E-Posta Sunucusu IP'si Kara Listeye Girerse Ne Yapılmalı?

Geri dönen postada IP'nizin kara listede olduğu yazıyorsa önce ret satırından hangi listenin, hangi IP'yi engellediğini okuyun ve bunu listenin kendi aracıyla doğrulayın. Spamhaus için bu araç check.spamhaus.org adresindeki IP ve alan adı denetleyicisidir. Kaldırma talebinden önce kaynağı bulup durdurun: ele geçirilmiş bir posta hesabı, sitedeki zararlı bir betik ya da kötüye kullanılan bir form, açık röle veya izinsiz toplanmış bir liste. Paylaşımlı hostingde IP sağlayıcınızındır ve kaldırma talebini o yürütür. Kendi VPS ya da VDS'inizde bu iş sizdedir. Spamhaus listelerinden çıkmak ücretsizdir, ücret karşılığı kaldırma teklifleri dolandırıcılıktır.

Ret satırını okumak

Paniğe kapılıp çevrim içi bir araçta IP'nizi aratmadan önce elinizdeki geri dönen postayı (bounce) dikkatle okuyun. Alıcı sunucu, reddin gerekçesini çoğu zaman tek satırda verir. Postfix kullanan bir alıcının Spamhaus kaynaklı reddi tipik olarak şöyle görünür:

554 5.7.1 Service unavailable; Client host [203.0.113.25]
    blocked using zen.spamhaus.org

Microsoft 365 kullanan bir alıcıya gönderdiğinizde ise Microsoft'un kendi listesinden gelen ret şöyle olur:

550 5.7.606-649 Access denied, banned sending IP [203.0.113.25]

Bu satırlardan üç bilgi çıkar. Engellenen IP hangisi? Kendi posta sunucunuzun IP'si mi, yoksa ofisinizin internet bağlantısının IP'si mi? Hangi liste? Liste IP mi tutuyor, alan adı mı? Son soru sık atlanır. dbl.spamhaus.org gibi alan adı listeleri IP'yi değil, iletinin içindeki ya da gönderen adresindeki alan adını işaretler. Siteniz ele geçirilip kimlik avı sayfası barındırmaya başladıysa sorunun kaynağı sitenizdir.

Son satırdaki durum, yani tek bir alıcının sorun çıkarması, çoğu zaman kara liste değil, kimlik doğrulama ya da içerik meselesidir. Onun teşhisini e-postaların spam'a düşme nedenleri yazısında anlattık.

Listede olduğunuzu doğrulayın

Spamhaus için doğru adres Spamhaus'un IP ve alan adı denetleyicisidir. IP'yi ya da alan adını yazarsınız, araç hangi listede olduğunu, nedenini ve sizin için hangi kaldırma yolunun geçerli olduğunu gösterir. Komut satırından da bakabilirsiniz. IP'nin sekizlilerini ters çevirip sonuna zen.spamhaus.org eklersiniz:

dig +short 25.113.0.203.zen.spamhaus.org

Yanıt yoksa (NXDOMAIN) IP listede değildir. 127.0.0.2 SBL, 127.0.0.3 CSS, 127.0.0.4 XBL, 127.0.0.10 ve 127.0.0.11 ise PBL anlamına gelir. Burada bir tuzak var. Sorguyu Google ya da Cloudflare gibi herkese açık bir DNS çözümleyicisi üzerinden yaparsanız Spamhaus yanıt vermez ve 127.255.255.254 döner. 127.255.255. ile başlayan her yanıt sorgunun başarısız olduğunu gösterir, listelendiğinizi değil. Emin olamıyorsanız web denetleyicisine güvenin.

Onlarca listeyi aynı anda tarayan çoklu RBL araçları da var (MxToolbox, MultiRBL gibi). Genel bir fotoğraf için işe yararlar. Ama listelerin bir kısmı az kullanılır, bir kısmı ise artık bakımsızdır. Önceliği her zaman ret satırında adı geçen listeye ve büyük alıcıların kullandığı listelere verin. Hiçbir alıcınızın kullanmadığı bir listede görünmek için saatlerinizi harcamayın.

