DNS / RBL Zone : blocklist pour serveurs mail

La Community Blacklist de ReportedIP peut être interrogée comme une blocklist DNS. Depuis le 29 mai 2026, les serveurs de messagerie et les pare-feu vérifient toute adresse IPv4 ou IPv6 auprès d’une RBL Zone privée sous bl.reportedip.de, sans téléchargement de fichier ni tâche d’import.

La DNS / RBL Zone est un module complémentaire récurrent pour les offres PRO, Business et Enterprise, au prix de 7,90 € par mois ou 79 € par an. Chaque abonnement comprend son propre token et 100 000 requêtes par jour.

Qu’est-ce qu’une zone RBL DNS ?

Une DNSBL (blocklist basée sur le DNS, aussi appelée RBL) répond à une seule question par le DNS : cette adresse IP est-elle connue pour attaquer ? Le serveur de messagerie inverse l’adresse de l’hôte qui se connecte, ajoute le nom de la zone et lance une requête DNS ordinaire. Une adresse listée renvoie un enregistrement A dans la plage 127.0.0.0/8, une adresse propre renvoie NXDOMAIN.

Avant la zone, la blacklist n’était disponible que sous forme de fichier à télécharger et via l’API REST. Cela suffit pour les pare-feu qui importent des listes, mais les serveurs de messagerie attendent une DNSBL en temps réel. La zone sert la même Community Blacklist par le DNS et la met à jour depuis la source toutes les quelques minutes.

Au lancement, le 29 mai 2026, la zone contenait 11 134 adresses. Le 29 septembre 2026, elle en contenait 6 885, car les adresses qui cessent d’attaquer perdent désormais en confiance et quittent la liste d’elles-mêmes. L’article sur la blacklist autonettoyante explique ce mécanisme.

Comment la zone répond-elle à une requête ?

Votre chaîne de zone privée

Chaque abonnement crée un token de 48 caractères hexadécimaux. Votre chaîne de zone est <your-token>.bl.reportedip.de. Pour vérifier 1.2.3.4, le serveur interroge 4.3.2.1.<your-token>.bl.reportedip.de. Les adresses IPv6 sont interrogées sous forme de 32 nibbles inversés, comme sous ip6.arpa.

Les codes de retour reflètent le niveau de confiance

Le score de confiance est déjà codé dans la réponse, le serveur de messagerie n’a donc besoin d’aucune correspondance supplémentaire :

Enregistrement A	Signification	Action conseillée
`127.0.0.2`	Listée, confiance élevée (90 ou plus)	Refuser
`127.0.0.3`	Listée, confiance moyenne (75 à 89)	Refuser ou pondérer
`NXDOMAIN`	Propre, ou absente de la catégorie demandée	Accepter
`127.255.255.251`	Quota quotidien atteint	Ajouter un token
`127.255.255.252`	Token invalide ou abonnement inactif	Vérifier le token

Une requête au-delà de la limite de débit du token reçoit REFUSED au lieu d’une adresse. L’IP de test 127.0.0.2, interrogée sous la forme 2.0.0.127.<your-token>.bl.reportedip.de, renvoie toujours 127.0.0.2. Vous vérifiez ainsi votre configuration sans adresse réellement listée. Le point de test n’est pas décompté du quota quotidien.

Les sous-zones filtrent par catégorie de menace

Insérez un slug de catégorie entre le token et la zone pour ne cibler qu’un type de menace : <reversed-ip>.<your-token>.<slug>.bl.reportedip.de. Neuf sous-zones sont disponibles : spam, brute-force, cms-login, web-attacks, malware, ddos, fraud, infrastructure et apt. Une réponse positive n’arrive que si l’adresse est listée dans cette catégorie.

Comment ajouter la zone à Postfix ou Rspamd ?

Votre token est un identifiant d’accès privé. Par défaut, Postfix écrit le nom complet de la zone, token compris, dans le refus 554 que reçoit chaque expéditeur bloqué ainsi que dans votre journal de messagerie. L’exemple Postfix ci-dessous remplace donc le texte de réponse.

Postfix

# main.cf
smtpd_recipient_restrictions =
    permit_mynetworks,
    permit_sasl_authenticated,
    reject_rbl_client <your-token>.bl.reportedip.de=127.0.0.[2..3],
    ...
rbl_reply_maps = texthash:/etc/postfix/rbl_reply

# /etc/postfix/rbl_reply
<your-token>.bl.reportedip.de 554 5.7.1 Blocked - your IP is listed at reportedip.de

Une table texthash: ne nécessite pas de postmap, un postfix reload suffit. La ligne unique reject_rbl_client couvre les expéditeurs IPv4 et IPv6, et les autres blocklists que vous interrogez gardent leur propre texte de réponse.

