Cuando tus vecinos meten tu IP en una lista negra
Una lista negra de IP no sabe tu nombre. Un listado se adhiere a una dirección —a veces a un rango entero de direcciones— y cada servidor de correo que consulta la lista juzga a quien envíe hoy desde esa dirección por su pasado registrado. Si la dirección es exclusivamente tuya y te portas bien, es justo. Pero gran parte de internet envía desde direcciones que solo alquila o comparte: una cuenta de alojamiento compartido, una instancia en la nube con una IP pública reciclada, una oficina tras un grupo NAT de un operador. En esos casos heredas la historia de la dirección y compartes su presente, y la campaña de spam de un desconocido puede convertirse en tu problema de entrega de la noche a la mañana. Este artículo explica cómo ocurren los listados por vecinos y heredados, cómo distinguirlos de un listado que te ganaste tú, y qué funciona de verdad cuando te cae uno encima. Empieza ejecutando el comprobador de listas negras sobre la dirección desde la que envías y anota las fechas de listado que informa: aquí las fechas lo son todo.
El listado pertenece a la dirección, no a ti
Las listas negras DNS se indexan por dirección IP porque es lo único que un servidor receptor puede verificar durante la conversación SMTP: la dirección de conexión es un hecho del handshake TCP, no algo que el remitente pueda falsificar en una cabecera. Los estándares que describen estas listas, RFC 5782 y RFC 6471, están escritos por completo en términos de direcciones y rangos: no hay ningún campo para «pero el inquilino cambió el martes pasado». Un servidor receptor que confía en la lista trata, por tanto, el historial acumulado de la dirección como tu historial, seas quien seas.
Y no siempre es una sola dirección. Cuando el abuso desde un rango persiste, los operadores de listas escalan: una dirección se convierte en un /24, y a veces en un bloque mucho mayor, precisamente para presionar al propietario de la red a que se ocupe de los inquilinos que lo causan. La SBL de Spamhaus, por ejemplo, lista rangos usados por operaciones de spam y puede ampliar un listado cuando el operador responsable no actúa. Esa escalada es presión colateral deliberada: la lista se apoya en el casero porque el inquilino no escucha. Si tu dirección está dentro de ese rango, tu correo también es colateral, y nada de tu propio comportamiento lo causó ni puede curarlo directamente.
El inquilino anterior: heredar una dirección sucia
Las direcciones en la nube se reciclan rápido. Una instancia se termina por la mañana, su IP pública vuelve al grupo al mediodía y por la noche está asignada a tu servidor de correo recién estrenado, cargando con todo lo que ganó el titular anterior: listados abiertos, una reputación quemada ante los grandes proveedores de buzones y, a veces, un lugar en listas de bloqueo internas que ninguna consulta pública te mostrará jamás. Los listados públicos al menos caducan o pueden retirarse; los datos privados de reputación de los grandes receptores simplemente decaen con el tiempo, y no puedes apelar ante un sistema que no se publica a sí mismo.
Así que comprueba la dirección antes de construir sobre ella, no cuando empiecen los rebotes. Ejecuta el comprobador de listas negras, mira el DNS inverso de la dirección y lo que se conoce públicamente de su historia, y envía correo de prueba a los principales proveedores de buzones antes de migrar nada real. Si la dirección llega sucia, el arreglo más barato está al principio: libérala y pide otra, o solicita al proveedor un reemplazo limpio, antes de que los registros DNS, los includes de SPF y las configuraciones de clientes te suelden a ella. Cambiar tras un mes de calentamiento desperdicia el mes; cambiar el primer día cuesta minutos.
Si te quedas con la dirección, trata su pasado como un hecho documentado y no como un misterio. Guarda la evidencia del listado con sus fechas: la mayoría de los listados heredados son anteriores a tu llegada, y esa diferencia es tu activo más fuerte en cada conversación posterior, con tu proveedor y con los operadores de listas. Después ajusta lo básico que el inquilino anterior pudo descuidar: un registro PTR con sentido y confirmación directa, SPF, DKIM y DMARC funcionantes para tu dominio y un nombre HELO sensato. Nada de eso te saca de una lista por sí solo, pero separa «inquilino nuevo que hace las cosas bien» de «la misma operación con otro nombre», que es exactamente la distinción que buscan los revisores.
Los vecinos actuales: compartir una dirección hoy
La herencia es un evento único; una dirección compartida es una exposición permanente. En el alojamiento compartido clásico, docenas o cientos de sitios sin relación envían a través de la IP de correo del proveedor, y un solo vecino comprometido —un formulario web secuestrado, un buzón víctima de phishing— puede listar la dirección para todos. La misma forma aparece a mayor escala: los grupos de envío compartidos de los proveedores de correo, donde tus campañas salen junto a las de desconocidos, y los grupos NAT de grado operador, tras los que barrios enteros de clientes de banda ancha aparecen como un puñado de direcciones públicas. En cada caso, el comportamiento listado es real. Simplemente no es tuyo.
