Comment éviter les listes noires d'e-mails : les habitudes qui vous tiennent hors des blocklists

Apprendre à éviter les listes noires d'e-mails commence par un constat inconfortable : une inscription relève rarement de la malchance. Les opérateurs de listes de blocage inscrivent des expéditeurs pour des comportements précis et détectables, comme des envois vers des pièges à spam, une rafale de plaintes, un pic de volume soudain ou du spam qui se déverse depuis un compte piraté, et presque chacune de ces causes a une habitude qui la prévient. Ce guide est organisé autour des causes, pas des listes. Pour chacune, vous verrez comment elle mène à une inscription et quelle habitude l'empêche, puis comment surveiller pour que la rare inscription qui passe entre les mailles soit repérée en un jour, pas en un mois.

La réponse en bref#

N'écrivez qu'à des adresses qui ont donné leur consentement et que vous avez vérifiées. Maintenez les plaintes pour spam sous 0,1 %. Augmentez le volume progressivement. Verrouillez les comptes, serveurs et formulaires capables d'envoyer en votre nom, et protégez vos formulaires d'inscription contre les bots. Contrôlez les domaines de vos liens, sachez qui partage votre IP d'envoi, et donnez à votre propre IP un DNS inverse valide. Surveillez ensuite vos domaines et vos IP pour qu'aucune inscription ne passe inaperçue. Rester hors d'une liste coûte bien moins cher que d'en sortir, et une récidive est plus difficile à lever que la première inscription.

Comment les listes de blocage décident de vous inscrire#

Les listes de blocage inscrivent sur preuves, et ces preuves proviennent de quatre sources :

• Les pièges à spam : des adresses qui n'ont jamais consenti à quoi que ce soit, gérées par les opérateurs de listes et les fournisseurs de messagerie pour voir qui leur écrit.
• Les plaintes et signalements : des destinataires qui marquent votre courrier comme spam, via leur fournisseur de messagerie ou une communauté de signalement comme celle de SpamCop.
• Les schémas de trafic : pics de volume soudains, courrier réparti sur de nombreuses IP ou de nombreux domaines pour contourner les filtres, ou trafic qui ressemble à celui d'une machine infectée.
• Les contrôles d'infrastructure : des tests automatisés, par exemple pour savoir si votre IP dispose d'un DNS inverse ou appartient à une plage destinée aux connexions résidentielles.

Chacune des causes ci-dessous alimente l'une de ces quatre sources. Le guide des listes de blocage explique comment les destinataires interrogent les listes, et Spamhaus expliqué présente les listes qui comptent le plus.

Éviter les listes noires : chaque cause et l'habitude qui la prévient#

Touches de pièges à spam issues de listes obsolètes, achetées ou extraites#

C'est l'une des voies les plus courantes vers les listes qui comptent. Il existe trois types de pièges, et chacun se loge à un endroit précis. Les pièges purs n'ont jamais été donnés à qui que ce soit : ils n'atteignent donc que des listes achetées ou extraites du web. Les pièges recyclés sont des adresses abandonnées qu'un fournisseur a réactivées après une période de sommeil : ils s'accumulent dans les listes que personne ne nettoie. Les pièges à fautes de frappe se placent sur des variantes mal orthographiées des domaines des grands fournisseurs et attrapent les inscriptions non vérifiées.

• N'achetez, ne louez et n'extrayez jamais de liste. Les raisons vont bien au-delà des pièges ; voir faut-il acheter une liste d'e-mails.
• Vérifiez avant le premier envoi toute liste ancienne, importée ou héritée. Considérez une liste à laquelle vous n'avez pas écrit depuis un an comme non testée, et suivez les étapes pour écrire à une ancienne liste.
• Supprimez les rebonds durs dès le premier, et cessez d'écrire aux abonnés restés silencieux assez longtemps pour avoir abandonné leur adresse. Une sunset policy rend cela automatique.
• Repérez les fautes de frappe à l'inscription, avant qu'un domaine mal orthographié n'atteigne votre liste.

