Jak działa SpamAssassin – proces analizy

SpamAssassin to nie zwykły filtr poczty. To system, który działa jak dobrze wyszkolony strażnik Twojej skrzynki – analizuje każdą wiadomość, sprawdza jej tożsamość, treść, strukturę, reputację nadawcy i dopiero wtedy decyduje: przepuścić, oznaczyć czy wyrzucić.

• 1. SpamAssassin analizuje każdą wiadomość
• 2. Każdy test przyznaje punkty – dodatnie lub ujemne
• 3. Porównanie wyniku z ustalonym progiem
• 4. Decyzja: co zrobić z wiadomością?
• 5. Uczenie się na podstawie decyzji użytkownika (Bayes)
• 6. Sprawdzenie reputacji IP, domeny i linków
• Etapy działania SpamAssassin
• Pozytywne i negatywne punkty w SpamAssassin

Jeśli chcesz zrozumieć, dlaczego niektóre maile lądują w spamie, jak działa punktacja wiadomości i co możesz zrobić, by Twoje e-maile nie trafiały na czarną listę – ten artykuł jest dla Ciebie. Pokazujemy cały proces działania SpamAssassin – od pierwszego kontaktu z wiadomością, przez analizę reguł i punktów, aż po końcową decyzję, co się z nią stanie.

1. SpamAssassin analizuje każdą wiadomość

SpamAssassin nie działa zero-jedynkowo. Zamiast szukać jednej cechy charakterystycznej dla spamu, działa warstwowo — sprawdza dziesiątki fragmentów wiadomości. Możemy porównać to do działania robota kontrolującego e-mail „na wejściu”, jeszcze zanim trafi do skrzynki odbiorczej. Analiza obejmuje nagłówki (From, Reply-To, Received), treść wiadomości (tekst, HTML, ukryte linki), a także strukturę MIME i kodowanie.

Jedną z zalet takiego podejścia jest możliwość indywidualnego dopasowania reguł. Administrator może zmodyfikować zestaw testów, np. dodać własną regułę blokującą wiadomości z określonymi słowami kluczowymi lub frazami. To sprawia, że SpamAssassin nie jest „gotowcem”, ale silnikiem, który można dostroić pod konkretne potrzeby lub ryzyka danej skrzynki.

SpamAssassin stosuje setki testów jednocześnie. Mówi się o nawet 700+ regułach, które mogą dotyczyć:

• nagłówków (np. czy From: i Reply-To: są zgodne),
• treści wiadomości (np. podejrzane słowa, tylko HTML, linki do dziwnych domen),
• metadanych (czy wiadomość przyszła z czarnej listy IP?),
• błędów technicznych (np. brak Message-ID, złe kodowanie),
• zachowań użytkownika (tzw. uczenie Bayesowskie: co wcześniej oznaczałeś jako spam?).

2. Każdy test przyznaje punkty – dodatnie lub ujemne

Zgodnie z opisami z MXToolbox i edrone, SpamAssassin każdą wiadomość przetwarza jak arkusz egzaminacyjny — każda cecha treści, formatu, nadawcy może dać punkty dodatnie, ujemne lub neutralne. Na przykład poprawny podpis DKIM może dać -1.0 punktu (czyli „na plus”), a obecność linków do domeny o niskiej reputacji — +3.2 punktu (czyli „podejrzane”). To podejście sprawia, że filtr jest bardzo dokładny i przewidywalny.

• Dodatnie punkty → zwiększają podejrzenie spamu (np. +3.2 za użycie „URGENT!” w temacie).
• Ujemne punkty → oznaczają cechy typowe dla zaufanych nadawców (np. -1.0 za poprawny podpis DKIM).
• 0 → cecha neutralna, nie wpływa na wynik.
• Wynik końcowy to suma wszystkich punktów.

Warto wiedzieć, że niektóre testy są bardziej „punktogenne” niż inne. Czasem jeden test (np. FORGED_GMAIL_RCVD) może dać więcej punktów niż pięć drobnych reguł razem wziętych. SpamAssassin udostępnia listę wszystkich reguł i ich wag, co pozwala w razie potrzeby zbadać, dlaczego konkretna wiadomość została potraktowana jako spam.

3. Porównanie wyniku z ustalonym progiem

Wszystko sprowadza się do sumy punktów i jej porównania z ustalonym progiem. Domyślnie SpamAssassin używa progu 5.0 — wiadomość z wyższą punktacją zostaje uznana za spam. Niektóre serwisy (np. Yahoo, Gmail) mogą mieć próg znacznie niższy (nawet 2.5), co oznacza ostrzejsze filtrowanie i ryzyko odrzucenia maila, który „ledwo co” przekroczył próg.

Każdy serwer ustawia próg punktowy – np. 5.0 (domyślny). Jeśli mail przekroczy próg – zostaje uznany za spam.

• Próg można ustawić niżej (np. 3.0) → ostrzejszy filtr.
• Próg można podnieść (np. 10.0) → luźniejszy filtr.

Dla użytkowników oznacza to, że samo „nie bycie spamem” u siebie, nie gwarantuje dostarczenia wiadomości do adresata. Dlatego tak ważne jest testowanie wiadomości narzędziami online, które pokazują wynik punktowy oraz konkretną regułę, która zawiodła. To pozwala dopracować kampanię mailingową zanim dojdzie do utraty reputacji domeny.

W praktyce:

• wiadomość z wynikiem 1.7 → prawdopodobnie trafi do inboxa,
• wynik 4.5 → może być podejrzany,
• wynik 7.8 → prawie na pewno spam.

