这篇是上周一场真实排障的复盘。前后烧了 4127 块（拒付 + 退款 + 自己的时间），才搞明白一件事：
你的服务器在跟外面说话之前，对面会先翻一下它的"户口本"。
这个"户口本"，就是 IP 信誉（IP Reputation）。
一、起点：一个早上 5 个工单，全是"收不到邮件"
上周二早上 9:17，第一个工单进来了。
"你好，注册验证码一直收不到，能帮我手动激活吗？"
我没当回事，让客服回了句"请检查垃圾箱"。9:43，第二个工单，一样的问题。10:05，第三个。10:20 我盯着工单系统的时候，第四个、第五个几乎同时弹出来。
打开 SendGrid 后台，发件日志一切正常：
Delivered: 1487
Bounced: 13
Dropped: 0
数字漂亮得像演习。但用户那边就是收不到。
我顺手登了几个测试邮箱看实际投递结果，结果一身冷汗：
| 邮箱服务 | 发件总数 | 收件箱 | 垃圾箱 | 直接丢弃 |
|---|---|---|---|---|
| Gmail | 312 | 13 | 287 | 12 |
| Outlook | 198 | 4 | 169 | 25 |
| 163 | 145 | 92 | 49 | 4 |
| 207 | 168 | 36 | 3 |
Gmail 投递到收件箱 4.1%、Outlook 2.0%——基本等于没发。但 SendGrid 那边显示 "Delivered"，是因为对方服务器接收了邮件（SMTP 250 OK），只是接收完直接扔进了垃圾箱或者黑洞。
更糟的事在 10:38 发生：Stripe 后台连续推了 3 条 high risk 的拦截，三笔订单的 risk score 全部 90+，被自动拒付。其中一笔金额是 $268。
到这里我大概知道方向了——不是邮件服务的问题，不是 Stripe 配置的问题，是我的服务器 IP 自己有问题。
二、第一个误区：以为"换台机器、刷新 IP"就完事
我下意识的反应是：把出站邮件迁去 SendGrid 的另一个 IP 池、Stripe 调用换一台跳板机。半小时后回头看，没用。
为什么？因为我搞错了一件事：IP 信誉不是某个平台的"内部黑名单"，它是一整套独立运行的、跨平台共享的信用体系。
你换的那台"新机器"，如果它的 IP 此前被人拿去发过垃圾邮件、跑过爬虫、做过代理出口节点、或者它所在的 /24 段里有"邻居"干过这些事——它的信誉早就脏了。你换上去那一刻，对面的反垃圾系统、Stripe 的 Radar、Cloudflare 的 Bot Management、Akamai 的 Client Reputation，几乎同时就能识别出来。
这套体系的几个关键事实，是我那天下午查文档查到凌晨才搞清楚的：
- IP 信誉是"段级别"的。一个 /24 段里只要有几个 IP 干过坏事，整段都会被打折扣。
- 数据是聚合的。Spamhaus、SpamCop、Barracuda、AbuseIPDB、Project Honey Pot、SORBS……几十个数据源在背后相互喂数据。
- 判定是"分类 + 评分"双轨的。先给你贴标签（机房 IP / 住宅 IP / 移动 IP / 代理 / VPN / Tor 出口节点），再打分（0-100 风险分）。
- 延迟非常短。一个 IP 干了坏事，几分钟内就会进多个共享数据库，几小时内被全网认识。
- 清洗周期很长。哪怕你今天行为完美，一个被打过"代理"标签的 IP，通常要 30-90 天干净行为才能洗掉。有些标签（比如 Tor 历史）几乎洗不掉。
也就是说：邮件进垃圾箱不是邮件内容的锅，Stripe 拒付不是用户的锅，是我服务器对外的那一张"脸"早就花了。
三、真正的定位：先把"脸"拍下来看看
知道了方向，下一步是把它量化。要回答四个问题：
- 我服务器这个 IP，现在被打了什么标签？
- 它在多少个主流黑名单里挂着？
- 它的 /24 邻居情况怎么样？
- 这个标签是"刚被打"还是"陈年老账"？
最早我是用命令行硬刚的，挨个查 Spamhaus、SpamCop、Barracuda：
# 反向查询 Spamhaus
$ dig +short 5.4.3.2.zen.spamhaus.org
127.0.0.4
# 127.0.0.4 = XBL（exploit / proxy / Trojan）
返回 127.0.0.4 意味着这个 IP 被 Spamhaus 标记为 XBL，也就是疑似代理或被攻陷的主机。这跟 Stripe 给我的 risk score 对上了。
但手动查有两个问题：
- 数据源至少要查 20+ 个才完整，挨个跑
dig既慢又容易漏 - 你查到"在黑名单里"之后，不知道是为什么进的，也看不到机房/住宅分类、代理/VPN/Tor 这种维度
这一步我换成了一个聚合查询工具——直接在 BiuPing 的 IP 信誉查询 把服务器 IP 丢进去跑了一遍，它把多个威胁情报源的结果聚合在一页里，包括：
- 黑名单命中：Spamhaus / SpamCop / AbuseIPDB 等的命中情况
- 分类标签：是否被识别为代理 / VPN / Tor / 数据中心 IP / 住宅 IP
- 风险评分：一个 0-100 的综合分
- 机房归属：ASN、ISP、所属机房
我那台机器的扫描结果摘几条关键的（脱敏）：
IP: 5.4.3.2 (脱敏)
ASN: ASxxxxx - SomeBudgetHosting Inc.
