Проверка IP в чёрных списках

Проверьте, находится ли ваш IP в спам-листах, ботнетах или базах вредоносного ПО

КАК ЭТО РАБОТАЕТ

Процесс проверки чёрных списков

ОПРЕДЕЛЕНИЕ IP

Определяем ваш IP-адрес

ЗАПРОС DNSBL

Запрашиваем 15+ чёрных списков

АНАЛИЗ РЕЗУЛЬТАТОВ

Анализируем статус в списках

ОТЧЁТ

Генерируем детальный отчёт

DNSBL: репутация для почты, не оценка приватности

"В чёрном списке" звучит сурово. На деле всё скучнее и конкретнее. DNSBL (DNS-based Blackhole List) это механизм почтовой безопасности из 90-х, переиспользованный в нулевых как универсальный сигнал репутации IP, и понятый в 20-х как индикатор приватности теми, кто не читал исходную документацию. Висеть в пяти DNSBL не значит что ваша приватность скомпрометирована. Обычно это значит что выходной IP вашего VPN, ваш мобильный оператор, или жилой пул вашего провайдера были превентивно занесены много лет назад в политическую базу, не имеющую отношения лично к вам. Технология простая. Сами списки расходятся в том, что должно значить "в списке". Большинство из 80+ блэклистов, которые опрашивает типичный blacklist check инструмент, заброшены, существуют только как зеркала, или научно бессмысленны. Пять списков которые имеют значение ведут себя совершенно по-разному. Дальше: как реально работает DNSBL-запрос, почему ваш IP скорее всего уже в трёх из них и это нормально, и что листинг на самом деле предсказывает.

Как работают DNSBL-запросы

DNSBL это DNS-зона. Формат запроса берётся из RFC 5782 (утверждён в 2010), но на практике конвенция идёт от MAPS Realtime Blackhole List 1997 года. Проверить 1.2.3.4 на Spamhaus Zen: разворачиваем октеты, добавляем домен списка, запрашиваем A-запись. Получается `4.3.2.1.zen.spamhaus.org`. NXDOMAIN значит чисто. A-запись `127.0.0.X` значит в списке, где X кодирует причину: 127.0.0.2 это SBL-список спамеров, 127.0.0.4 это XBL-эксплоит, 127.0.0.10 это политический PBL. Обычный DNS, без специального канала. У такой схемы есть последствия. Spamhaus держит самую загруженную DNS-инфраструктуру в почте по объёму запросов, на пике это больше 100 миллиардов запросов в сутки. Стоимость поиска лежит на запрашивающем, не на операторе списка. Публичные DNS-резолверы (Google, Cloudflare) ограничивают DNSBL-запросы потому что операторы заметили: их резолверы используют для массового бесплатного получения reputation-данных. Та же ситуация что у владельца буфета, который видит как пара посетителей наполняет контейнеры. Продакшен почтовые серверы держат свой DNS или платят за фид. Формат означает что false-positive почти не возможны на уровне протокола. NXDOMAIN однозначен. Что может случиться: оператор перестаёт отвечать на запросы, список фактически уходит в офлайн, запросы падают по таймауту. С SORBS такое произошло в 2024 году, когда материнская компания решила что список нерентабелен. Для Tor-листов протокол тот же, но семантика другая. Официальный список Tor-выходов публикуется torproject.org как `BulkExitList` и переиздаётся в формате DNSBL-зон. Listed значит "этот IP прямо сейчас Tor exit-нода". Не злоупотребление. Просто факт.

Пять реальных списков, остальное шум

Типичный blacklist-check инструмент рекламирует 80+ списков. Примерно пять из них реально влияют на доставку почты в 2026. **Spamhaus Zen.** Совмещённый фид: SBL (вручную проверенные спам-источники), XBL (автоматическая детекция скомпрометированных хостов и эксплоит-трафика), CSS (snowshoe-спам инфраструктура), PBL (политический список, IP которые не должны отправлять почту напрямую). По оценкам, его использует около 80% почтовых серверов в мире. Если вы в Zen, ваша почта отскакивает почти везде. **SpamCop.** Принадлежит Cisco, основан на репортах пользователей. Авторазлистывание через 24 часа после прекращения репортов. Считается справедливым, иногда ловит false-positive из-за joe-job (когда спамер использует ваш домен в From:). **Barracuda Reputation Block List.** Сводный скоринг по глобальной фильтр-сети Barracuda, которая защищает значимый кусок корпоративной почты. Запрос бесплатный, внутренняя кухня закрыта. Форма запроса на удаление работает, обычно быстро. **Composite Blocking List.** Детектит ботов и трояно-инфицированные хосты по паттернам трафика, не по репортам пользователей. Сейчас часть Spamhaus XBL, исторически отслеживался отдельно. Авторазлистывание после периода чистого трафика. **UCEPROTECT.** Три уровня. Level 1 заносит подтверждённые плохие источники. Level 2 заносит IP-диапазоны. Level 3 заносит целые автономные системы если хотя бы один IP внутри отправил спам. Level 3 отвергается большинством профессиональных почтовых серверов потому что заносит гиперскейлеров (AWS, Azure) принципиально. UCEPROTECT много лет держал платный сервис экспресс-удаления, что в reputation-мире считается дисквалифицирующим. Его всё равно широко опрашивают в сторонних check-инструментах потому что счёт выглядит впечатляюще. Остальные ~75 списков в типичной проверке это какая-то комбинация: региональные (SURBL, локальные ISP-списки), заброшенные (домен оператора истёк, но кеши всё ещё отвечают), tarbaby-списки (существуют чтобы накручивать числа), или реплики тянущие из одного из пяти выше. Когда check-инструмент пишет "ваш IP в 3 из 87 списков", вопрос в том, в каких именно 3. Три из {Spamhaus, SpamCop, Barracuda} это плохо. Три из {UCEPROTECT-3, dnsbl.invaluement.com, list.dsbl.org} ближе к шуму.

