Como verificar se um IP ou domínio está em uma blacklist

O que é uma blacklist de DNS

Uma DNSBL é uma lista de endereços publicada como registros DNS. Um servidor de e-mail de destino pega o IP remetente, o inverte, anexa o domínio da lista de bloqueio, e pergunta ao DNS se existe um registro. Se existir, o remetente está listado, e a resposta geralmente codifica um código de motivo. A troca inteira leva uma única consulta DNS, e é por isso que a técnica é usada: ela permite que um servidor de e-mail decida em milissegundos, antes de aceitar uma mensagem.

As listas em si são operadas por operadores independentes com políticas diferentes. Algumas listam só endereços flagrados enviando spam para um endereço-armadilha. Algumas listam faixas inteiras de endereços IP de consumidor ou dinâmicos por princípio, porque e-mail legítimo não deveria se originar ali. Algumas listam com base em máquinas comprometidas, relays abertos ou tráfego de malware. Não há uma autoridade central e nenhuma lista única que importa em todo lugar, então "estou em uma blacklist" na verdade é "estou nas listas que os meus destinatários usam".

Como verificar

O jeito fácil é uma ferramenta que consulta várias listas em uma passada e mostra quais respondem. Fazer isso na mão para uma única lista se parece com isso, com os octetos do IP invertidos:

# verificando 198.51.100.25 contra uma lista em dnsbl.example.org
dig +short 25.100.51.198.dnsbl.example.org A
dig +short 25.100.51.198.dnsbl.example.org TXT

Uma resposta vazia significa não listado. Um registro A, tipicamente na faixa 127.0.0.x, significa listado, e o último octeto é o código de motivo do operador. O registro TXT geralmente carrega uma explicação legível por humanos e um link para a página de remoção, que é a parte que você precisa.

Verifique o endereço certo. Para e-mail, esse é o IP público a partir do qual o seu servidor de e-mail envia, que muitas vezes não é o mesmo IP do seu site. Verifique todo endereço a partir do qual você envia, incluindo um MX de backup e qualquer serviço de e-mail transacional que você usa no seu próprio domínio.

Listas de IP, listas de domínio e sistemas de reputação

• Blacklists de IP listam o endereço remetente. Essa é a DNSBL clássica e a mais provável de causar rejeição direta.
• Blacklists de domínio (URIBLs) listam domínios que aparecem dentro dos corpos das mensagens, não o remetente. Um domínio pode ser listado porque spammers o anunciam em e-mail enviado a partir das máquinas de outra pessoa completamente, o que significa que você pode ser listado sem nunca ter enviado o e-mail.
• Sistemas de reputação operados por grandes provedores de caixa de e-mail não são listas públicas de forma alguma. Eles pontuam remetentes continuamente com base em taxas de reclamação, taxas de devolução e autenticação, e produzem a versão desse problema que você não consegue consultar: o e-mail é aceito e entregue no spam. Nenhuma consulta pública mostra isso, e é por isso que "não estar em nenhuma blacklist" e "estar entregando na caixa de entrada" são afirmações diferentes.

Listas de reputação web e malware são uma quarta categoria. Elas afetam avisos de navegador e visibilidade de busca em vez de e-mail, e um site pode aparecer em uma depois de ser comprometido, muito depois de o comprometimento ter sido limpo.

O que fazer quando você está listado

1. Leia o motivo primeiro. O registro TXT ou o site da lista diz o porquê. Pedir remoção sem corrigir a causa faz você ser listado de novo, muitas vezes com uma penalidade mais longa.
2. Encontre o que está enviando. Verifique os logs do servidor de e-mail em busca de picos de volume e mensagens que você não enviou. As causas usuais são uma conta de e-mail comprometida, um formulário de contato ou CMS vulnerável sendo usado como relay, um relay aberto mal configurado, ou uma máquina na sua rede infectada e enviando diretamente.
3. Pare isso, depois verifique. Mude as credenciais comprometidas, corrija ou desative o formulário, feche o relay, remova a infecção. Confirme que o volume de saída voltou ao normal antes de fazer qualquer outra coisa.
4. Corrija o básico de autenticação. SPF válido, assinatura DKIM, um registro DMARC, DNS direto e reverso correspondentes para o IP remetente, e um nome de host no HELO que resolve. Várias listas não removem um host que falha nisso, e sistemas de reputação pesam isso fortemente.
5. Peça a remoção. Use o próprio formulário do operador. A maioria tem uma remoção de autoatendimento para uma primeira listagem; algumas removem automaticamente depois de um período quieto. Seja específico sobre o que estava errado e o que você mudou.
6. Fique de olho na janela de nova listagem. Listagens repetidas escalam. Verifique de novo depois de alguns dias e de novo depois de algumas semanas.

Se a listagem é em uma faixa em vez do seu único endereço, a correção não é sua para fazer. Entre em contato com o seu provedor de hospedagem, porque o bloco inteiro é afetado. Se o seu IP foi recentemente reatribuído a você, a listagem pode pertencer a quem o tinha antes, e pedidos de remoção explicando isso geralmente são aceitos.

Pegando uma listagem enquanto a causa ainda está nos logs

Estar em uma blacklist é uma das falhas que ninguém percebe a tempo. Nada no seu servidor quebra. O e-mail simplesmente para de chegar, e o primeiro sinal muitas vezes é um cliente dizendo que nunca recebeu a mensagem, dias depois. O monitoramento agendado de blacklist reverifica os seus endereços contra as listas em um intervalo e alerta sobre uma listagem nova, então você fica sabendo enquanto a causa ainda é rastreável nos logs em vez de semanas depois. O monitoramento de blacklist de DNS roda essas verificações continuamente, a ferramenta de verificação de blacklist roda uma varredura avulsa, e como descobrir quem hospeda um site mostra como conseguir o contato de abuso da rede envolvida.