Tu IP está en una lista de bloqueo: cómo comprobarlo en 5 minutos y qué te saca de verdad

El correo empieza a rebotar, el firewall de un socio deja de responder o una web le muestra a tu servidor un muro de captchas. Alguien dice «tu IP está en una lista negra», y el primer impulso es pedir otra. Normalmente es el primer paso equivocado. Así puedes averiguar qué está pasando de verdad, en unos cinco minutos, y qué lo arregla para siempre.

Qué es realmente una «lista de bloqueo»

La palabra abarca tres cosas distintas, y se arreglan de maneras distintas.

1. Listas de bloqueo DNS (DNSBL). Listas públicas de direcciones que enviaron spam o mostraron señales de estar comprometidas. Los servidores de correo las consultan en cada conexión entrante. Es lo que suele querer decir «en lista negra», y es el tipo que se puede arreglar.
2. Reputación privada en los grandes proveedores de correo. Los grandes servicios de webmail mantienen sus propias puntuaciones y no las publican. Ves el efecto (el correo acaba en spam o se retrasa), pero no hay lista que consultar, solo sus herramientas para remitentes.
3. Clasificación de la red. Muchas webs y sistemas antifraude tratan cualquier dirección de centro de datos como «hosting» y la ponen a prueba o la bloquean. No es un listado y no se puede retirar; describe a qué tipo de red pertenece la dirección.

El resto del artículo trata sobre todo del primer tipo, porque es el que puedes comprobar y arreglar tú mismo.

Las listas que merece la pena comprobar

• Spamhaus es la que usan más servidores de correo. Su zona combinada, ZEN, incluye la SBL (fuentes de spam conocidas), la XBL (máquinas infectadas o explotadas, alimentada por la CBL), la PBL (rangos que no deberían enviar correo directamente) y la CSS (spam «snowshoe» de bajo volumen).
• Barracuda gestiona su propia lista, que usan muchas pasarelas de correo corporativas.
• SpamCop lista direcciones denunciadas por usuarios; los listados caducan solos unas 24 horas después de la última denuncia.
• UCEPROTECT tiene tres niveles. El nivel 1 son direcciones individuales y caduca automáticamente tras siete días sin spam nuevo. Los niveles 2 y 3 listan asignaciones y redes enteras por el comportamiento de los vecinos, y venden la exclusión «exprés». Los grandes proveedores de correo rara vez se apoyan en los niveles 2 y 3.

La comprobación

Las listas DNS se consultan invirtiendo los octetos de la dirección y buscándola bajo la zona de la lista. Desde cualquier servidor Linux:

IP=203.0.113.7
REV=$(echo "$IP" | awk -F. '{print $4"."$3"."$2"."$1}')
for BL in zen.spamhaus.org b.barracudacentral.org bl.spamcop.net; do
  echo "$BL: $(dig +short "$REV.$BL" A | tr '\n' ' ')"
done

Sin respuesta significa que no está listada. Una respuesta en el rango 127.0.0.x significa que sí, y en Spamhaus el último número indica en qué parte de ZEN:

Esa última fila confunde a mucha gente. Spamhaus no responde a las consultas que llegan a través de los grandes resolutores DNS públicos y devuelve un código de error en su lugar. Si todas las comprobaciones parecen raras, ejecútalas desde un servidor que use su propio resolutor o usa la página de búsqueda de la web de cada lista. Algunas listas también piden a los usuarios intensivos que se registren antes de consultarlas por DNS.

Primero, corrige la causa

Una solicitud de exclusión sin corrección te da uno o dos días hasta el siguiente listado, y los listados repetidos tardan más en desaparecer. Así que averigua de dónde vino:

• ¿La dirección estaba listada antes de que la tuvieras? Compara la fecha del listado con la de creación de tu servidor. Un listado antiguo sin actividad nueva es el caso fácil: ve directamente al formulario de exclusión.
• Listado en XBL o CBL: la lista vio desde tu dirección tráfico típico de malware o de una botnet. Busca procesos que no reconozcas, conexiones salientes inesperadas al puerto 25, entradas nuevas en cron y claves SSH desconocidas. Una aplicación web comprometida o una contraseña débil son la puerta de entrada habitual. Si no estás seguro de que la máquina esté limpia, reconstrúyela.
• Listado en SBL o CSS: el correo de tu dirección parecía spam. Revisa formularios de contacto que envían correo sin captcha, scripts de boletines y cualquier servicio SMTP escuchando en la interfaz pública.
• ¿Envías correo siquiera? En muchos proveedores, los puertos salientes 25 y 465 están cerrados por defecto; el correo debería salir a través de un proveedor de correo por el puerto 587. Si nunca envías correo y aun así estás listado, es otra cosa del servidor la que lo hace.

Si ejecutas código no fiable en la misma máquina que envía tu correo, es el momento de separarlos. Una sandbox o un segundo servidor para el trabajo arriesgado mantiene sus problemas de reputación lejos de tu dirección de correo; niveles de aislamiento para código no fiable compara las opciones.

Después, pide la exclusión

• Spamhaus: usa la página de búsqueda, que enlaza con el proceso de retirada adecuado para esa zona. Las retiradas de XBL/CBL y PBL son de autoservicio una vez eliminada la causa; la retirada de PBL solo tiene sentido si de verdad tienes un servidor de correo con DNS inverso coincidente.
• Barracuda: envía el formulario de retirada con una breve explicación de lo que corregiste. Cuenta con hasta un día, más o menos.
• SpamCop: no hay nada que hacer; el listado caduca solo un día después de que paren las denuncias.
• UCEPROTECT: el nivel 1 caduca tras siete días sin spam nuevo. Ignora los niveles 2 y 3 y no pagues por la retirada.

Tras la exclusión, configura lo básico que te mantiene fuera de las listas: un nombre de DNS inverso que coincida con el hostname del servidor, SPF, DKIM y DMARC para tu dominio, y una tarea cron semanal que ejecute la comprobación de arriba y te avise por correo si algo cambia.

Cuándo una dirección nueva es la respuesta correcta

A veces lo es: por ejemplo, la dirección arrastra un listado antiguo en SBL que no consigues retirar, o necesitas una reputación limpia para un proyecto nuevo. Con nosotros, otra dirección significa un servidor nuevo: pídelo, migra tus datos y cancela el antiguo; cambiar tu dirección IP recorre todas las opciones. Si crees que un listado de tu dirección actual es erróneo, abre un ticket con el nombre de la lista y un enlace. Revisamos cada caso, pero no cambiamos direcciones a petición.

Dos últimos apuntes. Si la reputación importa algo (correo, listas de permitidos de socios, claves de API ligadas a una dirección), usa una tarifa con su propia IPv4, como Small-IP: en una tarifa NAT la dirección saliente no es tuya y no puede llevar tu propia reputación de remitente. Y si una web te bloquea porque estás en un centro de datos, ninguna lista ni ninguna nueva dirección de centro de datos lo cambiará; red y puertos explica qué expone cada tarifa.