Los síntomas difieren de los de un listado propio, y así se reconocen. La entrega se degrada en oleadas que no coinciden con nada que hayas enviado; los rebotes citan volúmenes o marcas de tiempo de cuando tu servidor estaba en silencio; el motivo declarado describe contenido que nunca produjiste. No puedes arreglar el compromiso de un vecino, ni ganar la baja de la lista a fuerza de inocencia mientras el abuso continúa dos puertas más allá: la dirección volverá a ser listada. Quien puede cambiar las cosas es quien controla la dirección: el host, el ESP, el operador. Tus palancas son la evidencia, la escalada y, en última instancia, la salida: un ticket con las referencias exactas del listado y tus propios registros de envío limpios, una petición de traslado a otra dirección o grupo, y la disposición a marcharte si el grupo sigue ardiendo. Una comprobación de entregabilidad como la comprobación de entregabilidad de correo ayuda a separar lo que tu dominio controla de la reputación a nivel de dirección que solo tomas prestada.
Dedicada o compartida: el equilibrio honesto
Una IP de envío dedicada compra control al precio de la responsabilidad exclusiva. Todo lo que hace es tuyo, lo bueno y lo malo, y nadie más puede quemarla; pero también empieza fría, y los sistemas de reputación premian un historial estable y reconocible. Un remitente de bajo volumen o irregular en una dirección dedicada puede no acumular nunca suficiente historial bueno para compensar una mala semana, y a menudo entregará peor que desde un grupo. Las direcciones dedicadas se ganan su sitio con un volumen sostenido y constante, donde tu historial es lo bastante profundo para ser un activo y el comportamiento de un vecino es un riesgo real para él.
Un grupo compartido de buena reputación es el trato opuesto: reputación prestada, riesgo compartido. Los buenos proveedores vigilan sus grupos con agresividad —limitan o expulsan rápido a los remitentes abusivos, reparten a los clientes entre muchas direcciones, observan el estado en las listas sin pausa— porque la reputación del grupo es su producto. Para la mayoría de remitentes pequeños y medianos, esa reputación prestada es una ventaja real, y el riesgo de vecinos pasa a ser el trabajo a tiempo completo del proveedor en lugar de tu afición. El modo de fallo a evitar es lo peor de ambos mundos: un grupo barato y sin vigilancia donde nadie mira nada. Elijas lo que elijas, elígelo como una decisión sobre quién gestiona la reputación de la dirección —tú, o un proveedor cuyo negocio depende de ello— y no como un valor por defecto en el que caíste.
Cuando te cae encima: el plan de acción
Primero, demuestra la forma del problema. Compara la fecha del listado y su ventana de evidencia con la fecha en que la dirección te fue asignada y con lo que muestran tus propios registros. Si el listado es anterior a tu llegada, o cita tráfico que tus registros prueban que nunca enviaste, tienes un caso heredado o de vecinos, y el papeleo es la solución: registros de asignación de tu proveedor, facturas o marcas de tiempo de creación de la instancia, la fecha en que cambió tu registro PTR. Proveedores y operadores de listas responden mucho mejor a «esta dirección nos fue asignada el día 14; el listado cita el día 3» que a cualquier volumen de protesta.
Segundo, trabaja ambas salidas a la vez. Pide a tu proveedor que te mueva a una dirección limpia o a otro grupo: para los listados heredados suele ser la resolución más rápida que existe, y los proveedores competentes lo hacen de forma rutinaria porque saben que sus grupos reciclan direcciones. En paralelo, presenta la solicitud de baja con tu evidencia adjunta; el paso a paso del proceso de baja en sí está cubierto en cómo salir de una lista negra DNS. Y mientras esperas, enruta el correo que no puede permitirse rebotar —restablecimientos de contraseña, facturas, alertas— a través de un relay de buena reputación, para que el negocio no quede rehén de una disputa de direcciones.
Tercero, conviértelo en una condición vigilada y no en una sorpresa. Comprueba cada dirección desde la que envías con una cadencia regular, y comprueba cualquier dirección nueva antes de que transporte correo de producción, igual que comprobarías un dominio antes de comprarlo. Guarda la documentación de tu tenencia: el día que puedas probar cuándo una dirección pasó a ser tuya es el día en que un listado heredado se encoge de una semana de caída a una tarde de correos. Una dirección IP es terreno alquilado. Guarda el contrato, vigila el barrio y no seas el único inquilino sorprendido por la reputación de la calle.