Aucun outil de vérification ne peut signaler de façon fiable un piège à spam actif, car un piège fonctionnel ressemble à n'importe quelle autre boîte aux lettres. Ce que la vérification élimine, c'est l'entourage des pièges : les adresses mortes et les domaines mal orthographiés, signes les plus nets d'une liste que personne n'entretient. Le guide des pièges à spam explique la différence.

Pics de plaintes#

Les plaintes alimentent directement les listes de blocage (SpamCop inscrit des IP sur la base des signalements d'utilisateurs et des touches de pièges) ainsi que le modèle de réputation de chaque fournisseur de messagerie. Maintenez votre taux de plainte sous 0,1 % et traitez le seuil de 0,3 % de Gmail et Yahoo comme un plafond dont vous ne vous approchez jamais.

• Envoyez ce à quoi les gens se sont inscrits, à la fréquence qu'ils attendaient. Les plaintes viennent généralement de personnes qui ont oublié s'être inscrites ou qui en reçoivent plus que prévu.
• Rendez le départ plus facile que le signalement : un lien de désabonnement visible, les en-têtes de désabonnement en un clic sur le courrier marketing, et des désinscriptions honorées sous deux jours.
• Supprimez immédiatement les plaignants grâce aux boucles de rétroaction que proposent les fournisseurs.
• Surveillez les plaintes par envoi, pas seulement la moyenne mensuelle. Un seul mauvais segment peut franchir la limite à lui seul.

Le guide du taux de plainte pour spam explique comment le mesurer et le réduire, et la liste noire SpamCop est l'exemple le plus clair d'une liste fondée sur les signalements.

Bonds de volume soudains#

Un expéditeur qui écrit à 2 000 personnes par semaine puis à 200 000 en une journée ressemble exactement à un compte compromis. Le pic multiplie aussi tout ce qui cloche par ailleurs : les touches de pièges et les plaintes d'un segment obsolète arrivent toutes en même temps, à une échelle qui déclenche les seuils. Répartir le volume sur de nombreuses IP ou de nombreux domaines neufs pour passer sous le radar est pire encore : c'est le schéma « snowshoe » que la liste CSS de Spamhaus a précisément pour but d'attraper.

• Chauffez chaque nouveau domaine d'envoi et chaque IP dédiée progressivement.
• Montez vers les pics saisonniers sur plusieurs semaines, comme dans la checklist de délivrabilité du Black Friday.
• Envoyez à un rythme régulier. De longs silences suivis d'envois massifs réduisent à néant la confiance que vous aviez bâtie.

Comptes compromis, relais ouverts et formulaires piratés#

Si quelque chose envoie du spam en votre nom, c'est vous que l'inscription frappe. Les sources habituelles sont un identifiant d'ESP ou de messagerie volé par hameçonnage, un mot de passe SMTP ou une clé API divulgués, un serveur de messagerie qui relaie pour n'importe qui, un plugin de site web vulnérable, et un formulaire de contact qui laisse un attaquant choisir le destinataire. Ce type d'abus détecté par machine alimente la CBL, qui fournit la XBL de Spamhaus.

• Activez l'authentification multifacteur pour vos comptes d'ESP, de CRM et de messagerie, et retirez les accès des personnes parties.
• Limitez la portée des clés API et des identifiants SMTP à un seul usage, renouvelez-les et tenez-les à l'écart des dépôts de code.
• Ne relayez que pour les utilisateurs authentifiés si vous gérez votre propre serveur de messagerie.
• Mettez à jour votre CMS et vos plugins de formulaire, et faites en sorte que les formulaires de contact n'envoient qu'à des adresses fixes.
• Surveillez votre volume envoyé. Un envoi que vous n'avez pas programmé est le signe le plus net d'une compromission.

