Una blocklist IP, o blacklist, è una lista di indirizzi che i sistemi riceventi rifiutano o trattano con sospetto, il più delle volte perché hanno inviato spam o mostrano segni di compromissione. Alcune liste coprono interi range o reti anziché singoli indirizzi, e un listing può restare legato a un indirizzo quando passa al titolare successivo, quindi la storia di un blocco conta quanto il suo uso. La maggior parte dei listing finisce gratuitamente una volta cessata la causa.
Come funziona una blacklist
La maggior parte delle blacklist risponde tramite DNS. Un mail server che riceve una connessione da 192.0.2.99 interroga la lista per 99.2.0.192. seguito dalla zona della lista: una risposta come 127.0.0.2 significa in lista, nessuna risposta significa non in lista, e un record di testo di solito indica il motivo, che spesso finisce nel messaggio di rifiuto. L’RFC 5782 definisce la convenzione.
Non tutto ciò che si chiama blacklist funziona così:
| Tipo | Come risponde | Esempi |
|---|---|---|
| Blacklist DNS | In lista o no, per indirizzo o range | Spamhaus, SpamCop, UCEPROTECT, Barracuda |
| Punteggio di reputazione | Un punteggio graduato | Cisco Talos; AbuseIPDB, da 0 a 100 |
| Threat feed | Una lista che firewall e router usano per scartare tutto il traffico, non solo l’email | Spamhaus DROP, Spamhaus BCL |
| Classificazione | Un’etichetta come hosting, VPN o proxy, non un giudizio di abuso | I dati sugli IP anonimi di MaxMind, la lista degli hosting provider di AWS WAF |
Lo spazio in affitto si scontra più spesso con l’ultimo tipo. Un blocco senza alcuno storico di abusi può comunque essere etichettato come spazio di hosting e rifiutato da un servizio di streaming o da un sito dietro un firewall che filtra su quell’etichetta.
Cosa fa finire in lista un indirizzo
| Causa | Liste che alimenta |
|---|---|
| Email verso spam trap | UCEPROTECT Level 1, PSBL, Abusix |
| Destinatari che segnalano l’email come spam | SpamCop |
| Una macchina compromessa: malware, login brute force, un’app proxy | Spamhaus XBL, Abusix |
| Email massiva con bassa reputazione, scarsa igiene delle liste, un server mal configurato | Spamhaus CSS, invaluement |
| Operazioni di spam e l’hosting che le supporta | Spamhaus SBL, che può estendere un listing a un’intera rete |
| Range sottratti o affittati da organizzazioni criminali | Spamhaus DROP e la sua lista di ASN |
| Spazio di utenti finali che non dovrebbe inviare email direttamente | Spamhaus PBL, che dice che le sue voci sono “not necessarily ‘bad’” (traduzione: “non necessariamente ‘cattive’”) |
| Port scan e attacchi alla rete della lista stessa | UCEPROTECT Level 1 |
| Brute force e altri attacchi segnalati dai server che partecipano | blocklist.de |
| Il comportamento di un titolare precedente | Qualsiasi lista che non ha cancellato il listing |
Singoli indirizzi, range e reti intere
La maggior parte delle liste indica singoli indirizzi. Diverse lavorano su scala più ampia:
- Spamhaus SBL elenca “both individual IPs and IP ranges” (traduzione: “sia singoli IP sia range di IP”) e può estendere un listing all’infrastruttura stessa di una rete.
- Spamhaus PBL e DROP elencano range.
- UCEPROTECT Level 2 elenca un’intera allocazione quando raccoglie abbastanza hit di Level 1 entro sette giorni: quattro, per un /24, e meno per una più piccola, fino a un solo hit sotto un /27.
- UCEPROTECT Level 3 elenca ogni indirizzo annunciato da un ASN con troppi listing, quindi lo stesso blocco può essere in lista sotto una rete e pulito sotto un’altra.
- invaluement ha una lista di /24 interi.
Un blocco pulito può quindi finire in lista a causa dei suoi vicini o della rete che lo annuncia.
