Por que o seu endereço IP é sinalizado
«Pureza de IP» é o nome informal da reputação de IP: o juízo que os servidores de correio, os sites e os sistemas antifraude fazem sobre um endereço IP antes de decidirem o que lhe permitem fazer. Não existe uma pontuação única de pureza nem uma autoridade central que a emita. Em vez disso, dezenas de listas e bases de dados independentes mantêm cada uma o seu próprio registo — que endereços enviaram spam, quais pertencem a centros de dados, quais são saídas da rede Tor — e cada serviço que visita consulta a combinação em que confia. Este artigo explica quem mantém esses registos, por que um utilizador perfeitamente normal pode herdar um endereço sinalizado, o que medem realmente as sinalizações mais comuns, e o que pode e não pode fazer perante uma má reputação que não mereceu. Pode ver o seu próprio endereço como esses sistemas o veem com a verificação de pureza de IP.
Não existe uma pontuação única de pureza
A expressão «pureza de IP» sugere uma medição de laboratório: um número, objetivamente verdadeiro, igual em todo o lado. A realidade é mais desordenada. A reputação está fragmentada por sistemas construídos para trabalhos diferentes. As listas de bloqueio baseadas em DNS (DNSBL) existem para ajudar os servidores de correio a decidir se aceitam uma ligação. As bases de dados de geolocalização e inteligência de IP classificam a que tipo de rede um endereço pertence — residencial, móvel, centro de dados, proxy. As fontes de abuso registam endereços vistos em ataques. O Projeto Tor publica a sua própria lista de relés de saída. Cada fonte responde a uma pergunta diferente, atualiza-se ao seu próprio ritmo e discorda das outras sempre que os seus dados diferem.
Qualquer «pontuação» que um verificador lhe mostre é, portanto, um resumo de um subconjunto escolhido de fontes num dado momento — incluindo a pontuação deste site. Dois verificadores podem dar veredictos diferentes ao mesmo endereço sem que nenhum esteja errado, porque consultaram listas diferentes. A forma honesta de ler qualquer resultado de pureza é como um conjunto de sinais separados, cada um com a sua própria fonte e os seus próprios limites, e não como uma nota única. Essa é a forma da evidência que este artigo percorre, sinal a sinal.
Por que um IP inocente acaba sinalizado
A razão mais comum não tem nada a ver consigo: os endereços são partilhados e reciclados. Muitos ISP colocam centenas ou milhares de lares atrás de um único endereço IPv4 público com NAT de nível de operador (CGNAT), por isso um vizinho abusivo envenena o endereço partilhado para todos os que estão atrás dele. Os endereços dinâmicos são reatribuídos constantemente, e a reputação segue o endereço, não a pessoa — o IP que recebeu esta manhã pode ter pertencido a uma operação de spam na semana passada. Os intervalos de centros de dados são reciclados entre inquilinos da mesma forma, e um intervalo outrora alugado a um cliente abusivo mantém a mancha muito depois de esse cliente ter partido. O problema dos vizinhos é suficientemente comum para merecer a sua própria história: quando os seus vizinhos fazem o seu IP entrar numa lista negra.
As saídas partilhadas espalham o mesmo efeito ainda mais longe. Um serviço de VPN ou proxy canaliza milhares de utilizadores através de um punhado de endereços de saída, por isso o abuso de uns poucos marca a saída e todos os utilizadores atrás dela herdam os CAPTCHA, os bloqueios e a suspeita. O comportamento automatizado a partir de um intervalo — recolha agressiva de dados, credential stuffing, análise de vulnerabilidades — recebe o mesmo tratamento. E algumas inclusões não têm nada a ver com abuso: as listas de políticas sinalizam deliberadamente intervalos residenciais e dinâmicos que não devem enviar correio diretamente para a internet, seja qual for o seu comportamento. Uma sinalização regista o aspeto que um endereço tem visto de fora, não o que o seu utilizador atual fez.
O que medem realmente as sinalizações de proxy, alojamento e móvel
Estas três sinalizações vêm de bases de dados de inteligência de IP, e classificam o tipo de ligação, não o seu comportamento. «Alojamento» significa que o endereço está num intervalo registado em nome de um centro de dados ou fornecedor de alojamento. «Proxy» significa que a base de dados crê que o endereço é um proxy, uma VPN ou uma saída Tor. «Móvel» significa que o endereço pertence a um intervalo de um operador de rede móvel. A classificação é montada a partir de registos de atribuição, da rede proprietária, de padrões de nomes no DNS reverso, de tráfego observado e de denúncias de utilizadores — uma manta de retalhos de heurísticas, que ainda por cima fica desatualizada à medida que os endereços são reatribuídos.
