Accueil › Guides

IP d'hébergement mutualisé blacklistée : que pouvez-vous corriger ?

Publié le 2026-11-03 ／ Mis à jour le 2026-11-03 ／ Par Yuki Nakazawa

Lorsqu'une IP d'hébergement mutualisé est sur liste noire, il faut d'abord établir qui contrôle cette IP et sur quelle liste exactement elle figure, avec quel code de retour. Ensuite, corrigez ce qui relève de votre côté et transmettez à votre hébergeur les résultats de vérification pour qu'il puisse agir. Sur une IP partagée, la cause peut être un tout autre client, et pour certaines listes seul le propriétaire du réseau peut demander le retrait.

Une IP de VPS ou de cloud fraîchement attribuée peut aussi sembler « blacklistée » dès le premier jour, soit à cause de l'historique d'un utilisateur précédent, soit parce que la plage est listée comme ne devant pas envoyer d'e-mails directement. Quelle que soit la situation, la décision de retrait appartient toujours à l'opérateur de la liste.

Ce guide s'appuie sur les pages officielles de Spamhaus, AWS, Google Cloud et Microsoft Azure telles qu'elles se présentaient en novembre 2026. Les restrictions et les procédures changent : vérifiez la formulation actuelle avant d'agir. Pour une vue d'ensemble des rejets liés aux listes noires, consultez notre guide sur les e-mails bloqués par les listes noires.

Identifier d'abord l'IP et la liste

« Mon serveur est sur liste noire » peut recouvrir des situations très différentes, et la solution dépend des détails. Répondez à trois questions avant toute autre chose.

1. Quelle IP envoie réellement vos e-mails ? L'IP qui héberge votre site web n'est pas forcément celle qui distribue vos e-mails. Lisez le message de rejet, qui cite souvent l'IP refusée, et examinez les en-têtes Received d'un message que vous avez envoyé pour confirmer l'adresse sortante réelle.
2. Qui contrôle cette IP ? En hébergement mutualisé, c'est une adresse partagée avec d'autres clients. Sur un serveur dédié, un VPS ou une instance cloud, elle vous est attribuée, même si la plage qui l'entoure appartient toujours au fournisseur. Votre offre d'hébergement ou votre panneau de contrôle vous indiquera si vos e-mails sortants utilisent une adresse partagée.
3. Sur quelle liste figure-t-elle ? Les listes diffèrent par leur signification et par la personne qui peut régler le problème. Testez l'IP avec notre vérificateur de listes noires pour voir toutes les grandes listes à la fois, et notez les noms des listes et les codes de retour.

Une fois ces trois réponses obtenues, il devient généralement clair s'il s'agit d'un problème que vous pouvez régler vous-même, d'un problème que votre fournisseur doit régler, ou d'un signe qu'il vaut mieux changer complètement votre façon d'envoyer des e-mails.

Lire les résultats et les codes de retour

Spamhaus ZEN (zen.spamhaus.org) est la liste d'IP combinée de Spamhaus. Une IP listée renvoie une adresse de la plage 127.0.0.x, et le dernier nombre indique quelle liste sous-jacente a été déclenchée. Pour les IP d'hébergement mutualisé et de cloud, voici les codes à bien distinguer :

Une entrée PBL n'est pas une accusation. C'est une déclaration de politique selon laquelle les e-mails provenant de cette adresse doivent être soumis, avec authentification, à un serveur qui les relaie. Spamhaus encourage activement les FAI et les autres réseaux à lister toutes les plages qui ne doivent pas envoyer d'e-mails, ce qui inclut explicitement les serveurs web.

Les codes 127.255.255.252, 127.255.255.254 et 127.255.255.255 sont des erreurs, pas des inscriptions. La FAQ de Spamhaus sur l'utilisation des DNSBL avertit aussi qu'un résolveur public gratuit comme Google Public DNS (8.8.8.8) renverra dans la plupart des cas « non listé », ce qui explique que différents outils puissent donner des résultats divergents. En cas de doute, vérifiez le résultat sur l'outil de réputation de Spamhaus. Pour les procédures détaillées liste par liste, voir comment fonctionne le retrait Spamhaus.

