Home › Handleidingen

DNSBL-retourcodes uitgelegd: 127.0.0.2, 127.255.255.x en NXDOMAIN

Gepubliceerd 2026-11-03 ／ Bijgewerkt 2026-11-03 ／ Door Yuki Nakazawa

Geeft een DNSBL-lookup een adres in 127.0.0.0/8 terug, dan is het IP-adres of domein gelist; een antwoord NXDOMAIN betekent dat het niet gelist is. Verder verschilt het precieze getal per lijst, zijn sommige antwoorden met 127.x foutcodes in plaats van listings, en zegt SERVFAIL of een time-out helemaal niets over de listingstatus.

Deze gids behandelt de conventies uit RFC 5782 en de retourcodes die Spamhaus, SpamCop en UCEPROTECT op hun eigen pagina's documenteren. De gids is gebaseerd op die officiële pagina's zoals die er in november 2026 uitzagen. Lijsten veranderen hun gegevens en beleid, dus raadpleeg de documentatie van de beheerder voordat u op een resultaat handelt. Hebt u achtergrond nodig over de werking van blocklists, begin dan met wat een DNSBL (RBL) is.

De basis: wat RFC 5782 over retourcodes zegt

RFC 5782, gepubliceerd in februari 2010, beschrijft hoe DNS-blacklists en -whitelists worden bevraagd en hoe hun antwoorden eruitzien. Het is een informatief document (Informational), geen specificatie uit de Standards Track: het legt de gangbare praktijk vast, en de details van de toegekende waarden worden aan elke lijstbeheerder overgelaten.

Hoe een lookup is opgebouwd

Voor IPv4 draait u de volgorde van de octetten om en voegt u de zone van de lijst toe. Om 192.0.2.99 tegen bl.example.com te controleren:

dig +short 99.2.0.192.bl.example.com A
dig +short 99.2.0.192.bl.example.com TXT

Voor IPv6 wordt het adres geschreven als 32 hexadecimale nibbles in omgekeerde volgorde, gevolgd door de zone. Domeingebaseerde lijsten nemen simpelweg de domeinnaam gevolgd door de zonenaam; de RFC merkt op dat naamgebaseerde lijsten veel minder vaak voorkomen dan IP-gebaseerde.

Het A-record: gelist of niet

• Gelist: de lijst geeft een A-record terug. De RFC zegt dat alle A-waarden in 127.0.0.0/8 horen te liggen, om ongewenst netwerkverkeer te voorkomen, en dat de waarde volgens de conventie 127.0.0.2 is.
• Niet gelist: er mogen geen records voor het adres bestaan. In DNS-termen is het antwoord NXDOMAIN, wat betekent dat de naam niet bestaat.
• De waarde van het A-record mag niet als IP-adres worden gebruikt. 127.0.0.2 is een vlag, geen server om verbinding mee te maken.

Het TXT-record: de reden en een URL

Volgens de RFC horen DNSBL's een TXT-record te publiceren dat beschrijft waarom een vermelding gelist is, en die reden bevat vaak een URL met meer informatie. Clientsoftware moet het A-record controleren en mag het TXT-record controleren. De TXT-tekst wordt vaak in de SMTP-foutmelding gebruikt, dus een bouncemelding kan een URL voor lookup of verwijdering bevatten die daaruit afkomstig is.

Waarom lijsten verschillende getallen teruggeven: sublijsten en bitmaskers

Een andere waarde dan 127.0.0.2 betekent meestal dat de zone meerdere sublijsten combineert. RFC 5782 beschrijft drie manieren om die weer te geven: subdomeinen, meerdere A-records en bitgecodeerde waarden.

• Meerdere A-records: elke sublijst heeft een eigen waarde, en de lijst geeft één A-record terug voor elke sublijst waarop het adres voorkomt.
• Bitmaskers: aan elke sublijst wordt een bit toegekend, en het antwoord is de logische OR van de bits van alle sublijsten die een match geven. In het voorbeeld van de RFC geeft een adres op de sublijsten 127.0.0.2 en 127.0.0.4 de waarde 127.0.0.6 terug.

