SendmailとかPostfixとかは、
Content-Type: に report-type=delivery-status が含まれている事で
バウンスとして判断して問題ないみたいなんだけど、例外があるようなので、
それも条件に追加しました。qmailの場合は、
Received: に (qmail ddd invoked for bounce) が含まれていました。
また、OCNの場合はPostfixなんだけど、
Received: に .ocn.ne.jp (Postfix) via BOUNCE が含まれるものになりそうです。
とりあえず、手元にあるvirus-alertのメールを調べて限り例外はこれぐらい。
あとは、普通にISPからリースされている動的なIPアドレスだと思われます。
これとホワイトリストで大部分は登録ミスが減らせるような気がするんだけどなぁ。
もうちょっと様子を見てから、MLに投げてみよう。