反濫發電郵 ── 實施指引

本文件補充香港互聯網供應商協會 (HKISPA)向其全體成員推薦的《反濫發電郵 ─ ─ 實務守則》(http://www.hkispa.org.hk/antispam/cop.html) 文件。本實施指引旨在就遵從實務守則而推行的措施提供更多資料和秘訣，包括在草擬實務守則的過程中所蒐集得的資料。互聯網的新技術發展一日千里，因此，本實施指引未有隨實務守則一併夾附，以便經常更新。

歡迎各成員就本文件作出建議。本文件的最新版本載於 http://www.hkispa.org.hk/antispam/guidelines.html 。

對象

本文件的對象主要是服務供應商和網站營辦商，他們或其顧客能夠發出電子形式的訊息，包括電郵、新聞稿件、郵址名單發布等。

為何我要參與打擊「濫發電郵」行動？

如您對「濫發電郵」毫無認識，可參考 http://spam.abuse.net/ 的介紹。服務供應商和營辦商應參與打擊「濫發電郵」行動，理由如下：

「濫發電郵」侵佔您的頻寬、電郵伺服器中央處理器時間和磁碟空間，而發送「濫發電郵」至您的伺服器的一方幾乎不必承擔費用。
您的顧客不喜歡「濫發電郵」充塞他們的收信箱。在顧客服務方面，您應向顧客提供協助，以盡量減少他們接獲的「濫發電郵」數量。這是挽留顧客的方法之一。
如您的網站或您的顧客發出大量「濫發電郵」，您的網站很可能會被列入郵件伺服器黑名單 (http://maps.vix.com)。不久您便會發現很多電郵主機開始拒收由您的伺服器發出的所有電郵，包括正當的電郵在內，因為愈來愈多在互聯網上的電郵伺服器選擇拒絕與黑名單上的伺服器進行任何接駁。
如您的電郵伺服器可用於開放式轉送 (open relaying)，該伺服器很可能會被侵佔，用以傳送「濫發電郵」。不久您便會發現您的伺服器已被列入上述黑名單。
做一個富責任感的法人公民。

本文件的結構

本文件沿用實務守則的標題，陳述額外的資料。本文件須與實務守則一併閱讀，作為實務守則的參考資料和實施指引。

「濫發電郵」的定義

正如實務守則所載，「濫發電郵」被界定為「在互聯網上充斥着某電子信息的大量複本，而該信息是未經收件人許可而發出的，即收件人沒有要求索取這信息。「濫發電郵」信息會要求用戶做某些事情，例如前往某網站或購買某服務。這信息可以是電子郵件，但也同樣可以是另一種形式的電子信息，例如 Usenet 的文章。」

HKISPA 認為，上述定義是對「濫發電郵」所作的最起碼定義。各成員可考慮在其可接受的使用政策中納入上述定義。如因情況或經營規模需要，各成員亦可進一步解釋並量化上述定義。 HKISPA 鼓勵各成員因應本身要求採用較嚴謹的定義。

下面載錄 MCI 公司對「濫發電郵」的定義，以供參考。

在 Usenet 或其他新聞組、討論區、電郵郵址名單或其他類似的小組或名單發布 10 份或以上相似內容的信息；

在任何 Usenet 或其他新聞組、討論區、電郵郵址名單或其他類似的小組或名單，發布根據有關小組或名單的約章或其他主持人發布的常見問題集 (FAQ) 或描述屬離題的文章；

向多於 25 位電郵用戶發送他們未有要求的電郵，而可合理預期這些未經收件人許可的電郵會招來投訴；

在使用 MCI的服務時，向 MCI或該服務的其他用戶提供經捏改的用戶資料；

使用另一家供應商的服務從事任何上文提及的活動，但透過 MCI 的戶口、電子轉發器以進行上述活動、或透過 MCI 的服務或使用 MCI 的戶口作為接收回應的電郵信箱、或使用另一家供應商的服務，而其目的是方便進行上文提及的活動，而可合理預期這類使用另一方的服務會對 MCI的服務造成不利影響。

條款和條件

實務守則涵蓋的成員必須規定能夠製造「濫發電郵」的顧客遵從合約條件，從而令他們不發送「濫發電郵」，否則將終止其戶口。條件亦應訂明「濫發電郵」的定義。

各成員可考慮在服務合約內加入下列元素：

就何時執行暫停和停止戶口的懲罰訂立更具體的指引，例如：應否在用戶首次違反可接受的使用政策時便暫停其戶口？
最低的可接受暫停服務時間是多少，例如在暫停服務後多久才能重開同一個電郵戶口，有什麼程序和政策、罰則等。
各成員可自行考慮在服務合約內加入向違反可接受的使用政策的顧客徵收「清理費」的條文。此舉可對發送「濫發電郵」者處以罰款。

技術措施

電郵轉送

舊版的電郵軟件均預設可用於開放式轉送。最新的電郵軟件已附有防範「濫發電郵」的設備，包括阻止電郵轉送的功能。如您的電郵伺服器可用於開放式轉送，便應升級至不可用於轉送的版本，或把該伺服器完全移離互聯網。其中 http://www.sendmail.org/tips/relaying.html 說明把時下最流行的電郵伺服器 Sendmail調校為不可用於開放式轉送的方法，而 http://www.glenns.org/spam/sendmail/antispam.html 則說明把其他常見的電郵伺服器調校為不可用於開放式轉送的方法。

