Mi correo está en una lista negra: cómo saberlo y salir

Un día los correos de la empresa empiezan a rebotar. El mensaje de vuelta dice algo como 554 ... blocked using ... o listed in .... Lo más probable es que la IP de tu servidor de correo, o tu dominio, esté en una lista negra.

Qué es una lista negra de correo

Una lista negra (blacklist o blocklist) es una base de datos de direcciones IP o dominios que han enviado spam, malware o phishing. Los servidores de correo la consultan en cada conexión y, si quien les escribe está en ella, rechazan el correo o lo mandan a spam.

Algunas de las más conocidas:

• Spamhaus, con varias listas: de IPs que envían spam, de equipos infectados, de IPs domésticas que no deberían enviar correo directamente y de dominios usados en spam.
• SpamCop, que se alimenta de las denuncias de los usuarios.
• Barracuda, la que usan sus propios filtros y otros servidores.

Cada servidor decide qué listas consulta. Por eso puede que unos destinatarios reciban tu correo y otros no.

Por qué acaba en una lista la IP de una empresa

Casi nunca porque la empresa envíe spam a propósito. Lo habitual es una de estas:

1. Una cuenta de correo robada. Alguien cae en un phishing, entregan su contraseña y, esa noche, la cuenta envía miles de correos.
2. Un formulario de la web abusado. Un formulario de contacto sin protección que robots usan para enviar spam desde tu servidor.
3. Un equipo infectado en la oficina que envía correo por su cuenta.
4. Una IP compartida. En algunos hostings, tu web y tu correo comparten IP con otros clientes; si uno de ellos envía spam, la lista castiga a la IP entera.
5. Envíos masivos mal hechos: listas compradas o boletines a direcciones antiguas que acaban en trampas de spam.

Cómo saber si estás en una lista negra

• Lee los rebotes. El mensaje de vuelta suele nombrar la lista y la IP. Guárdalo.
• Usa el comprobador gratuito: además de SPF, DKIM y DMARC, revisa si los servidores de tu dominio están en listas negras.
• Pregunta a quien lleve tu correo (tu informático, tu hosting o tu proveedor): sabrán desde qué IP sale y podrán ver si el servidor está enviando de más.

Cómo salir (y no volver a entrar)

El orden importa: primero se arregla la causa, después se pide la baja. Si se pide antes, se vuelve a entrar en cuestión de horas.

1. Encuentra el origen. Revisa qué cuenta o qué servicio ha enviado de más: los registros del servidor o del proveedor lo enseñan.
2. Corta el envío. Cambia las contraseñas de las cuentas afectadas, activa la verificación en dos pasos, protege el formulario de la web (captcha o similar) o aísla el equipo infectado.
3. Limpia la cola. Si hay miles de correos de spam esperando para salir, hay que borrarlos antes de que salgan.
4. Pide la baja en la web de cada lista. Todas tienen una página para consultar una IP o un dominio y pedir que se retire. Algunas la hacen de inmediato, otras caducan solas cuando dejan de recibir denuncias.
5. Si la IP es compartida, pide a tu proveedor que lo resuelva o que te dé una IP propia para el correo.

Cómo evitar que vuelva a pasar

• Verificación en dos pasos en todas las cuentas de correo: una contraseña robada no basta para entrar.
• SPF, DKIM y DMARC bien configurados, para que nadie envíe en tu nombre desde fuera. Si no sabes por dónde empezar, lee SPF, DKIM y DMARC con un ejemplo.
• Formularios web con protección contra robots.
• Boletines solo a quien los pidió, desde una herramienta que gestione las bajas y los rebotes.
• Un filtro de entrada que pare el phishing antes de que llegue a la bandeja: muchas cuentas robadas empiezan con un solo correo abierto un día con prisa.

Y al revés: listas negras que te protegen

Las listas negras también trabajan a tu favor. Un filtro de entrada como EscudoCorreo las consulta en la puerta y rechaza el correo de servidores que ya están marcados antes de analizarlo, así que buena parte del spam ni siquiera llega a tu servidor.

Preguntas frecuentes

¿Cómo sé si mi correo está en una lista negra?

La primera pista son los rebotes: mensajes de vuelta que hablan de «blocked», «listed», «blacklist» o «DNSBL» y nombran una lista. Para confirmarlo, el comprobador gratuito revisa las listas negras de los servidores de tu dominio.

¿Cuánto tarda en salir de una lista negra?

Depende de la lista: algunas dan de baja al poco de pedirlo y otras caducan solas cuando dejan de recibir denuncias. Pero si no se ha arreglado la causa, se vuelve a entrar enseguida.

¿Pagar sirve para salir de una lista negra?

Las listas serias no cobran por dar de baja. Desconfía de quien te ofrece sacarte de una lista a cambio de dinero.