分类: Datacenter / Hosting Provider
代理/VPN: 疑似 (历史命中)
Tor 出口: 否
黑名单命中: 6 / 32
风险评分: 78 / 100 (High)
看到这里我就明白整个故事了：
这是一台低价独服商家的二手 IP。前一个租户大概率拿它做过 VPN 出口或者代理服务，留下了一身"案底"，租期一到 IP 回到池子里，再分给我。我接手之后老老实实跑业务，但这张"脸"早就在外面挂了号。
四、为什么各平台都看 IP 信誉？背后的 7 个数据源
排查完急事，我顺势把 IP 信誉这事彻底搞清楚了。各家的"IP 信誉评分"听起来玄学，本质上是这 7 类数据源在后台喂数据：
| # | 数据源类型 | 代表机构 / 名称 | 它判断什么 |
|---|---|---|---|
| 1 | 垃圾邮件举报库 | Spamhaus、SpamCop、Barracuda、SORBS | 这 IP 发过垃圾邮件吗？ |
| 2 | 滥用举报聚合 | AbuseIPDB、Project Honey Pot | 这 IP 被多少人投诉过攻击/扫描/爬取？ |
| 3 | ASN / 机房归属 | MaxMind GeoIP2、IPinfo、ip2location | 它是机房 IP 还是住宅 IP？ |
| 4 | 代理/VPN 探测 | IPQS、IPHub、Proxycheck | 它是不是某个商业代理/VPN 出口？ |
| 5 | Tor 节点列表 | Tor Project 官方 exit list | 它是不是 Tor 出口节点？ |
| 6 | 僵尸网络情报 | Spamhaus DROP、ZeuS Tracker、Feodo | 它是不是某个僵尸网络的 C&C 或受控节点？ |
| 7 | CDN / 风控厂商内部库 | Cloudflare、Akamai、Imperva | 它在自家系统里有没有刷过 challenge / 触发过规则？ |
不同业务方关心的权重不一样：
- 邮件服务商（Gmail、Outlook、163）主要看 1、2、6
- 支付风控（Stripe Radar、Adyen RevenueProtect）主要看 4、5、7，外加 IP 归属国家与持卡人是否一致
- 登录风控（Auth0、Google Identity）看 4、5、3——同一个账号上次从住宅 IP 登录、这次从机房 IP 登录就会触发挑战
- 广告平台（Google Ads、Facebook Ads）很在意 3、4，识别到机房 IP 投流会直接降权或封号
- 爬虫目标网站（Cloudflare 保护的站）几乎全部 7 项都看
所以"IP 信誉差"在不同业务上的体现完全不一样：邮件方是进垃圾箱、支付方是 risk score 飙升、广告方是消耗异常 ROI 拉胯、爬虫方是 challenge 一片红——但根上是同一件事。
五、四种典型场景：你是哪一种？
把这次排查的经验抽出来，我整理了开发者最容易撞上 IP 信誉问题的四种场景，对号入座：
场景一：用了便宜的"独服 / VPS"，IP 是二手的
最常见。月付 10 的低价 VPS、刚开业的小机房、东南亚的"廉价香港服务器"——IP 复用率极高，一台机器上一任租户可能就是做灰产的。这种 IP 你拿到手就是负分。
自检方式：开机第一件事查 IP 信誉，不要先部署业务。负分太重就申请换 IP，换不了就退款。
场景二：服务器自己被攻陷过
哪怕你买的 IP 是干净的，如果你的服务器被人挂过马、被人拿去做过反向代理、被刷过暴力破解流量，几小时内 IP 就脏了。
自检方式：定期跑一次 IP 信誉查询，设监控。第一次发现命中黑名单的时候，说明事情已经在发生。
场景三：发件量突增触发反垃圾
老实用户也会被误伤。比如做了个用户增长活动，注册量从每天 200 涨到 2000，发件量随之 10 倍，反垃圾系统会先按"行为异常"处理，临时降权。
自检方式：增长前先做 SPF / DKIM / DMARC 三件套，并且预热 IP——量按 1.5-2 倍/天爬，而不是一下拉满。
场景四：自建代理 / 跳板机
这个就是自找的。但凡你在服务器上跑过 v2ray、shadowsocks、squid 当过出口节点（哪怕只是自用），这个 IP 大概率几天内就被各家探测系统识别为"代理"，标签贴上就洗不下来了。
自检方式：业务服务器跟代理服务器物理隔离，永远不要混用。
六、IP 被判脏了之后，怎么救？
这是我那天烧到凌晨摸出来的"急救流程"，按顺序做：
