Cómo salir de una lista negra DNS
Una lista negra DNS —también llamada DNSBL o blocklist— es una lista publicada de direcciones IP o dominios que los servidores de correo consultan en tiempo real para decidir si aceptan, limitan o rechazan el correo entrante. Entrar en ella suele significar que tus rebotes ya empezaron; salir no es un único botón, porque cada lista tiene su propio motivo de inclusión, su propia vía de eliminación y su propia idea de la prueba. Este artículo recorre el proceso en el orden que funciona: confirma exactamente qué está listado, corrige la causa antes de pedir nada, usa el mecanismo de eliminación de cada lista, y después calienta y vigila para no volver a la lista la semana siguiente. Empieza ejecutando el comprobador de listas negras sobre tu IP de envío y tu dominio, y lee con el resultado abierto.
Paso 1: Confirma qué está listado, y por quién
Tu primera prueba es el propio rebote. Lee el rechazo SMTP completo, no una captura reenviada: normalmente nombra el sistema receptor, la lista exacta que consultó, la dirección listada y un código de referencia o motivo. Trata los resultados de los agregadores como un mapa, no como la inclusión misma, y confirma después cada coincidencia en la consulta propia del operador de la lista. Ejecuta el comprobador de listas negras para cada IP desde la que envías de verdad —incluido el relé o host inteligente por el que sale tu correo, que puede no ser el servidor que consideras «el servidor de correo»— y para el dominio de tu dirección From y de tus enlaces. Anota el nombre de la lista, el elemento listado, la fecha de inclusión si se muestra y el motivo declarado antes de cambiar nada.
Separa las inclusiones de IP de las de dominio, porque tienen dueños y soluciones distintas. Las listas basadas en IP, como Spamhaus SBL y XBL o la Barracuda Reputation Block List, siguen a la máquina emisora: la solución vive en la configuración del servidor, la limpieza del compromiso y el comportamiento de envío. Las listas basadas en dominio, como Spamhaus DBL o SURBL, siguen a un dominio que apareció en el cuerpo de los mensajes o en direcciones de remitente, así que un servidor perfectamente limpio puede seguir bloqueado porque una página comprometida, un redireccionador o una campaña antigua metió el dominio en el spam. En alojamiento compartido o en las IP compartidas de un proveedor de correo, la inclusión puede ni siquiera tratar de ti: en ese caso tu proveedor es quien debe remediar y pedir la eliminación, y tu trabajo es entregarle la referencia exacta de la inclusión y preguntar si moveros a una IP limpia es adecuado mientras trabaja.
Por último, distingue una inclusión por abuso de una por política. Una entrada en Spamhaus PBL, por ejemplo, suele significar que no se espera que ese rango IP envíe correo directamente a internet en absoluto: es una afirmación sobre el rango, no una acusación de que enviaras spam. Presentar una apelación por abuso contra una inclusión por política desperdicia tu única petición clara; la solución correcta es enviar a través del relé autorizado de tu proveedor, o pedirle que corrija los datos de política del rango. Saber qué tipo de inclusión tienes decide todo lo que sigue.
Paso 2: Corrige la causa raíz antes de pedir nada
Ninguna petición de eliminación es creíble mientras la causa sigue activa. Trabaja primero las causas técnicas: un relé abierto o un proxy abierto por el que extraños pueden enviar, un buzón, sitio web o servidor comprometido que envía correo que nunca escribiste, un formulario vulnerable que reenvía envíos a direcciones arbitrarias, contraseñas débiles o reutilizadas en las cuentas de correo, y colas de salida llenas de correo que no reconoces. Detén el envío, rota las credenciales, parchea o restaura el componente comprometido, cierra el relé y guarda pruebas de cuándo cesó el abuso: marcas de tiempo, registros de cola y el cambio que hiciste. Los operadores de listas a menudo pueden ver si el tráfico cesó de verdad, y una petición que afirma una corrección que los datos contradicen es la vía más rápida hacia una denegación.
Trabaja después las causas de comportamiento de envío, que listan con la misma fiabilidad. Enviar a una lista comprada, raspada o de hace años, ignorar rebotes y bajas, picos súbitos de volumen desde una IP fría y campañas que generan quejas volverán a listar un servidor técnicamente perfecto. Limpia la lista, suprime cada rebote duro y cada reclamante, honra las bajas con prontitud y pausa por completo los envíos masivos hasta que la inclusión se resuelva. Si un cliente, distribuidor o afiliado envió el correo problemático a través de tu sistema, suspende a ese remitente y prepárate para decirlo: «arreglamos nuestro servidor» no es una respuesta cuando la evidencia del operador apunta a la campaña de una cuenta.
Cierra con la autenticación, porque una autenticación desalineada causa inclusiones y debilita tu petición de eliminación. SPF debe autorizar las IP que realmente envían por el dominio, DKIM debe firmar con una clave que los receptores puedan verificar, y DMARC debe pasar con alineación con el dominio From visible: comprueba los tres con el comprobador de entregabilidad y lee los informes agregados en el analizador de informes DMARC para encontrar remitentes que olvidaste. Añade DNS inverso coincidente y un nombre HELO coherente mientras estás en ello. Una petición de deslistado desde un dominio cuya propia autenticación está rota se lee, para el revisor, como un problema que aún no ha terminado.
