Spamhaus : vérifier et supprimer votre IP

En bref : Spamhaus protège environ 4,5 milliards de boîtes mail dans le monde. Une IP listée chez eux et vos emails sont rejetés par Microsoft, Orange ou SFR. Vérifiez votre statut sur check.spamhaus.org, identifiez la liste concernée (SBL, XBL, PBL ou CSS), corrigez la cause du listage, puis demandez le retrait. La procédure est gratuite. Toute offre payante de délisting est une arnaque.

Vos taux de délivrabilité s’effondrent du jour au lendemain, les rejets s’accumulent avec des codes d’erreur 550, et le nom « Spamhaus » apparaît dans les messages de retour. Ce scénario, beaucoup de responsables emailing le découvrent en pleine campagne. La bonne nouvelle, c’est qu’on sort de Spamhaus. La moins bonne, c’est que la méthode dépend entièrement de la liste sur laquelle votre IP a atterri. Et c’est précisément là que la plupart des guides restent flous.

Spamhaus pèse plus lourd que vous ne le pensez

The Spamhaus Project existe depuis 1998. Cette organisation tient à jour plusieurs listes noires d’adresses IP et de domaines, utilisées par les serveurs de messagerie du monde entier pour filtrer le courrier entrant. Selon ses propres chiffres, ses listes protègent environ 4,5 milliards de boîtes mail et analysent quelque 7,5 millions d’adresses IP toutes les 24 heures.

Concrètement, qui s’appuie dessus ? Microsoft pour Outlook et Office 365, Apple pour iCloud, Yahoo, et en France des opérateurs comme Orange et SFR, d’après le recensement publié par l’expert délivrabilité Al Iverson sur Spam Resource en 2025. Microsoft applique un blocage dur : la connexion est refusée avant même que votre message soit examiné. Gmail fonctionne autrement et traite le listage comme un signal de réputation négatif, ce qui se traduit par un classement en spam ou une limitation de débit.

Autrement dit, une IP listée ne subit pas une petite baisse de performance. Elle perd l’accès à une partie des messageries de ses destinataires, parfois la totalité chez certains opérateurs.

Vérifier votre IP et votre domaine en deux minutes

Le point d’entrée officiel est l’outil de vérification de réputation : check.spamhaus.org. Il a remplacé l’ancien Blocklist Removal Center en 2021. Vous y saisissez votre adresse IP d’envoi et l’outil vous indique si elle figure sur une ou plusieurs listes, avec le motif du listage.

Un réflexe que peu d’expéditeurs ont : vérifiez aussi votre domaine. Spamhaus gère une liste séparée pour les domaines, la DBL, indépendante des listes d’IP. Votre IP peut être parfaitement propre pendant que votre domaine, lui, est bloqué parce qu’il apparaît dans le corps de messages signalés. Les deux vérifications se font au même endroit.

Pour retrouver votre IP d’envoi, regardez les en-têtes d’un email récent ou les rapports de votre plateforme emailing. Si vous passez par un routeur, l’IP appartient à votre prestataire, un cas particulier qu’on traite plus bas.

SBL, XBL, PBL, CSS : identifiez la liste avant d’agir

Voilà le point que les guides généralistes survolent. Spamhaus n’est pas une liste unique mais une famille de listes, et chacune a sa propre logique de retrait. Demander un délisting sans savoir où vous êtes listé revient à frapper à la mauvaise porte.

Liste	Cause typique	Qui demande le retrait	Délai constaté
SBL	Spam confirmé, listage manuel par les équipes Spamhaus	Votre hébergeur ou FAI, pas vous	De quelques heures à plusieurs semaines
CSS	Mauvaise hygiène d’envoi détectée automatiquement	Expiration automatique, retrait accéléré possible	Environ 3 jours après le dernier envoi suspect
XBL	Machine compromise (malware, botnet, identifiants volés)	Vous, après nettoyage de la machine	Quelques heures à 24 h
PBL	IP non prévue pour envoyer du mail en direct (plage résidentielle ou dynamique)	Vous, en self-service si l’IP est un vrai serveur mail	Environ 15 minutes
DBL	Domaine présent dans des messages signalés	Vous, via le Reputation Checker	Quelques minutes à 24 h

Deux précisions utiles. La PBL n’est pas une punition : elle recense les plages d’IP qui ne devraient pas émettre de courrier en direct, soit près de 40 % de l’espace IPv4 routable selon Spamhaus. Si votre serveur mail légitime y figure, le retrait est rapide, à condition d’avoir une IP fixe et des enregistrements DNS direct et inverse cohérents. L’exclusion expire au bout d’un an et saute immédiatement si du spam est détecté.

La CSS, elle, vise les expéditeurs à la réputation dégradée : envois vers des adresses pièges, plaintes répétées, listes mal entretenues. Elle expire d’elle-même environ trois jours après la dernière détection. Si vous y revenez sans cesse, le problème n’est pas Spamhaus, c’est votre base.

La procédure de retrait qui aboutit

L’erreur classique consiste à demander le délisting avant d’avoir corrigé quoi que ce soit. Spamhaus le dit sans détour : aucune demande n’est traitée tant que la cause du listage est active. Pire, une demande rejetée complique les suivantes.

