Je suis sur un hébergement mutualisé. Le spam d'un voisin peut-il mettre mon domaine sur liste noire ?

C'est possible — mais seulement si vos e-mails partent par une IP ou un pool de réputation partagé avec ce client. L'IP d'envoi partagée peut alors être inscrite, même si votre domaine ne l'est pas. Un serveur web partagé ne veut pas automatiquement dire un envoi de courrier partagé. Confirmez l'IP de sortie depuis le message de rejet ou vos journaux d'e-mail, puis signalez-la au fournisseur de messagerie ou à l'opérateur réseau qui contrôle cette IP — ce sont eux qui gèrent la remédiation et le retrait des IP partagées.

Dois-je payer un service pour me retirer d'une liste noire ?

En général, non. Les listes de blocage sérieuses ne facturent pas le retrait, mais leurs procédures diffèrent : une inscription peut expirer automatiquement, proposer un retrait en libre-service ou exiger une action de votre fournisseur ou de votre opérateur réseau. Corrigez d'abord la cause, suivez les instructions actuelles de la liste elle-même, et utilisez les vrais messages de rejet et les journaux de distribution pour juger si cette inscription affecte seulement votre courrier. Méfiez-vous des services génériques qui promettent un retrait garanti.

Comment sortir votre domaine d'une liste noire d'e-mail

Atterrir sur une liste noire d’e-mail (aussi appelée liste de blocage ou DNSBL) signifie qu’un service anti-spam a inscrit votre domaine, votre IP d’envoi ou votre plage d’IP — pour cause d’abus observé, de mauvaise réputation, ou simplement d’un classement de politique d’envoi. Cela ne veut pas toujours dire que votre entreprise a envoyé du spam. Certains systèmes de réception consultent ces listes comme un signal parmi d’autres : selon la liste et la politique du destinataire, le courrier touché peut être rejeté avec une erreur SMTP permanente ou temporaire, filtré vers le spam, ou distribué normalement. La solution a trois volets : trouver ce qui est inscrit et pourquoi, nettoyer la cause, puis suivre la procédure de retrait de cette liste.

Pourquoi vous avez été inscrit

Les listes de blocage réagissent au comportement, à la réputation et aux politiques. Les déclencheurs habituels :

Un compte e-mail compromis qui envoie du spam à votre insu.
Un site web piraté ou un formulaire mal sécurisé détourné pour envoyer du courrier indésirable.
Un envoi réellement douteux — un envoi massif non ciblé, une liste achetée ou une newsletter avec un fort taux de plaintes.
Une IP d’envoi partagée — si vos e-mails partent par une IP partagée avec d’autres clients, l’abus de quelqu’un d’autre peut abîmer la réputation de cette IP. (Un serveur web partagé ne veut pas automatiquement dire une IP d’e-mail partagée — ce qui compte, c’est la route SMTP sortante.)
Un classement de politique — certaines listes signalent des plages d’IP qui ne devraient pas envoyer de courrier direct du tout (les plages résidentielles, par exemple), quel que soit leur comportement.
Des problèmes d’authentification — un SPF absent ou cassé (qui autorise les hôtes d’envoi pour votre domaine d’enveloppe), un DKIM défaillant (qui signe le corps et certains en-têtes) ou un DMARC manquant (qui teste l’alignement avec votre domaine « De » visible) rendent votre vrai courrier plus difficile à distinguer d’une usurpation. Cela érode la confiance et dégrade la distribution, même si ce n’est pas en soi ce qui vous met sur une liste publique.

Comment vérifier

Avant de pouvoir corriger quoi que ce soit, identifiez ce qui est réellement inscrit — et utilisez la bonne IP : celle nommée dans le message de rejet ou dans les journaux de votre fournisseur de messagerie. L’IP de votre site web et celle de votre serveur de courrier entrant peuvent n’avoir aucun rapport avec la distribution sortante, et différents services d’envoi utilisent des IP différentes.

Une recherche multi-listes (MXToolbox, par exemple) vérifie un domaine ou une IP contre de nombreuses listes d’un coup — un premier passage pratique, à confirmer avec l’outil de vérification de la liste elle-même.
Spamhaus — gère des listes d’IP et de domaines largement consultées ; son outil montre si vous êtes inscrit, pourquoi, et de quel type d’inscription il s’agit.
Barracuda Reputation Block List — une autre liste que certains filtres d’entreprise consultent.

Pesez les éléments correctement : le texte de rejet réel du destinataire et les journaux de distribution de votre fournisseur sont le signal le plus fort. Une inscription publique ne compte que si des destinataires utilisent cette liste — et une recherche publique vierge ne prouve pas que votre réputation est saine, car les grands fournisseurs de boîtes e-mail s’appuient lourdement sur des systèmes de réputation privés qu’aucun outil public ne peut interroger.

