Recursos
Listas negras de IP: cuáles importan, cómo salir de ellas y cuánto cuesta
Una lista negra (blacklist) de IP, o blocklist, es una lista de direcciones que los sistemas receptores rechazan o tratan con recelo, casi siempre porque enviaron spam o muestran señales de estar comprometidas. Algunas listas cubren rangos o redes enteras en lugar de direcciones sueltas, y un listado puede seguir a una dirección cuando pasa a su siguiente titular, así que el historial de un bloque importa tanto como su uso. La mayoría de los listados terminan gratis cuando la causa ha cesado.
Cómo funciona una lista negra
La mayoría de las listas negras responden por DNS. Un servidor de correo que recibe una conexión de 192.0.2.99 pregunta a la lista por 99.2.0.192. seguido de la zona de la lista: una respuesta como 127.0.0.2 significa que está listada, ninguna respuesta significa que no lo está, y un registro de texto suele dar el motivo, que a menudo acaba en el mensaje de rechazo. El RFC 5782 fija la convención.
No todo lo que se llama lista negra funciona así:
| Tipo | Cómo responde | Ejemplos |
|---|---|---|
| Lista negra DNS | Listada o no, por dirección o rango | Spamhaus, SpamCop, UCEPROTECT, Barracuda |
| Puntuación de reputación | Una puntuación graduada | Cisco Talos; AbuseIPDB, de 0 a 100 |
| Feed de amenazas | Una lista que firewalls y routers usan para descartar todo el tráfico, no solo el correo | Spamhaus DROP, Spamhaus BCL |
| Clasificación | Una etiqueta como hosting, VPN o proxy, no un juicio sobre abuso | Los datos de IP anónimas de MaxMind, la lista de proveedores de hosting de AWS WAF |
El espacio alquilado tropieza sobre todo con el último tipo. Un bloque sin historial de abuso puede estar etiquetado igualmente como espacio de hosting y ser rechazado por un servicio de streaming o por un sitio web tras un firewall que filtra por esa etiqueta.
Qué lleva a una dirección a una lista
| Causa | Listas a las que alimenta |
|---|---|
| Correo a trampas de spam | UCEPROTECT Level 1, PSBL, Abusix |
| Destinatarios que marcan el correo como spam | SpamCop |
| Una máquina comprometida: malware, inicios de sesión por fuerza bruta, una app de proxy | Spamhaus XBL, Abusix |
| Correo masivo de baja reputación, mala higiene de listas, un servidor mal configurado | Spamhaus CSS, invaluement |
| Operaciones de spam y el hosting que las sostiene | Spamhaus SBL, que puede ampliar un listado a una red entera |
| Rangos tomados o alquilados por operaciones criminales | Spamhaus DROP y su lista de ASN |
| Espacio de usuario final que no debería enviar correo directamente | Spamhaus PBL, que dice que sus entradas «not necessarily 'bad'» (traducción: «no son necesariamente “malas”») |
| Escaneos de puertos y ataques a la propia red de la lista | UCEPROTECT Level 1 |
| Fuerza bruta y otros ataques notificados por los servidores participantes | blocklist.de |
| El comportamiento de un titular anterior | Cualquier lista que no haya retirado el listado |
Direcciones sueltas, rangos y redes enteras
La mayoría de las listas nombran direcciones sueltas. Varias trabajan a mayor escala:
- Spamhaus SBL lista «both individual IPs and IP ranges» (traducción: «tanto IP individuales como rangos de IP») y puede extender un listado a la propia infraestructura de una red.
- Spamhaus PBL y DROP listan rangos.
- UCEPROTECT Level 2 lista una asignación entera cuando reúne suficientes entradas de Level 1 en siete días: cuatro, para un /24, y menos para una más pequeña, hasta una sola por debajo de un /27.
- UCEPROTECT Level 3 lista todas las direcciones anunciadas por un ASN con demasiados listados, así que el mismo bloque puede estar listado bajo una red y limpio bajo otra.
- invaluement tiene una lista de /24 enteros.
Por eso un bloque limpio puede estar listado por culpa de sus vecinos o de la red que lo anuncia.