La méthode qui fonctionne tient en quatre temps :

1. Lisez la fiche de listage sur check.spamhaus.org. Elle précise la liste concernée, la date et souvent le motif exact.
2. Corrigez la cause. Machine infectée à nettoyer, formulaire d’inscription détourné à sécuriser, segment de base douteux à écarter, mot de passe SMTP compromis à changer. Tant que ce travail n’est pas fait, inutile d’aller plus loin.
3. Soumettez la demande via le centre de tickets intégré à l’outil. Pour la SBL, c’est votre hébergeur ou votre FAI qui doit la porter : contactez son service abuse avec un dossier précis sur ce que vous avez corrigé.
4. Patientez sans relancer. La zone DNS de Spamhaus se recharge toutes les 5 minutes, la propagation est donc quasi immédiate une fois le retrait validé.

Un mot sur les intermédiaires qui promettent un délisting express contre paiement : le retrait Spamhaus est gratuit, toujours, et aucun tiers ne dispose d’un accès privilégié. Spamhaus qualifie lui-même ces offres d’arnaques. L’argent dépensé là serait mieux investi dans la qualité de votre base.

IP mutualisée chez votre routeur : agir sans contrôler l’IP

C’est le cas le plus fréquent chez les annonceurs B2B, et le moins documenté. Vous envoyez via Brevo, Mailchimp ou une autre plateforme emailing en IP partagée. L’adresse listée ne vous appartient pas, vous ne pouvez donc rien demander à Spamhaus directement.

Trois leviers restent à votre portée. D’abord, signalez le blocage au support de votre plateforme, c’est elle qui gère la réputation de ses IP et la demande de retrait. Ensuite, examinez votre propre rôle : sur une IP mutualisée, la réputation se partage entre tous les clients, et un expéditeur qui arrose une base pleine d’adresses pièges dégrade la délivrabilité des autres. Si vos pratiques sont en cause, le routeur finira par vous le faire savoir. Enfin, si les incidents se répètent sans que vous y soyez pour rien, posez la question d’une IP dédiée ou d’un changement de prestataire.

L’inverse mérite d’être dit aussi : vos voisins d’IP peuvent vous pénaliser sans aucune faute de votre part. C’est le prix de la mutualisation, généralement compensé par le fait que le routeur surveille ses plages de près.

Le vrai chantier : ne pas y retourner

Sortir de Spamhaus se joue en quelques jours. Y rester absent se joue sur la durée, et presque tout se passe dans votre base de contacts.

Les listages CSS et une bonne partie des listages SBL proviennent d’envois vers des spamtraps, ces adresses pièges disséminées par les organismes anti-spam, et vers de vieilles adresses abandonnées. Une base jamais nettoyée en accumule mécaniquement au fil des années. Un seul envoi vers un piège de Spamhaus peut suffire à déclencher un listage, et les récidives sont jugées plus sévèrement que le premier incident.

La prévention tient en trois habitudes. Validez les adresses à la collecte, avec un double opt-in qui ferme la porte aux fautes de frappe et aux inscriptions malveillantes. Écartez les inactifs de longue date au lieu de les relancer indéfiniment. Et vérifiez votre liste avant les grosses campagnes pour éliminer les adresses invalides, les pièges connus et les domaines à risque avant qu’ils ne coûtent une réputation. Un audit de base prend quelques minutes, un délisting SBL peut prendre des semaines.

Si vous voulez creuser le sujet des listes noires au-delà de Spamhaus, notre guide pour vérifier et sortir des blacklists email passe en revue les autres acteurs et leurs procédures.

Questions fréquentes sur Spamhaus

Comment savoir si mon IP est sur Spamhaus ?

Rendez-vous sur check.spamhaus.org, l’outil officiel de vérification. Saisissez votre adresse IP d’envoi : le résultat indique si elle figure sur une liste Spamhaus, laquelle, et pour quel motif. Pensez à tester aussi votre domaine, la liste DBL fonctionne indépendamment des listes d’adresses IP.

Combien de temps faut-il pour sortir de Spamhaus ?

Tout dépend de la liste. Un retrait PBL prend environ 15 minutes en self-service. Un listage XBL ou CSS se lève en quelques heures à trois jours une fois la cause corrigée. La SBL est la plus longue : la demande passe par votre hébergeur et peut prendre de quelques heures à plusieurs semaines.

Peut-on payer pour accélérer un délisting Spamhaus ?

Non. Le retrait des listes Spamhaus est gratuit et aucun prestataire ne bénéficie d’un circuit prioritaire. Les sociétés qui facturent un « délisting express » n’ont aucun pouvoir particulier, Spamhaus les qualifie d’arnaques. Méfiez-vous des démarcheurs qui vous contactent juste après un listage.

Quelle est la différence entre la SBL et la PBL ?

La SBL recense des sources de spam confirmées, après analyse par les équipes de Spamhaus, et seul votre hébergeur peut demander le retrait. La PBL n’implique aucune faute : elle liste les plages d’IP qui ne devraient pas envoyer d’email en direct, comme les connexions résidentielles, avec un retrait en self-service.

Un seul envoi vers un spamtrap suffit-il pour être listé ?

Oui, c’est possible. Les adresses pièges exploitées par Spamhaus déclenchent des listages automatiques, notamment sur la CSS, et un piège de grande valeur peut provoquer un listage SBL immédiat. C’est la raison pour laquelle la vérification d’une liste avant envoi reste la protection la plus efficace.

Mon domaine peut-il être bloqué même si mon IP est propre ?

Oui. La liste DBL de Spamhaus cible les domaines présents dans les en-têtes, le corps ou les liens des messages signalés, indépendamment de l’IP émettrice. Changer d’IP ou de routeur ne résout donc rien dans ce cas. Vérifiez le domaine sur check.spamhaus.org et demandez le retrait après correction.