Spamhaus: Comprobar y Quitar una IP de la Lista Negra

Cómo comprobar un listado de Spamhaus

Para saber si Spamhaus lista tu dirección IP o tu dominio, consúltala en el propio "IP and Domain Reputation Checker" de Spamhaus, en check.spamhaus.org. Te dice qué lista tiene la dirección, por qué y cuál es la opción de retirada de esa lista. El checker sustituyó al antiguo "Blocklist Removal Center" en marzo de 2021, así que una guía que aún te envía a un "removal center" se refiere a esta página.

Spamhaus pesa más que la mayoría de las listas de bloqueo porque muchos receptores la usan. Las reglas por defecto de SpamAssassin y Rspamd consultan su lista ZEN, el rechazo 550 OU-001 de Outlook.com te remite a Spamhaus para la retirada, y los errores 553/554 de Yahoo pueden decir "Your IP is listed by Spamhaus". Si un rebote menciona Spamhaus, la dirección IP de ese rebote es la que hay que consultar.

Otros comprobadores de listas negras o enlazan a él o consultan ellos mismos las zonas DNS de Spamhaus, y eso solo funciona desde el resolvedor adecuado (consulta nuestra prueba de resolvedores).

Las listas de Spamhaus explicadas: SBL, CSS, XBL, PBL, DBL y ZEN

Spamhaus mantiene varias listas, y cómo salir de ellas depende por completo de cuál te tiene. Cuatro listan direcciones IP y se combinan en ZEN (zen.spamhaus.org), la única zona que un servidor de correo necesita consultar. La quinta, la DBL, lista nombres de dominio.

ZEN es simplemente SBL + CSS + XBL + PBL en una sola consulta, así que una consulta puede devolver varios códigos a la vez. La dirección de prueba 127.0.0.2 de Spamhaus está a propósito en tres listas, por eso responde 127.0.0.2, 127.0.0.4 y 127.0.0.10 juntos. Spamhaus pide a las aplicaciones que analicen los códigos de retorno ("parse"), así que lee todos los códigos de la respuesta, no solo el primero.

¿Por qué Spamhaus bloquea mi IP?

Spamhaus no publica sus criterios exactos, pero la página de cada lista dice qué tipo de comportamiento lleva una dirección a ella:

• XBL: un dispositivo detrás de la dirección está infectado o se está abusando de él. Malware en un PC, una app de "VPN gratis" que usa tu conexión como proxy de otros, un dispositivo que participa en ataques de fuerza bruta, o algo que intenta retransmitir correo con contraseñas robadas.
• CSS: el propio servidor de correo envía correo malo. Correo no solicitado, mala higiene de listas, un buzón o un CMS hackeado que envía spam, o un servidor cuyo nombre HELO y DNS inverso no cuadran.
• SBL: Spamhaus ha ligado la dirección a una operación de spam o abuso. En hosting compartido o un VPS barato puede ser un inquilino anterior o un vecino, y Spamhaus puede ampliar los listados a la propia infraestructura del proveedor o a rangos más amplios cuando este aloja abuso.
• PBL: la dirección es residencial o de otro usuario final. Tu ISP (o Spamhaus) la marcó como espacio que no debería entregar correo directamente. El rechazo 550 DY-001 de Outlook.com sigue la misma política: en general no acepta correo directo de direcciones IP dinámicas.
• DBL: un dominio de tu correo está listado. Tu propio dominio, o un enlace del mensaje, apareció en spam o en phishing o malware alojado. También se listan dominios legítimos hackeados, con sus propios códigos (127.0.1.102 a 127.0.1.106).

Lee el motivo que da el checker antes de cambiar nada: arreglar un portátil infectado no tiene nada que ver con arreglar una conexión doméstica en la PBL.

Cómo salir de la lista de Spamhaus

Primero corrige, después pide. Spamhaus vuelve a listar una dirección en cuanto detecta de nuevo el problema, y las retiradas por cuenta propia están limitadas, así que una retirada pedida antes de la corrección es una retirada desperdiciada.

1. Encuentra la dirección listadaToma la dirección IP del rebote o del registro de tu servidor de correo: la dirección pública desde la que salió el correo, no una 192.168.x.x.
2. Consúltala en check.spamhaus.orgAnota la lista (SBL, CSS, XBL, PBL o DBL), el motivo del listado y cualquier número de referencia.
3. Corrige la causaLimpia el dispositivo infectado, cierra el relay, arregla el DNS inverso y el HELO, o detén el envío que lo provocó.
4. Pide la retirada o a tu proveedorUsa la opción de retirada del checker para listados XBL, CSS, PBL y DBL. Para un listado SBL, abre un ticket con el equipo de abuso de tu ISP o hosting.
5. Comprueba de nuevoLas zonas de Spamhaus se recargan en minutos, aunque algunas redes tardan hasta un día. Si una retirada no se puede tramitar al instante, el checker abre un ticket por ti.