Las listas que importan en 2026
| Lista | Cómo termina un listado |
|---|---|
| Spamhaus SBL, CSS, XBL, PBL, DROP | SBL: solo el operador de la red puede pedir la retirada. CSS: unos tres días después del último spam, o autorretirada. XBL: automáticamente, cuando cesa el comportamiento. Nunca un pago |
| Barracuda BRBL | Una solicitud de retirada, normalmente atendida en 12 horas |
| SpamCop, gestionada por Cisco | Automáticamente, 24 horas después del último aviso |
| UCEPROTECT Levels 1 a 3 | Level 1: siete días después de la última trampa de spam. Levels 2 y 3: cuando dejan de cumplirse los criterios. Retirada más rápida de pago |
| Microsoft remitentes bloqueados | Autoservicio en su portal de retirada, que puede tardar hasta 24 horas o más |
| Proofpoint y Cloudmark | Una solicitud a través de su consulta |
| Abusix | Autoservicio tras registrarse; si no, los listados caducan unos cinco días después del último incidente |
| Mailspike | Un formulario de solicitud, atendido en 6 a 36 horas |
| PSBL | Cualquiera puede retirar una dirección, gratis |
| AbuseIPDB, gestionada por Marathon Studios | Una puntuación a partir de avisos de usuarios que decae con el tiempo; no hay retirada |
| blocklist.de | Una página de retirada |
Las listas cierran y se fusionan. SORBS cerró el 5 de junio de 2024, NiX Spam cerró en enero de 2025, la CBL pasó a formar parte de Spamhaus XBL en 2021, Spamhaus integró EDROP en DROP el 10 de abril de 2024, y su Blocklist Removal Center es el IP and Domain Reputation Checker desde el 4 de marzo de 2021. Un comprobador que todavía muestra SORBS está desactualizado.
Salir de una lista
- Encuentra la causa y detenla primero. Una solicitud para una dirección que sigue enviando spam se rechaza, y las solicitudes repetidas a menudo se ignoran.
- Usa el procedimiento de la propia lista, de la tabla anterior. Una lista que nombra una red, como un listado SBL, acepta la solicitud del operador de la red, no del usuario final.
- No pagues a un tercero. Spamhaus nunca cobra, y dice que cualquier oferta de quitar un listado de Spamhaus a cambio de dinero es una estafa. Donde existe un pago, lo vende la propia lista: UCEPROTECT cobra 89 CHF por retirar al momento una dirección de Level 1, 249 CHF por una asignación y 449 CHF por un ASN, todo opcional, porque los listados también caducan gratis.
- Espera los plazos de la propia lista. SpamCop retira tras 24 horas, Spamhaus CSS tras unos tres días, Abusix tras unos cinco, UCEPROTECT Level 1 tras siete.
Comprobar un bloque
| Herramienta | Qué comprueba |
|---|---|
| Spamhaus IP and Domain Reputation Checker | Todas las listas de Spamhaus, para IPv4, IPv6 y dominios |
| MxToolbox | Más de cien listas negras DNS, con monitorización en sus planes |
| MultiRBL | Cientos de listas, para IPv4, IPv6 y dominios |
| HetrixTools | Unas 60 listas de IP, solo IPv4, con monitorización desde una vez al día |
| UCEPROTECT | Sus tres niveles, y si están listados un rango o el ASN |
| AbuseIPDB | Avisos contra una dirección, y un /24 de una vez a través de su API |
| Microsoft SNDS | Datos de Outlook.com para direcciones que has demostrado controlar |
Comprueba a través de tu propio resolver: Spamhaus responde a las consultas que llegan por resolvers DNS públicos con 127.255.255.254, que es un rechazo, no un listado. Antes de quedarte con un bloque, comprueba cada dirección, el rango y la red que lo anunciará; el resto de lo que hay que mirar está en comprobar un bloque antes de comprarlo, y cómo mantenerlo limpio en gestión de la reputación de IP.
Cada cuánto comprobar
Ningún estándar fija un intervalo, así que el nuestro se deriva de cuánto duran los listados. Al menos una vez al día: SpamCop retira un listado tras un día y Spamhaus CSS tras unos tres, así que una comprobación semanal puede no ver uno nunca. Cada pocas horas para direcciones que envían correo. Lo que más importa es que un listado nuevo llegue a alguien que actúe.
Dónde encaja RTM Networks
Comprobamos de forma continua cada dirección IPv4 que tenemos contra más de 10 listas negras. Un bloque que te alquilamos se comprueba antes de que lo recibas y se monitoriza mientras lo tienes, y también monitorizamos bloques de otras empresas, con un informe de sus listados: consulta monitorización de listas negras, y pregúntanos si lo quieres para los tuyos.
Contacto
¿Quieres mantener limpio tu espacio IP?
Dinos qué rangos quieres monitorizar y cómo deben dirigirse los avisos de abuse a tus clientes. Normalmente respondemos en 1 a 3 horas laborables.
