Por qué tu dirección IP es marcada
La «pureza de IP» es el nombre informal de la reputación de IP: el juicio que los servidores de correo, los sitios web y los sistemas antifraude hacen sobre una dirección IP antes de decidir qué le permiten hacer. No existe una puntuación única de pureza ni una autoridad central que la emita. En su lugar, decenas de listas y bases de datos independientes llevan cada una su propio registro —qué direcciones enviaron spam, cuáles pertenecen a centros de datos, cuáles son salidas de la red Tor— y cada servicio que visitas consulta la combinación en la que confía. Este artículo explica quién lleva esos registros, por qué un usuario perfectamente normal puede heredar una dirección marcada, qué miden de verdad las marcas más comunes, y qué puedes y qué no puedes hacer ante una mala reputación que no te ganaste. Puedes ver tu propia dirección como la ven esos sistemas con la comprobación de pureza de IP.
No existe una puntuación única de pureza
La expresión «pureza de IP» sugiere una medición de laboratorio: un número, objetivamente cierto, igual en todas partes. La realidad es más desordenada. La reputación está fragmentada entre sistemas construidos para trabajos distintos. Las listas de bloqueo basadas en DNS (DNSBL) existen para ayudar a los servidores de correo a decidir si aceptan una conexión. Las bases de datos de geolocalización e inteligencia de IP clasifican a qué tipo de red pertenece una dirección: residencial, móvil, centro de datos, proxy. Las fuentes de abuso registran direcciones vistas en ataques. El Proyecto Tor publica su propia lista de relés de salida. Cada fuente responde a una pregunta distinta, se actualiza a su propio ritmo y discrepa de las demás cuando sus datos difieren.
Cualquier «puntuación» que te muestre un comprobador es, por tanto, un resumen de un subconjunto elegido de fuentes en un momento dado, incluida la puntuación de este sitio. Dos comprobadores pueden dar veredictos distintos a la misma dirección sin que ninguno se equivoque, porque consultaron listas distintas. La forma honesta de leer cualquier resultado de pureza es como un conjunto de señales separadas, cada una con su propia fuente y sus propios límites, no como una nota única. Esa es la forma de la evidencia que este artículo recorre, señal por señal.
Por qué una IP inocente acaba marcada
La razón más común no tiene nada que ver contigo: las direcciones se comparten y se reciclan. Muchos ISP ponen cientos o miles de hogares detrás de una sola dirección IPv4 pública con NAT de grado de operador (CGNAT), así que un vecino abusivo envenena la dirección compartida para todos los que están detrás de ella. Las direcciones dinámicas se reasignan constantemente, y la reputación sigue a la dirección, no a la persona: la IP que recibiste esta mañana pudo pertenecer a una operación de spam la semana pasada. Los rangos de centros de datos se reciclan entre inquilinos de la misma manera, y un rango alquilado alguna vez a un cliente abusivo conserva la mancha mucho después de que ese cliente se fue. El problema de los vecinos es lo bastante común como para merecer su propia historia: cuando tus vecinos hacen que tu IP entre en una lista negra.
Las salidas compartidas extienden el mismo efecto aún más. Un servicio de VPN o proxy canaliza miles de usuarios a través de un puñado de direcciones de salida, así que el abuso de unos pocos marca la salida y todos los usuarios detrás de ella heredan los CAPTCHA, los bloqueos y la sospecha. El comportamiento automatizado desde un rango —raspado agresivo, relleno de credenciales, escaneo de vulnerabilidades— recibe el mismo trato. Y algunas inclusiones no tienen nada que ver con el abuso: las listas de políticas marcan deliberadamente rangos residenciales y dinámicos que no deberían enviar correo directamente a internet, sea cual sea su comportamiento. Una marca registra el aspecto que tiene una dirección desde fuera, no lo que hizo su usuario actual.
Qué miden de verdad las marcas de proxy, hosting y móvil
Estas tres marcas proceden de bases de datos de inteligencia de IP, y clasifican el tipo de conexión, no tu comportamiento. «Hosting» significa que la dirección está en un rango registrado a nombre de un centro de datos o un proveedor de alojamiento. «Proxy» significa que la base de datos cree que la dirección es un proxy, una VPN o una salida de Tor. «Móvil» significa que la dirección pertenece a un rango de un operador de telefonía móvil. La clasificación se arma con registros de asignación, la red propietaria, patrones de nombres en el DNS inverso, tráfico observado e informes de usuarios: un mosaico de heurísticas, que además caduca a medida que las direcciones se reasignan.