郵件伺服器黑名單

使用現時由 Vixie Enterprises 免費提供的郵件伺服器黑名單 (Real Time Black Hole List) 是防範「濫發電郵」的簡單有用方法。最流行的電郵伺服器 Sendmail 的最新版本支援郵件伺服器黑名單的使用。相關資料載於：

http://maps.vix.com/
http://www.sendmail.org/antispam.html

限制萬維網電郵和預付戶口外送電郵的數量

如您有提供免費電郵服務或預付短期戶口，這些戶口很可能被用作發送匿名電郵或「濫發電郵」。限制每個戶口每日可發出的電郵數量實屬明智之舉。

您或許會發現 Sendmail 的 Max Recipients 限制 (版本 8.10) 很有用處。截至二零零零年二月八日，該軟件仍在測試階段。

您可向軟件供應商查詢限制每個戶口每日轉送電郵數量的方法。

阻止以外送傳輸控制協議 ( TCP ) 在 25 埠通往互聯網 (即簡單郵件傳送協議 (SMTP))

專業的濫發電郵者會利用交換式撥號接駁在每次撥號取得不同的互聯網協議 (IP) 位址，然後直接透過外送傳輸控制協議 (TCP) 接駁方式在 25 埠連接外界的電郵伺服器。

為堵塞這個漏洞，應阻止您的撥號調制解調器以 TCP 接駁方式在 25埠連接外界的主機。在您的撥號上網顧客中，有 99% 不會在 25埠直接接駁外界的主機，而是用電郵客戶器 (Outlook、 Netscape 等 )以有關互聯網服務供應商的電郵伺器傳送電郵。餘下的 1% 顧客如非因正當需要而必須直接接駁外界的主機 (您可個別照顧這些顧客 )，就是濫發電郵者。

要阻止從您的調制解調器組別以 TCP 接駁方式連接外界的主機，最好在您的邊界路由器進行。此外，您也可以選擇把所有通往 25 埠的外送 TCP 接駁轉往您自己的電郵伺服器。

過濾外來的「濫發電郵」

HKISPA 和電訊管理局的意見認為，由互聯網服務供應商過濾外來電郵，從而剔除「濫發電郵」，不符合經濟原則。然而，如您的顧客要求提供「濫發電郵」過濾服務，您或許會對這些資料感興趣。

http://www.sendmail.org/antispam.html 可作為起點。

http://www.glenns.org/spam/sendmail.antispam.html 提供有關各種電郵伺服器軟件防範「濫發電郵」的措施的有用資料。

http://www.gtoal.com/spam/sendmail.html 提供簡單有用的計分式過濾器供 Sendmail 使用。

限制以網絡新聞傳輸協議 ( NNTP ) 發布訊息

把新聞組伺服器限制只供您的顧客使用是明智之舉。開放式新聞組伺服器與開放式電郵轉送會產生同樣的問題，因為它打開了「自由進入點」，讓大量「濫發電郵」進入互聯網。

除限定只供您的顧客發布新聞稿件外，新式的 NNTP 伺服器軟件設有限制每個顧客每天可發布稿件數目的裝置。詳情請參考您的 NNTP軟件。

郵址名單

郵址名單軟件 (例如 Majordomo) 有些裝置可供設定，容許用戶輸入簡易的指令，便可取得名單上所有訂戶的電郵地址。我們建議禁用這項指令。

行政措施

舉報

應設立「濫發電郵」戶口，所有傳送到這個戶口的電郵應轉送至能夠調查這類投訴及採取行動的負責人或隊伍。惟須注意，僅成立「濫發電郵」戶口並不足夠，應草擬適當的工作程序，以處理送往這個戶口的投訴，令所有向這個戶口提出的投訴均獲回覆。不作回應的「濫發電郵」戶口只會告訴人們這家互聯網服務供應商是不負責任的。

調查和行動

服務供應商有責任調查轉送至「濫發電郵」戶口的所有投訴。如證明投訴屬實，而有關「濫發電郵」源自接獲投訴的互聯網服務供應商，有關供應商應按其服務合約對發出「濫發電郵」的顧客採取行動。

投訴人或實際發出「濫發電郵」的一方 (甚至雙方 )與接獲投訴的互聯網服務供應商毫不相干的情況，有時也會出現。這種情況可能因幾種原因造成。例如，投訴人向其服務供應商投訴時，未有檢查在「濫發電郵」標頭列出的表面出處，或濫發電郵者偽造標頭資料，為接獲投訴一方製造虛假線索。在這種情況下，接獲這些投訴的成員應盡合理的努力，以確定有關「濫發電郵」的真正出處，然後向有關服務供應商或主機營辦商報告有關問題。我們知道為發送「濫發電郵」者服務的一方或有關主機營辦商可能不受實務守則約束，即是他在香港以外的地方或並非 HKISPA 成員。然而，至少亦應向他報告其用戶的行為和其所造成的滋擾。

宣傳

經證實符合實務守則的互聯網服務供應商的名稱會在 HKISPA 的網站公布。歡迎各成員在其公司網站貼上反濫發電郵標識，並將之連結至 HKISPA 的反濫發電郵網頁。

遵從業務守則

遵從守則的證據由各互聯網服務供應商呈交 HKISPA 執行委員會，以證明有關供應商已符合實務守則訂明的所有條款。這是 HKISPA 的最低標準。

未有遵從業務守則

HKISPA 執行委員會保留取消任何團體用廣告宣傳他們已遵從 HKISPA反濫發電郵行動的權利。如能證明某方在未有合理理由下藐視實務守則的條款，即可採取是項措施。 HKISPA執行委員會可酌情採取進一步行動。

聯絡人
葉旭暉
HKISPA 反濫發電郵委員會
lento@netfront.net
25171209

反 濫 發 電 郵 ── 實 施 指 引

反濫發電郵 ── 實施指引