Blocklists (blacklists): como descobrir e sair

Seu relatório mostrou o IP ou o domínio "listado" em uma blocklist (também chamada de blacklist ou lista de bloqueio)? Calma: nem toda lista tem o mesmo peso, e quase todas têm um caminho de saída. Este guia explica como as principais funcionam, o que costuma causar a listagem e como pedir a remoção do jeito certo.

O que é uma blocklist

Uma blocklist é uma base de IPs ou domínios associados a envio de spam, máquinas comprometidas ou má configuração. A maioria é consultada via DNS (por isso o nome DNSBL): o servidor que recebe a mensagem pergunta à lista se o IP que está conectando, ou os domínios dos links, estão cadastrados. Cada servidor decide quais listas consultar e quanto peso dar a cada uma. Gmail, Outlook e Yahoo usam principalmente reputação própria, mas muitos provedores, empresas e filtros antispam consultam listas públicas.

As listas que mais aparecem

Spamhaus

A mais usada e a que mais pesa. Ela tem várias listas, com causas e caminhos de remoção diferentes:

• ZEN: não é uma lista à parte, e sim a consulta combinada das listas de IP (SBL, CSS, XBL e PBL). Quem consulta a ZEN recebe um código que diz em qual delas o IP está.
• SBL: listagens feitas pela equipe da Spamhaus para fontes de spam verificadas e serviços que dão suporte a spammers. É a mais grave. A remoção exige resolver a causa e, muitas vezes, envolve o provedor dono do IP. A CSS, que faz parte dela, é automática e pega IPs com padrão de envio de baixa reputação.
• XBL: IPs com sinais de máquina comprometida (vírus, bot, proxy aberto). É automática. Limpe o servidor ou a rede e depois peça a remoção pelo site.
• PBL: faixas de IP que, pela política do provedor de acesso, não deveriam entregar e-mail diretamente (conexões residenciais, IPs dinâmicos). Não é punição por spam. Se o IP é seu, fixo e de um servidor de e-mail de verdade, com PTR adequado, dá para pedir a saída; se não, envie pelo servidor SMTP autenticado do seu provedor.
• DBL: lista de domínios, não de IPs. Pega domínios que aparecem em links ou no remetente de spam. Se o seu domínio está na DBL, o problema costuma ser um site comprometido, um encurtador de links ou um domínio de rastreamento compartilhado.

A consulta e o pedido de remoção são feitos pelo verificador oficial da Spamhaus, que explica o motivo de cada listagem.

Barracuda (BRBL)

Usada por quem tem os appliances e o serviço de e-mail da Barracuda, comuns em empresas. A consulta e o pedido de remoção ficam no Barracuda Central e são gratuitos. Resolva a causa antes de pedir, ou o IP volta para a lista.

SpamCop

Alimentada por denúncias de usuários e por armadilhas de spam (spam traps). A listagem é automática e expira sozinha depois que as denúncias param, então o trabalho é descobrir de onde vêm as reclamações e cortar a origem.

UCEPROTECT

Funciona em níveis:

• Nível 1: o IP individual, por envio a armadilhas de spam. Expira automaticamente depois de um período sem novas ocorrências.
• Nível 2: uma faixa de IPs onde vários endereços estão no nível 1.
• Nível 3: o sistema autônomo (ASN) inteiro, ou seja, todo o provedor.

Nos níveis 2 e 3 você é listado por causa dos vizinhos, e não há nada que possa fazer sozinho além de esperar e avisar o provedor. A UCEPROTECT oferece remoção expressa paga. Não pague: o nível 1 expira sozinho quando a causa é resolvida, pagar não corrige o que gerou a listagem e não impede uma nova. Antes de se preocupar, veja se algum destinatário seu realmente consulta essa lista.

SPFBL

Projeto brasileiro, muito usado por provedores e empresas no Brasil, inclusive em soluções antispam de hospedagem. Ele combina reputação de IPs e domínios com o resultado do SPF. Para quem envia para destinatários brasileiros, vale acompanhar. A consulta e o pedido de remoção são feitos pelo próprio site do SPFBL, e o processo pode exigir confirmação por um endereço ligado ao domínio ou ao IP.

O que costuma causar a listagem

• Conta de e-mail invadida: senha fraca ou vazada, usada para disparar spam pelo seu servidor.
• Script comprometido no site: formulários sem proteção ou plugins vulneráveis que enviam e-mail pelo PHP.
• Lista comprada ou antiga: endereços abandonados viram armadilhas de spam, e um envio basta para listar o IP.
• Bounces ignorados: continuar enviando para endereços que não existem.
• Reclamações: muita gente marcando a mensagem como spam, em geral por falta de consentimento claro ou de descadastro fácil.
• Vizinhança: em IP compartilhado ou faixa de provedor, o comportamento de outros clientes.
• IP residencial ou dinâmico: entregar e-mail direto de uma conexão que não deveria fazer isso (caso típico da PBL).

Como sair, passo a passo

1. Confirme qual lista e o motivo. A página de consulta de cada lista costuma explicar a causa e o que ela espera de você.
2. Ache e corrija a causa. Troque senhas, ative autenticação forte, procure scripts maliciosos, pare envios para listas suspeitas, revise o volume de saída do servidor. Pedir remoção sem corrigir leva a uma nova listagem, e a segunda remoção costuma ser mais difícil.
3. Peça a remoção pelo canal oficial da lista. Remoção é gratuita nas listas sérias.
4. Acompanhe. Consulte de novo nos dias seguintes e fique de olho em bounces e reclamações.

Um alerta sobre resultados "_BLOCKED"

No SpamAssassin, regras terminadas em _BLOCKED (como URIBL_BLOCKED) não querem dizer que você está listado. Elas indicam que a consulta do analisador à lista foi recusada, geralmente porque saiu por um resolvedor DNS público. É uma limitação do lado de quem analisa, não do seu servidor.

Como testar

O Rapid Cloud MailTester consulta várias blocklists para o IP que entregou a sua mensagem e mostra em quais ele aparece. Depois de pedir a remoção, envie um novo teste para confirmar.

Na Rapid Cloud: a hospedagem de sites e a revenda incluem SMTP dedicado e AntiSPAM SPFBL. Se o IP que envia os seus e-mails é da Rapid Cloud e apareceu listado, fale com o suporte. Depois, teste de novo no MailTester.