spam score

Spam score to punktacja przyznawana wiadomości przez filtr na podstawie jej cech.

Skąd bierze się liczba przy wiadomości

Punktacja to suma wag setek pojedynczych reguł. SpamAssassin dopisuje wynik do nagłówków X-Spam-Status i X-Spam-Score wraz z listą reguł, które zadziałały — czytelny zapis wygląda jak „score=7.2 required=5.0 tests=BAYES_99,HTML_IMAGE_ONLY_28,URIBL_DBL_SPAM”. Każda reguła ma własną wagę, część ujemną: ALL_TRUSTED odejmuje punkty, gdy wiadomość przeszła wyłącznie przez zaufane serwery, a poprawnie zweryfikowany podpis DKIM domeny nadawcy również obniża wynik. Rspamd, który wyparł SpamAssassina na wielu hostingach, używa innej skali i zamiast jednego progu ma kilka: dopisanie nagłówka, greylisting, przepisanie tematu i twarde odrzucenie. Filtry Microsoftu nie publikują punktów wprost — pokazują SCL od 0 do 9 dla spamu i osobne BCL dla masowej korespondencji handlowej.

Co realnie podbija wynik, a co jest mitem

Wbrew obiegowej opinii pojedyncze słowo w rodzaju „darmowy” prawie nic nie znaczy; decyduje kombinacja sygnałów. Silnie punktowane są: wiadomość zbudowana z jednego obrazka bez wersji tekstowej, brak części text/plain w multipart/alternative, domena linku figurująca na listach URIBL, świeżo zarejestrowana domena nadawcy, rozjazd między adresem w nagłówku From a adresem koperty oraz brak nagłówka List-Unsubscribe w mailingu. Filtr bayesowski uczy się na ruchu konkretnego serwera, więc ta sama treść dostaje inny wynik u dwóch różnych operatorów. Dlatego testowanie mailingu na jednej skrzynce niczego nie dowodzi — potrzebny jest zestaw adresów u kilku dostawców.

Fałszywe alarmy i błędy konfiguracji, które psują punktację

Najczęstsza wpadka administratora to odpytywanie list DNSBL i URIBL przez publiczny resolwer Google lub Cloudflare. Operatorzy list blokują ruch z takich adresów i zamiast realnego wyniku pojawia się reguła URIBL_BLOCKED, przez co filtr traci najskuteczniejszy sygnał — lekarstwem jest własny resolwer rekurencyjny na serwerze pocztowym. Druga pułapka to zbyt agresywne obniżenie progu odcięcia poniżej wartości domyślnej: rośnie liczba fałszywych alarmów, a wraz z nią ryzyko, że przepadnie zamówienie od klienta. Trzecia to reguła zwalniająca cały ruch od zaufanego nadawcy na podstawie samego adresu From, który przecież da się podrobić — biały wpis powinien opierać się o zweryfikowany podpis lub adres IP.

Kiedy firmowe maile przestają docierać do kontrahentów

Do nas trafia to zwykle jako zgłoszenie „klienci nie dostają naszych faktur”. Rozbieramy wtedy nagłówki odbić i konkretnych wiadomości, sprawdzamy, które reguły podbiły wynik, weryfikujemy rekordy SPF, DKIM i DMARC w DNS oraz to, czy adres IP serwera nie figuruje na listach blokujących po wcześniejszym zawirusowaniu jednej ze stacji. Osobny wątek to poczta generowana przez systemy handlowe — Subiekt, WAPRO czy Comarch wysyłające dokumenty do kontrahentów. Konfigurujemy im uwierzytelniane wysyłanie przez port 587 z szyfrowaniem, poprawną nazwę HELO i sensowną treść wiadomości, bo goły załącznik PDF bez tekstu to prosta droga do wysokiej punktacji spamowej.