Accueil › Guides

Qu'est-ce qu'une DNSBL (RBL) ? Le fonctionnement des listes noires DNS

Publié le 2026-11-03 ／ Mis à jour le 2026-11-03 ／ Par Yuki Nakazawa

Une DNSBL (DNS-based blacklist, aussi appelée liste de blocage DNS ou RBL) est une liste d'adresses IP ou de noms de domaine que son opérateur considère comme sources de spam ou d'abus, publiée de façon que chacun puisse la consulter par une simple requête DNS. Les serveurs de messagerie recherchent chaque expéditeur qui se connecte dans une ou plusieurs DNSBL, puis rejettent le message, l'acceptent ou intègrent le résultat à un score de spam.

Ce guide explique le fonctionnement d'une requête DNSBL (adresses IP inversées, enregistrements A et TXT, format nibble pour IPv6), la différence entre listes basées sur les IP et listes basées sur les domaines, la manière dont les destinataires utilisent réellement les réponses, ce qui distingue listes noires et listes blanches, les raisons pour lesquelles des adresses sont listées, et la place d'une inscription lorsque vos e-mails ne sont pas distribués. Il s'appuie sur la RFC 5782 et sur la documentation officielle des principaux opérateurs de listes telle qu'elle se présentait en novembre 2026.

Ce que signifient DNSBL et RBL

La RFC 5782, « DNS Blacklists and Whitelists », emploie le terme générique DNSxL pour désigner une zone DNS dont les enregistrements identifient des hôtes figurant sur une liste. Une liste noire est une DNSBL ; une liste blanche est une DNSWL. Les deux sont construites de la même manière. Seule diffère la signification que le destinataire attribue à une correspondance.

RBL signifie Real-time Blackhole List. D'après la RFC, la première liste de ce type a été créée en 1997 et s'est fait connaître sous ce nom. À strictement parler, RBL désigne cette liste d'origine et celle qui lui a succédé, et la RFC note que le terme est une marque de service déposée aux États-Unis. Dans l'usage courant, toutefois, « RBL » et « DNSBL » sont employés de façon quasi interchangeable : « qu'est-ce qu'une RBL » et « qu'est-ce qu'une DNSBL » reviennent donc pratiquement à la même question.

La RFC 5782 est un document informatif (Informational), pas une norme Internet. Elle a été rédigée par l'IRTF Anti-Spam Research Group et représente le consensus de ce groupe sur les pratiques qui améliorent l'interopérabilité entre listes noires et listes blanches DNS. Elle ne décrit ni ne recommande de politique d'ajout ou de retrait d'adresses ; la RFC prévoit que ce sujet soit traité dans un document distinct. En pratique, chaque opérateur fixe sa propre politique d'inscription et de retrait.

Comment fonctionne une requête DNSBL

Une requête DNSBL est une requête DNS ordinaire : une vérification manuelle ne nécessite donc aucun logiciel particulier, et tout ce qui sait résoudre un nom peut interroger une liste. Les opérateurs de listes peuvent toutefois fixer des conditions d'utilisation. Les serveurs publics de Spamhaus, par exemple, ne sont gratuits que pour un usage non commercial à faible volume, et les requêtes passant par des résolveurs publics n'obtiennent pas de réponse fiable (voir plus bas).

IPv4 : inverser l'adresse et ajouter la zone

Pour une adresse IPv4, écrivez les quatre octets dans l'ordre inverse et ajoutez le nom de zone de la liste. Cette structure est empruntée au reverse DNS. Dans l'exemple de la RFC 5782, on vérifie 192.0.2.99 sur une liste située à bad.example.com en interrogeant :

