Reputación y listas de bloqueo

Módulo 5: Reputación y los grandes proveedores · Tiempo de lectura: 10 minutos

Objetivo de aprendizaje: Después de esta lección podrá explicar cómo los proveedores construyen la reputación de una dirección IP y de un dominio, comprobar una dirección IP en listas de bloqueo y seguir el orden correcto si aparece en una de ellas.

Conceptos clave: reputación, reputación de IP, reputación de dominio, lista de bloqueo (DNSBL), Spamhaus (SBL, XBL, PBL), SpamCop, Barracuda, consulta con una dirección IP invertida, respuesta 127.0.0.x, código de error 127.255.255.x, IP compartida, calentamiento, exclusión de la lista

¿Qué es la reputación?

SPF, DKIM y DMARC demuestran quién envía el correo. No dicen nada sobre si ese remitente es de confianza. Un spammer puede perfectamente tener su propio dominio con un SPF, DKIM y DMARC impecables. Por eso los proveedores también registran cómo se comporta un remitente. Esto se llama reputación.

Hay dos tipos:

• Reputación de IP: ¿cómo se comporta el correo que llega desde esta dirección IP? Mucho spam, muchas direcciones que no existen, picos repentinos: entonces la reputación baja.
• Reputación de dominio: ¿cómo se comporta el correo que llega en nombre de este dominio, medido según el dominio en DKIM (d=) y en la dirección del remitente? Esto es cada vez más importante, porque un dominio se traslada con usted a otro servidor, mientras que una dirección IP no.

¿Qué cuenta? Los grandes proveedores no revelan su fórmula, pero mencionan siempre las mismas señales: cuántos destinatarios marcan su correo como spam (quejas), cuánto correo va a direcciones que no existen, si los destinatarios abren su correo, lo responden o lo eliminan de inmediato, con qué regularidad envía, y si cae en trampas de spam (direcciones que nadie ha dado nunca de alta). Gmail muestra el porcentaje de quejas en Postmaster Tools (lección 5.3), Microsoft muestra el panorama por dirección IP en SNDS (lección 6.4).

Listas de bloqueo: una lista negra compartida

Además de sus propias mediciones, muchos servidores de correo utilizan listas de bloqueo públicas (también llamadas blacklists o RBL). Una lista de este tipo contiene direcciones IP (a veces dominios) que han enviado spam o que nunca deberían enviar correo directamente. Un servidor de correo que recibe una conexión entrante desde 192.0.2.25 consulta la lista y rechaza la conexión si la dirección figura en ella.

Las más conocidas:

Spamhaus combina sus listas en ZEN (zen.spamhaus.org). Además existen decenas de listas más pequeñas. Una inclusión en una lista pequeña que casi nadie usa no suele ser un desastre. Una inclusión en Spamhaus SBL o XBL sí lo es: la utiliza una gran parte de los servidores de correo.

¿Cómo funciona una consulta?

Una lista de bloqueo es simplemente una zona DNS. Si un servidor quiere saber si 192.0.2.25 está en ZEN, invierte la dirección (igual que en el DNS inverso) y añade el nombre de la lista al final:

dig +short 25.2.0.192.zen.spamhaus.org

• Sin respuesta (NXDOMAIN): no está en la lista.
• Una dirección 127.0.0.x: sí está en la lista. El último número indica a qué sublista pertenece. En ZEN, 127.0.0.2 es el SBL, 127.0.0.4 el XBL y 127.0.0.10 o 127.0.0.11 el PBL.
• Una dirección 127.255.255.x: un código de error, no una inclusión. Spamhaus devuelve, por ejemplo, 127.255.255.254 si realiza la consulta a través de un resolver público como el de Cloudflare. Spamhaus no lo permite y, en ese caso, no da un resultado real.

Esto último es una trampa conocida. Una herramienta o servidor de correo que interpreta cualquier respuesta como "incluido en lista" da la alarma de forma incorrecta, o incluso rechaza todo el correo. Una herramienta que interpreta cualquier ausencia de respuesta como "limpio" se pierde inclusiones reales. Una comprobación fiable consulta primero una dirección de prueba por cada lista (127.0.0.2 figura siempre en todas las listas) y solo cuenta un NXDOMAIN claro como "no incluido".

La Comprobación de correo electrónico y la Salud del dominio en weboke.es funcionan así, al igual que las conocidas herramientas independientes como MXToolbox y la propia página de comprobación de Spamhaus (check.spamhaus.org).

Direcciones IP compartidas

En el hosting compartido y en la mayoría de los servicios de correo, comparte la dirección IP del servidor de envío con otros clientes. Esto tiene una ventaja y un inconveniente:

• Un servidor compartido bien gestionado tiene una reputación consolidada. Usted se beneficia de ello, incluso si envía poco correo usted mismo.
• Si otro cliente envía spam (a menudo porque le han robado la contraseña), la dirección IP puede acabar en una lista y usted también se verá perjudicado.