Ce que vous pouvez corriger, et ce qui vous échappe

Votre marge de manœuvre dépend de ce que vous payez.

Écarter votre propre compte en hébergement mutualisé

• Boîtes mail compromises. Parcourez les journaux d'envoi et les dossiers d'éléments envoyés à la recherche de rafales d'e-mails que vous n'avez pas envoyés. Changez immédiatement les mots de passe si vous en trouvez.
• Site web piraté. Les installations de CMS et les extensions obsolètes sont un moyen courant pour les attaquants de déposer des scripts d'envoi d'e-mails.
• Formulaires détournés. Les formulaires de contact dont la réponse automatique permet au visiteur de choisir le destinataire ou le texte peuvent devenir de véritables canons à spam.
• Qualité des listes. Envoyer à des listes achetées ou à des adresses qui n'ont jamais donné leur accord est un moyen sûr de dégrader une IP partagée pour tout le monde, vous compris.

Si rien de tout cela ne donne de résultat, la cause probable est quelqu'un d'autre sur la même adresse. La FAQ de Spamhaus sur le port 25 le dit sans détour : sur les pools d'IP partagées, la plupart des personnes touchées par une inscription ne sont pas celles qui ont l'appareil infecté. Dans ce cas, votre rôle est de rassembler les éléments et de les transmettre au fournisseur.

Signaler le problème à votre hébergeur

Spamhaus indique que les demandes de retrait SBL doivent être envoyées par le FAI responsable de l'IP listée, et invite les utilisateurs ordinaires à s'adresser à leur FAI pour la remédiation. Pour un client d'hébergement mutualisé, ce FAI est votre hébergeur. Un ticket de support qui dit seulement « mes e-mails n'arrivent pas » a tendance à circuler d'un service à l'autre. Un ticket qui contient les éléments suivants avance généralement plus vite :

1. L'IP d'envoi, confirmée à partir des en-têtes ou du rejet.
2. La liste et le code de retour, par exemple zen.spamhaus.org qui renvoie 127.0.0.2.
3. Quand et avec quoi vous avez vérifié, y compris ce qu'affichait l'outil de réputation officiel si vous l'avez utilisé.
4. Le texte du rejet, en particulier la ligne où le serveur destinataire explique le refus.
5. Ce que vous avez déjà écarté, comme la réinitialisation des mots de passe et une analyse propre du site.
6. Ce que vous demandez : une enquête, une demande de retrait auprès de l'opérateur de la liste si nécessaire, ou le transfert des e-mails sortants de votre compte vers une autre IP.

Un court exemple :

Our outbound IP 192.0.2.10 returns 127.0.0.2 (SBL) on zen.spamhaus.org.
We confirmed this on the official Spamhaus checker at 10:00 UTC on 2026-11-03.
We have reset all mailbox passwords and found no unexpected files on our site.
Please investigate, request removal if appropriate, or advise whether our mail
can be sent from a different IP.

Votre fournisseur peut avoir besoin de temps, et même une fois qu'il a agi, c'est l'opérateur de la liste qui tranche. Si vous avez des e-mails qui ne peuvent pas attendre, envisagez en parallèle l'option du relais décrite plus bas. Si vous n'arrivez pas à déterminer où se situe le problème, vous pouvez aussi nous demander de l'aide.

Port 25 bloqué et reverse DNS sur VPS et cloud

Si vous exploitez votre propre serveur de messagerie sur un VPS ou une instance cloud, vous pouvez rencontrer un problème avant même qu'une liste noire n'entre en jeu : de nombreux fournisseurs restreignent le port TCP 25 sortant, celui qui sert à la distribution des e-mails de serveur à serveur. Voici ce qu'indique la documentation officielle d'AWS, Google Cloud et Microsoft Azure.

