O seu IP está em uma lista de bloqueio?

Resposta rápida: o que significa estar em uma lista de bloqueio

O que é uma lista de bloqueio de IP e quem a consulta

O mecanismo é simples. Quando chega uma mensagem, o servidor de destino olha de qual endereço IP ela vem e o procura em uma ou várias listas. Essa consulta viaja por DNS, e daí vem o nome técnico dessas listas: DNSBL, listas de bloqueio baseadas em DNS. Se o endereço consta em alguma, a mensagem é recusada durante a própria conexão, antes de chegar a qualquer caixa de entrada.

Cada lista é mantida por uma organização diferente — projetos antispam, empresas de segurança — e cada uma decide por conta própria quem inclui e quando retira. Não há autoridade central nem critério comum: um endereço pode constar em uma lista e estar impecável nas demais, e o procedimento para sair muda de uma para outra. Entre as mais conhecidas estão Spamhaus, Barracuda e SORBS.

O e-mail não é o único que pergunta. Firewalls, serviços de segurança e regras de CDN também consultam listas de reputação, e aí o efeito não é uma devolução, e sim uma requisição bloqueada: a página nem chega a carregar e quase nunca explicam o porquê.

O endereço avaliado é sempre o público, aquele que a sua rede mostra para fora; os internos do tipo 192.168.x.x não saem para a internet e não aparecem em nenhuma lista. Se você não sabe com qual está navegando, a verificação de qual é o meu IP público mostra para você, e a consulta de ASN indica a qual rede ele pertence.

Quais listas existem por trás e o que cada uma aponta

Falar de “a lista de bloqueio” no singular confunde, porque não existe uma só, e sim dezenas, e cada uma responde a uma pergunta diferente. Saber qual delas marcou você muda completamente a leitura do resultado.

• Listas de fontes de spam. Registram endereços dos quais se observou envio em massa não solicitado, normalmente com provas por trás: mensagens que caíram em caixas-armadilha ou denúncias acumuladas. São as que mais pesam em uma recusa.
• Listas de máquinas comprometidas. Reúnem endereços com sintomas de infecção ou de estarem sob controle de terceiros: tráfego de botnet, proxies abertos, padrões de envio automatizado. Aqui o endereço não é culpado, e sim vítima, mas o efeito na caixa de entrada do destinatário é o mesmo.
• Listas de política, não de abuso. As mais mal interpretadas. Marcam intervalos que, por decisão da própria operadora, não deveriam enviar e-mail diretamente para a internet: quase todas as conexões residenciais e móveis estão ali. Aparecer em uma delas não significa que você tenha feito algo; significa que a sua conexão não é um servidor de e-mail e que você deve enviar pelo servidor de saída do seu provedor.
• Listas de intervalo e de sistema autônomo. Algumas marcam blocos inteiros, e até redes completas, pela conduta de poucos clientes. São as mais controversas, e muitos servidores de e-mail as ignoram ou usam apenas o seu nível mais conservador justamente por isso.

Essa diferença explica uma situação muito comum: um endereço residencial que aparece em uma lista de política e em nenhuma outra. Não há nada para corrigir nem nada para pedir. O resultado só está dizendo que essa conexão não foi pensada para conversar de igual para igual com outros servidores de e-mail.

Vale acrescentar algo que quase nunca se conta: as listas nascem e morrem. Alguns projetos funcionam há décadas e outros fecham, e quando isso acontece o nome continua vivo na configuração de servidores que ninguém revisou. Se uma devolução menciona uma lista que não existe mais, o problema não está no seu endereço, e sim no servidor que continua a consultá-la, e a única coisa a fazer é avisar o destinatário.

Como ler um resultado fonte por fonte

A consulta a uma lista DNSBL não é uma chamada a uma API nem uma busca em um site: é uma pergunta de DNS. Os quatro octetos do endereço são invertidos e recebem o nome da zona no final, de modo que 198.51.100.7 é perguntado como 7.100.51.198 seguido do domínio da lista. Por isso a resposta chega no mesmo formato de qualquer outra resposta DNS, e por isso só existem três desfechos possíveis.

• Sem resposta. O endereço não consta nessa zona. É o resultado normal e o que você verá na maioria das fontes.
• Resposta com um endereço 127.0.0.x. O endereço está listado. O último número não é decorativo: ele codifica em qual sublista específica o endereço caiu, e aí está a diferença entre “vimos spam saindo daqui” e “isto é uma conexão residencial”. Junto com essa resposta costuma vir um registro TXT com o motivo por escrito e o link para o formulário de remoção.
• Erro ou resposta anômala. Nem listado nem limpo: a consulta não pôde ser concluída. Acontece por tempo esgotado, por uma zona desativada ou, com muita frequência, porque a pergunta saiu de um resolvedor público. Várias listas grandes não atendem consultas gratuitas que chegam pelos resolvedores abertos mais usados e devolvem um código de recusa em vez de um veredito.