Bombardement d'inscriptions via un formulaire non protégé#

Le bombardement d'inscriptions (ou list bombing) transforme votre formulaire d'inscription en arme. Des bots soumettent les adresses de milliers de personnes réelles dans des formulaires partout sur le web pour noyer les boîtes de réception des victimes, et votre formulaire envoie à chaque victime un e-mail de confirmation ou de bienvenue qu'elle n'a jamais demandé. Elle le signale comme spam, certaines adresses soumises sont des pièges, et votre domaine comme votre IP en font les frais.

• Mettez les bots à l'épreuve : un CAPTCHA ou un défi invisible plus un champ honeypot sur chaque formulaire d'inscription, et des limites de débit par IP.
• Utilisez le double opt-in, et gardez l'e-mail de confirmation exempt de tout contenu marketing pour qu'il reste un message simple et peu risqué.
• Surveillez les rafales. Un pic d'inscriptions sans hausse de trafic correspondante sur le site, c'est un bot, pas un moment viral.
• Vérifiez en temps réel pour attraper les adresses fausses et jetables qui accompagnent le trafic de bots. L'API de vérification de Qualisend renvoie un verdict pendant que le visiteur est encore sur le formulaire.

Soyez lucide sur les limites : une attaque de bombardement utilise des adresses réelles et délivrables, la vérification seule ne l'arrêtera donc pas. Ce sont les défenses anti-bots qui font l'essentiel du travail. Bloquer les fausses inscriptions couvre chaque couche, et opt-in simple ou double opt-in détaille le compromis de la confirmation.

Domaines listés dans vos liens#

Les listes de blocage de domaines comme Spamhaus DBL, SURBL et URIBL inscrivent les domaines repérés dans du spam, et les filtres confrontent chaque URL du corps de votre message à ces listes, pas seulement votre domaine d'expédition. Un seul domaine listé dans un pied de page peut faire filtrer un courrier propre. Les coupables habituels sont les raccourcisseurs de liens publics qu'utilisent aussi les spammeurs, un domaine d'affiliation ou de partenaire, un domaine de suivi des clics que votre ESP partage entre ses clients, et un ancien domaine que vous avez laissé expirer et que quelqu'un d'autre utilise désormais.

• Utilisez votre propre domaine à votre marque pour les liens et le suivi des clics.
• Contrôlez chaque domaine d'un modèle avec le vérificateur de listes noires avant un gros envoi.
• Conservez l'enregistrement des domaines que vous avez utilisés dans vos e-mails, pour que personne ne puisse en racheter un et le griller.

Voisins sur IP partagée#

Sur une IP partagée, qui est la façon dont la plupart des ESP envoient pour la plupart de leurs clients, votre courrier part des mêmes adresses que celui d'autres expéditeurs. Si l'un d'eux touche des pièges ou suscite des plaintes, des listes fondées sur les IP comme la Barracuda Reputation Block List peuvent inscrire l'IP, et votre courrier coule avec elle. Vous ne pouvez pas choisir vos voisins, mais vous pouvez choisir l'immeuble.

• Choisissez un ESP qui fait la police dans ses pools et en écarte les expéditeurs abusifs.
• Sachez de quelles IP part votre courrier. Les en-têtes Received d'un e-mail de test les indiquent, et l'analyseur d'en-têtes les lit pour vous. Ajoutez ces IP à votre surveillance.
• Ne passez à une IP dédiée que lorsque le volume le justifie. Une IP dédiée vous donne le contrôle et vous rend seul responsable de sa réputation, et elle a besoin d'un volume régulier pour rester chaude.

