Spamhaus: como verificar e remover IP da blacklist

Como verificar uma listagem na Spamhaus

Para saber se a Spamhaus lista seu endereço IP ou domínio, consulte-o no IP and Domain Reputation Checker da própria Spamhaus, em check.spamhaus.org. Ele mostra qual lista contém o endereço, o motivo e a opção de remoção dessa lista. O checker substituiu o antigo Blocklist Removal Center em março de 2021, então um guia que ainda manda você para o "removal center" quer dizer esta página.

A Spamhaus pesa mais que a maioria das blocklists porque muitos servidores de e-mail a usam. As regras padrão do SpamAssassin e do Rspamd consultam a lista ZEN, a rejeição 550 OU-001 do Outlook.com manda você à Spamhaus para a remoção, e os erros 553/554 do Yahoo podem dizer "Your IP is listed by Spamhaus". Se uma mensagem de bounce menciona a Spamhaus, o endereço IP dessa mensagem é o que deve ser consultado.

Outros verificadores de blacklist ou apenas apontam para ela ou consultam as zonas DNS da Spamhaus por conta própria, e isso só funciona a partir do resolver certo (veja nosso teste de resolvers).

Listas da Spamhaus explicadas: SBL, CSS, XBL, PBL, DBL e ZEN

A Spamhaus mantém várias listas, e a forma de sair depende inteiramente de qual delas contém você. Quatro listam endereços IP e são combinadas no ZEN (zen.spamhaus.org), a única zona que um servidor de e-mail precisa consultar. A quinta, a DBL, lista nomes de domínio.

O ZEN é simplesmente SBL + CSS + XBL + PBL em uma consulta, então uma única busca pode retornar vários códigos ao mesmo tempo. O endereço de teste da Spamhaus 127.0.0.2 está de propósito em três listas, e por isso responde 127.0.0.2, 127.0.0.4 e 127.0.0.10 juntos. A Spamhaus pede que as aplicações interpretem (parse) os códigos de retorno, então leia todos os códigos da resposta, não só o primeiro.

Por que a Spamhaus está bloqueando meu IP?

A Spamhaus não publica seus gatilhos exatos, mas a página de cada lista diz que tipo de comportamento leva um endereço a ela:

• XBL: um dispositivo atrás do endereço está infectado ou sendo abusado. Malware em um PC, um app de "VPN grátis" que usa sua conexão como proxy de outra pessoa, um dispositivo participando de ataques de força bruta ou algo tentando retransmitir e-mail com senhas roubadas.
• CSS: o próprio servidor de e-mail envia e-mail ruim. Mensagens não solicitadas, má higiene de listas, uma caixa de e-mail ou CMS invadido enviando spam, ou um servidor cujo nome HELO e DNS reverso não batem.
• SBL: a Spamhaus ligou o endereço a uma operação de spam ou abuso. Em hospedagem compartilhada ou num VPS barato, pode ser um inquilino anterior ou um vizinho, e a Spamhaus pode estender listagens à infraestrutura do próprio provedor ou a faixas maiores quando o provedor hospeda abuso.
• PBL: o endereço é residencial ou de outro usuário final. Seu provedor (ou a Spamhaus) o marcou como espaço que não deveria entregar e-mail diretamente. A rejeição 550 DY-001 do Outlook.com é a mesma política: em geral ele não aceita e-mail direto de endereços IP dinâmicos.
• DBL: um domínio do seu e-mail está listado. Seu próprio domínio, ou um link na mensagem, apareceu em spam ou em phishing ou malware hospedado. Domínios legítimos invadidos também são listados, com códigos próprios (127.0.1.102 a 127.0.1.106).

Leia o motivo do checker antes de mudar qualquer coisa: consertar um notebook infectado não tem nada a ver com resolver uma conexão residencial na PBL.

Como sair da lista da Spamhaus (delist)

Corrija primeiro, peça depois. A Spamhaus lista de novo um endereço assim que detecta o problema outra vez, e as remoções por conta própria são limitadas, então uma remoção pedida antes da correção é uma remoção desperdiçada.

1. Encontre o endereço listadoPegue o endereço IP do bounce ou do log do seu servidor de e-mail: o endereço público de onde o e-mail saiu, não um 192.168.x.x.
2. Consulte em check.spamhaus.orgAnote a lista (SBL, CSS, XBL, PBL ou DBL), o motivo da listagem e o número de referência, se houver.
3. Corrija a causaLimpe o dispositivo infectado, feche o relay, corrija o DNS reverso e o HELO ou pare o envio que causou a listagem.
4. Peça a remoção ou acione seu provedorUse a opção de remoção do checker para listagens XBL, CSS, PBL e DBL. Para uma listagem SBL, abra um chamado na equipe de abuso do seu provedor ou host.
5. Verifique de novoAs zonas da Spamhaus são recarregadas em minutos, embora algumas redes demorem até um dia. Se a remoção não puder ser tratada na hora, o checker abre um chamado para você.