Kimin işi? Paylaşımlı hosting ile kendi sunucunuz

Bu soru, sonraki her adımı belirler. Spamhaus'un kendi SSS sayfası, kaldırma talebinin IP'nin kayıtlı sahibi tarafından yapılması gerektiğini, SBL kayıtlarında ise talebin IP'den sorumlu internet servis sağlayıcısından gelmesi gerektiğini yazar.

Paylaşımlı hostingde gönderim yaptığınız IP, sunucudaki diğer hesaplarla ortak kullanılır ve sağlayıcınıza aittir. Kuyruğu göremezsiniz, listeye başvuramazsınız. Sizin işiniz kendi hesabınızın kaynak olup olmadığını bulmaktır: posta kutularınızdan birinin parolası çalınmış mı, siteniz posta gönderen bir betik barındırıyor mu? Sorun sizde değilse bile ret metnini destek ekibine iletmek, sunucudaki asıl kaynağın bulunmasını hızlandırır.

Kendi VPS ya da VDS'inizde tablo tersine döner. Root erişimi sizdeyse posta sunucusunun yapılandırması, kuyruğu ve itibarı da sizin sorumluluğunuzdadır. Netx'in VDS sanal sunucularında da durum böyle: root yetkisi müşteridedir. IP bloğunun sahibi yine sağlayıcıdır, bu yüzden PTR kaydı ve bazı listelerdeki kaldırma talepleri için sağlayıcınızla birlikte çalışmanız gerekir. Bu sorumluluğu üstlenmek istemiyorsanız sunucu yönetimi hizmeti bir seçenek. Kapsamı teklif aşamasında yazılı olarak belirlenir.

Önce kaynağı bulun

Şunu baştan söyleyelim: kaynağı durdurmadan yapılan kaldırma talebi, birkaç saat sonra yeniden listelenmekle biter. Spamhaus da sorunun giderildiğinden emin olmadan talep göndermemeyi açıkça ister. Kaynak genellikle dört yerden birindedir.

Ele geçirilmiş posta hesabı

Akla ilk gelmesi gereken senaryo bu. Bir kullanıcının parolası kimlik avıyla ya da başka bir sitedeki sızıntıyla ele geçer, saldırgan kimliği doğrulanmış SMTP ile sunucunuzdan binlerce posta gönderir. cPanel sunucularında Exim günlüğünde hangi hesabın kimlik doğrulayarak kaç posta gönderdiğini şöyle sayarsınız:

grep -o 'A=dovecot_[a-z]*:[^ ]*' /var/log/exim_mainlog \
  | sort | uniq -c | sort -rn | head

Postfix kullanan sunucularda, Plesk de bunlara dahil, aynı bilgi sasl_username alanındadır:

grep -o 'sasl_username=[^ ,]*' /var/log/maillog \
  | sort | uniq -c | sort -rn | head

Listenin başında normalde az posta gönderen bir hesap görüyorsanız kaynağı büyük olasılıkla buldunuz. Parolayı hemen değiştirin, oturumları sonlandırın ve hesaptaki yönlendirme kurallarını kontrol edin. Hesap tarafındaki diğer adımları kurumsal e-posta güvenliğindeki ilk 30 dakika planında sıraladık. Parola değişikliğinden sonra kullanıcının telefonu ve diğer cihazları eski parolayla bağlanmaya çalışır ve SMTP 535 kimlik doğrulama hatası alır. Bu beklenen bir durum, cihazları tek tek güncelleyin.

