Recursos
IP em blacklists: que listas importam, como funciona a remoção e quanto custa
Uma blocklist de IP, ou blacklist, é uma lista de endereços que os sistemas recetores recusam ou tratam com desconfiança, na maioria das vezes porque enviaram spam ou mostram sinais de estarem comprometidos. Algumas listas abrangem intervalos ou redes inteiras em vez de endereços isolados, e uma listagem pode acompanhar um endereço quando este passa para o titular seguinte, pelo que o histórico de um bloco importa tanto como o seu uso. A maioria das listagens termina gratuitamente quando a causa para.
Como funciona uma blocklist
A maioria das blocklists responde por DNS. Um servidor de email que recebe uma ligação de 192.0.2.99 pergunta à lista por 99.2.0.192. seguido da zona da lista: uma resposta como 127.0.0.2 significa listado, a ausência de resposta significa não listado, e um registo de texto indica normalmente o motivo, que acaba muitas vezes na mensagem de rejeição. O RFC 5782 descreve a convenção.
Nem tudo o que se chama blacklist funciona assim:
| Tipo | Como responde | Exemplos |
|---|---|---|
| Blocklist DNS | Listado ou não, por endereço ou intervalo | Spamhaus, SpamCop, UCEPROTECT, Barracuda |
| Pontuação de reputação | Uma pontuação graduada | Cisco Talos; AbuseIPDB, de 0 a 100 |
| Feed de ameaças | Uma lista que firewalls e routers usam para descartar todo o tráfego, não só o email | Spamhaus DROP, Spamhaus BCL |
| Classificação | Uma etiqueta como hosting, VPN ou proxy, não um juízo sobre abuso | Os dados de IP anónimo da MaxMind, a lista de fornecedores de hosting do AWS WAF |
O espaço alugado esbarra com mais frequência no último tipo. Um bloco sem qualquer registo de abuso pode mesmo assim ser classificado como espaço de hosting e recusado por um serviço de streaming ou por um site atrás de uma firewall que filtra por essa etiqueta.
O que leva um endereço a ser listado
| Causa | Listas que alimenta |
|---|---|
| Email para spam traps | UCEPROTECT Level 1, PSBL, Abusix |
| Destinatários que denunciam email como spam | SpamCop |
| Uma máquina comprometida: malware, logins por força bruta, uma aplicação proxy | Spamhaus XBL, Abusix |
| Email em massa de baixa reputação, má higiene de listas, um servidor mal configurado | Spamhaus CSS, invaluement |
| Operações de spam e o hosting que as suporta | Spamhaus SBL, que pode alargar uma listagem a uma rede inteira |
| Intervalos tomados ou alugados por operações criminosas | Spamhaus DROP e a sua lista de ASN |
| Espaço de utilizadores finais que não deveria enviar email diretamente | Spamhaus PBL, que diz que as suas entradas "not necessarily 'bad'" (tradução: "não são necessariamente 'más'") |
| Varrimentos de portas e ataques à rede da própria lista | UCEPROTECT Level 1 |
| Ataques de força bruta e outros denunciados pelos servidores participantes | blocklist.de |
| O comportamento de um titular anterior | Qualquer lista que não tenha retirado a listagem |
Endereços isolados, intervalos e redes inteiras
A maioria das listas indica endereços isolados. Várias funcionam a uma escala maior:
- A Spamhaus SBL lista "both individual IPs and IP ranges" (tradução: "tanto IP individuais como intervalos de IP") e pode alargar uma listagem à infraestrutura própria de uma rede.
- A Spamhaus PBL e a DROP listam intervalos.
- A UCEPROTECT Level 2 lista uma alocação inteira quando esta acumula ocorrências suficientes no Level 1 em sete dias: quatro, para um /24, e menos para uma menor, até uma única abaixo de um /27.
- A UCEPROTECT Level 3 lista todos os endereços anunciados por um ASN com demasiadas listagens, pelo que o mesmo bloco pode estar listado sob uma rede e limpo sob outra.
- A invaluement tem uma lista de /24 inteiros.
Um bloco limpo pode, portanto, ficar listado por causa dos seus vizinhos ou da rede que o anuncia.