• Amazon EC2 (AWS). Par défaut, EC2 n'autorise le trafic sortant sur le port 25 que vers des adresses IPv4 privées ; le trafic vers les adresses IPv4 et IPv6 publiques est bloqué. Vous pouvez demander la levée de cette restriction. Pour les e-mails destinés à des tiers, AWS recommande de provisionner des adresses Elastic IP et de leur attribuer des enregistrements reverse DNS statiques, en précisant que cela peut aider à éviter que les e-mails soient signalés comme spam. Un enregistrement DNS direct (A) pointant vers l'Elastic IP doit exister avant la création de l'enregistrement inverse.
• Google Cloud (Compute Engine). Le trafic sortant vers le port TCP 25 d'adresses IP externes est bloqué par défaut. Le blocage est levé automatiquement lorsque Google Cloud estime qu'un projet présente un faible risque, et vous pouvez vérifier l'état d'un projet grâce à une bannière sur les pages des réseaux VPC ou des stratégies de pare-feu dans la console. SMTP sur TLS via les ports 465 et 587 n'est pas concerné par le blocage. Google recommande de recourir à un fournisseur de messagerie tiers de confiance, ce qui, selon lui, améliore la réputation de votre IP.
• Microsoft Azure (machines virtuelles). Le port 25 sortant est bloqué pour tous les types d'abonnement autres que le Contrat Entreprise standard et le Contrat client Microsoft pour les entreprises (MCA-E). Les abonnements Enterprise Dev/Test sont bloqués par défaut mais peuvent être exemptés via le diagnostic du portail. Les services de relais SMTP authentifié, généralement sur le port 587, ne sont restreints pour aucun type d'abonnement, et Microsoft les recommande. Même lorsque le port 25 est ouvert, Microsoft précise qu'il n'y a aucune garantie que les domaines externes acceptent les e-mails.

Un port 25 bloqué est un problème de distribution, pas de réputation, et ouvrir le port n'améliore en rien la réputation de votre IP. Si vous souhaitez obtenir une exclusion de la PBL de Spamhaus pour une adresse cloud ou VPS, l'IP doit être statique, faire réellement tourner un serveur de messagerie sortant, disposer d'un DNS direct et inverse corrects et vous être attribuée. Spamhaus exige aussi que le port 25 sortant soit fermé pour tous les autres appareils qui se trouvent derrière elle.

Passer à une IP dédiée ou à un relais SMTP authentifié

Si une IP partagée est sans cesse plombée par ses voisins, ou si votre fournisseur cloud refuse d'ouvrir le port 25, changer votre mode d'envoi est souvent plus pratique que de multiplier les demandes de retrait.

Un relais SMTP externe et authentifié

Au lieu que votre serveur distribue les e-mails directement au destinataire, il remet chaque message à un serveur d'envoi authentifié qui le distribue en votre nom. C'est exactement le modèle que décrit Spamhaus pour les plages listées dans la PBL : les e-mails sont censés être soumis avec authentification à un relais, qui peut être exploité par le FAI de connexion ou par un service de messagerie externe. La FAQ de Spamhaus sur le port 25 ajoute que les utilisateurs finaux devraient utiliser les ports 587 ou 465 avec SMTP AUTH. Azure et Google Cloud recommandent tous deux un relais authentifié ou des services de messagerie tiers, et Microsoft note que ces services servent notamment à maintenir la réputation d'IP dont dépend la distribution.

• Configurez le nom d'hôte du relais, le port (587 en général) et les identifiants selon la documentation de votre fournisseur.
• Mettez à jour l'enregistrement SPF de votre domaine pour y inclure le relais et configurez la signature DKIM correspondante. Voir comment configurer SPF, DKIM et DMARC.
• Vérifiez les limites d'envoi du relais avant d'y basculer des volumes importants.

