Blacklist

La ReportedIP Blacklist est une liste communautaire d'adresses IP malveillantes, générée automatiquement à partir de rapports d'attaques réels et accessible via une API et GitHub. Utilisez-la pour bloquer les adresses IP malveillantes connues dans votre pare-feu, votre serveur web ou votre application — elle est mise à jour quotidiennement sans intervention manuelle.

Comment la blacklist est-elle générée ?

Chaque adresse IP figurant sur la Blacklist provient de signalements de la communauté qui ont été traités par notre moteur de réputation. Une adresse IP n’est incluse que lorsque :

• Son Confidence Score est ≥ 75 % (calculé à partir de la fréquence des signalements, de la diversité des sources, de la gravité et de la récence)
• Son signalement le plus récent date d’au moins 48 heures (période de refroidissement pour les False Positives — les entrées ne sont ajoutées à l’exportation qu’une fois que le score a eu le temps de se recalibrer)
• Elle ne figure pas sur la Whitelist (moteurs de recherche, fournisseurs de CDN, infrastructures reconnues comme fiables sont exclus)

La Blacklist est mise à jour automatiquement — il n’y a pas de vérification éditoriale manuelle. L’ensemble du processus est ouvert et transparent : vous pouvez vérifier n’importe quelle entrée via GET /reportedip/v2/check?ip=<ip>&verbose=true pour consulter la répartition exacte du score.

Dépôt GitHub

La Blacklist complète est publiée sous la forme d’un dépôt GitHub public, mis à jour quotidiennement à partir des données de l’API en temps réel. Les données exportées sont quant à elles décalées de 48 heures (période de refroidissement des False Positives décrite ci-dessus). Vous pouvez le cloner, l’utiliser dans des pipelines CI/CD ou l’intégrer à votre infrastructure.

github.com/reportedip/reportedip-blacklist

Structure du dépôt

reportedip-blacklist/
├── blacklist-all.txt       # All IPs, one per line
├── blacklist-all.json      # All IPs with metadata
├── blacklist-all.csv       # All IPs, CSV format
├── metadata.json           # Export metadata (version, counts, timestamps)
├── lists/                  # Thematic sub-lists
│   ├── spam.txt
│   ├── brute-force.txt
│   ├── cms-login.txt
│   ├── web-attacks.txt
│   ├── malware.txt
│   ├── ddos.txt
│   ├── fraud.txt
│   ├── infrastructure.txt
│   └── apt.txt
└── formats/                # Ready-to-include firewall snippets
    ├── nginx-deny.conf
    ├── apache-htaccess.txt
    └── iptables.sh

Formats de fichiers

Format TXT

Texte brut, une adresse IP par ligne. Les lignes commençant par # sont des commentaires contenant des métadonnées telles que l'heure de génération et le nombre total d'entrées.

# ReportedIP Blacklist - All IPs
# https://reportedip.com
#
# Copyright (c) 2026 ReportedIP / Patrick Schlesinger
# Licensed under CC BY 4.0 - https://creativecommons.org/licenses/by/4.0/
#
# IMPORTANT: Data is delayed by 48 hours.
# For real-time threat intelligence via API, contact: 1@reportedip.com
#
# Generated: 2026-07-22
# Total IPs: 12847
#
1.2.3.4
5.6.7.8
9.10.11.12

Format JSON

Un meta bloc (version d'exportation, nombres, horodatage de génération) suivi d'un entries tableau. categories sont des identifiants numériques de catégories de menaces — les faire correspondre au catalogue des catégories de menaces ou GET /categories.

{
  "meta": {
    "version": "2026-07-22",
    "generatedAt": "2026-07-22T00:00:00Z",
    "totalCount": 12847
  },
  "entries": [
    {
      "ip": "1.2.3.4",
      "confidence": 95,
      "categories": [18, 21],
      "source": "dynamic"
    },
    {
      "ip": "5.6.7.8",
      "confidence": 82,
      "categories": [14],
      "source": "dynamic"
    }
  ]
}

Format CSV

Valeurs séparées par des virgules avec une ligne d’en-tête. Facile à importer dans des tableurs, des bases de données ou des outils SIEM. categories contient des identifiants de catégorie numériques séparés par des points-virgules.

ip,confidence,categories,last_reported
1.2.3.4,95,"18;21","2026-07-19 14:22:00"
5.6.7.8,82,"14","2026-07-18 09:15:00"
9.10.11.12,78,"21","2026-07-17 20:45:00"

Intégration au pare-feu

Utilisez les fichiers de Blacklist pour bloquer les adresses IP malveillantes au niveau du pare-feu ou du serveur web. Vous trouverez ci-dessous des exemples d’intégration pour des outils courants.

Nginx

Générez une configuration de Blocklist et intégrez-la dans votre bloc de serveur Nginx :

# Generate Nginx blocklist from TXT file
awk '{print "deny " $1 ";"}' blacklist-all.txt > /etc/nginx/blocklist.conf

# /etc/nginx/sites-enabled/default
server {
    include /etc/nginx/blocklist.conf;

    # ... rest of your config
}

Apache (.htaccess)

# .htaccess — Block reported IPs
<RequireAll>
    Require all granted
    Require not ip 1.2.3.4
    Require not ip 5.6.7.8
    Require not ip 9.10.11.12
</RequireAll>

iptables (via ipset)

Chargez la liste dans un ipset et effectuez une comparaison avec cet ensemble à partir d’une seule règle. Une règle par adresse IP impliquerait des milliers de règles à parcourir pour chaque paquet ; une recherche dans l’ensemble reste constante quelle que soit la taille de la liste.