Siteden çıkan spam

Kimlik doğrulama satırlarında olağandışı bir şey yoksa postalar büyük olasılıkla sitenin içinden, PHP'nin posta işleviyle çıkıyordur. cPanel'deki Exim günlüğü bu tür gönderimlerde betiğin çalıştığı dizini cwd= alanına yazar:

grep 'cwd=/home' /var/log/exim_mainlog \
  | grep -o 'cwd=[^ ]*' | sort | uniq -c | sort -rn | head

Beklenmedik bir eklenti klasörü ya da yükleme dizini en üstte çıkıyorsa siteye zararlı bir betik yerleştirilmiş olabilir. PHP'de mail.add_x_header ayarı açıksa her postaya, gönderen betiğin kullanıcı kimliğini ve dosya adını taşıyan bir X-PHP-Originating-Script başlığı eklenir. Kuyruktaki bir postanın başlığında bu satırı bulmak, kaynağı dosya adına kadar daraltır. İletişim formları da kötüye kullanılabilir: alıcı adresini formdan alan ya da CAPTCHA'sı olmayan bir form, sizin sunucunuzu başkalarının posta aracına çevirir. WordPress sitelerde temizlik ve sertleştirme adımlarını WordPress güvenliği yazısında ele aldık.

Açık röle

Kendi kurduğunuz bir posta sunucusunda yapılandırma hatası, kimlik doğrulamadan herkesin her yere posta göndermesine izin verebilir. Kendi sunucunuzu test etmek için dışarıdaki bir ağdan, kimlik doğrulamadan ve sizin barındırmadığınız bir alıcı adresiyle deneme yapın:

swaks --server mail.ornek.com.tr --from deneme@ornek.com \
  --to ad@ornek.com -q RCPT

-q RCPT alıcı komutundan sonra bağlantıyı keser, posta gönderilmez. Sunucunuz bu aşamada 5xx bir yanıtla reddetmeli. Postfix bunu genellikle Relay access denied diye yazar. 250 görüyorsanız sunucunuz açık röledir ve önce bunu kapatmalısınız. Bu testi yalnızca yönettiğiniz sunucuda yapın.

Liste kalitesi ve yönlendirilen spam

İki sinsi kaynak daha var. Satın alınmış ya da yıllar önce toplanmış bir listeye yapılan gönderim, tuzak adreslere (spam trap) çarpar ve teknik olarak her şey kusursuzken bile listelenmenize yol açar. Düzenli bülten gönderiyorsanız bu işi liste temizliğini de üstlenen ayrı bir gönderim servisine verin. Diğeri yönlendirmelerdir. Sunucunuzdaki bir adres gelen her şeyi dışarıdaki bir kutuya yönlendiriyorsa, gelen spam de sizin IP'nizden çıkıyormuş gibi görünür. Spam filtresinden geçmemiş postayı dışarı yönlendirmeyin.

Kuyruğu inceleyin ve gönderimi durdurun

Kaynağı kapattınız. Ama kuyrukta binlerce spam bekliyorsa sunucu onları göndermeye devam eder. Kuyruğu silmeden önce bir uyarı: kuyrukta meşru postalar da vardır ve silinen ileti geri gelmez. Önce bekletmeye alın, inceleyin, sonra yalnızca spam'i silin.

Exim'de kuyruk sayısını, alan adına göre özetini ve belirli bir göndericiye ait iletileri şöyle görürsünüz:

exim -bpc
exim -bp | exiqsumm | head -20
exiqgrep -f 'satis@ornek\.com\.tr' -c
exim -Mvh <ileti-kimliği>

exiqgrep -f gönderici adresini düzenli ifadeyle eşler, -c yalnızca sayıyı verir. exim -Mvh tek bir iletinin başlıklarını gösterir, örneklerden birkaçına bakıp gerçekten spam olduğundan emin olun. Emin olduktan sonra o göndericinin iletilerini silmek için exiqgrep -i -f 'satis@ornek\.com\.tr' | xargs exim -Mrm kullanılır. Bu komut geri alınamaz.