99.2.0.192.bad.example.com

L'enregistrement A dit « listé », le TXT dit pourquoi

• Enregistrement A. Chaque entrée listée doit avoir un enregistrement A. Par convention, sa valeur est 127.0.0.2. Cette valeur est un signal, pas une adresse, et ne doit pas être utilisée comme telle ; les listes emploient la plage 127.0.0.0/8 pour qu'une valeur utilisée par erreur ne génère pas de trafic réseau indésirable.
• Non listé. Si l'adresse ne figure pas sur la liste, il n'existe aucun enregistrement pour elle, et la requête renvoie normalement NXDOMAIN.
• Enregistrement TXT. Une DNSBL devrait publier un enregistrement TXT décrivant le motif de l'inscription. Les clients doivent vérifier l'enregistrement A et peuvent aussi vérifier l'enregistrement TXT.
• Des valeurs différentes selon les sous-listes. Une liste combinée peut renvoyer différentes valeurs 127.0.0.x pour indiquer quelle sous-liste a été déclenchée, ou plusieurs enregistrements A à la fois. La signification est propre à chaque liste : lisez toujours la documentation de l'opérateur. Notre guide des codes de réponse DNSBL présente les plus courants.

Depuis un terminal (la zone est ici fictive) :

dig +short 99.2.0.192.bad.example.com A
dig +short 99.2.0.192.bad.example.com TXT

Entrées de test

La RFC 5782 exige que les listes IPv4 contiennent une entrée pour 127.0.0.2 et n'en contiennent pas pour 127.0.0.1. Les clients sont censés vérifier ces entrées de test avant de faire confiance à une zone, et ne pas utiliser une zone qui y répond de façon incorrecte.

IPv6 : le format nibble

Une adresse IPv6 est écrite en entier sur 32 chiffres hexadécimaux, puis inversée chiffre par chiffre (un nibble à la fois), avec un point entre chaque chiffre, et suivie de la zone de la liste. Voici l'exemple de la RFC, pour 2001:db8:1:2:3:4:567:89ab sur ugly.example.com :

b.a.9.8.7.6.5.0.4.0.0.0.3.0.0.0.2.0.0.0.1.0.0.0.8.b.d.0.1.0.0.2.ugly.example.com

Les listes IPv6 doivent contenir l'entrée de test ::FFFF:7F00:2 (127.0.0.2 sous forme d'adresse IPv4 mappée) et ne doivent pas contenir ::FFFF:7F00:1. Toutes les listes ne prennent pas en charge IPv6 : consultez la documentation de l'opérateur avant de vous fier à une requête IPv6.

Listes basées sur les IP et sur les domaines

Les listes se répartissent en deux grandes familles, selon ce qu'elles contiennent.

Dans l'exemple de domaine de la RFC 5782, invalid.edu est vérifié sur doms.example.net en interrogeant invalid.edu.doms.example.net. Les listes basées sur les domaines sont parfois appelées RHSBL (right-hand-side blacklist). Leurs entrées de test utilisent des noms réservés : la liste doit contenir TEST et ne doit pas contenir INVALID.

La Spamhaus Domain Blocklist (dbl.spamhaus.org) en est un exemple très utilisé, et sa documentation apporte quelques précisions pratiques :

• Elle ne contient que des domaines. L'interroger avec une adresse IP renvoie toujours un code « listé » : elle ne doit donc pas être configurée comme une DNSBL d'IP générique. Spamhaus recommande ZEN (zen.spamhaus.org) pour les requêtes sur les IP.
• Vous pouvez interroger un nom d'hôte complet ; il y a correspondance si le domaine de l'hôte est listé.
• Pendant la session SMTP, elle est vérifiée sur la chaîne HELO et le domaine MAIL FROM. Une fois le message accepté, elle est vérifiée sur les domaines présents dans les en-têtes et le corps, comme les URL et les adresses de contact.

Conséquence pratique : une IP d'envoi propre ne garantit pas la distribution. Un domaine d'envoi listé, ou un domaine listé figurant dans un lien du message, peut tout de même provoquer un blocage.