SBL: tu ISP o hosting debe pedir la retirada

No puedes quitar tú mismo un listado SBL. Según la página de SBL de Spamhaus, la solicitud de retirada debe enviarla el ISP responsable de la dirección, una vez tratado el abuso. Abre un ticket con el equipo de abuso de tu proveedor, incluye la referencia SBL del checker y explica qué has corregido.

Mientras exista el listado SBL, Spamhaus no tramita retiradas de sus otras listas para esa dirección. En hosting compartido, cuando el listado no tiene que ver contigo, pedirle al hosting una dirección IP limpia suele ser más rápido que esperar a que se levante un listado de todo un rango.

XBL: limpia el dispositivo infectado y quítalo tú mismo

Un listado XBL se retira por cuenta propia en check.spamhaus.org, y además caduca solo algún tiempo después de que cese el tráfico malicioso. La lista tiene mucho movimiento: Spamhaus dice que contiene de media unos 2 millones de listados, con unas 650.000 detecciones nuevas cada 24 horas.

Quitarlo antes de encontrar la causa no dura: la dirección se vuelve a listar la próxima vez que se conecte el dispositivo infectado. La página de XBL de Spamhaus sugiere:

• Actualiza todos los dispositivos detrás de la dirección y ejecuta un análisis antimalware completo en cada uno.
• Elimina las extensiones del navegador y las apps de "VPN gratis" que no reconozcas.
• Actualiza el firmware del router, desactiva el acceso desde fuera que no necesites y abre solo los puertos que necesites.
• Para frenar el abuso al instante, bloquea el puerto 25 de salida en el router o el cortafuegos para todo menos tu servidor de correo real. Eso detiene el spam, no la infección; netstat o TCPView muestra qué equipo sigue intentándolo.

No todas las redes aplican las retiradas a la misma velocidad, así que Spamhaus pide esperar 24 horas antes de abrir un ticket por una que no aparece.

CSS: arregla el servidor de correo y pide la retirada

Los listados CSS son automáticos y cortos. Normalmente caducan tres días después de la última detección, más en algunos casos de abuso crónico. Puedes pedir la retirada en el checker una vez corregida la causa, pero las retiradas por cuenta propia están limitadas y la dirección se vuelve a listar de inmediato si el problema continúa.

Solo con la configuración se puede acabar en la CSS. La página de CSS de Spamhaus señala el HELO y el DNS inverso: el registro PTR debe existir y nombrar el host que usa el servidor, la resolución directa debe coincidir con el nombre HELO, y el HELO/EHLO debe ser un nombre de dominio completo, no localhost.localdomain ni mail. Un balanceador de carga delante de los servidores de correo también puede hacer que la dirección pública parezca infectada.

PBL: no es un castigo, así que cambia cómo envías

La PBL lista rangos de direcciones de usuario final, dinámicas y estáticas, "desde los que nunca debería enviarse correo directamente al destino final". Muchos de esos rangos los añaden los propios ISP, y Spamhaus dice que las direcciones "no son necesariamente malas". Una dirección de banda ancha doméstica en la PBL es normal.

Si un listado PBL rebota tu correo, lo habitual es cambiar cómo envías, no pedir la retirada:

• Envía a través del servidor de salida de tu ISP o proveedor de correo (un smarthost) en lugar de entregar directamente a los servidores de los destinatarios.
• Activa la autenticación SMTP y usa los puertos de envío 587 o 465, no el 25.
• Solo si de verdad tienes un servidor de correo en esa dirección y la política de tu ISP lo permite, pide una exclusión en check.spamhaus.org. Una exclusión de una sola IP dura un año (los ISP pueden fijar un periodo más corto) y se revierte si se ve spam desde la dirección.

DBL: quitar un dominio

La DBL lista dominios, nunca direcciones IP. Consulta el dominio en el checker y sigue sus instrucciones; la página de DBL de Spamhaus lo llama el único lugar donde se tramitan las retiradas de la DBL. Las solicitudes aprobadas suelen tardar unos minutos en verse, algunos sistemas tardan hasta 24 horas, y un listado que sigue ahí pasado un día merece un mensaje a Spamhaus. Los listados también caducan cuando cesa la actividad.

Si el sitio fue hackeado (una instalación de WordPress que servía páginas de phishing, por ejemplo), límpialo y cambia todas las contraseñas primero: un dominio que sigue sirviendo el contenido se vuelve a listar. El formulario no garantiza la retirada, y Spamhaus puede bloquear a quien pida retiradas en exceso.

Corrige esto primero para que el listado no vuelva

Quitar el listado trata solo el síntoma. Estas son las causas que devuelven una dirección a la lista, más o menos en el orden en que conviene revisarlas:

Ninguno de los motivos de listado de Spamhaus de arriba es un registro SPF o DMARC ausente, así que publicarlo no levantará un listado. Los receptores sí los comprueban en cada mensaje: las directrices para remitentes de Google exigen SPF o DKIM y DNS directo e inverso válidos a todos los remitentes, y SPF, DKIM y DMARC a quien envíe 5.000 mensajes o más al día a Gmail; también dicen a los remitentes con IP compartida que se aseguren de que no esté en ninguna lista de bloqueo.

