Seu IP está numa lista de bloqueio: como verificar em 5 minutos e o que realmente tira você de lá

Os e-mails começam a voltar, o firewall de um parceiro para de responder ou um site mostra ao seu servidor uma parede de captchas. Alguém diz “seu IP está na lista negra”, e o primeiro impulso é pedir outro. Normalmente esse é o primeiro passo errado. Veja como descobrir o que realmente está acontecendo, em uns cinco minutos, e o que resolve de vez.

O que é, de fato, uma “lista de bloqueio”

A palavra cobre três coisas diferentes, e elas se resolvem de formas diferentes.

1. Listas de bloqueio DNS (DNSBLs). Listas públicas de endereços que enviaram spam ou mostraram sinais de comprometimento. Servidores de e-mail as consultam a cada conexão de entrada. É isso que “estar na lista negra” costuma significar, e é o tipo que tem conserto.
2. Reputação privada nos grandes provedores de e-mail. Os grandes serviços de webmail mantêm as próprias pontuações e não as publicam. Você vê o efeito (e-mails caem no spam ou são adiados), mas não há lista para consultar, só as ferramentas para remetentes deles.
3. Classificação da rede. Muitos sites e sistemas antifraude tratam qualquer endereço de datacenter como “hospedagem” e o desafiam ou bloqueiam. Isso não é uma listagem e não pode ser removido; descreve a que tipo de rede o endereço pertence.

O restante deste artigo trata principalmente do primeiro tipo, porque é o que você mesmo pode verificar e corrigir.

As listas que vale verificar

• Spamhaus é a que mais servidores de e-mail usam. A zona combinada, ZEN, inclui a SBL (fontes conhecidas de spam), a XBL (máquinas infectadas ou exploradas, alimentada pela CBL), a PBL (faixas que não deveriam enviar e-mail diretamente) e a CSS (spam “snowshoe” de baixo volume).
• Barracuda mantém a própria lista, usada por muitos gateways de e-mail corporativos.
• SpamCop lista endereços denunciados por usuários; as listagens expiram sozinhas cerca de 24 horas após a última denúncia.
• UCEPROTECT tem três níveis. O nível 1 é de endereços individuais e expira automaticamente após sete dias sem spam novo. Os níveis 2 e 3 listam alocações e redes inteiras pelo comportamento dos vizinhos e vendem remoção “expressa”. Grandes provedores de e-mail raramente se apoiam nos níveis 2 e 3.

A verificação

Listas DNS são consultadas invertendo os octetos do endereço e procurando-o sob a zona da lista. De qualquer servidor Linux:

IP=203.0.113.7
REV=$(echo "$IP" | awk -F. '{print $4"."$3"."$2"."$1}')
for BL in zen.spamhaus.org b.barracudacentral.org bl.spamcop.net; do
  echo "$BL: $(dig +short "$REV.$BL" A | tr '\n' ' ')"
done

Sem resposta significa não listado. Uma resposta na faixa 127.0.0.x significa listado, e no Spamhaus o último número indica em que parte do ZEN:

Essa última linha confunde muita gente. O Spamhaus não responde a consultas que chegam por grandes resolvedores DNS públicos e devolve um código de erro no lugar. Se todas as verificações parecerem estranhas, rode-as de um servidor que use o próprio resolvedor, ou use a página de consulta no site de cada lista. Algumas listas também pedem que usuários intensivos se registrem antes de consultá-las por DNS.

Primeiro, corrija a causa

Um pedido de remoção sem correção compra um ou dois dias até a próxima listagem, e listagens repetidas demoram mais para sair. Então descubra de onde ela veio:

• O endereço já estava listado antes de ser seu? Compare a data da listagem com a data de criação do servidor. Uma listagem antiga sem atividade nova é o caso fácil: vá direto ao formulário de remoção.
• Listagem na XBL ou CBL: a lista viu do seu endereço um tráfego típico de malware ou botnet. Procure processos que você não reconhece, conexões de saída inesperadas na porta 25, novas entradas no cron e chaves SSH desconhecidas. Um app web comprometido ou uma senha fraca é a porta de entrada habitual. Se não tiver certeza de que a máquina está limpa, reconstrua-a.
• Listagem na SBL ou CSS: e-mails do seu endereço pareciam spam. Verifique formulários de contato que enviam e-mail sem captcha, scripts de newsletter e qualquer serviço SMTP escutando na interface pública.
• Você sequer envia e-mail? Em muitos provedores, as portas de saída 25 e 465 vêm fechadas por padrão; e-mails devem sair por um provedor de e-mail na porta 587. Se você nunca envia e-mail e mesmo assim está listado, é outra coisa no servidor que está enviando.

Se você roda código não confiável na mesma máquina que envia seus e-mails, este é o momento de separá-los. Uma sandbox ou um segundo servidor para o trabalho arriscado mantém os problemas de reputação dele longe do seu endereço de e-mail; níveis de isolamento para código não confiável compara as opções.

Depois, peça a remoção

• Spamhaus: use a página de consulta, que leva ao processo de remoção certo para aquela zona. Remoções de XBL/CBL e PBL são self-service depois que a causa some; a remoção da PBL só faz sentido se você realmente roda um servidor de e-mail com DNS reverso correspondente.
• Barracuda: envie o formulário de remoção com uma explicação curta do que corrigiu. Conte com até mais ou menos um dia.
• SpamCop: nada a fazer; a listagem expira sozinha cerca de um dia depois que as denúncias param.
• UCEPROTECT: o nível 1 expira após sete dias sem spam novo. Ignore os níveis 2 e 3 e não pague pela remoção.

Depois da remoção, configure o básico que mantém você fora das listas: um nome de DNS reverso que corresponda ao hostname do servidor, SPF, DKIM e DMARC para o seu domínio, e uma tarefa cron semanal que roda a verificação acima e manda um e-mail se algo mudar.

Quando um endereço novo é a resposta certa

Às vezes é: por exemplo, o endereço carrega uma listagem antiga na SBL que você não consegue remover, ou você precisa de reputação limpa para um projeto novo. Conosco, outro endereço significa um servidor novo: contrate-o, migre seus dados e depois cancele o antigo; trocar o endereço IP percorre todas as opções. Se você acha que uma listagem do endereço atual está errada, abra um ticket com o nome da lista e um link. Analisamos cada caso, mas não trocamos endereços a pedido.

Dois últimos pontos. Se a reputação importa de alguma forma (e-mail, listas de permissão de parceiros, chaves de API presas a um endereço), use um plano com IPv4 próprio, como o Small-IP: num plano NAT o endereço de saída não é seu e não pode carregar a sua própria reputação de remetente. E se um site bloqueia você por estar num datacenter, nenhuma lista e nenhum endereço novo de datacenter vai mudar isso; rede e portas explica o que cada plano expõe.