Comment les serveurs destinataires utilisent les DNSBL

La RFC 5782 décrit la configuration type. Un serveur de messagerie vérifie un ensemble configuré de DNSxL à chaque connexion SMTP entrante. Une correspondance sur une liste noire le conduit à rejeter la connexion ; une correspondance sur une liste blanche, à l'accepter. Autre possibilité : les résultats alimentent une fonction de score qui les pondère avec d'autres signaux. Les filtres qui s'exécutent après la réception du message extraient généralement les IP à tester des champs d'en-tête Received ou des URI du corps.

Rejeter ou attribuer un score ?

Ce choix appartient au destinataire. La FAQ de SpamCop qualifie sa propre liste d'outil agressif et recommande d'étiqueter ou de détourner le spam présumé, ou d'utiliser la liste comme un facteur parmi d'autres dans un score, plutôt que de rejeter les e-mails purement et simplement. Elle présente les réglages de rejet comme une information destinée aux administrateurs qui ne peuvent pas recourir à une approche plus nuancée.

Les pièges contre lesquels les destinataires sont mis en garde

• Vous déléguez votre jugement. Utiliser une DNSxL revient à confier une partie de la gestion de votre serveur à l'opérateur de la liste. La RFC indique que vous devez vous assurer que les politiques de la liste sont cohérentes avec les vôtres.
• Listes mortes. Un opérateur qui ferme une liste peut installer un joker qui liste toutes les adresses. Les entrées de test décrites plus haut permettent à un client de s'en apercevoir.
• Mise en cache. Les serveurs peuvent mettre les résultats en cache, mais doivent respecter les TTL et supprimer les enregistrements expirés.
• Résolveurs publics. La FAQ de Spamhaus indique que les requêtes passant par Google Public DNS renverront dans la plupart des cas « non listé », si bien que de vraies inscriptions passent inaperçues. Les codes 127.255.255.x sont des erreurs, comme 127.255.255.254 pour une requête passant par un résolveur public bloqué, et ne doivent pas être interprétés comme « listé ». Spamhaus note que certains serveurs rejettent par erreur tous les e-mails pour cette raison et recommande d'exploiter votre propre résolveur.

C'est l'une des raisons pour lesquelles deux outils de vérification peuvent donner des résultats différents pour la même adresse : ils interrogent peut-être via des résolveurs différents.

Listes noires et listes blanches (DNSBL et DNSWL)

Une DNSBL et une DNSWL s'interrogent de la même façon, mais une correspondance signifie l'inverse. Selon la RFC 5782, les gestionnaires de réseau utilisent généralement les DNSBL pour bloquer du trafic et les DNSWL pour accepter du trafic en priorité. Une même liste peut même servir de liste noire dans un contexte et de liste blanche dans un autre.

dnswl.org (list.dnswl.org) est un exemple de liste blanche. Sa documentation indique que les réponses prennent la forme 127.0.x.y, où x est une catégorie et y un niveau de confiance de 0 (aucun) à 3 (élevé). Elle suggère de dispenser les hôtes listés du greylisting et des vérifications de listes noires, de dispenser les hôtes de confiance moyenne et élevée du filtrage antispam, et de ne jamais les dispenser de l'analyse antivirus. L'étendue des exemptions accordées par une entrée de liste blanche reste la décision du destinataire.

Pourquoi une IP ou un domaine est listé

Chaque opérateur fixe ses propres critères, et beaucoup gardent secrets les déclencheurs exacts. Les raisons ci-dessous proviennent de la documentation publiée par les opérateurs.