# Create the set and fill it in one pass (IPv4 entries only)
ipset create rip-block hash:ip family inet maxelem 65536 -exist
grep -E '^[0-9]+(\.[0-9]+){3}$' blacklist-all.txt \
  | sed 's|^|add rip-block |' | ipset restore -exist

# One rule blocks the whole set
iptables -I INPUT -m set --match-set rip-block src -j DROP

L'IPv6 nécessite son propre ensemble (family inet6) et sa propre ip6tables règle — voir « Blocage au niveau du réseau » pour le script complet incluant nftables, les ensembles par service et la synchronisation horaire.

fail2ban

Créez une « jail » personnalisée qui bannit les adresses IP figurant sur la ReportedIP Blacklist :

# /etc/fail2ban/jail.d/reportedip.conf
[reportedip-blacklist]
enabled  = true
banaction = iptables-allports
bantime  = 86400
filter   = reportedip-blacklist
logpath  = /var/log/reportedip-blacklist.log
maxretry = 1

fail2ban fonctionne également dans l’autre sens : une action prête à l’emploi signale chaque blocage sur votre serveur à la communauté via POST /report. Consultez le guide d’intégration de fail2ban pour la configuration de l’action et le mappage « jail » vers catégorie.

Accès à l’API

Le /blacklist Endpoint offre un accès en temps réel à la Blacklist complète avec des options de filtrage. Une API Key avec la fonctionnalité « Threat Feed » (niveau Contributor et supérieur) est requise. Le point de terminaison est soumis à des restrictions de fonctionnalités et n’ est pas pris en compte dans votre quota quotidien de vérifications ou de rapports — interrogez-le aussi souvent que votre stratégie de mise en cache l’exige. Consultez la section « Authentification et Rate Limits » pour connaître les niveaux d’abonnement et les clés.

curl -H "X-Key: YOUR_API_KEY" \
     "https://reportedip.com/wp-json/reportedip/v2/blacklist?format=txt&confidence=90&limit=50000"

Consultez l'API Reference pour obtenir la documentation complète sur les Endpoints, le format de réponse et les paramètres supplémentaires.

Blacklists spécifiques au service

Combinez le category filtre avec confidence=90 pour créer une liste de blocage par service exposé. Chaque liste ne contient que les adresses IP signalées pour le type d’attaque correspondant ; vous pouvez donc l’appliquer au niveau d’un port : une adresse IP figurant sur la liste Web n’empêchera jamais personne d’accéder à SSH.

# SSH attackers only, plain text for ipset/nftables
curl -H "X-Key: YOUR_API_KEY" \
     "https://reportedip.com/wp-json/reportedip/v2/blacklist?confidence=90&format=txt&limit=50000&category=22,18"

Les listes sont régénérées côté serveur toutes les 15 minutes. Une interrogation toutes les heures par liste suffit ; renvoyez les données ETag en les renvoyant If-None-Match et, pour les listes inchangées, répondez avec 304 Not Modified. Les balises sont spécifiques à la variante exacte que vous demandez ; conservez donc une seule balise enregistrée par liste. Les identifiants de catégorie valides vont de 1 à 58 — les identifiants 31 à 58 correspondent au bloc WordPress dédié que la web liste ci-dessus inclut. Catalogue complet : Threat Categories.

Script de mise à jour automatique

Configurez une tâche cron pour télécharger automatiquement la dernière Blacklist et mettre à jour vos Firewall Rules.

Planning Cron

# /etc/cron.d/reportedip-blacklist
0 */6 * * * root /usr/local/bin/update-reportedip-blocklist.sh

Script de mise à jour

#!/bin/bash
# /usr/local/bin/update-reportedip-blocklist.sh
# Downloads the latest ReportedIP blacklist and updates Nginx blocklist

API_KEY="your-api-key-here"
API_URL="https://reportedip.com/wp-json/reportedip/v2/blacklist"
BLOCKLIST="/etc/nginx/blocklist.conf"
TMPFILE=$(mktemp)

# Download latest blacklist in TXT format
curl -sf -H "X-Key: $API_KEY" \
     "$API_URL?format=txt&confidence=90&limit=50000" \
     -o "$TMPFILE"
DOWNLOAD_OK=$?

COUNT=$(grep -cE '^[0-9a-fA-F.:]+$' "$TMPFILE")

# Never replace a working blocklist with a truncated or empty response
if [ "$DOWNLOAD_OK" -eq 0 ] && [ "$COUNT" -ge 1000 ]; then
    # Convert to Nginx deny directives
    grep -v "^#" "$TMPFILE" | grep -v "^$" | \
        awk '{print "deny " $1 ";"}' > "$BLOCKLIST"

    # Reload Nginx
    nginx -t && systemctl reload nginx

    echo "$(date): Blocklist updated with $(wc -l < "$BLOCKLIST") entries"
else
    echo "$(date): Download failed or list too small ($COUNT) - keeping current blocklist" >&2
fi

rm -f "$TMPFILE"

Temps réel vs GitHub

Dernière mise à jour: 13. août 2026 · Maintenu par l’équipe ReportedIP