DNS inverse absent ou invalide sur votre propre IP#

Ce point vous concerne si vous gérez votre propre serveur de messagerie ou disposez d'une IP dédiée. Les destinataires attendent d'une IP d'envoi qu'elle ait un enregistrement PTR (DNS inverse) qui se résout vers un véritable nom d'hôte, et que ce nom d'hôte se résolve à son tour vers la même IP. Google et Yahoo exigent un DNS direct et inverse valide de la part de tous les expéditeurs. Une IP sans PTR, ou dont le nom évoque une connexion résidentielle ou dynamique, est exactement ce que signalent des listes automatisées comme SpamRats, sans qu'aucun spam ne soit nécessaire.

• Configurez l'enregistrement PTR auprès de celui qui possède l'IP (votre hébergeur ou votre fournisseur cloud), en le faisant pointer vers un nom d'hôte de votre domaine comme mail.example.com.
• Faites pointer l'enregistrement A de ce nom d'hôte vers la même IP, et utilisez-le comme nom HELO de votre serveur.
• Vérifiez le résultat avec la recherche DNS inverse gratuite, qui indique aussi si l'enregistrement est confirmé dans le sens direct.

Surveiller pour qu'aucune inscription ne reste cachée#

Même les expéditeurs prudents se font inscrire de temps à autre : un voisin sur une IP partagée, un plugin compromis, une liste agressive. La prévention réduit les probabilités et la surveillance réduit les dégâts, car le coût d'une inscription augmente chaque jour où elle passe inaperçue.

• Surveillez chaque identité d'envoi : vos domaines d'expédition, les IP d'où part votre courrier, et vos domaines de liens et de suivi.
• Contrôlez automatiquement, chaque jour. La surveillance des listes noires de Qualisend revérifie vos domaines et vos IP toutes les 24 heures auprès des principales listes de blocage, dont Spamhaus, Barracuda et SpamCop, et vous envoie un e-mail lorsqu'une inscription apparaît et lorsqu'elle est levée. Pour une recherche ponctuelle, le vérificateur de listes noires gratuit suffit.
• Suivez les tableaux de bord de réputation. Google Postmaster Tools couvre Gmail et Microsoft SNDS couvre les IP vers Outlook.com ; une réputation qui s'effrite précède souvent une inscription.
• Lisez vos rebonds. Un rejet qui cite une liste de blocage est le signal le plus direct que vous obtiendrez, et les signes avant-coureurs d'une inscription couvrent le reste.
• Relancez le bilan de santé du domaine après toute modification DNS, pour qu'un enregistrement SPF ou DKIM cassé ne passe pas inaperçu.

Le guide de surveillance des listes noires détaille ce qu'il faut surveiller et à quelle fréquence.

Si vous êtes inscrit malgré tout#

Ne déposez pas une demande de retrait en premier. Procédez dans cet ordre :

1. Confirmez l'inscription et identifiez la liste, en suivant comment vérifier si vous êtes sur liste noire. Priorisez selon la portée : une inscription chez Spamhaus est urgente, alors qu'une liste obscure peut ne toucher presque aucun de vos destinataires.
2. Trouvez la cause dans le tableau ci-dessus et corrigez-la. Demandez le retrait avant la correction et vous serez probablement réinscrit, et les récidives sont plus difficiles à lever.
3. Demandez le retrait via la procédure propre à l'opérateur. Certaines inscriptions expirent d'elles-mêmes une fois la source tarie ; celles de SpamCop sont généralement levées environ un jour après le dernier signalement.
4. Remontez en charge progressivement, en écrivant d'abord à vos abonnés les plus engagés.

La procédure complète, liste par liste, se trouve dans comment se faire retirer d'une liste noire. Ignorez quiconque propose un retrait payant de « toutes les listes noires » : Spamhaus ne facture jamais un retrait, et aucun service ne peut vous retirer d'une liste dont vous n'avez pas corrigé la cause.

La prévention tient surtout à la qualité de la liste : commencez donc par là. Vérifiez votre liste avec 100 crédits gratuits qui n'expirent jamais, et laissez la surveillance des listes noires veiller sur vos domaines et vos IP pour qu'aucune inscription ne dure longtemps sans être remarquée.