• Signalements de spam et pièges à spam. La SpamCop Blocking List contient les IP ayant envoyé des e-mails signalés par les utilisateurs de SpamCop, avec un poids supplémentaire pour les e-mails adressés à des pièges à spam (spam traps, adresses collectées ou créées par des spammeurs). Sa FAQ indique qu'en l'absence de nouveaux signalements une inscription ne dure que 24 heures, et que les adresses sont retirées automatiquement quand les signalements cessent.
• Appareils infectés ou compromis. La Spamhaus XBL liste automatiquement des IP sur la base d'indices comme des logiciels malveillants, des applications de « VPN gratuit » qui font transiter le trafic de tiers par l'appareil, la participation à des attaques par force brute ou des tentatives de relayer des e-mails avec des identifiants volés. Si la cause persiste, l'IP est de nouveau listée lors de sa prochaine connexion.
• Mauvaise configuration et listes de diffusion mal entretenues. La Spamhaus CSS cite des noms HELO qui ne correspondent pas au DNS direct, des sites web et des installations de CMS compromis, des configurations non sécurisées et des listes de diffusion mal entretenues. Elle précise que la cause doit être identifiée et corrigée avant le retrait.
• Inscriptions de politique. La Spamhaus PBL couvre des espaces d'adresses, souvent du haut débit résidentiel, qui ne doivent pas envoyer d'e-mails directement. Spamhaus indique qu'une inscription PBL ne résulte d'aucune action de l'utilisateur final ; les e-mails provenant de ces plages sont censés passer par un serveur SMTP authentifié.
• Infrastructure partagée. En hébergement mutualisé, les envois d'un autre client peuvent affecter l'IP que vous utilisez. Voir que faire lorsqu'une IP d'hébergement mutualisé est sur liste noire.

La place des DNSBL quand un e-mail n'arrive pas

Une inscription sur une DNSBL est une cause possible de non-distribution, pas la seule. Des adresses erronées, des boîtes pleines, des problèmes côté destinataire ou une authentification manquante peuvent aussi provoquer des rejets. Lorsqu'une liste est en cause, le message de rejet la nomme souvent ou contient une URL de vérification.

1. Lisez le message de rejet. Notez le code de réponse et tout nom de liste ou URL figurant dans le texte.
2. Identifiez votre IP et votre domaine d'envoi. Utilisez les lignes Received des en-têtes, ou demandez à la personne qui gère le serveur.
3. Vérifiez les principales listes en une fois. Utilisez le vérificateur de listes noires, puis confirmez toute correspondance sur la page de vérification de l'opérateur.
4. Corrigez la cause. Passez en revue les causes ci-dessus. Les demandes faites avant la correction de la cause aboutissent généralement à une nouvelle inscription.
5. Suivez la procédure de l'opérateur. Certaines listes expirent d'elles-mêmes, d'autres acceptent une demande de retrait, et d'autres encore n'acceptent les demandes que du propriétaire du réseau. La décision de retrait appartient toujours à l'opérateur de la liste, et une demande ne garantit pas le retrait.

Les destinataires appliquent aussi leur propre filtrage : les e-mails peuvent donc ne pas circuler de nouveau dès la fin d'une inscription. Pour la démarche de dépannage complète, voir e-mail sur liste noire : comment lire le message de rejet, et pour l'authentification, configurer SPF, DKIM et DMARC. Si vous n'arrivez pas à identifier la cause vous-même, vous pouvez nous demander de l'aide.

Questions fréquentes

Pages officielles consultées

Les informations de cet article ont été vérifiées sur les pages officielles ci-dessous à la date de publication. Les politiques et le fonctionnement peuvent changer sans préavis : consultez les pages officielles avant de vous fier à une information importante.

• RFC 5782: DNS Blacklists and Whitelists
• Spamhaus FAQ: DNSBL Usage
• Spamhaus: Domain Blocklist (DBL)
• Spamhaus: Exploits Blocklist (XBL)
• Spamhaus: Combined Spam Sources (CSS)
• Spamhaus: Policy Blocklist (PBL)
• SpamCop FAQ: What is the SpamCop Blocking List (SCBL)?
• SpamCop FAQ: How do I configure my mailserver to reject mail based on the blocklist?
• dnswl.org: Return codes and recommended usage

Guides associés

Tous les guides →