Postfix'te kuyruk listesi ve tek bir iletinin başlıkları:

postqueue -p | tail -1
postqueue -p | less
postcat -hq <kuyruk-kimliği>

İlk komut kuyruktaki toplam ileti sayısını ve boyutu verir. Belirli bir göndericinin iletilerini silmeden önce bekletme kuyruğuna (hold) almak için kuyruk kimliklerini postsuper -h - komutuna standart girdiden verebilirsiniz. Bekletilen iletiler teslim edilmez, inceledikten sonra postsuper -d ile silinir ya da postsuper -H ile serbest bırakılır.

Listeden çıkmak: her listenin kendi yolu

Kaynak kapandı, kuyruk temizlendi. Şimdi kaldırma talebi anlamlı. Spamhaus'ta yol, denetleyicinin size gösterdiği talimattır ve listeye göre değişir. SBL kayıtlarında kaldırma talebini IP'den sorumlu servis sağlayıcı yapar. Spamhaus, SBL kaydı duruyorken diğer listelerdeki kayıtların ele alınamayacağını da not eder. PBL ise bir spam listesi değil, doğrudan posta göndermemesi gereken son kullanıcı IP aralıklarının listesidir. Buradan çıkma yalnızca ileri ve ters DNS kayıtları düzgün, statik ve giden posta sunucusu çalıştıran tek bir IP için mümkündür. Bu tür bireysel istisnalar bir yıl sonra sona erer ve IP'den spam görülürse hemen geri alınır. E-postayla yapılan talepler işleme alınmaz, her şey denetleyici ve onun açtığı talep sistemi üzerinden yürür.

Microsoft tarafında 5.7.606–5.7.649 aralığındaki retler için Microsoft'un IP kaldırma portalı belgesinde anlatılan yol izlenir: sender.office.com adresindeki portala reddi alan e-posta adresi ve ret metnindeki IP girilir, gelen onay postasındaki bağlantıdan dönülüp kaldırma onaylanır. Her ziyarette yalnızca bir adres ve bir IP girilebilir. Microsoft, kısıtlamanın kalkmasının 24 saat ya da daha uzun sürebileceğini yazar. 5.7.511 kodunda portal çalışmaz, ret metnindeki adrese başvurmak gerekir. Outlook.com'un bireysel hizmeti için ayrı bir form vardır.

Para konusu net. Spamhaus, listelerinden çıkarmanın hiçbir zaman ücretli olmadığını ve ücret karşılığı kaldırma teklifinin dolandırıcılık olduğunu SBL sıkça sorulan sorular sayfasında açıkça yazar. "Garantili ve hızlı kara liste temizliği" satan aracılara para ödemeyin. Kaynağı kapatılmamış bir IP'yi kimse kalıcı olarak temizleyemez. Bazı küçük listeler kendi bünyesinde ücretli hızlı çıkarma sunabilir. Ödemeyi düşünmeden önce o listenin alıcılarınız tarafından gerçekten kullanılıp kullanılmadığını sorun.

PTR, HELO ve kimlik doğrulama: itibarın zemini

Listeden çıktınız ama postalar hâlâ şüpheli muamele görüyorsa sunucunun kimliğine bakın. Alıcılar, bağlanan IP'nin ters DNS (PTR) kaydına, bu adın yeniden aynı IP'ye çözülüp çözülmediğine ve sunucunun SMTP oturumunda kendini tanıttığı HELO adına bakar:

dig +short -x 203.0.113.25
dig +short A mail.ornek.com.tr

İlk komut mail.ornek.com.tr. gibi anlamlı bir ad, ikincisi de aynı IP'yi döndürmeli. PTR kaydını IP bloğunun sahibi tanımlar, yani sunucu sağlayıcınız. Panelinizden ayarlanamıyorsa sağlayıcınızdan isteyin. HELO adını Postfix'te postconf myhostname, Exim'de exim -bP primary_hostname ile görebilirsiniz. Bu ad PTR ile uyumlu, tam nitelikli bir alan adı olmalı.