Rspamd

# local.d/rbl.conf
rbls {
  reportedip {
    rbl = "<your-token>.bl.reportedip.de";
    ipv4 = true;
    ipv6 = true;
    returncodes {
      REPORTEDIP_HIGH   = "127.0.0.2";
      REPORTEDIP_MEDIUM = "127.0.0.3";
    }
  }
}

Rspamd ajoute un symbole au score de spam et n’envoie aucun nom de zone à l’expéditeur, le token reste donc sur votre serveur.

Autres serveurs de messagerie et BIND RPZ

Tout logiciel qui interroge une DNSBL par son nom, par exemple Exim avec la condition dnslists, fonctionne avec la même chaîne de zone. BIND RPZ n’est pas pris en charge : une Response Policy Zone se charge par transfert de zone, alors que la zone ne répond qu’à des requêtes individuelles. La documentation DNSBL décrit toutes les options, y compris les sous-zones par catégorie.

Combien coûte la zone et quelles sont les limites ?

7,90 € par mois ou 79 € par an, TVA incluse. Les offres PRO, Business et Enterprise la réservent comme abonnement distinct à côté de leur offre et la résilient dans le portail de facturation.
100 000 requêtes DNS par jour et par token, remise à zéro à 00:00 UTC. Au-delà de la limite, seul ce token renvoie 127.255.255.251 jusqu’à la remise à zéro.
Autant de tokens que nécessaire. Quota, limite de débit et rotation s’appliquent par token. Avec un token par serveur de messagerie, un relais très sollicité n’épuise pas le budget des autres.
Le cache du résolveur limite le volume. Une réponse positive reste en cache 30 minutes et une réponse propre 5 minutes, la plupart des requêtes répétées ne quittent donc jamais votre réseau.
Confidentialité. Les adresses interrogées ne sont enregistrées dans aucune base de données. Les serveurs DNS tiennent un court journal d’exploitation à rotation, sans contenu des requêtes, et un compteur quotidien de requêtes par token, et ils sont hébergés dans l’UE.

Pourquoi interroger une blocklist par DNS plutôt que par fichier ?

Le DNS convient à cette tâche. Votre résolveur met les réponses en cache, les vérifications répétées sont donc traitées localement. Il n’y a rien à importer ni à synchroniser, la zone suit les mêmes données que notre Community Threat Intelligence. Les adresses que vous bloquez sont celles qui s’acharnent sur les sites WordPress, comme le montre le rapport d’attaques du week-end.

Pour plusieurs relais de messagerie, le guide du cluster de serveurs montre comment la zone s’intègre au blocage par pare-feu sur chaque nœud.

Quelles normes la zone respecte-t-elle ?

La zone suit la RFC 5782 : octets inversés pour IPv4, nibbles inversés pour IPv6, le point de test 127.0.0.2 et la plage réservée 127.255.255.0/24 pour les codes d’erreur. La structure avec le token dans la requête correspond à la convention des DNSBL à clé, également utilisée par le Data Query Service de Spamhaus. Contrairement à la plupart des blocklists gratuites, limitées à IPv4, la zone couvre IPv4 et IPv6 de la même manière.

Questions fréquentes

Quelles offres peuvent réserver la DNS / RBL Zone ?

Les offres PRO, Business et Enterprise peuvent réserver la DNS / RBL Zone comme module récurrent pour 7,90 € par mois ou 79 € par an, TVA incluse. Elle n’est incluse dans aucune offre et fonctionne comme un abonnement distinct, sa résiliation ne touche donc pas votre offre. Les comptes Free et Contributor voient l’offre sans pouvoir y souscrire.

En quoi la zone diffère-t-elle du fichier de blacklist ?

La zone et le fichier contiennent la même Community Blacklist, seul le mode de transport change. Le fichier est un téléchargement que vous importez à intervalles réguliers, le plus souvent dans un pare-feu. La zone répond à chaque requête en direct par le DNS, un serveur de messagerie vérifie donc toujours la liste actuelle, sans import ni copie locale.

Un token peut-il servir plusieurs serveurs de messagerie ?

Un token peut servir plusieurs serveurs, mais les 100 000 requêtes quotidiennes sont alors partagées entre eux. Un token distinct par serveur de messagerie donne à chacun son propre quota et sa propre limite de débit, et un token divulgué peut être renouvelé sans toucher aux autres. Les tokens supplémentaires se réservent depuis le tableau de bord.

La zone fonctionne-t-elle avec BIND RPZ ?

La zone ne fonctionne pas comme Response Policy Zone pour BIND. RPZ a besoin de la zone complète par transfert, alors que la zone ReportedIP ne répond qu’à des requêtes individuelles avec un token valide. Utilisez-la plutôt via la prise en charge DNSBL de votre serveur de messagerie ou de votre filtre antispam, par exemple Postfix, Rspamd ou Exim.

Pour aller plus loin

DNS / RBL Zone : fonctionnalités, prix et réservation
documentation DNSBL : toutes les options en détail
DNSBL Blacklist Check : tester une adresse sur la zone et douze autres listes
Voir les tarifs

DNS / RBL Zone : interrogez notre blocklist communautaire depuis votre serveur mail