Почему вы скорее всего уже в списке, и это нормально

Несколько категорий IP попадают в какой-нибудь список почти по определению. IP мобильных операторов: каждый крупный оператор гонит абонентов через CGNAT-пулы, где тысячи устройств делят один выходной IP. Если 0.01% этих устройств заражены в любой момент, IP выглядит ботнетом. Spamhaus PBL покрывает большинство операторских диапазонов как политику. Листинг не про ваш личный трафик. Динамические диапазоны жилого ISP идут по той же логике. Comcast, Verizon Fios, retail-пулы Deutsche Telekom. Все на PBL по их же собственному запросу, потому что потребительские IP вообще не должны отправлять SMTP напрямую. Если проверите свой домашний IP, ожидайте попадание в PBL. Для веб-сёрфинга, файл-трансфера, игр, видеозвонков и всего что не исходящая почта на 25 порту это ничего не значит. С VPN-выходами та же история. Большинство популярных коммерческих VPN держат выходные IP, которые в какой-то момент использовались для спама. NordVPN, Surfshark, Mullvad всплывали на UCEPROTECT и SpamCop. Провайдер VPN знает. Маршрутизирует SMTP через отдельный egress чтобы не получать жалобы на мейл-баунсы. Хостинг-провайдеры (AWS, Hetzner, OVH, Digital Ocean): их целые диапазоны под особым наблюдением. Новые IP свежей VPS проходят период "разогрева" прежде чем почта начинает попадать во входящие. Reputation-фиды типа PassiveTotal знают какие подсети какому провайдеру принадлежат, и относятся к любому неизвестному отправителю с хостинговых диапазонов с подозрением. Что в сумме: попадание в "blacklist" на privacy-тесте обычно значит что ваш IP принадлежит к категории, которая попадает в список целиком, не потому что вы лично что-то сделали. Реально privacy-релевантные находки идут со слоя IP intelligence (threat score у Cloudflare, risk score у MaxMind, IPQS), не с DNSBL. Считать DNSBL сигналом приватности это как читать кредитный отчёт чтобы узнать женат ли человек. Данные там есть. Они о другом. Сканер blacklist в WHOX опрашивает пять реальных DNSBL, основные Tor exit-фиды и известные прокси/VPN-диапазоны, разделённые по категориям. Попадание в политические списки почти ничего не значит. Попадание в Spamhaus SBL или XBL значит конкретное. Вывод покажет, что именно.

ЧАСТО ЗАДАВАЕМЫЕ ВОПРОСЫ

Почему мой IP в чёрном списке?

Распространённые причины: ваш IP использовался для рассылки спама (возможно из-за вредоносного ПО), ваш IP входит в общий хостинг или VPN-сервис с другими злоупотребляющими пользователями, или диапазон IP вашего провайдера имеет плохую репутацию. Динамические IP особенно подвержены попаданию в списки.

Как удалить мой IP из чёрного списка?

У каждого списка свой процесс удаления. Большинство имеют форму самостоятельного удаления на своём сайте. Сначала устраните основную проблему (удалите вредоносное ПО, защитите сеть), затем запросите удаление. Некоторые списки автоматически исключают IP после периода отсутствия злоупотреблений.

Значит ли попадание в списки Tor, что меня заблокируют?

Списки выходных узлов Tor носят информационный, а не карательный характер. Они просто указывают, что ваш IP — выходной узел Tor. Это ожидаемо, если вы запускаете Tor-реле, и не обязательно означает, что вас заблокируют в сервисах.

Все наши тесты

Запускайте весь набор WHOX из одного блока: проверки утечек, fingerprint-пробы, сетевую диагностику, репутацию IP и тесты приватности.