¿Configuras un proveedor de correo nuevo? Nuestra guía de Titan Email explica paso a paso sus registros MX, SPF y DKIM.

Por qué 8.8.8.8 y 1.1.1.1 no pueden comprobar Spamhaus (nuestra prueba)

Muchos comprobadores de listas negras, scripts e incluso servidores de correo consultan a Spamhaus a través de un gran resolvedor público. Spamhaus lo bloquea, porque los resolvedores públicos ocultan quién pregunta. En una publicación de 2018 dijo que un solo resolvedor público, posiblemente el más popular, le enviaba unos dos mil millones de consultas al día, aproximadamente el 20 % de todas sus consultas. Por eso los resolvedores públicos reciben un código de error o una respuesta vacía de "no listada" en lugar de los datos.

Prueba de DNS Robot el 26 de octubre de 2026 (desde India): consultamos siete direcciones de resolvedores sobre las entradas de prueba documentadas de Spamhaus, cinco veces cada una. 2.0.0.127.zen.spamhaus.org es la dirección de prueba 127.0.0.2 escrita al revés, y debe responder 127.0.0.2, 127.0.0.4 y 127.0.0.10. dbltest.com.dbl.spamhaus.org debe responder 127.0.1.2. Ambas son entradas de prueba publicadas por Spamhaus, no la dirección ni el dominio real de nadie.

# Cloudflare: refused, and the TXT record says why
$ dig @1.1.1.1 2.0.0.127.zen.spamhaus.org +short
127.255.255.254
$ dig @1.1.1.1 2.0.0.127.zen.spamhaus.org TXT +short
"Error: open resolver; https://check.spamhaus.org/returnc/pub/2400:cb00:222:1024::a29e:c644/"

# Google: NXDOMAIN, which looks exactly like "not listed"
$ dig @8.8.8.8 2.0.0.127.zen.spamhaus.org
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN
zen.spamhaus.org. 10 IN SOA need.to.know.only. hostmaster.spamhaus.org. ...

# Our ISP's resolver, through the home router: the real answer
$ dig 2.0.0.127.zen.spamhaus.org TXT +short
"Listed by PBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by XBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by SBL, see https://check.spamhaus.org/sbl/query/SBL2"

La respuesta de Google es la peligrosa. NXDOMAIN es exactamente lo que devuelve una dirección limpia, así que un comprobador o filtro de spam que pregunta a través de 8.8.8.8 informa "no listada" para direcciones que Spamhaus sí lista. Spamhaus advierte de esto por sí mismo: a través de Google Public DNS, "in most cases" recibes una respuesta de no listada. La respuesta incluso lleva una pista: el registro SOA que la acompaña nombra a su servidor need.to.know.only.

La respuesta de Cloudflare al menos es honesta. 127.255.255.254 está en el rango de errores de Spamhaus, y a través de 1.1.1.1 incluso la dirección de prueba no listada 1.0.0.127 lo recibió. El riesgo va en sentido contrario: Spamhaus señala que algunos servidores de correo rechazan por error todo el correo cuando ven un código 127.255.255.x. Quad9 y OpenDNS dieron respuestas correctas desde nuestra conexión, pero eso puede cambiar sin aviso: Spamhaus nombra a ambos, junto con Google y Cloudflare, cuando advierte contra consultar mediante servicios DNS públicos. Sus condiciones de uso justo piden consultas desde un resolvedor de tu propia red o desde un resolvedor público que admita EDNS Client Subnet.

Códigos de retorno de Spamhaus: qué significa cada respuesta

Spamhaus documenta todos los códigos que devuelven sus zonas. Todo lo que está en 127.255.255.0/24 es un error, nunca un listado, y una respuesta fuera de 127.0.0.0/8 significa que algo está manipulando tu DNS (un ISP que redirige los nombres desconocidos a una página de búsqueda, por ejemplo): Spamhaus dice que la ignores.

Cómo consultar Spamhaus correctamente: tu propio resolvedor o DQS

Spamhaus recomienda consultar desde tus propios servidores DNS: un resolvedor recursivo en tu red, como Unbound, BIND o Knot Resolver en el servidor de correo o junto a él, con un nombre de host correcto que te identifique. Su política de uso justo de DNSBL limita los servidores públicos gratuitos al uso no comercial de organizaciones pequeñas y medianas y no acepta consultas de grandes entornos de hosting compartido.

Cuando eso no es posible, regístrate para obtener una clave gratuita del Data Query Service (DQS). Spamhaus la da a usuarios no comerciales y particulares con pocas consultas; los usuarios comerciales, los ISP, los filtros de spam comerciales y cualquiera con más tráfico necesitan una suscripción de pago. Con una clave, las consultas pasan a las zonas .net de Spamhaus, y la guía de migración de Spamhaus dice que esa es la vía si aun así quieres usar un resolvedor público:

# Free public mirror: ask from your own resolver
2.0.0.127.zen.spamhaus.org

# DQS: your key goes in front of the zone, and .org becomes .net
2.0.0.127.<your-query-key>.zen.dq.spamhaus.net