Los falsos positivos son rutinarios, y el ejemplo más claro es una dirección famosa: el resolver DNS público de Google, 8.8.8.8, devuelve marcas de proxy y de hosting, porque es un servicio anycast que corre sobre infraestructura de centro de datos —exactamente aquello en lo que se fijan las heurísticas—, aunque no sea una VPN y nadie lo «use» para ocultarse. Los puntos de salida corporativos, las redes universitarias, iCloud Private Relay y el NAT de grado de operador activan las mismas marcas por la misma razón. Una marca es una pista de una base de datos, nunca un veredicto, y por eso la comprobación de pureza de IP muestra cada señal por separado, con su fuente, en lugar de esconderlas tras un solo número.
DNSBL: qué significa estar listado y cómo funciona la baja
Una lista de bloqueo basada en DNS publica sus inclusiones como registros DNS, lo que hace que consultarlas sea rápido y universal: invierte los octetos de la IP, añade el nombre de la zona y consulta. Sin respuesta (NXDOMAIN) significa no listado; una respuesta en el rango 127.0.0.x significa listado, y el código exacto dice por qué: una fuente de spam, un host comprometido o una inclusión de política para un rango que no debería enviar correo. Los servidores de correo ejecutan esta comprobación cuando llega una conexión y deciden por sí mismos qué hacer: rechazar, aplazar o aceptar y filtrar con más dureza. Las listas tienen pesos muy distintos: una inclusión en Spamhaus ZEN puede hacer que el correo sea rechazado en miles de redes receptoras a la vez, mientras que una inclusión en una lista extinta u oscura puede no importarle a nadie.
La baja empieza por la causa, no por el formulario. Arregla el dispositivo comprometido, cierra el relé abierto, detén el envío de spam, y luego pide la baja al operador de esa lista, por el proceso propio de ese operador. Algunas inclusiones caducan solas; otras necesitan revisión manual; las inclusiones de política para rangos residenciales dinámicos suelen quedarse, porque el rango realmente no debería enviar correo directamente: esos usuarios deberían enviar a través del relé de su ISP o de un servicio de correo. La versión paso a paso, lista por lista, está en cómo salir de una lista negra DNS. Una advertencia: ningún operador reputado cobra por la baja, así que quien venda una «baja garantizada» está vendiendo algo que el operador regala.
Una salida de Tor no es un usuario de Tor
El tráfico de Tor llega a la internet abierta a través de relés de salida voluntarios, y cada sitio que el tráfico visita ve la dirección del relé de salida, no la del usuario. El Proyecto Tor publica la lista masiva de salidas —las direcciones de los relés autorizados actualmente a salir— precisamente para que los servicios puedan reconocerlos. Una dirección en esa lista no dice nada sobre la persona detrás de una conexión concreta: miles de usuarios comparten cada salida, para todo tipo de fines, del periodismo y la investigación al abuso, y la dirección de salida no puede distinguirlos.
Esa indistinguibilidad es la razón por la que muchos sitios tratan las direcciones de salida con fricción extra en lugar de confianza: más CAPTCHA, acceso de solo lectura y, a veces, bloqueos directos. El sitio no está acusando a ningún usuario individual; está calificando la salida en su conjunto, porque no tiene forma de calificar a los usuarios que hay detrás. La lista en sí es una instantánea que cambia constantemente a medida que los relés entran, salen y cambian de política —una dirección puede aparecer en ella y salir en cuestión de horas— y la exportación masiva cubre solo IPv4. Si tu propia dirección aparece ahí y no operas ningún relé, la explicación habitual es el reciclaje: la dirección fue una salida en manos de un titular anterior.
Qué puedes —y qué no puedes— hacer ante una IP marcada
Empieza por los movimientos baratos. Reiniciar el router suele rotar una dirección dinámica, dándote una dirección nueva con un historial distinto, aunque la nueva puede traer el suyo propio. Pide a tu ISP una dirección nueva o, si operas un servidor, una IP estática: las direcciones estáticas son más fáciles de dar de baja y más fáciles de mantener limpias, porque su reputación es solo tuya. Si una lista concreta te tiene, corrige la causa y pide la baja a ese operador. Deja de enviar correo directamente desde una conexión residencial: usa el relé de tu ISP o un proveedor de correo. Y si un servicio te bloquea mientras usas una VPN, cambiar de servidor de salida, o desconectarte para ese servicio, suele resolverlo.
Lo que no puedes hacer es comprar una reputación limpia, ni obligar a una plataforma privada a quitarte la marca: su canal de apelación es la única vía, y su puntuación interna no se publica. Tampoco «limpio» garantiza confianza: un resultado limpio solo significa que no saltó ninguna señal mala conocida, y los servicios juzgan el comportamiento por separado —tu historial de cuenta, tus patrones de peticiones y todo lo que tu navegador revela—, que es por eso que lo que los sitios web saben de ti mira más allá de la dirección. La reputación se alquila, no se posee: sigue a la dirección, cambia a medida que se actualizan las listas, y la mejor defensa a largo plazo es una dirección cuyo historial sea corto, silencioso y tuyo.