Le liste che contano nel 2026
| Lista | Come finisce un listing |
|---|---|
| Spamhaus SBL, CSS, XBL, PBL, DROP | SBL: solo l’operatore di rete può chiedere la rimozione. CSS: circa tre giorni dopo l’ultimo spam, o autorimozione. XBL: automaticamente, una volta cessato il comportamento. Mai a pagamento |
| Barracuda BRBL | Una richiesta di rimozione, di solito gestita entro 12 ore |
| SpamCop, gestita da Cisco | Automaticamente, 24 ore dopo l’ultima segnalazione |
| UCEPROTECT Level da 1 a 3 | Level 1: sette giorni dopo l’ultimo hit su spam trap. Level 2 e 3: quando i criteri non corrispondono più. Rimozione più rapida a pagamento |
| Microsoft , mittenti bloccati | Self-service sul suo portale di delisting, che può richiedere fino a 24 ore o più |
| Proofpoint e Cloudmark | Una richiesta tramite il suo strumento di verifica |
| Abusix | Self-service dopo la registrazione; altrimenti i listing scadono circa cinque giorni dopo l’ultimo evento negativo |
| Mailspike | Un modulo di richiesta, gestito entro 6-36 ore |
| PSBL | Chiunque può rimuovere un indirizzo, gratuitamente |
| AbuseIPDB, gestita da Marathon Studios | Un punteggio dalle segnalazioni degli utenti che decresce nel tempo; non esiste delisting |
| blocklist.de | Una pagina di delisting |
Le liste chiudono e si fondono. SORBS è stata chiusa il 5 giugno 2024, NiX Spam ha chiuso nel gennaio 2025, la CBL è diventata parte di Spamhaus XBL nel 2021, Spamhaus ha integrato EDROP in DROP il 10 aprile 2024, e il suo Blocklist Removal Center è diventato l’IP and Domain Reputation Checker il 4 marzo 2021. Uno strumento di verifica che riporta ancora SORBS non è aggiornato.
Ottenere il delisting
- Prima trova la causa e fermala. Una richiesta per un indirizzo che invia ancora spam viene rifiutata, e le richieste ripetute vengono spesso ignorate.
- Usa la procedura della lista stessa, dalla tabella sopra. Una lista che indica una rete, come un listing SBL, accetta la richiesta dall’operatore di rete, non dall’utente finale.
- Non pagare terzi. Spamhaus non fa mai pagare, e dice che qualsiasi offerta di rimuovere un listing Spamhaus a pagamento è una truffa. Dove esiste una tariffa, è la lista stessa a venderla: UCEPROTECT chiede 89 CHF per togliere subito un indirizzo dal Level 1, 249 CHF per un’allocazione e 449 CHF per un ASN, tutte facoltative, perché i listing scadono anche gratuitamente.
- Rispetta i tempi della lista. SpamCop cancella dopo 24 ore, Spamhaus CSS dopo circa tre giorni, Abusix dopo circa cinque, UCEPROTECT Level 1 dopo sette.
Controllare un blocco
| Strumento | Cosa controlla |
|---|---|
| Spamhaus IP and Domain Reputation Checker | Tutte le liste Spamhaus, per IPv4, IPv6 e domini |
| MxToolbox | Oltre cento blacklist DNS, con monitoraggio nei suoi piani |
| MultiRBL | Centinaia di liste, per IPv4, IPv6 e domini |
| HetrixTools | Circa 60 liste IP, solo IPv4, con monitoraggio da una volta al giorno |
| UCEPROTECT | I suoi tre livelli, e se è in lista un range o l’ASN |
| AbuseIPDB | Le segnalazioni contro un indirizzo, e un /24 in una volta tramite la sua API |
| Microsoft SNDS | Dati di Outlook.com per gli indirizzi di cui hai dimostrato il controllo |
Controlla tramite il tuo resolver: Spamhaus risponde alle query che arrivano tramite resolver DNS pubblici con 127.255.255.254, che è un rifiuto, non un listing. Prima di prendere un blocco, controlla ogni suo indirizzo, il range e la rete che lo annuncerà; il resto da verificare è in controllare un blocco prima di acquistarlo, e come mantenerlo pulito è in gestione della reputazione IP.
Ogni quanto controllare
Nessuno standard fissa un intervallo, quindi il nostro deriva da quanto durano i listing. Almeno una volta al giorno: SpamCop cancella un listing dopo un giorno e Spamhaus CSS dopo circa tre, quindi un controllo settimanale può non vederlo affatto. A intervalli di poche ore per gli indirizzi che inviano email. Ciò che conta di più è che un nuovo listing arrivi a qualcuno che interviene.
Dove entra RTM Networks
Controlliamo in modo continuo ogni indirizzo IPv4 che deteniamo su più di 10 blacklist. Un blocco che ti affittiamo viene controllato prima che tu lo riceva e monitorato finché lo hai, e monitoriamo blocchi anche per altre aziende, con un report dei loro listing: vedi monitoraggio blacklist, e chiedici se lo vuoi per i tuoi.
Contatti
Vuoi mantenere pulito il tuo spazio IP?
Dicci quali intervalli vuoi monitorare e come le segnalazioni di abuso devono essere inoltrate ai tuoi clienti. Di solito rispondiamo entro 1-3 ore lavorative.