Esse terceiro caso é o que gera mais conclusões erradas, porque à primeira vista se parece com um resultado limpo. Um painel honesto os separa: “Não listado” e “Fonte indisponível” não significam a mesma coisa, e só o primeiro é um sinal. Se uma fonte aparece repetidamente sem veredito, refaça a consulta mais tarde antes de tirar qualquer conclusão, para um lado ou para o outro.

E vale a pena ler o resultado fonte por fonte em vez de ficar só com a contagem. Estar em uma lista consultada por quase todos os grandes provedores de e-mail tem consequências imediatas; estar em uma lista marginal que quase ninguém usa pode não ter nenhuma. O número de listas em que você aparece importa muito menos do que quais são elas.

Por que um IP acaba marcado

Quase nunca é um castigo por algo que você fez de propósito. Estas são as causas que se repetem.

• Um aparelho da sua rede enviou spam. O motivo mais frequente. Um computador, um celular ou até uma câmera conectada é infectado e começa a enviar mensagens em massa sem que ninguém em casa ou no escritório perceba.
• O seu endereço participou de um ataque de força bruta. Tentativas repetidas de acesso contra servidores de terceiros — SSH, painéis de administração, formulários de login — geram denúncias automáticas contra o IP de origem.
• Um servidor de e-mail aberto. Um relay mal configurado permite que qualquer pessoa o use para retransmitir mensagens: o spam sai com o seu endereço e as denúncias chegam em seu nome.
• Uma conta comprometida. Uma senha vazada basta para que alguém envie campanhas a partir da sua própria caixa de e-mail, com o seu servidor e a sua reputação.
• O bloco carrega histórico. O intervalo ao qual o seu endereço pertence pode ter estado nas mãos de um spammer ou dividir a vizinhança com endereços marcados. Algumas listas marcam intervalos inteiros.
• Herança por endereço dinâmico. Você recebeu um IP que já vinha marcado pelo que o ocupante anterior fez.

Essa última causa importa mais do que parece. A maioria das conexões residenciais usa endereços dinâmicos: o que você recebe hoje pode não ser o de amanhã, então às vezes você herda um histórico alheio. Conexões empresariais e servidores costumam ter IP fixo, e aí a marca não some sozinha: é preciso pedir a remoção.

Se você sai por uma VPN, divide o endereço com muito mais gente, e basta uma única pessoa abusar para que ele fique marcado: é por isso que alguns serviços começam a bloquear você logo ao conectar. Para saber qual endereço você mostra de verdade, o teste de vazamentos de VPN o compara com o da sua conexão real, e a geolocalização de IP mostra qual país e qual operadora constam para ele.

Quando os e-mails voltam: como saber se a culpa é da lista

A maioria das pessoas chega até aqui por causa de uma devolução: uma mensagem que volta com um texto em inglês cheio de siglas. Há três coisas a fazer, nesta ordem.

Leia a devolução inteira, não só a primeira linha. Quando a recusa vem de uma lista de bloqueio, o texto costuma citá-la e incluir um endereço web onde consultar o motivo e pedir a remoção. Ali você já tem meia resposta e, além disso, sabe qual lista específica está bloqueando você.

Identifique qual IP está sendo avaliado. Raramente é o do seu computador. Se você envia pelo Gmail, pelo Outlook ou por qualquer webmail, o endereço que o destinatário vê é o desse provedor, e o problema não está na sua conexão. Se a sua empresa tem servidor de e-mail próprio, ou se você envia de uma VPS ou de um formulário hospedado no seu site, aí sim: o endereço marcado é esse, e é ele que precisa ser verificado.

Descarte o que não é lista de bloqueio. Muitas devoluções não têm a ver com a reputação do IP. Os registros SPF, DKIM e DMARC do domínio estão ausentes ou mal escritos; o servidor não tem um registro PTR coerente com o nome que anuncia; o filtro de conteúdo do destinatário descarta a mensagem; ou a caixa de entrada não existe mais. Os registros de autenticação ficam nas entradas TXT do domínio e são lidos com a consulta de registros DNS. O contato de abuso do intervalo, caso você acabe precisando escrever para alguém, consta na consulta WHOIS desse endereço.

Qual endereço você precisa verificar

É a etapa em que mais se perde tempo. A reputação é sempre avaliada sobre o IP que estabelece a conexão, e esse endereço muda conforme o que você está tentando resolver.