SBL: seu provedor ou host precisa pedir a remoção

Você não consegue remover uma listagem SBL por conta própria. A página da SBL da Spamhaus diz que os pedidos de remoção devem vir do provedor responsável pelo endereço, depois que o abuso foi resolvido. Abra um chamado com a equipe de abuso do seu provedor, inclua a referência SBL do checker e diga o que você corrigiu.

A Spamhaus não processa remoções das outras listas para esse endereço enquanto a listagem SBL não sair. Em hospedagem compartilhada, quando a listagem não é sobre você, pedir um endereço IP limpo ao host costuma ser mais rápido do que esperar a retirada de uma listagem de faixa inteira.

XBL: limpe o dispositivo infectado e depois remova por conta própria

Uma listagem XBL pode ser removida por você em check.spamhaus.org, e também expira sozinha algum tempo depois que o tráfego malicioso cessa. A lista é movimentada: a Spamhaus diz que ela tem em média cerca de 2 milhões de listagens, com aproximadamente 650.000 novas detecções a cada 24 horas.

Remover antes de achar a causa não dura: o endereço volta à lista na próxima vez que o dispositivo infectado se conectar. A página da XBL da Spamhaus sugere:

• Atualize todos os dispositivos atrás do endereço e rode uma varredura antimalware completa em cada um.
• Remova extensões de navegador e apps de "VPN grátis" que você não reconhece.
• Atualize o firmware do roteador, desative o acesso externo de que você não precisa e abra só as portas necessárias.
• Para conter o abuso na hora, bloqueie a porta 25 de saída no roteador ou firewall para tudo, exceto o seu servidor de e-mail de verdade. Isso para o spam, não a infecção; netstat ou TCPView mostram qual máquina continua tentando.

Nem toda rede aplica as remoções na mesma velocidade, por isso a Spamhaus pede que você espere 24 horas antes de abrir um chamado sobre uma remoção que não apareceu.

CSS: corrija o servidor de e-mail e depois peça a remoção

As listagens CSS são automáticas e curtas. Normalmente expiram três dias após a última detecção, mais tempo em alguns casos de abuso crônico. Você pode pedir a remoção no checker depois de corrigir a causa, mas as remoções por conta própria são limitadas e o endereço é listado de novo imediatamente se o problema continuar.

Só a configuração já pode render uma listagem CSS. A página da CSS da Spamhaus destaca o HELO e o DNS reverso: o registro PTR deve existir e indicar o nome de host que o servidor usa, a consulta direta deve coincidir com o nome HELO, e o HELO/EHLO deve ser um nome de domínio totalmente qualificado (FQDN), não localhost.localdomain ou mail. Um balanceador de carga na frente de servidores de e-mail também pode fazer o endereço público parecer infectado.

PBL: não é punição, então mude a forma de enviar

A PBL lista faixas de endereços de usuário final, dinâmicos e estáticos, "das quais e-mail nunca deveria ser enviado diretamente ao destino final". Os próprios provedores adicionam muitas dessas faixas, e a Spamhaus diz que os endereços "não são necessariamente ruins". Um endereço de banda larga residencial na PBL é normal.

Se uma listagem PBL faz seu e-mail ser rejeitado, a solução costuma ser mudar a forma de enviar, não pedir remoção:

• Envie pelo servidor de saída do seu provedor ou do serviço de e-mail (um smarthost) em vez de entregar direto aos servidores dos destinatários.
• Ative a autenticação SMTP e use as portas de submissão 587 ou 465, não a 25.
• Só se você realmente mantém um servidor de e-mail nesse endereço, e a política do seu provedor permite, peça uma exclusão em check.spamhaus.org. Uma exclusão de IP único dura um ano (os provedores podem definir prazo menor) e é revertida se houver spam vindo do endereço.

DBL: remoção de um domínio

A DBL lista domínios, nunca endereços IP. Consulte o domínio no checker e siga as instruções; a página da DBL da Spamhaus o chama de único lugar onde as remoções da DBL são tratadas. Pedidos aprovados costumam aparecer em poucos minutos, alguns sistemas levam até 24 horas, e uma listagem que continua depois de um dia merece uma mensagem à Spamhaus. As listagens também expiram quando a atividade cessa.

Se o site foi invadido (uma instalação de WordPress servindo páginas de phishing, por exemplo), limpe-o e troque todas as senhas primeiro: um domínio que ainda serve o conteúdo é listado de novo. O formulário não garante a remoção, e a Spamhaus pode bloquear quem pede remoção em excesso.

Corrija isto primeiro para a listagem não voltar

O delist trata só o sintoma. Estas são as causas que colocam um endereço de volta na lista, mais ou menos na ordem em que convém verificá-las:

Nenhum dos motivos de listagem da Spamhaus acima é um registro SPF ou DMARC ausente, então publicar um não vai remover uma listagem. Os destinatários, porém, os verificam a cada mensagem: as diretrizes para remetentes do Google exigem SPF ou DKIM e DNS direto e reverso válidos de todo remetente, e SPF, DKIM e DMARC de quem envia 5.000 mensagens ou mais por dia ao Gmail; elas também mandam quem usa IP compartilhado garantir que ele não esteja em nenhuma blocklist.

