Cómo comprobar si una IP o un dominio está en una lista negra

Qué es una lista negra de DNS

Una DNSBL es una lista de direcciones publicada como registros DNS. Un servidor de correo receptor toma la IP del remitente, la invierte, le añade el dominio de la lista de bloqueo, y le pregunta al DNS si existe un registro. Si existe, el remitente está listado, y la respuesta suele codificar un código de motivo. Todo el intercambio se hace con una sola consulta DNS, que es por lo que se usa la técnica: deja que un servidor de correo decida en milisegundos, antes de aceptar un mensaje.

Las propias listas las llevan operadores independientes con políticas distintas. Algunas listan solo direcciones detectadas enviando spam a una dirección trampa. Algunas listan rangos enteros de direcciones IP de consumidor o dinámicas por principio, porque el correo legítimo no debería originarse ahí. Algunas listan en función de máquinas comprometidas, relés abiertos o tráfico de malware. No hay ninguna autoridad central ni una sola lista que importe en todas partes, así que "¿estoy en una lista negra?" es en realidad "¿estoy en las listas que usan mis destinatarios?".

Cómo comprobarlo

La forma fácil es una herramienta que consulta muchas listas de una pasada y muestra cuáles responden. Hacerlo a mano para una sola lista se ve así, con los octetos de la IP invertidos:

# comprobando 198.51.100.25 contra una lista en dnsbl.example.org
dig +short 25.100.51.198.dnsbl.example.org A
dig +short 25.100.51.198.dnsbl.example.org TXT

Una respuesta vacía significa que no está listado. Un registro A, normalmente en el rango 127.0.0.x, significa que está listado, y el último octeto es el código de motivo del operador. El registro TXT normalmente lleva una explicación legible por humanos y un enlace a la página de retirada, que es la parte que necesitas.

Comprueba la dirección correcta. Para el correo, esa es la IP pública desde la que envía tu servidor de correo, que a menudo no es la misma que la IP de tu sitio web. Comprueba cada dirección desde la que envías, incluido un MX de respaldo y cualquier servicio de correo transaccional que uses en tu propio dominio.

Listas de IP, listas de dominio y sistemas de reputación

• Las listas de bloqueo de IP listan la dirección remitente. Esta es la DNSBL clásica y la que más probablemente cause un rechazo directo.
• Las listas de bloqueo de dominio (URIBL) listan dominios que aparecen dentro de los cuerpos de los mensajes, no el remitente. Un dominio puede quedar listado porque los spammers lo anuncian en correo enviado desde las máquinas de otro por completo, lo que significa que puedes quedar listado sin haber enviado nunca el correo.
• Los sistemas de reputación que llevan los grandes proveedores de buzones no son en absoluto listas públicas. Puntúan a los remitentes de forma continua según las tasas de queja, las tasas de rebote y la autenticación, y producen la versión de este problema que no puedes consultar: el correo se acepta y se entrega en spam. Ninguna consulta pública muestra esto, por lo que "no estoy en ninguna lista negra" y "estoy entregando en la bandeja de entrada" son afirmaciones distintas.

La reputación web y las listas de malware son una cuarta categoría. Afectan a las advertencias del navegador y a la visibilidad en buscadores en lugar de al correo, y un sitio puede aparecer en una de ellas después de haberse comprometido, mucho después de que se haya limpiado el compromiso.

Qué hacer cuando estás listado

1. Lee primero el motivo. El registro TXT o el sitio web de la lista dice por qué. Pedir la retirada sin arreglar la causa hace que vuelvas a quedar listado, a menudo con una penalización más larga.
2. Encuentra qué está enviando. Revisa los registros del servidor de correo en busca de picos de volumen y de mensajes que no enviaste. Las causas habituales son una cuenta de correo comprometida, un formulario de contacto o CMS vulnerable usado como relé, un relé abierto mal configurado, o una máquina de tu red infectada y enviando directamente.
3. Detenlo, y luego verifica. Cambia las credenciales comprometidas, parchea o desactiva el formulario, cierra el relé, elimina la infección. Confirma que el volumen saliente ha vuelto a la normalidad antes de hacer nada más.
4. Arregla los básicos de autenticación. SPF válido, firma DKIM, un registro DMARC, DNS directo e inverso coincidentes para la IP remitente, y un nombre de host en el HELO que resuelva. Varias listas no retirarán un host que falle en esto, y los sistemas de reputación les dan mucho peso.
5. Pide la retirada. Usa el propio formulario del operador. La mayoría tiene una retirada de autoservicio para una primera inclusión; algunas retiran automáticamente tras un periodo tranquilo. Sé específico sobre qué estaba mal y qué cambiaste.
6. Vigila la ventana de reinclusión. Las inclusiones repetidas escalan. Vuelve a comprobar tras unos días y de nuevo tras un par de semanas.

Si la inclusión es sobre un rango y no sobre tu única dirección, la solución no depende de ti. Contacta con tu proveedor de hosting, porque todo el bloque está afectado. Si tu IP se te reasignó hace poco, la inclusión puede pertenecer a quien la tuviera antes, y las solicitudes de retirada que lo explican normalmente se aceptan.

Detectar una inclusión mientras la causa todavía está en los registros

Una lista negra es uno de los fallos que nadie nota a tiempo. Nada de tu servidor se rompe. El correo simplemente deja de llegar, y la primera señal a menudo es un cliente diciendo que nunca le llegó el mensaje, días después. La monitorización periódica de listas negras vuelve a comprobar tus direcciones contra las listas con un intervalo y avisa ante una inclusión nueva, así que te enteras mientras la causa todavía se puede rastrear en los registros en lugar de semanas después. La monitorización de listas negras de DNS ejecuta esas comprobaciones de forma continua, la herramienta de comprobación de listas negras ejecuta un escaneo puntual, y cómo averiguar quién aloja un sitio web muestra cómo conseguir el contacto de abuso de la red implicada.