• E-mail enviado pelo Gmail, Outlook ou outro webmail. O endereço que o destinatário vê é o do provedor, não o seu. Verificar o IP da sua casa não acrescenta nada: se as suas mensagens voltam, o motivo estará no conteúdo, na autenticação do domínio ou na reputação do próprio provedor.
• Servidor de e-mail próprio, VPS ou formulário hospedado no seu site. Aqui sim faz sentido. O endereço a verificar é o público dessa máquina, que quase nunca coincide com o da sua conexão. Você o encontra no painel do provedor ou nos cabeçalhos Received de uma mensagem que você mesmo enviou.
• Bloqueios ao navegar, não ao enviar e-mail. Nesse caso, o endereço relevante é o de saída da sua conexão, o mesmo que qualquer site que você abre enxerga.
• Atrás de uma VPN. Verifique o endereço do servidor VPN, que é o que você mostra para fora, e lembre que você o divide com muito mais gente.
• Site atrás de uma CDN. Os visitantes veem o endereço da CDN, então o do seu servidor de origem quase não influencia no site; ele continua pesando, por outro lado, no e-mail que sai dessa máquina.

Um atalho útil: se o problema é uma devolução, o endereço correto costuma vir escrito no próprio texto da recusa, porque os servidores costumam citá-lo literalmente junto com o motivo. Comece por aí antes de sair procurando.

Como sair de uma lista de bloqueio, passo a passo

1. Descubra qual lista marcou você. Cada uma tem o seu próprio procedimento, o seu próprio formulário e os seus próprios prazos. Pedir a remoção no lugar errado não adianta nada.
2. Corrija a causa antes de pedir qualquer coisa. Faça uma varredura de malware nos aparelhos, feche a retransmissão aberta do servidor de e-mail, troque as senhas das contas comprometidas e revise os formulários do site que permitem enviar mensagens sem controle.
3. Peça a remoção em cada lista. Quase todas publicam um formulário em que você informa o endereço e, às vezes, o que corrigiu.
4. Verifique de novo depois de 24 ou 48 horas. Em algumas listas as entradas expiram sozinhas depois de um período de comportamento limpo; outras exigem um pedido manual e levam de um a sete dias para processá-lo.

A ordem não é decorativa. Se você pedir a remoção sem resolver a origem, o endereço vai aparecer de novo em questão de dias e você terá gastado o pedido à toa. Quando um IP reaparece repetidas vezes, a conclusão costuma ser a mesma: o aparelho infectado, o relay aberto ou a conta comprometida continuam lá.

Se não é você quem administra o servidor nem o roteador de saída, o procedimento cabe a quem administra: o seu provedor de hospedagem, o departamento de TI ou a operadora de internet. Escreva para eles com o endereço afetado, o nome da lista e o texto da devolução.

A verificação está no topo desta página: digite ali o endereço que você quer verificar — o seu, o do seu servidor de e-mail ou o da VPS da qual você envia —, porque o formulário aceita qualquer IPv4 público. Se não sabe com qual está navegando, clique em “Usar meu IP atual” ou copie-o em qual é o meu IP público.

Como evitar que ele apareça de novo

Sair de uma lista é um procedimento; não voltar a entrar é um hábito. Estas são as medidas que realmente mudam o resultado a médio prazo.

• Não envie e-mail diretamente de uma conexão residencial. Use o servidor de saída do seu provedor. Os intervalos residenciais são marcados por política em várias listas, e não há pedido que os tire de lá.
• Complete a autenticação do domínio. SPF, DKIM e DMARC não impedem que você seja listado, mas fazem um incidente pontual pesar menos e tornam detectável o uso fraudulento do seu domínio.
• Confira se o servidor tem um PTR coerente. O nome reverso do IP deve corresponder ao nome com que o servidor se apresenta. Muitos destinatários recusam por isso antes mesmo de olhar qualquer lista.
• Feche o que retransmite sem controle. Relays abertos, formulários de contato sem limite de envios e avisos automáticos mal ajustados são o caminho comum pelo qual um servidor limpo começa a emitir spam.
• Vigie a rede inteira, não só o servidor. Em um escritório, basta um aparelho infectado ou uma câmera com a senha de fábrica para que saia tráfego abusivo pelo IP comum.
• Cuide do volume e da lista de destinatários. Um envio em massa repentino a partir de um endereço sem histórico, ou dirigido a contas antigas que já funcionam como caixas-armadilha, é uma das formas mais rápidas de acabar marcado sem ter feito nada ilegal.

E um hábito barato: verifique o endereço de vez em quando, não só quando algo dá errado. As listas agem sem avisar, e o aviso, quando chega, costuma ser um cliente dizendo que nunca recebeu a sua mensagem.

O que este resultado não prova

É aqui que mais conclusões desandam, nas duas direções. Estes são os limites reais da verificação.