SPF, DKIM ve DMARC kayıtlarının eksiksiz olması da listeden çıktıktan sonraki toparlanmayı hızlandırır. SPF kaydınızda 10 DNS sorgusu sınırını aşan bir permerror varsa önce onu düzeltin. Olaydan sonra alan adınız adına başka kimlerin posta gönderdiğini görmek için DMARC toplu raporlarını okumak iyi bir alışkanlıktır.

İtibarı izlemek: SNDS ve Postmaster Tools

Kara listeler buzdağının görünen kısmı. Büyük posta sağlayıcıları herkese açık bir listede görünmeseniz de kendi iç itibar sistemlerine göre postanızı erteleyebilir ya da spam'e atabilir. İki ücretsiz araç bu görünmeyen tarafa pencere açar. Microsoft'un SNDS (Smart Network Data Services) hizmeti, IP'lerin sahibi olarak yetki aldığınız adresler için Outlook.com tarafındaki verileri gösterir. Erişim, sahiplik doğrulamasından sonra verilir ve belirli aralıklarla yenilenmesi gerekir. Google Postmaster Tools ise alan adınızı DNS kaydıyla doğruladıktan sonra kişisel Gmail hesaplarına giden postalarınız için spam oranı, kimlik doğrulama ve teslim hatası verilerini sunar. Günlük hacim düşükse veri görünmeyebilir. Arayüz yakın zamanda yenilendiği için hangi panoların göründüğünü Google'ın güncel yardım sayfasından kontrol edin.

Bir daha yaşamamak için

Varsayımsal senaryo: VDS'inizde günde birkaç yüz posta gönderen bir posta sunucusu çalışıyor. Bir gece bir kullanıcının parolası çalınıyor ve sabaha kadar 40.000 posta kuyruğa giriyor. Bunu ancak sabah müşteriler aradığında fark ediyorsunuz. Önleme, bu gecenin sabaha kadar sürmemesini sağlamakla ilgili:

• Hesap ya da alan adı başına saatlik gönderim sınırı koyun. Eşiği normal hacminizin birkaç katı seçin, meşru gönderimi boğmasın.
• Kuyruktaki ileti sayısını düzenli ölçüp eşik aşılınca size haber veren bir izleme kurun.
• Posta parolalarını güçlü ve benzersiz tutun, destekleniyorsa panel girişinde iki adımlı doğrulama açın.
• Site formlarına CAPTCHA ekleyin ve alıcı adresini hiçbir zaman formdan almayın.
• Toplu gönderimi ayrı bir gönderim servisine taşıyın.

Paylaşımlı hostingde ilk iki madde sağlayıcının işidir. Paketinizdeki gönderim sınırını paket ayrıntısında kontrol edin ya da destek ekibimize sorun. Sizin elinizdeki üç madde ise parolalar, formlar ve toplu gönderimdir.

Düzeldiğini nasıl anlarsınız?

Denetleyici IP'nizi artık listelemiyor, dig sorgusu yanıt döndürmüyor (NXDOMAIN) ve kuyruk normal seviyesinde sabit kalıyorsa ilk aşama tamam. Ardından Gmail, Outlook.com ve bir kurumsal adrese test postası gönderin, her birinin başlığında kimlik doğrulama sonuçlarının geçtiğini görün. Listeler ve sağlayıcıların önbellekleri farklı hızlarda güncellenir. Bir iki gün boyunca bazı alıcılarda ret görmeye devam edebilirsiniz.

Destek ekibine yazmanız gereken durumlar: paylaşımlı hostingde ret almaya devam ediyorsanız, IP'nin PTR kaydının değişmesi gerekiyorsa ya da SBL kaydı için sağlayıcı talebi gerekiyorsa. Talebe ret metninin tamamını, IP'yi, retlerin başladığı zamanı ve hangi hesaptan gönderim yaptığınızı ekleyin. Netx müşterileri talebi Netx müşteri panelinden açabilir.