Configurando um novo provedor de e-mail? Nosso guia do Titan Email explica passo a passo seus registros MX, SPF e DKIM.

Por que 8.8.8.8 e 1.1.1.1 não conseguem checar a Spamhaus (nosso teste)

Muitos verificadores de blacklist, scripts e até servidores de e-mail consultam a Spamhaus por um grande resolver público. A Spamhaus bloqueia isso, porque resolvers públicos escondem quem está perguntando. Num post de 2018, ela disse que um único resolver público, talvez o mais popular, enviava cerca de dois bilhões de consultas por dia, aproximadamente 20% de todas as suas consultas. Por isso os resolvers públicos recebem um código de erro ou uma resposta vazia de "não listado" em vez dos dados.

Teste da DNS Robot em 26 de outubro de 2026 (da Índia): perguntamos a sete endereços de resolver sobre as entradas de teste documentadas da Spamhaus, cinco vezes cada. 2.0.0.127.zen.spamhaus.org é o endereço de teste 127.0.0.2 escrito ao contrário e deve responder 127.0.0.2, 127.0.0.4 e 127.0.0.10. dbltest.com.dbl.spamhaus.org deve responder 127.0.1.2. Ambas são entradas de teste publicadas pela Spamhaus, não o endereço ou domínio real de ninguém.

# Cloudflare: refused, and the TXT record says why
$ dig @1.1.1.1 2.0.0.127.zen.spamhaus.org +short
127.255.255.254
$ dig @1.1.1.1 2.0.0.127.zen.spamhaus.org TXT +short
"Error: open resolver; https://check.spamhaus.org/returnc/pub/2400:cb00:222:1024::a29e:c644/"

# Google: NXDOMAIN, which looks exactly like "not listed"
$ dig @8.8.8.8 2.0.0.127.zen.spamhaus.org
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN
zen.spamhaus.org. 10 IN SOA need.to.know.only. hostmaster.spamhaus.org. ...

# Our ISP's resolver, through the home router: the real answer
$ dig 2.0.0.127.zen.spamhaus.org TXT +short
"Listed by PBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by XBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by SBL, see https://check.spamhaus.org/sbl/query/SBL2"

A resposta do Google é a perigosa. NXDOMAIN é exatamente o que um endereço limpo retorna, então um verificador ou filtro de spam que pergunta pelo 8.8.8.8 informa "não listado" para endereços que a Spamhaus de fato lista. A própria Spamhaus avisa disso: pelo Google Public DNS, "in most cases" você recebe uma resposta de não listado. A resposta ainda traz uma pista: o registro SOA que a acompanha dá ao servidor o nome need.to.know.only.

A resposta da Cloudflare ao menos é honesta. 127.255.255.254 está na faixa de erros da Spamhaus, e pelo 1.1.1.1 até o endereço de teste não listado 1.0.0.127 a recebeu. O risco vai no sentido oposto: a Spamhaus observa que alguns servidores de e-mail rejeitam por engano todo o e-mail ao ver um código 127.255.255.x. Quad9 e OpenDNS deram respostas corretas a partir da nossa conexão, mas isso pode mudar sem aviso: a Spamhaus cita os dois, junto com Google e Cloudflare, ao alertar contra consultar por serviços de DNS públicos. Seus termos de uso justo pedem consultas a partir de um resolver na sua própria rede ou de um resolver público que suporte EDNS Client Subnet.

Códigos de retorno da Spamhaus: o que cada resposta significa

A Spamhaus documenta todos os códigos que suas zonas retornam. Qualquer coisa em 127.255.255.0/24 é erro, nunca listagem, e uma resposta fora de 127.0.0.0/8 significa que algo está adulterando seu DNS (um provedor que redireciona nomes desconhecidos para uma página de busca, por exemplo): a Spamhaus manda ignorá-la.

Como consultar a Spamhaus do jeito certo: resolver próprio ou DQS

A Spamhaus recomenda consultar a partir dos seus próprios servidores DNS: um resolver recursivo na sua rede, como Unbound, BIND ou Knot Resolver no servidor de e-mail ou ao lado dele, com um hostname correto que identifique você. Sua política de uso justo da DNSBL limita os servidores públicos gratuitos ao uso não comercial por organizações pequenas e médias e não aceita consultas de grandes ambientes de hospedagem compartilhada.

Onde isso não for possível, cadastre-se para uma chave gratuita do Data Query Service (DQS). A Spamhaus a dá a usuários não comerciais e pessoas físicas com baixo volume de consultas; usuários comerciais, provedores, filtros de spam comerciais e quem tem mais tráfego precisam de uma assinatura paga. Com uma chave, as consultas passam para as zonas .net da Spamhaus, e o guia de migração da Spamhaus diz que este é o caminho se você ainda quiser usar um resolver público:

# Free public mirror: ask from your own resolver
2.0.0.127.zen.spamhaus.org

# DQS: your key goes in front of the zone, and .org becomes .net
2.0.0.127.<your-query-key>.zen.dq.spamhaus.net