Liste di blocco: quando il tuo server finisce in elenco

Le liste di blocco elencano gli indirizzi IP da cui è arrivato spam. Come capire se il tuo server è in elenco, quali sono le cause più comuni e come chiedere la rimozione.

Una lista di blocco è un elenco pubblico di indirizzi IP dai quali è stato osservato spam. I server di posta la consultano prima di accettare una connessione: se l'indirizzo che sta bussando è in elenco, molti rifiutano subito, altri mandano il messaggio nello spam. Nella maggior parte dei casi il mittente non riceve alcun avviso comprensibile, e il primo segnale è un cliente che dice «non mi è mai arrivato niente».

È il rilievo più urgente di tutta questa verifica. SPF, DKIM e DMARC lavorano su settimane e mesi; una lista di blocco tocca la posta di oggi.

Questa verifica interroga sei liste per ogni indirizzo IP dei tuoi server di posta:

• SpamCop — segnalazioni degli utenti, voci che scadono da sole dopo poco.
• Barracuda — molto usata dalle aziende, pesa parecchio in ambito professionale.
• PSBL — basata su trappole per spam, rimozione immediata e senza condizioni.
• Mailspike — reputazione dell'indirizzo, con una scala di livelli.
• GBUdb Truncate — indirizzi da cui arriva quasi solo spam.
• s5h — lista generalista, usata soprattutto da server piccoli.

Due liste note mancano, e non per caso.

Spamhaus non viene interrogata. Risponde alle richieste provenienti dai datacenter solo con una chiave di accesso a pagamento; senza, restituisce un messaggio di rifiuto che non significa né «pulito» né «in elenco». Registrarlo come uno dei due sarebbe una falsa affermazione, quindi il referto scrive semplicemente «non interrogata». Se hai motivo di sospettare un problema, Spamhaus mette a disposizione una pagina di consultazione dal proprio sito.

UCEPROTECT è esclusa per una ragione diversa: elenca interi intervalli di indirizzi a causa di un singolo vicino rumoroso e chiede denaro per la rimozione anticipata. Una voce lì non dice quasi nulla sul tuo dominio.

Come si finisce in elenco

Le cause, in ordine di frequenza:

1. Una casella compromessa. Qualcuno ha ottenuto la password di un utente e la usa per spedire. È di gran lunga il caso più comune, e si riconosce da un picco improvviso di messaggi in uscita.
2. Un modulo di contatto o un negozio senza protezione. Uno script sul sito viene usato per spedire a indirizzi altrui. Il server è tuo, la posta no.
3. Un vicino, se l'indirizzo è condiviso. Su hosting condiviso spedisci dallo stesso indirizzo di centinaia di altri clienti. Il comportamento di uno ricade su tutti.
4. Una lista di destinatari vecchia. Indirizzi raccolti anni fa, mai ripuliti: molti sono diventati trappole per spam, e spedire lì è il modo più rapido per finire in elenco.
5. Un errore di configurazione. Un relay aperto, cioè un server che accetta di inoltrare posta per chiunque, oggi è raro ma esiste ancora.

Che cosa fare, nell'ordine

Prima la causa, poi la rimozione. Una richiesta di rimozione presentata senza aver chiuso la falla viene accettata una volta e rifiutata la seconda, e alcune liste allungano i tempi di attesa a ogni recidiva.

1. Trova il motivo. Guarda i log del server di posta o il pannello del provider: cerca un volume in uscita anomalo, un singolo utente che spedisce a centinaia di destinatari, o messaggi verso domini che non c'entrano niente con la tua attività.
2. Chiudi la falla. Cambia la password della casella compromessa, attiva l'autenticazione a due fattori dove è possibile, metti un limite di invio per utente, aggiungi una protezione ai moduli del sito.
3. Chiedi la rimozione. Ogni lista ha una propria pagina: si inserisce l'indirizzo IP e si conferma. PSBL e SpamCop rimuovono subito; Barracuda chiede una breve motivazione; altre aspettano alcuni giorni di traffico pulito.
4. Controlla dopo un giorno. Rifai questa verifica. Se l'indirizzo è ancora in elenco, la causa non è stata chiusa.

Se il server è di un provider — Aruba, Register.it, Netsons, Serverplan, IONOS o chiunque altro — l'indirizzo non è tuo e la richiesta di rimozione la fa lui. Apri un ticket, indica l'indirizzo IP e la lista, e chiedi che venga verificato anche il motivo. Su Microsoft 365 e Google Workspace il caso è diverso: gli indirizzi sono loro e sono sorvegliati, quindi una voce lì è rara e va sempre segnalata al supporto.

I rilievi nel dettaglio

Server di posta in una lista di blocco

Almeno uno degli indirizzi IP dei tuoi server di posta compare in una delle liste interrogate. Il referto dice quale indirizzo e quale lista. In pratica significa che una parte dei destinatari sta rifiutando o filtrando i tuoi messaggi in questo momento, spesso senza mandare al mittente un errore leggibile.

Il peso dipende dalla lista. Una voce su Barracuda ha conseguenze immediate in ambito aziendale; una su s5h tocca molti meno destinatari. In ogni caso è un segnale che qualcosa ha spedito posta indesiderata da quell'indirizzo, e quel qualcosa merita di essere trovato.

Che cosa fare. Segui l'ordine descritto sopra: prima la causa, poi la rimozione. Se l'indirizzo appartiene al tuo provider, apri un ticket indicando indirizzo e lista. Se il server è tuo, controlla i log alla ricerca di un volume anomalo, cambia le credenziali sospette, metti un limite di invio e solo allora presenta la richiesta di rimozione. Dopo ventiquattro ore ripeti questa verifica.

Domande frequenti

Quanto ci vuole per uscire da una lista?

Da pochi minuti a qualche settimana. PSBL e SpamCop rimuovono su richiesta quasi subito, e le voci di SpamCop scadono comunque da sole dopo poco tempo se il traffico torna pulito. Barracuda e Mailspike valutano la richiesta. GBUdb si aggiorna da sé quando il flusso osservato cambia.

La mia posta arriva normalmente. Devo preoccuparmi lo stesso?

Sì, ma senza panico. Ogni lista è usata da destinatari diversi: puoi essere in elenco su una e non accorgerti di nulla per settimane, finché non scrivi a un cliente il cui server la consulta. La voce va comunque risolta, perché indica un problema a monte.

Posso evitare del tutto il rischio spedendo da un grande provider?

Quasi. Con Microsoft 365, Google Workspace o un servizio di invio professionale spedisci da indirizzi sorvegliati con attenzione, e il rischio di finire in elenco è molto basso. Resta il rischio opposto: se una casella viene compromessa, il provider blocca l'invio all'account — meno doloroso di una lista di blocco, ma altrettanto improvviso.

Che cosa c'entrano SPF, DKIM e DMARC con tutto questo?

Non impediscono di finire in elenco, ma riducono il rischio: rendono più difficile falsificare il tuo dominio e, grazie ai rapporti DMARC, ti fanno notare un invio anomalo prima che lo notino le liste.