Os falsos positivos são rotina, e o exemplo mais claro é um endereço famoso: o resolvedor DNS público da Google, 8.8.8.8, devolve sinalizações de proxy e de alojamento, porque é um serviço anycast a correr sobre infraestrutura de centro de dados — exatamente aquilo em que as heurísticas reparam —, embora não seja uma VPN e ninguém o «use» para se esconder. Os pontos de saída empresariais, as redes universitárias, o iCloud Private Relay e o NAT de nível de operador ativam as mesmas sinalizações pela mesma razão. Uma sinalização é uma pista de uma base de dados, nunca um veredicto, e é por isso que a verificação de pureza de IP mostra cada sinal separadamente, com a sua fonte, em vez de os esconder atrás de um único número.
DNSBL: o que significa uma inclusão e como funciona a remoção
Uma lista de bloqueio baseada em DNS publica as suas inclusões como registos DNS, o que torna a consulta rápida e universal: inverta os octetos do IP, acrescente o nome da zona e consulte. Sem resposta (NXDOMAIN) significa não incluído; uma resposta no intervalo 127.0.0.x significa incluído, e o código exato diz porquê — uma fonte de spam, um anfitrião comprometido, ou uma inclusão de política para um intervalo que não deve enviar correio. Os servidores de correio executam esta verificação quando chega uma ligação e decidem por si o que fazer: rejeitar, adiar, ou aceitar e filtrar com mais rigor. As listas têm pesos muito diferentes: uma inclusão na Spamhaus ZEN pode fazer com que o correio seja recusado em milhares de redes recetoras ao mesmo tempo, enquanto uma inclusão numa lista extinta ou obscura pode não importar a ninguém.
A remoção começa pela causa, não pelo formulário. Corrija o dispositivo comprometido, feche o relé aberto, pare o envio de spam — e depois peça a remoção ao operador dessa lista, através do processo próprio desse operador. Algumas inclusões expiram automaticamente; outras precisam de revisão manual; as inclusões de política para intervalos residenciais dinâmicos costumam ficar, porque o intervalo genuinamente não deve enviar correio diretamente — esses utilizadores devem enviar através do relé do seu ISP ou de um serviço de correio. A versão passo a passo, lista a lista, está em como sair de uma lista negra DNS. Um aviso: nenhum operador reputado cobra pela remoção, por isso quem vender uma «remoção garantida» está a vender algo que o operador oferece.
Uma saída Tor não é um utilizador Tor
O tráfego Tor chega à internet aberta através de relés de saída voluntários, e cada site que o tráfego visita vê o endereço do relé de saída, não o do utilizador. O Projeto Tor publica a lista massiva de saídas — os endereços dos relés atualmente autorizados a sair — precisamente para que os serviços os possam reconhecer. Um endereço nessa lista não diz nada sobre a pessoa por trás de uma qualquer ligação: milhares de utilizadores partilham cada saída, para todos os fins, do jornalismo e da investigação ao abuso, e o endereço de saída não consegue distingui-los.
Essa indistinguibilidade é a razão pela qual muitos sites tratam os endereços de saída com fricção extra em vez de confiança: mais CAPTCHA, acesso só de leitura e, por vezes, bloqueios diretos. O site não está a acusar nenhum utilizador individual; está a classificar a saída como um todo, porque não tem forma de classificar os utilizadores por trás dela. A própria lista é uma fotografia que muda constantemente à medida que os relés entram, saem e mudam de política — um endereço pode aparecer nela e sair dela em poucas horas — e a exportação massiva cobre apenas IPv4. Se o seu próprio endereço aparecer nela e não opera nenhum relé, a explicação habitual é a reciclagem: o endereço foi uma saída nas mãos de um titular anterior.
O que pode — e não pode — fazer perante um IP sinalizado
Comece pelos gestos baratos. Reiniciar o router costuma rodar um endereço dinâmico, dando-lhe um endereço novo com um historial diferente — embora o novo possa trazer o seu próprio. Peça ao seu ISP um endereço novo ou, se opera um servidor, um IP estático: os endereços estáticos são mais fáceis de remover das listas e mais fáceis de manter limpos, porque a sua reputação é só sua. Se uma lista concreta o tem, corrija a causa e peça a remoção a esse operador. Deixe de enviar correio diretamente a partir de uma ligação residencial — use o relé do seu ISP ou um fornecedor de correio. E se um serviço o bloqueia enquanto usa uma VPN, mudar de servidor de saída, ou desligar-se para esse serviço, costuma resolver.
O que não pode fazer é comprar uma reputação limpa, nem obrigar uma plataforma privada a retirar-lhe a sinalização — o seu canal de recurso é a única via, e a sua pontuação interna não é publicada. Nem «limpo» garante confiança: um resultado limpo só significa que nenhum sinal mau conhecido disparou, e os serviços julgam o comportamento separadamente — o historial da sua conta, os seus padrões de pedidos e tudo o que o seu navegador revela —, razão pela qual o que os sites sabem sobre si olha para além do endereço. A reputação aluga-se, não se possui: segue o endereço, muda à medida que as listas se atualizam, e a melhor defesa a longo prazo é um endereço cujo historial seja curto, silencioso e seu.