Une IP dédiée

Une IP dédiée vous protège du comportement des autres clients, mais ce n'est pas une amélioration automatique de la réputation. Les recommandations de Spamhaus pour les expéditeurs énumèrent les facteurs qui influencent la réputation, notamment le fournisseur de services, le voisinage de l'IP, l'infrastructure derrière l'adresse et l'historique de l'IP.

• Les nouvelles adresses font l'objet d'un examen renforcé. Ces mêmes recommandations indiquent que les domaines HELO sans historique d'envoi sont soumis à un filtrage supplémentaire, et qu'une IP ou un nom d'hôte HELO modifié doit être traité comme nouveau et monté en charge progressivement. Les services de warm-up qui génèrent du trafic artificiel sont interdits.
• Configurez un reverse DNS explicite. Spamhaus avertit qu'un reverse DNS générique ou généré automatiquement sur une IP dédiée peut nuire à la réputation.
• Vérifiez la nouvelle IP avant de l'utiliser. Une adresse peut conserver une inscription héritée de son utilisateur précédent : vérifiez-la avant de commencer à envoyer.

Éviter que cela se reproduise

• Alignez nom d'hôte, HELO et reverse DNS. La FAQ CSS de Spamhaus indique que le DNS direct de votre IP doit correspondre à la valeur HELO définie sur votre serveur et que le HELO doit être un nom de domaine pleinement qualifié (FQDN). Elle cite des valeurs comme localhost.localdomain parmi les erreurs courantes.
• Réservez le port 25 aux serveurs de messagerie. Sur un VPS qui exécute aussi d'autres charges de travail, fermez le port 25 sortant pour tout ce qui n'est pas votre serveur de messagerie.
• Verrouillez sites et comptes. Mettez à jour votre CMS et vos extensions, cessez de réutiliser les mots de passe et activez l'authentification à deux facteurs lorsque c'est possible.
• Examinez les réglages d'e-mail sortant de votre panneau de contrôle. La FAQ CSS décrit une option de Plesk qui place le nom propre de chaque domaine dans le message d'accueil SMTP. Elle avertit que lorsque plusieurs domaines du serveur partagent une IP, les e-mails de certains ou de tous ces domaines peuvent être marqués comme spam par les destinataires qui utilisent la Spamhaus XBL, et que l'option doit être utilisée avec une extrême prudence. Vérifiez le réglage équivalent dans votre propre panneau et suivez les recommandations de votre fournisseur ou de l'éditeur du panneau.
• Surveillez régulièrement. Une IP partagée peut changer de statut à cause des actions de quelqu'un d'autre. Vérifiez-la périodiquement avec notre vérificateur de listes noires et prévenez rapidement votre fournisseur en cas de changement.

Même après un retrait, les destinataires appliquent leur propre filtrage : la distribution peut donc ne pas se rétablir immédiatement. Les inscriptions CSS expirent normalement environ trois jours après la dernière détection, mais l'IP est de nouveau listée si le problème est toujours détecté, et les auto-retraits sont limités.

Questions fréquentes

Pages officielles consultées

Les informations de cet article ont été vérifiées sur les pages officielles ci-dessous à la date de publication. Les politiques et le fonctionnement peuvent changer sans préavis : consultez les pages officielles avant de vous fier à une information importante.

• Spamhaus: Policy Blocklist (PBL)
• Spamhaus: Spamhaus Blocklist (SBL)
• Spamhaus FAQ: DNSBL Usage (return codes and public resolvers)
• Spamhaus FAQ: Combined Spam Sources (CSS)
• Spamhaus FAQ: Port 25 General Questions
• Spamhaus: Sender Guidelines
• AWS: Amazon EC2 service quotas (Restriction on email sent using port 25)
• AWS: Create a reverse DNS record for email on Amazon EC2
• Google Cloud: Sending email from an instance
• Google Cloud: VPC firewall rules (Blocked and limited traffic)
• Microsoft Learn: Troubleshoot outbound SMTP connectivity in Azure

Guides associés

Tous les guides →