As listas que importam em 2026
| Lista | Como termina uma listagem |
|---|---|
| Spamhaus SBL, CSS, XBL, PBL, DROP | SBL: só o operador da rede pode pedir a remoção. CSS: cerca de três dias após o último spam, ou remoção pelo próprio. XBL: automaticamente, quando o comportamento para. Nunca com custos |
| Barracuda BRBL | Um pedido de remoção, normalmente tratado em 12 horas |
| SpamCop, gerida pela Cisco | Automaticamente, 24 horas após a última denúncia |
| UCEPROTECT Levels 1 a 3 | Level 1: sete dias após a última ocorrência numa spam trap. Levels 2 e 3: quando os critérios deixam de se verificar. Remoção mais rápida mediante pagamento |
| Microsoft remetentes bloqueados | Self-service no seu portal de remoção, o que pode demorar até 24 horas ou mais |
| Proofpoint e Cloudmark | Um pedido através da sua pesquisa |
| Abusix | Self-service após registo; caso contrário, as listagens expiram cerca de cinco dias após o último evento negativo |
| Mailspike | Um formulário de pedido, tratado em 6 a 36 horas |
| PSBL | Qualquer pessoa pode remover um endereço, gratuitamente |
| AbuseIPDB, gerida pela Marathon Studios | Uma pontuação baseada em denúncias de utilizadores que diminui com o tempo; não há remoção |
| blocklist.de | Uma página de remoção |
As listas fecham e fundem-se. A SORBS foi encerrada a 5 de junho de 2024, a NiX Spam fechou em janeiro de 2025, a CBL passou a fazer parte da Spamhaus XBL em 2021, a Spamhaus integrou a EDROP na DROP a 10 de abril de 2024, e o seu Blocklist Removal Center é o IP and Domain Reputation Checker desde 4 de março de 2021. Uma ferramenta de verificação que ainda indique a SORBS está desatualizada.
Conseguir a remoção
- Encontre a causa e pare-a primeiro. Um pedido para um endereço que continua a enviar spam é recusado, e pedidos repetidos são muitas vezes ignorados.
- Use o processo da própria lista, da tabela acima. Uma lista que indica uma rede, como uma listagem na SBL, aceita o pedido do operador da rede, não do utilizador final.
- Não pague a terceiros. A Spamhaus nunca cobra, e diz que qualquer oferta para retirar uma listagem da Spamhaus mediante pagamento é uma burla. Onde existe uma taxa, é a própria lista que a vende: a UCEPROTECT cobra 89 CHF para retirar de imediato um endereço do Level 1, 249 CHF por uma alocação e 449 CHF por um ASN, tudo opcional, porque as listagens também expiram gratuitamente.
- Aguarde os prazos da própria lista. A SpamCop retira ao fim de 24 horas, a Spamhaus CSS ao fim de cerca de três dias, a Abusix ao fim de cerca de cinco, a UCEPROTECT Level 1 ao fim de sete.
Verificar um bloco
| Ferramenta | O que verifica |
|---|---|
| Spamhaus IP and Domain Reputation Checker | Todas as listas da Spamhaus, para IPv4, IPv6 e domínios |
| MxToolbox | Mais de cem blocklists DNS, com monitorização nos seus planos |
| MultiRBL | Centenas de listas, para IPv4, IPv6 e domínios |
| HetrixTools | Cerca de 60 listas de IP, apenas IPv4, com monitorização a partir de uma vez por dia |
| UCEPROTECT | Os seus três níveis, e se um intervalo ou o ASN está listado |
| AbuseIPDB | Denúncias contra um endereço, e um /24 de uma vez através da sua API |
| Microsoft SNDS | Dados do Outlook.com para endereços que provou controlar |
Verifique através do seu próprio resolver: a Spamhaus responde às consultas que chegam por resolvers DNS públicos com 127.255.255.254, o que é uma recusa, não uma listagem. Antes de ficar com um bloco, verifique todos os endereços nele, o intervalo e a rede que o vai anunciar; o resto do que deve ver está em verificar um bloco antes de o comprar, e como o manter limpo está em gestão da reputação IP.
Com que frequência verificar
Nenhuma norma define um intervalo, por isso o nosso decorre da duração das listagens. Pelo menos uma vez por dia: a SpamCop retira uma listagem ao fim de um dia e a Spamhaus CSS ao fim de cerca de três, pelo que uma verificação semanal pode não detetar uma de todo. De poucas em poucas horas para endereços que enviam email. O que mais importa é que uma nova listagem chegue a alguém que atue sobre ela.
Onde entra a RTM Networks
Verificamos continuamente cada endereço IPv4 que detemos em mais de 10 blocklists. Um bloco que lhe alugamos é verificado antes de o receber e monitorizado enquanto o tiver, e também monitorizamos blocos de outras empresas, com um relatório das suas listagens: consulte monitorização de blacklists, e fale connosco se a quiser para os seus.
Contacto
Quer manter o seu espaço IP limpo?
Diga-nos que intervalos quer monitorizar e como as denúncias de abuso devem ser encaminhadas para os seus clientes. Normalmente respondemos em 1 a 3 horas úteis.