• Só as fontes configuradas são consultadas. Há muitas listas ativas e nenhuma ferramenta consulta todas. O resultado descreve as que verificamos.
• “Não listado” não significa “seguro”. É a ausência de sinal em fontes específicas e neste momento, não um certificado de boa reputação.
• “Listado” também não prova atividade maliciosa. Pode ser um intervalo compartilhado onde outro cliente abusou, uma denúncia antiga que ninguém retirou ou um erro.
• Os bancos de dados podem estar desatualizados ou incompletos. Alguns adicionam endereços poucos minutos depois de detectar o abuso; outros demoram a limpar o que já foi corrigido.
• A cobertura de IPv6 depende de cada provedor. Muitas listas continuam voltadas para o IPv4, e a informação delas sobre IPv6 é parcial.
• As listas privadas ficam de fora. Os sistemas internos de reputação de empresas como Microsoft, Google ou Apple, e os de bancos e operadoras, não são públicos nem consultáveis. Uma mensagem pode cair no spam de um serviço específico com todas as listas públicas limpas.

Por isso falamos de sinais visíveis no momento da consulta, e não de um veredito. A reputação de um IP muda sozinha: basta a operadora reatribuir o endereço para você ou um vizinho de intervalo parar de enviar spam. Verificar de novo daqui a alguns dias faz parte do método. Os critérios com que rotulamos cada sinal estão na metodologia em português.

Perguntas frequentes sobre listas de bloqueio de IP

Como sei se o meu IP está em uma lista de bloqueio?

Digite o endereço IPv4 que você quer verificar no formulário do topo desta página e rode a consulta: ela mostra o resultado fonte por fonte nas listas públicas que temos configuradas. Se a sua preocupação é o e-mail, verifique o IP do servidor que envia as suas mensagens, que raramente é o mesmo do seu computador. O resultado cobre apenas as fontes consultadas.

Por que o meu IP está em uma lista de bloqueio?

As causas mais comuns são estas: um aparelho da sua rede enviou spam, quase sempre infectado sem que ninguém percebesse; o seu endereço participou de um ataque de força bruta contra servidores de terceiros; um servidor de e-mail mal configurado deixou que outros o usassem para retransmitir mensagens; ou o bloco ao qual o seu IP pertence carrega denúncias anteriores. Em conexões residenciais também há herança: os endereços mudam e você pode receber um que já estava marcado.

Como tiro o meu IP de uma lista de bloqueio?

Primeiro descubra qual lista marcou você, porque cada uma tem o seu próprio procedimento. Depois corrija a causa: faça uma varredura nos aparelhos, feche a retransmissão aberta e troque as senhas das contas comprometidas. Só então peça a remoção no formulário de cada lista. Se você pedir sem resolver a origem, vai aparecer de novo em questão de dias.

Por que meus e-mails voltam se o meu IP não aparece em nenhuma lista?

Porque as listas de bloqueio são só um dos motivos de recusa. As mensagens também voltam quando os registros SPF, DKIM e DMARC do domínio estão ausentes ou mal escritos, quando o IP do servidor não tem um registro PTR coerente, quando o filtro de conteúdo do destinatário as descarta ou quando a caixa de destino não existe mais. O texto da devolução costuma indicar qual desses casos é o seu.

Quanto tempo leva para um IP sair de uma lista de bloqueio?

Depende da lista. Em algumas, as entradas expiram sozinhas depois de 24 ou 48 horas de comportamento limpo; outras exigem um pedido manual e levam de um a sete dias para processá-lo. Se você acabou de corrigir o problema, verifique de novo no dia seguinte. Quando o endereço reaparece repetidas vezes, é sinal de que a causa de fundo continua sem solução.

Uma lista de bloqueio afeta o meu site ou só o e-mail?

O efeito claro é no e-mail: os servidores que consultam essa lista recusam as suas mensagens ou as mandam para o spam. Na web é menos frequente, embora alguns serviços de segurança, firewalls e regras de CDN bloqueiem, sim, requisições por reputação. Se o seu site está atrás de uma CDN, os visitantes veem o IP da CDN, então o do seu servidor pesa principalmente no e-mail.

Se eu reiniciar o roteador, troco de IP e saio da lista?

Às vezes sim, porque muitas conexões residenciais usam endereços dinâmicos e, ao reconectar, você recebe outro. Mas isso não resolve nada: se o aparelho que gerou a denúncia continua infectado, o endereço novo vai acabar marcado do mesmo jeito, e quem receber o anterior herdará o seu problema. Além disso, conexões empresariais costumam ter IP fixo, e aí não há nada para trocar.

Estar em uma lista de bloqueio significa que tenho um vírus?

Não necessariamente. É uma possibilidade real e vale descartá-la, mas endereços limpos também aparecem: intervalos compartilhados onde outro cliente abusou, denúncias antigas que ninguém retirou, IPs de VPN ou de hospedagem usados por muita gente ao mesmo tempo e erros pontuais. Aparecer em uma lista é um indício a ser investigado, não uma prova de infecção.