4. Decyzja: co zrobić z wiadomością?

Po ustaleniu wyniku następuje działanie – i tu wchodzi konfiguracja z panelu hostingowego lub MTA (Mail Transfer Agent). Można opisać to jako etap, w którym „ręce administratora decydują o losie maila”. Wiadomość może zostać dostarczona do inboxa, przeniesiona do folderu SPAM, oznaczona w temacie lub — w skrajnym przypadku — usunięta jeszcze przed zapisaniem w skrzynce.

• Nie oznaczaj – dostarcz mail normalnie.
• Oznacz jako SPAM (zmień temat) – np. dodaj *****SPAM*****.
• Przenieś do folderu SPAM – bez kasowania.
• Usuń automatycznie – jeśli wynik jest bardzo wysoki (np. >15 punktów).

W systemach takich jak DirectAdmin, użytkownik może samodzielnie wybrać, czy chce „tolerować spam”, trzymać go w oddzielnym folderze, czy automatycznie usuwać najbardziej podejrzane wiadomości. Wybór ten wpływa zarówno na komfort pracy, jak i ryzyko utraty ważnych e-maili, np. od kontrahenta z nietypowego serwera.

5. Uczenie się na podstawie decyzji użytkownika (Bayes)

SpamAssassin nie tylko ocenia wiadomości statycznie. Jeśli skonfigurujemy funkcję Bayesa, filtr zacznie uczyć się na podstawie naszych decyzji. Gdy oznaczamy wiadomość jako spam (lub nie-spam), system zapamiętuje jej cechy – słowa, nagłówki, domeny, styl – i buduje statystyczny profil.

To uczenie maszynowe działa tym lepiej, im więcej danych dostarczymy. Możemy  porównać ten mechanizm do „zindywidualizowanego trenera”, który uczy się preferencji użytkownika i dostosowuje się z czasem. Warto jednak pamiętać, że baza Bayesowa może się też „rozstroić” – np. jeśli ktoś często mylnie oznacza ważne maile jako spam. Wówczas można ją zresetować.

6. Sprawdzenie reputacji IP, domeny i linków

Jedną z najbardziej niedocenianych funkcji SpamAssassina jest jego integracja z zewnętrznymi bazami reputacyjnymi (np. RBL – Real-time Blackhole List). Filtr sprawdza, czy adres IP serwera nadawcy nie znajduje się na liście zablokowanych. Jeśli tak – przyznaje wysoką punktację i najczęściej oznacza wiadomość jako spam.

Co ważne, sprawdzana jest nie tylko reputacja samego nadawcy, ale także linków osadzonych w wiadomości. Jeśli prowadzą one do domen znanych z phishingu, malware lub scamów, wynik spamowy może gwałtownie wzrosnąć. To pokazuje, że „czysty serwer” to za mało – trzeba też uważać, do jakich treści kierujemy odbiorców.

Reasumując, SpamAssassin korzysta z:

• czarnych list RBL (np. Spamhaus, Barracuda),
• list podejrzanych domen (np. skracaczy URL, nowych TLD),
• analiz DNS i Reverse DNS (np. brak rekordu PTR = podejrzane IP).

Etapy działania SpamAssassin

Dotarłeś do tego miejsca? Ok, to teraz spójrz na poniższą tabelę, gdzie uprościliśmy ten mechanizm. jeszcze raz przypomnimy SpamAssassin to nie tylko filtr – to inteligentny system punktujący, który działa jak kontroler jakości na bramce pocztowej. Każda wiadomość przechodzi przez szereg testów: od sprawdzenia adresu nadawcy, przez analizę nagłówków, aż po ocenę stylu treści.

Pomyśl o tym jak o „egzaminie dla maili”. Za dobre cechy – minus punkty (czyli dobrze!), za podejrzane elementy – punkty dodatnie (źle!). Gdy wynik przekroczy ustalony próg, wiadomość zostaje oznaczona jako spam. Proste, ale skuteczne. Zobacz, jak to wygląda w praktyce:

Pozytywne i negatywne punkty w SpamAssassin

A teraz popatrz niżej  jak interpretować wynik punktowy, który SpamAssassin przypisuje każdej wiadomości. To jak szkolna ocena (dosłownie) – ale w tym przypadku im mniej punktów, tym lepiej.

Maile z ujemnym wynikiem są w porządku  – prawdopodobnie od zaufanych źródeł. W przedziale 0–2 nadal jest ok, ale im dalej, tym gorzej. Przekroczysz 5–7 punktów? Ryzyko, że Twój mail nigdy nie trafi do odbiorcy, rośnie lawinowo. Uwaga też na linki, podejrzane domeny i błędy HTML – to właśnie one często windują wynik w górę. Sprawdź sam:

 Znasz już podstawy działania SpamAssassin, wiesz, co oznacza jego punktacja i jak przebiega cały proces analizy wiadomości. Ale jeśli interesuje Cię więcej szczegółów, sięgnij do dokumentacji dewelopera projektu SpamAssassin – to techniczne kompendium dla zaawansowanych.

Tymczasem zapraszamy Cię do naszej bazy wiedzy, gdzie znajdziesz:

• Czym właściwie jest SpamAssassin i jak chroni Twoją pocztę?
• Krok po kroku: jak skonfigurować SpamAssassin w panelu DirectAdmin
• Dlaczego Twoje maile trafiają do spamu – i jak temu zapobiec
• Jak ustawić własne filtry antyspamowe bezpośrednio w Roundcube (webmail)

Zajrzyj do naszych materiałów:

• Konfiguracja SpamAssassin w DirectAdmin
• Dlaczego poczta trafia do spamu? – techniczne i ludzkie podejście
• Korzyści z implementacji SPF, DKIM i DMARC
• Reguły wiadomości w Roundcube (filtry pocztowe)

Na koniec tylko przypomnimy: masz wpływ na to, jak wygląda Twoja skrzynka odbiorcza – i warto z tego wpływu korzystać.