白名单里的网段永远不会出现在封禁结果里——无论走防火墙订阅还是程序接口取数据，只要与白名单有任何重叠，该条就不会下发。 自有办公网出口、云厂商回源段、监控拨测节点、合作方地址都要加进来。 本页只做展示——白名单的添加和删除都在 WordPress 后台 → 威胁 IP 管理 → 白名单管理 里操作。
把下面的地址填进防火墙、雷池 WAF 或 ipset 定时任务，它会自动带上白名单过滤。地址里带 token，避免被外部随意抓取。
「防火墙订阅」那个页签生成的是可直接使用的规则配置（ipset / nginx deny / iptables），填进设备就能生效。
这里给的是纯数据——默认返回纯 IP 列表，无注释、无表头，任何语言一行代码就能解析，由程序自己决定怎么用。
支持增量拉取与内容版本号：内容没变时客户端可直接跳过，不必重复下发。
mode=full 拉全量，之后把上一次的时间戳带上
mode=delta&since=1789628803，就只返回那之后有变化的 IP。X-Content-Version 是内容哈希——和上次相同说明内容没变，可以直接跳过处理，
不必重复下发防火墙规则。X-API-Token: <token>，避免密钥出现在 URL 和访问日志里。
同一个 IP，不同来源的可靠性差别很大。我们不做简单的"在名单上就算"，而是给每条记录算一个 0~100 的置信度。
| 组成部分 | 说明 | 加分范围 |
|---|---|---|
| 来源自身可信度 | 每个源预设一个 0~100 的可信度，取命中的源里最高的那个作为基数 | 40 ~ 95 |
| 多源交叉加成 | 每多一个源同时命中 +5 分。多个独立来源都指向同一个 IP，可信度显著更高 | 0 ~ +25 |
| 聚合评分加成 | ipsum 这类"统计被多少黑名单收录"的源，命中次数 × 1.5 | 0 ~ +15 |
| 命中情况 | 算出来 | 说明 |
|---|---|---|
| Spamhaus DROP 单独命中 | 95 | 被劫持网段，来源本身极可靠，可以直接封 |
| Spamhaus DROP + 另外 2 个源 | 100 | 多源交叉，封顶——这类条目会被 6 个以上来源同时命中 |
| Feodo C2 单独命中 | 92 | 僵尸网络 C2 服务器，高价值 |
| ipsum 单源、只被 1 个黑名单收录 | 62 | 低可信，只作参考 |
| ipsum 单源、被 10 个黑名单收录 | 75 | 多个黑名单都收录了，可信度提升 |
| FireHOL level3 单独命中 | 55 | 三级名单，误报率较高 |
| 置信度 | 建议动作 |
|---|---|
| 100 | 满分 · 多源交叉验证。被 6 个及以上独立来源同时命中，是最可靠的一档，优先级最高 |
| 95 ~ 99 | 可以放心封禁。这类基本都是官方认定的恶意网段或 C2 地址 |
| 80 ~ 94 | 建议先观察。误报率不高，但建议先用观察模式跑一段时间 |
| 60 ~ 79 | 仅作参考，不建议自动封禁。这类多为聚合名单里的低频命中 |
| < 60 | 背景信息，一般不封。含 DoH 加密 DNS、垃圾邮件源等 |
8.8.8.8 标为"加密 DNS 服务"——这个标记是准确的，
但它不是你封禁 8.8.8.8 的理由。所以导出和订阅默认排除 DoH 与垃圾邮件类，避免把"事实描述"当成"封禁建议"。
| 来源 | 内容 | 可信度 |
|---|
所有数据均来自公开发布的威胁情报列表，采集后统一归一化、去重、交叉评分，每 15 分钟自动更新。 涉及 Cloudflare、Google 等共享地址段的条目会被白名单自动排除。