Paso 3: Usa la vía de eliminación de cada lista — no son intercambiables
Algunas listas son de autoservicio una vez corregida la causa. Spamhaus canaliza las consultas de reputación de IP y dominio y los pasos de eliminación aplicables a través de su propio comprobador y sus FAQ; las inclusiones por máquinas explotables a menudo puede deslistarlas el operador de la dirección una vez desaparecida la infección, mientras que el formulario de eliminación de Barracuda pide la IP del servidor, un correo y un teléfono alcanzables y un motivo: envíalo una sola vez, con una explicación específica, porque Barracuda afirma que las peticiones sin información válida, y las duplicadas, se ignoran. Donde un formulario ofrece un campo de texto libre, ese campo es la petición: qué pasó, cuándo paró y qué cambiaste, en unas pocas frases fácticas.
Otras inclusiones no puedes eliminarlas tú en absoluto. Algunas caducan automáticamente cuando cesan los informes que las dispararon, y pedirlo antes no cambia nada salvo tus propias notas. Las inclusiones de investigación más serias solo se eliminan a petición del propietario de la red, así que tu vía pasa por el equipo de abusos de tu ISP o proveedor de alojamiento, con la referencia de la inclusión adjunta. Y algunos bloqueos no son inclusiones públicas DNSBL en primer lugar: Microsoft, por ejemplo, mantiene sus propios sistemas de remitente —usa el portal de deslistado nombrado en el rechazo si te dirigen allí, y los datos SNDS de Microsoft para ver cómo se ven tus IP ante ellos— en lugar de buscar una lista pública que nunca fue lo que te bloqueaba.
Sea cual sea la vía, escribe la petición como un informe de incidente, no como una súplica. Indica la IP o el dominio listado, la lista, cuándo te enteraste, la causa raíz que encontraste, la remediación concreta y su fecha, y la vigilancia que has puesto en marcha. Usa una dirección de contacto en un dominio que aún reciba correo, y guarda los números de referencia. Si el operador pide más pruebas, envía exactamente esas pruebas. Un vago «por favor, elimínennos, somos una empresa legítima» no responde a ninguna de las preguntas del revisor y es el motivo más común de que una inclusión eliminable siga en pie.
La trampa del deslistado de pago — las listas legítimas no cobran
Esta es la regla que ahorra dinero: ninguna lista negra importante y legítima cobra una tarifa por eliminarte. La eliminación en Spamhaus, Barracuda, SpamCop y el portal de Microsoft es gratuita. Quien ofrezca un deslistado garantizado o instantáneo a cambio de un pago, en el mejor de los casos, está enviando el mismo formulario gratuito que puedes enviar tú —ningún tercero puede comprar, influir ni acelerar la decisión de un operador— y, en el peor, se está quedando tu dinero por nada. Un pequeño número de listas oscuras sí exige pago por la eliminación; esa exigencia misma es la señal. Los grandes sistemas receptores no dependen de listas que venden el deslistado, así que pagar no compra nada que los receptores vayan a notar jamás.
Las demás trampas son gratuitas y igual de costosas. Enviar la petición antes de terminar la corrección suele producir una nueva inclusión, y las peticiones prematuras repetidas pueden costarte el acceso al deslistado de autoservicio. Enviar la misma petición una y otra vez «por si acaso» puede hacer que se ignore. Y esquivar una inclusión saltando a una IP nueva o a un dominio parecido sin corregir la causa se lee, para los operadores, como un patrón snowshoe —el comportamiento de un remitente que distribuye el abuso para esquivar la reputación— que puede convertir una inclusión eliminable en otra más amplia y dura. No hay atajo que la gente que gestiona las listas no haya ya descontado en su proceso.
Tras el deslistado: vigila, calienta y lee bien una denegación
El deslistado detiene el rechazo DNSBL; no restaura la reputación que tenías antes, y los sistemas internos de los receptores siguen con sus propios relojes. Espera un breve desfase mientras envejecen las respuestas DNS en caché y las puntuaciones internas, y calienta después con deliberación: reanuda primero con correo esencial y esperado para destinatarios implicados, mantén el volumen bajo y constante, vigila rebotes y quejas en cada paso, y aumenta gradualmente. Lanzar tu mayor campaña del año en la primera mañana limpia es como los operadores se ganan una segunda inclusión: el patrón de tráfico se parece exactamente al que causó la primera.
Convierte el incidente en una rutina de vigilancia para que la próxima inclusión la detectes tú, no tus clientes. Vuelve a ejecutar el comprobador de listas negras con regularidad y tras cualquier cambio de envío, vigila los datos de reputación tipo postmaster y SNDS donde cumplas los requisitos, sigue leyendo los informes agregados DMARC en busca de remitentes deshonestos, e inspecciona las cabeceras de cualquier rechazo nuevo con el analizador de cabeceras para ver qué sistema objetó y por qué. La mayoría de las segundas inclusiones son visibles en estos datos días antes de convertirse en rebotes.
Si una petición es denegada, lee la denegación como instrucciones. «Pruebas insuficientes» significa que tu remediación fue afirmada, no mostrada: responde con registros, fechas y el cambio específico. «Actividad aún observada» significa que algo sigue enviando; créelo, y ponte a cazar en lugar de discutir. «Contacta con tu proveedor» significa que la inclusión no es tuya para eliminar, y más peticiones al operador no la moverán. Corrige la brecha nombrada, espera hasta que los datos te respalden, y envía una vez más con las nuevas pruebas. Una denegación leída con cuidado suele ser la descripción más corta disponible del trabajo restante.