« 554 5.7.1 Service unavailable; Client host [IP] blocked using zen.spamhaus.org » : signification et solution

Ce que ça veut dire

Le serveur qui reçoit votre email a comparé votre IP d'envoi à une liste de blocage publique et l'y a trouvée. Cette formulation exacte vient de Postfix, un serveur mail très répandu, mais beaucoup d'autres serveurs écrivent quelque chose de similaire :

554 5.7.1 Service unavailable; Client host [203.0.113.10] blocked using zen.spamhaus.org; https://...

ZEN n'est pas une liste unique : c'est une seule interrogation qui combine plusieurs listes Spamhaus :

• SBL : les IP vues en train d'envoyer du spam ou gérées par des opérations de spam. Tenue à la main par l'équipe de Spamhaus.
• XBL (avec les données CSS) : les IP qui semblent infectées ou piratées, ou des serveurs qui envoient automatiquement du courrier indésirable.
• PBL : les plages qui ne devraient pas envoyer d'emails directement, comme les connexions internet domestiques. C'est une liste de règles, pas une sanction.

Un message similaire indique blocked using bl.spamcop.net. SpamCop est une autre liste, alimentée par les signalements de spam des utilisateurs. Les inscriptions y expirent automatiquement une fois les signalements arrêtés, en général au bout d'une journée environ.

Pourquoi cela arrive

• Une boîte mail, un site web ou un formulaire de contact piraté sur votre serveur envoie du spam.
• Un ordinateur ou un appareil de votre réseau est infecté et envoie du courrier indésirable via votre IP.
• Vous envoyez directement depuis une connexion domestique ou de bureau (PBL).
• Votre IP cloud a été utilisée par un spammeur avant vous.
• Vous partagez une IP avec d'autres clients de votre hébergeur.

Quand ce n'est pas votre faute

Spamhaus refuse les interrogations faites via les grands résolveurs DNS publics. Un serveur destinataire mal configuré peut alors afficher une erreur « blocked using zen.spamhaus.org » avec une mention comme « open resolver », alors que vous n'êtes pas inscrit. Si Spamhaus n'affiche aucune inscription pour votre IP, transmettez le message d'erreur à l'équipe informatique du destinataire : c'est à elle de corriger son serveur.

Comment vérifier

1. Copiez l'IP indiquée entre crochets dans le message d'erreur.
2. Vérifiez-la sur check.spamhaus.org. Le résultat indique la liste (SBL, XBL/CSS ou PBL), la raison et la procédure de retrait.
3. Lancez un test Delivmail. Envoyez un email depuis le même serveur ou outil vers l'adresse unique de la page d'accueil (/). Le rapport affiche l'IP qui envoie réellement vos emails, son statut sur les listes noires, son DNS inverse, et indique s'il s'agit d'un fournisseur partagé.
4. Vérifiez d'autres listes sur /blacklists, dont SpamCop, avec l'IP et votre domaine.

Comment corriger

Inscription dans la SBL

Lisez la raison donnée par Spamhaus. Chez un hébergeur ou un fournisseur d'emails, ouvrez un ticket et collez le message d'erreur : lui seul peut assainir son réseau et demander le retrait. Sur votre propre serveur, stoppez d'abord la source du spam, puis suivez la procédure de demande de retrait indiquée sur la fiche.

Inscription dans la XBL ou la CSS

1. Trouvez la cause : compte email piraté, extension de site obsolète, formulaire de contact non protégé, ordinateur infecté derrière la même IP.
2. Changez les mots de passe, mettez à jour les logiciels, ajoutez un captcha aux formulaires, nettoyez la file d'attente.
3. Assurez-vous que votre serveur se présente avec un vrai nom d'hôte et qu'il a un DNS inverse correct.
4. Utilisez l'option de retrait en libre-service sur check.spamhaus.org. Si le spam continue, l'IP sera rapidement réinscrite.

Inscription dans la PBL

• Connexion domestique ou de bureau : envoyez via le serveur sortant de votre fournisseur de messagerie au lieu d'envoyer directement.
• Vrai serveur mail sur une IP fixe : configurez un vrai nom DNS inverse, puis utilisez le formulaire de retrait en libre-service de la PBL.

Inscription chez SpamCop

Corrigez la cause (généralement la même que pour la XBL) et patientez. L'inscription disparaît automatiquement quand plus aucun nouveau signalement n'arrive.

Vérifiez que c'est corrigé

Vérifiez de nouveau l'IP sur check.spamhaus.org et sur /blacklists. Le retrait est en général effectif en moins d'une heure, mais les serveurs destinataires peuvent garder l'ancienne réponse en cache un peu plus longtemps. Lancez un nouveau test Delivmail pour confirmer que la section des listes noires est propre, puis renvoyez l'email refusé. Une nouvelle inscription après le retrait signifie que le problème est toujours actif.