ставили.
2. Перевірте адресу, а тоді й /24 навколо неї (3 хв). Публічні перевірки репутації приймають і те, і те. Чиста адреса всередині щедро заблокованого блока розповість вам саме те, що варто знати про наступні два роки.
3. З’ясуйте, хто анонсує цей діапазон (2 хв). Мережа, що анонсує блок, каже про нього більше, ніж сам блок. Мережа з довгою історією й опублікованим контактом для скарг поводиться зовсім інакше, ніж та, що з’явилася минулого кварталу.
4. Перевірте вихідний порт 25, перш ніж проєктувати систему під нього (1 хв). Відкрийте з’єднання до поштового сервера, який контролюєте самі, і подивіться, що станеться. Дізнатися відповідь уже після переїзду — ось так і зникають вихідні.
5. Переконайтеся, що зворотний запис — ваш, і наскільки швидко він змінюється (1 хв). Важливі обидві половини: що ви взагалі можете його налаштувати, і що зміна займає хвилини, а не чергу звернень, у якій ви застрягнете саме в день запуску.
6. Запитайте, що станеться, якщо адреса виявиться непридатною (1 хв). Потрібна вам відповідь — що її замінять без суперечок і без доплати. Отримайте це письмово, бо в день, коли це знадобиться, домовлятися вже буде ніколи.

Що можна виправити, а що — обійти

П’ять ситуацій, і корисна відмінність між ними — не в тому, наскільки погано вони виглядають. А в тому, чи важіль у ваших руках, у чужих, чи взагалі ні в чиїх.

П’ять ситуацій і те, чи важіль у ваших руках

Ситуація	Хто це вирішив	Чи можете ви це виправити	Що робити
Занесення до списку політики	Ваш провайдер	Так	Занесення до такого списку — не звинувачення. Більшість цих діапазонів подає туди сам оператор мережі, повідомляючи лише, що адреси там не мають надсилати пошту напряму. Існує самостійне видалення за умови статичної адреси, справжнього поштового сервера й коректних записів в обидва боки — а виняток для окремої адреси спливає за рік і скасовується в ту ж мить, коли помічено спам.
Занесення за справжній спам із вашої адреси	Список	Частково	Спершу усуньте причину, бо видалення, яке потім знову заслужать, гірше за початкове занесення. Якщо ця історія належить попередньому орендарю, а не вам, вихід — інша адреса, а не оскарження.
Увесь /24 у списку платного видалення	Тільки список	Ні	Не робіть нічого, і головне — не платіть. Сприймайте цей запис як інформацію про сам список, а не про вас, і перевірте, чи хоч якийсь провайдер, що вам справді важливий, до нього звертається. Зазвичай жоден не звертається.
Відвідувачів перевіряє CDN перед чужим сервісом	Хтось інший	Ні	Нічого на вашій машині цього не змінить, бо на вашій машині це й не вирішується. Це ще одна річ, яку ухвалюють на рівень вище за вас, поряд із реєстром і проксі.
Пошту відхиляють при чистих списках і коректних записах	Власне, ніхто	Частково	Це вже репутація, а не занесення до списку, а репутацію будують надсиланням: спершу невеликими обсягами, справжнім одержувачам, і тижнями, а не днями. Або ж ви припиняєте будувати її саме на цій адресі — про це наступний розділ.

Усі п’ять ситуацій стають набагато кращими, щойно ви перестаєте вгадувати. Три інструменти не коштують нічого й налаштовуються за пообіддя: панель Postmaster Tools у великих провайдерів, що показує ваш рівень спаму і рівень проходження автентифікації відносно їхніх власних показників, а не ваших; петлі зворотного зв’язку, що повідомляють, хто саме поскаржився, щоб ви могли перестати писати цій людині ще до того, як показник зрушить; і звичка справді читати відбої. Код 4xx — тимчасова відмова, часто через обмеження швидкості, — сповільніться. Код 5xx — це рішення, і текст поруч із ним зазвичай називає список чи правило, що його ухвалило. Більшість людей стирають обидва, навіть не читаючи, а тоді називають результат загадковим.

Налаштування, яке переживає погану адресу

Одне рішення важливіше за всі записи в цьому посібнику разом узяті, і це рішення про архітектуру, а не про налаштування: не надсилайте пошту з тієї самої машини, на якій працює ваш застосунок. Надсилайте її через ретранслятор, чиєю репутацією хтось займається повний робочий день, підтримуючи пул адрес, які прогрівають, контролюють і замінюють. Ви не передаєте комусь проблему, яку могли б вирішити самі, — ви відмовляєтеся відтворювати на одній адресі спільного діапазону те, що потребує окремої команди, аби просто працювати.

Тоді офшорна машина робить саме те, за що ви й платили юрисдикції, — розміщує сервіс, зберігає дані, лишається доступною, коли надходить скарга, — а доставність листів опиняється там, де вона вже давно є готовим продуктом. Ці дві турботи перестають бути пов’язаними, а отже, поганий місяць для адреси більше не означає поганий місяць для скидання паролів.

Якщо ви починаєте сьогодні, порядок дій важливіший за сам перелік. Спершу налаштуйте зворотний запис і переконайтеся, що він розв’язується назад на вас, — бо все подальше судитимуть саме за ним. Опублікуйте SPF і DKIM, а тоді DMARC із політикою none, щоб отримувати звіти, поки їх читаєте, не ламаючи доставку. Надішліть сотню справжніх листів справжнім людям і прочитайте результати. Лише тоді вирішуйте, чи ця адреса взагалі колись буде адресою для надсилання, а якщо відповідь «ні» — ухваліть це рішення зараз, а не після того, як побудуєте чергу в припущенні, що буде.

Якщо вам справді потрібно розміщувати пошту самостійно, розділіть адреси: одна — для публічного вебу, друга — лише для надсилання. /29 робить це тривіальним і коштує менше за місяць пошуку причини, чому лист про скидання пароля з вашого маркетингового IP потрапляє під фільтр. Запитайте про це заздалегідь, а не тоді, коли вже пече.

Ширша думка тут та сама, яку цей сайт повторює різними словами. Офшор купує конкретну річ і бере плату за неї тертям в екосистемі, і саме так це тертя виглядає зсередини, а не як пункт списку на сторінці порівняння. Якщо ваш профіль ризику не потребує цієї юрисдикції, чиста адреса у звичайного провайдера буде для вас ціннішою, ніж будь-що на цій сторінці. Якщо потребує — купуйте юрисдикцію, а репутацію орендуйте в когось іншого, і якщо ви серйозно плануєте розміщувати пошту самостійно, почніть із машини, яка вже має власний блок адрес, а не з однієї адреси в натовпі.

Написано інженерами, які підтримують платформу, і востаннє перевірено сьогодні. Якщо щось тут неправильне або застаріло, повідомте про це через панель клієнта — саме звідти прийшла приблизно половина цих посібників.