第一步：先确认到底脏在哪
不要瞎猜。用一个聚合工具（我用的 BiuPing 的 IP 信誉查询）把所有标签和命中列出来。重点看三项：
- 黑名单命中数：超过 3 个就基本属于"脏"
- 代理/VPN/Tor 标签：有没有这三个标签，决定了你能不能"洗"
- 机房 vs 住宅：机房 IP 在某些业务上是天然劣势，跟干不干净无关
第二步：能洗的洗，洗不掉的换
| 标签类型 | 能洗吗 | 周期 |
|---|---|---|
| Spamhaus / SpamCop 误报 | 能，去官网申请 delisting | 24-72 小时 |
| AbuseIPDB 历史举报 | 能，但要等评分自然衰减 | 30-90 天 |
| 代理 / VPN 标签 | 难，需要长时间无代理行为 | 60-180 天 |
| Tor 出口历史 | 基本洗不掉 | 不建议等 |
| 机房 IP 分类 | 改不了 | — |
如果是前两类，老老实实去黑名单官网申请移除，态度好一点，描述清楚业务用途。如果是后三类，直接换 IP 比等更划算。
第三步：迁移期间做软着陆
不要一刀切迁完。建议这样：
- 邮件出站：先用第三方服务（Postmark / Mailgun / SES）做出口，自己的 IP 只跑业务
- 支付/登录：高敏感操作走信誉好的中转
- 主站对外：上 CDN，源站 IP 别暴露
第四步：上监控，别再裸奔
被坑过一次就该明白：IP 信誉不是"一锤子买卖"，它是动态的。我现在的做法是写了个简单脚本，每 6 小时跑一次 IP 信誉查询，命中黑名单或风险分超过阈值就推飞书报警：
import requests
import time
# 这里换成你自己用的 IP 信誉查询接口或者网页定时巡检
# 我用的是 https://www.biuping.com/ip_reputation/ 网页查一次再做对比
TARGETS = ["5.4.3.2", "5.4.3.7"] # 业务 IP
THRESHOLD = 30 # 风险分阈值
def check(ip):
# ... 调用查询，返回 {score, blacklists, tags}
pass
def alert(ip, result):
# ... 调飞书 webhook
pass
while True:
for ip in TARGETS:
r = check(ip)
if r["score"] > THRESHOLD or len(r["blacklists"]) > 0:
alert(ip, r)
time.sleep(6 * 3600)
监控比补救便宜得多。
七、复盘：那天的 4127 块买到了什么
最后回头看一下账单：
- Stripe 拒付（3 笔）+ 手续费：约 ¥2300
- 用户流失退款：约 ¥800
- 自己 7 小时排查 + 通宵查文档：折算 ¥1000+
- 总计：¥4127
但我也确实买到了几条很硬的认知，列在这里给跟我一样要交学费才学得会的同行：
- IP 信誉是一个独立的、跨平台的信用体系，跟你业务好不好没关系，跟你"对外这张脸"的历史有关。
- 买便宜机器之前先查 IP 信誉，不要部署完业务才发现 IP 是脏的。
- 业务 IP 和代理/跳板 IP 物理隔离，永远不要为了省一台机器让业务 IP 跑代理流量。
- 发件、支付、登录这三个高敏感动作不要直连业务 IP，走信誉服务做出口。
- 定时巡检 + 报警比事后补救便宜两个数量级。
- 被打了"代理 / VPN / Tor"标签的 IP 别折腾洗，直接换。
最后丢一份我自己整理的极简检查清单，可以收藏：
接手新服务器先做的 5 件事：
- BiuPing IP 信誉查询 跑一遍，看分类 + 黑名单命中
- BiuPing 路由追踪 看回程，确认线路质量
- SPF / DKIM / DMARC 三件套配齐
- 业务和代理服务永远分机器
- 写定时巡检脚本，IP 信誉 + 出入站丢包率一起监控
希望你不用交我那 ¥4127 的学费，就能把这件事做对。
这篇文章里提到的工具我自己也在用，BiuPing 这个站把 Ping / TCPing / 网站测速 / 路由追踪 / DNS / IP 信誉聚合在了一起，多节点、不用注册，平时排查比挨个命令行查方便很多。如果对这个方向感兴趣，可以看看我之前那篇《一次跨国丢包排查实录：从 ping 完美到 tcping 全军覆没的 4 小时》，是同一套工具的另一个使用场景。
排障路上我们都是同行，欢迎评论区交流踩坑。