Het belangrijkste punt is dat de RFC zelf stelt dat er geen breed gebruikte conventie bestaat om namen van sublijsten aan waarden te koppelen. Hetzelfde getal kan op verschillende lijsten iets anders betekenen. Lees een retourcode dus altijd samen met de zone die hem opleverde, aan de hand van de eigen documentatie van die lijst. De RFC zegt ook dat clientsoftware bitmaskers en bereiktests op teruggegeven waarden moet kunnen toepassen.

Spamhaus ZEN is een goed voorbeeld van de stijl met meerdere antwoorden. Volgens de documentatie levert een query doorgaans meerdere afzonderlijke antwoorden op in hetzelfde DNS-antwoord, één voor elke dataset waarop het IP-adres gelist is, met een andere retourcode per dataset. Twee of drie codes tegelijk zien is normaal.

Retourcodes van de belangrijkste blocklists

De tabel hieronder bevat retourcodes die de beheerders op hun officiële pagina's documenteren.

• Spamhaus: ZEN combineert de SBL, CSS, XBL en PBL en omvat alleen IP-adressen; domeinen worden tegen de DBL gecontroleerd. De DBL gebruikt 127.0.1.0/24 en de lijst Zero Reputation Domains gebruikt 127.0.2.0/24. Omdat de DBL een IP-query altijd met 127.0.1.255 beantwoordt, is die niet bruikbaar om IP-adressen te controleren. Voor de betekenis van elke Spamhaus-lijst en hoe u verwijdering aanvraagt, zie onze gids over verwijdering bij Spamhaus.
• SpamCop: de officiële FAQ noemt 127.0.0.2 als het antwoord dat een gelist IP-adres aangeeft. Ook wordt aangeraden gebruikers toegang te geven tot gefilterde mail, bijvoorbeeld door die te labelen of naar een aparte map te verplaatsen, in plaats van haar direct te weigeren. Verwijdering wordt behandeld in onze gids over delisten bij SpamCop.
• UCEPROTECT: de pagina over DNS-gebruik noemt de drie zonenamen, maar beschrijft geen retourwaarden. Er staat dat de DNS-methode eigenlijk alleen nuttig is voor kleine tot middelgrote mailservers, en rsync wordt voorgesteld voor systemen met meer dan 100.000 verzoeken per dag. De levels worden uitgelegd in onze gids over UCEPROTECT Level 2 en 3.
• Barracuda: de retourwaarden daarvan worden hier niet behandeld. Raadpleeg de eigen pagina's van Barracuda Central.

127.255.255.x en publieke resolvers: antwoorden die geen listing zijn

Spamhaus reserveert 127.255.255.0/24 voor foutcodes. Die kunnen voor elke zone worden teruggegeven, en de officiële FAQ stelt dat ze niet mogen worden opgevat alsof het bevraagde object gelist is.

Waarom resultaten via publieke resolvers onbetrouwbaar zijn

De FAQ van Spamhaus zegt dat u bij queries via grote publieke resolvers in de meeste gevallen een antwoord "niet gelist" (NXDOMAIN) krijgt. Met andere woorden: een gelist IP-adres kan schoon lijken. Dezelfde FAQ noemt het gebruik van Amazon, Quad9, Google, Cloudflare of een andere publieke resolver als de meest voorkomende oorzaak van het omgekeerde probleem, waarbij een lijst het hele internet lijkt te blokkeren.

Sommige resolvers herschrijven ook NXDOMAIN-antwoorden en geven een IP-adres terug voor namen die niet bestaan. Een mailserver kan dat voor een listing aanzien. De FAQ stelt voor de mailserver elk antwoord buiten 127.0.0.0/8 te laten negeren, een eigen resolver te draaien, of contact op te nemen met uw ISP of DNS-provider. Om te zien welke resolver u werkelijk gebruikt, geeft de FAQ deze controle:

dig txt whoami.fastly.net

Gebruikt u DNSBL-filtering op uw eigen mailserver, zorg er dan ook voor dat die geen mail weigert zodra hij een antwoord 127.255.255.x ziet. Spamhaus beschrijft dat als een verkeerde configuratie.