Por eso un buen proveedor vigila sus propias direcciones IP en las listas de bloqueo, establece límites de envío e interviene en caso de abuso. En WebOké, por ejemplo, esto está descrito en el artículo de la base de conocimientos sobre cómo se detiene el spam y sobre las direcciones que han sido objeto de abuso; otros proveedores tienen normas similares.

Una dirección IP nueva: el calentamiento

Una dirección IP que nunca ha enviado correo no tiene reputación. Si empieza de inmediato con miles de correos al día, los proveedores lo ven como sospechoso. Microsoft, por ejemplo, frena una dirección así con un error temporal (451 4.7.500 Server busy, lección 6.4).

Por eso calienta una dirección IP nueva poco a poco: empieza con una cantidad pequeña de correos al día, preferiblemente a destinatarios que esperan y abren su correo, y la aumenta progresivamente a lo largo de unas semanas. Los servicios de envío hacen esto por usted si contrata una dirección IP propia con ellos. Para el correo empresarial habitual a través de un paquete de hosting o un servicio de correo, no es necesario hacer esto.

Está en una lista: ¿qué hacer ahora?

El orden es importante:

1. Determine de qué dirección IP se trata. ¿Figura en el mensaje de error? ¿Es la dirección de su empresa de hosting o servicio de correo, o la de su propia conexión a internet? Esto último suele significar que su programa de correo no envía a través del servidor SMTP de su proveedor (lección 1.4).
2. Si no es su servidor, repórtelo al administrador. En el hosting compartido o en un servicio de correo, el proveedor resuelve esto. Adjunte el mensaje de error completo.
3. Si es su propio servidor, busque primero la causa. Una contraseña hackeada, un formulario de contacto vulnerable, un sitio web infectado que envía correo, una lista de direcciones comprada. Mientras la causa siga presente, volverá a entrar en la lista de inmediato.
4. Solo entonces solicite la eliminación, a través del sitio de la lista. En SpamCop no es necesario: esa inclusión caduca por sí sola si no llegan nuevos reportes.
5. Compruebe de nuevo al cabo de un día.

No pague nunca a quien le prometa "eliminarle de todas las listas". Las listas serias eliminan de forma gratuita.

En la práctica: así se ve

En este ejemplo usamos la Comprobación de correo electrónico de weboke.es: en Blacklist Status muestra, por cada lista, si la dirección IP de su primer servidor de correo figura en ella. Tenga en cuenta que se trata de la dirección donde su correo entra (el MX). Para su correo saliente debe comprobar la dirección IP del servidor de envío, que puede obtener de las cabeceras (lección 5.1). Herramientas independientes como MXToolbox y check.spamhaus.org funcionan de la misma manera: introduce una dirección IP y ve el resultado por cada lista.

Resumen

• La reputación trata sobre el comportamiento: quejas, direcciones desconocidas, picos, trampas de spam. SPF, DKIM y DMARC solo indican quién envía.
• Los proveedores observan la reputación de IP y, cada vez más, la reputación de dominio.
• Una lista de bloqueo es una zona DNS: una respuesta 127.0.0.x es una inclusión, 127.255.255.x es un código de error, NXDOMAIN significa que no está incluido.
• Spamhaus PBL no es un castigo, sino una señal de que debe enviar a través del servidor de su proveedor.
• Ante una inclusión: primero determine la dirección IP correcta y la causa, y solo después solicite la eliminación.

Cuestionario

Ejercicio

Ejercicio Z5.2: Su IP de envío en listas de bloqueo. Use la dirección IP de su servidor de envío del ejercicio de la lección 5.1 (o la dirección de mx00.t-online.de). Consúltela usted mismo en check.spamhaus.org o en otra herramienta de listas de bloqueo y rellene: ¿figura la dirección en Spamhaus (sí/no) y, en caso afirmativo, en qué sublista? El programa comprueba la misma dirección en tiempo real en Spamhaus, SpamCop y Barracuda, y lo compara.

Ejercicio O5.2: ¿Qué hacer ante una inclusión en una lista negra? Se le presenta un caso: una pequeña tienda online en un VPS propio figura desde esta mañana en Spamhaus XBL. Escriba en un máximo de cinco pasos qué haría y en qué orden. Después verá la respuesta modelo.

Para seguir leyendo

Los pasos de estos artículos corresponden a los paneles de WebOké; en otros proveedores funciona de forma similar.

• Manual de DirectAdmin 9.5: Envío rechazado: listas negras y límites
• ¿Cómo bloquea WebOké el spam?
• Buzón comprometido o spam enviado desde su dirección: así lo soluciona
• Mis correos electrónicos no llegan o terminan en la carpeta de spam: así puede averiguarlo
• Comprobación de correo electrónico (verificación gratuita de MX, SPF, DMARC y listas de bloqueo): https://www.weboke.es/comprobar-correo
• Spamhaus, comprobación y explicación: https://check.spamhaus.org/
• RFC 5782 (cómo funcionan las listas de bloqueo DNS)