La procédure de retrait

Chaque liste a son propre parcours de retrait, et les détails changent ; suivez donc toujours la procédure actuelle publiée par la liste qui vous a signalé. Le schéma est constant — corrigez d’abord la cause, sinon le retrait peut échouer ou s’inverser aussitôt. Et vérifiez quel type d’inscription vous avez :

Inscriptions pour abus ou réputation — après le nettoyage, suivez les instructions de la liste : le retrait peut être automatique une fois l’abus arrêté, en libre-service, ou réservé à la demande de l’opérateur de l’IP.
Inscriptions de politique — elles disent « cette plage d’IP ne devrait pas envoyer de courrier direct ». La solution n’est pas le retrait mais le routage : envoyez via le service SMTP authentifié de votre fournisseur. Ne demandez le retrait que si l’IP est réellement destinée au courrier sortant direct, et correctement configurée pour cela.
IP partagées ou d’opérateur — vous ne pouvez généralement pas les faire retirer vous-même ; signalez le problème, avec le diagnostic complet, au fournisseur ou à l’opérateur réseau qui contrôle l’IP.

Le retrait des listes sérieuses est normalement gratuit. Méfiez-vous des services qui facturent pour vous « retirer » — et plutôt que de supposer qu’une liste donnée compte, vérifiez si elle apparaît dans vos rejets réels.

Comment ne pas y retourner

Se faire retirer est un effort perdu si la cause est encore vivante. Verrouillez — et prenez les enregistrements ci-dessous comme des modèles, pas du copier-coller : utilisez les valeurs exactes de vos services de messagerie, inventoriez d’abord tous les expéditeurs légitimes, publiez exactement un enregistrement SPF par domaine et validez avant de passer en mode strict.

SPF    v=spf1 include:_spf.yourprovider.com -all
DKIM   selector._domainkey  →  (public key from your mail provider)
DMARC  _dmarc  →  v=DMARC1; p=none; rua=mailto:[email protected]

Configurez SPF et DKIM correctement, puis publiez DMARC pour que les destinataires puissent tester si les domaines authentifiés s’alignent avec votre domaine « De » visible. Commencez en mode surveillance (p=none) et utilisez les rapports en plus de votre propre inventaire et de vos tests de distribution pour trouver chaque flux d’envoi légitime — les rapports seuls ne peuvent pas certifier qu’un expéditeur est légitime. Une politique plus stricte demande aux destinataires de traiter les échecs plus durement, mais c’est toujours la politique du destinataire qui décide — et p=reject n’est pas une étape finale obligatoire : les listes de diffusion, les transferts et les expéditeurs tiers peuvent casser l’alignement pour du courrier réel ; ne serrez donc que quand vos flux d’e-mail le permettent.
Sécurisez la source pour de bon. Pour un compte compromis : réinitialisez le mot de passe, révoquez les sessions et les mots de passe d’application, supprimez les applications connectées inconnues et les règles de transfert, remplacez les identifiants exposés, activez l’authentification à plusieurs facteurs (MFA) et relisez les journaux d’envoi. Pour un site compromis : mettez le chemin d’envoi hors ligne, gardez les journaux, retirez le code malveillant et ses mécanismes de persistance, corrigez la faille d’origine, remplacez les identifiants et vérifiez avant de reprendre l’envoi.
Durcissez les formulaires publics — destinataires fixes et approuvés uniquement ; validation côté serveur ; prévention de l’injection d’en-têtes ; limitation du débit ; CAPTCHA en contrôle d’appoint, pas en solution.
Envoyez en bon citoyen — reprenez progressivement et seulement vers des gens qui attendent votre courrier, honorez les désabonnements sans traîner, écartez les rebonds définitifs et les plaintes, laissez tomber les destinataires durablement inactifs, et n’achetez jamais de liste.
Surveillez la bonne chose — des vérifications périodiques des listes de blocage attrapent une nouvelle inscription tôt, mais les rapports agrégés DMARC montrent les résultats d’authentification, pas le statut sur les listes — surveillez donc la distribution réelle, les rebonds et les taux de plainte en parallèle des recherches.

Corrigez la cause, authentifiez votre courrier, puis faites-vous retirer — dans cet ordre. Sautez le nettoyage, et l’inscription a tendance à revenir aussitôt.

Ce qu’il faut faire

Récupérez l’IP de sortie depuis le rejet ou les journaux de votre fournisseur — pas l’IP de votre site web — et lancez les recherches sur cette IP plus votre domaine.
Trouvez et corrigez la cause profonde — compte compromis, formulaire détourné, mauvais envoi — à fond, pas juste une réinitialisation de mot de passe.
Réparez SPF, DKIM et DMARC avec les valeurs exactes de vos fournisseurs : un seul enregistrement SPF, un DMARC surveillé, pas de copier-coller aveugle.
Déterminez le type d’inscription — abus, réputation ou politique — et suivez la procédure actuelle de cette liste, via votre fournisseur quand c’est lui qui contrôle l’IP.
Continuez à surveiller la distribution, les rebonds et les plaintes pour attraper vite une réinscription — les rapports DMARC seuls ne révéleront pas une inscription.