NXDOMAIN, SERVFAIL of time-out

Elk DNS-antwoord bevat een antwoordcode (RCODE), gedefinieerd in RFC 1035. Houd bij het lezen van een DNSBL-resultaat de RCODE gescheiden van de waarde van het A-record.

RFC 5782 zegt niet hoe clients moeten omgaan met een lijst die faalt of niet reageert. SERVFAIL of een time-out lezen als gelist of als niet gelist is een vergissing. Probeer het later opnieuw of bevraag via een andere route.

Gebruik de testvermeldingen om te controleren of een lijst werkt

RFC 5782 vereist dat IPv4-lijsten een vermelding voor 127.0.0.2 bevatten en geen vermelding voor 127.0.0.1. IPv6-lijsten gebruiken ::FFFF:7F00:2 (gelist) en ::FFFF:7F00:1 (niet gelist), en domeinlijsten gebruiken de gereserveerde naam TEST (gelist) en INVALID (niet gelist).

dig +short 2.0.0.127.zen.spamhaus.org A
dig +short 1.0.0.127.zen.spamhaus.org A

Geeft de eerste query een listingcode terug (een waarde 127.x anders dan 127.255.255.x) en de tweede niets, dan werken lookups tegen die lijst. Geeft de eerste 127.255.255.x terug, dan wordt uw queryroute geweigerd. Volgens de RFC horen clients testvermeldingen periodiek te controleren en geen lijst te gebruiken zonder correcte testvermeldingen. De RFC merkt ook op dat beheerders die een lijst opheffen soms alle vermeldingen hebben verwijderd, of een wildcard hebben geïnstalleerd die elk adres listet. Komt ook 127.0.0.1 als gelist terug, vermoed dan een probleem met de lijst of met uw queryroute, niet met uw eigen IP-adres.

Een praktische manier om uw eigen resultaat te lezen

1. Kies het juiste IP-adres of domein. Gebruik het IP-adres uit de bouncemelding, of het IP-adres van de verzendende server uit de Received-regels in de headers van het bericht.
2. Controleer meerdere lijsten tegelijk. Onze blacklistchecker loopt de belangrijkste lijsten in één keer na.
3. Lees elke code samen met de bijbehorende zone. Een listingcode in 127.0.0.0/8 (anders dan 127.255.255.x) betekent gelist; zoek op wat die waarde op die lijst betekent. Een antwoord 127.255.255.x, SERVFAIL of een time-out betekent dat de status nog onbekend is.
4. Bekijk het TXT-record en de lookuppagina van de beheerder. Veel lijsten geven een reden of URL terug. Beschouw de eigen lookuppagina van de beheerder als het gezaghebbende resultaat.
5. Verhelp de oorzaak en volg daarna de verwijderingsprocedure van die lijst. Elke beheerder beslist of en wanneer er wordt gedelist. Blijft de oorzaak bestaan, dan komt de listing meestal terug.

Voor het volledige stappenplan als mail terugkomt, zie e-mail die door een blacklist wordt geblokkeerd. Hebt u hulp nodig bij het interpreteren van resultaten of het opsporen van de oorzaak, dan kunt u ons vragen naar delisten.

Veelgestelde vragen

Gebruikte officiële pagina's

De feiten in dit artikel zijn bij publicatie gecontroleerd aan de hand van de officiële pagina's hieronder. Beleid en werkwijze kunnen zonder aankondiging veranderen. Controleer daarom de officiële pagina's voordat u ergens belangrijks op vertrouwt.

• RFC 5782: DNS Blacklists and Whitelists
• RFC 1035: Domain Names - Implementation and Specification (RCODE)
• Spamhaus FAQ: DNSBL Usage (return codes and public resolvers)
• Spamhaus: ZEN Blocklist
• Spamhaus: Domain Blocklist (DBL)
• SpamCop FAQ: How do I configure my mailserver to reject mail based on the blocklist?
• UCEPROTECT: Using DNS Lookups

Gerelateerde handleidingen

Alle handleidingen →