Guías · Investigar una IP

Cómo comprobar si una IP está en una lista negra, y cómo salir de ella

Escrito por Aldo · threat hunter en un blue team
Última actualización: 9 de noviembre de 2026 · 5 min de lectura

Tus correos vuelven con «blocked using …», o un cliente te dice que tu web aparece marcada. En algún sitio, tu dirección está en una lista. Así averiguas cuál, qué significa y cómo salir de ella sin perder una semana.

Qué es una lista negra

Una lista negra (o lista de bloqueo) es un listado de direcciones IP, o de bloques, en las que alguien recomienda no confiar para un fin concreto. Los servidores de correo las usan para rechazar spam; los cortafuegos, para descartar tráfico de redes delictivas. Cada lista tiene sus motivos, sus reglas para incluir direcciones y su procedimiento de baja. Estar en una no dice nada de las demás.

La mayoría de listas negras de correo se publican como listas DNS (DNSBL), para que cualquier servidor de correo compruebe una dirección con una sola consulta DNS. Y tú también puedes.

Un ejemplo real: la dirección de prueba que toda lista debe tener

Para consultar una DNSBL, escribe los cuatro números de la dirección en orden inverso y añade el nombre de zona de la lista. El estándar de las listas negras DNS obliga a toda lista IPv4 a tener una entrada de prueba permanente para 127.0.0.2, así que es la dirección segura para practicar. Spamhaus reúne sus listas en una sola zona, zen.spamhaus.org:

nslookup 2.0.0.127.zen.spamhaus.org
nslookup -type=TXT 2.0.0.127.zen.spamhaus.org

La respuesta que obtuvimos el 9 de noviembre de 2026:

Addresses:  127.0.0.2
            127.0.0.4
            127.0.0.10

"Listed by XBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by PBL, see https://check.spamhaus.org/query/ip/127.0.0.2"

Cómo leerla:

• Cualquier respuesta significa «incluida». Una dirección que no está en la lista no recibe respuesta (el nombre no existe).
• Las direcciones devueltas son códigos, no direcciones reales. En Spamhaus, 127.0.0.2 indica la SBL (fuentes y operaciones de spam), 127.0.0.4 la XBL (equipos infectados con malware o usados como proxy), y 127.0.0.10 o 127.0.0.11 la PBL. Otras listas usan sus propios códigos, documentados en sus webs.
• El registro TXT te dice adónde ir: la página de la lista para esa dirección concreta, con el motivo y el procedimiento de baja.

Una trampa: si la respuesta es 127.255.255.254, la lista no ha contestado a tu pregunta. Spamhaus la devuelve a las consultas hechas a través de los grandes resolutores públicos, a los que no da servicio. Haz la comprobación desde un servidor que use su propio DNS o el de su proveedor, o usa la web de la lista.

Para comprobar tu propia dirección, dale la vuelta igual: 198.51.100.25 se convierte en 25.100.51.198.zen.spamhaus.org.

Qué significa cada tipo de inclusión

Salir de la lista, en el orden correcto

1. Lee el motivo en la página de la lista. A menudo nombra el problema: una familia de malware concreta, un periodo de tiempo, un tipo de tráfico.
2. Corrige la causa. Cambia las contraseñas de las cuentas de correo, actualiza o elimina la web o el plugin comprometido, limpia los equipos infectados, cierra relés abiertos y formularios abusados. Revisa los logs del correo saliente para confirmar que el spam ha parado.
3. Pide la baja en la web de la lista. Algunas inclusiones caducan solas cuando el problema para; otras necesitan la solicitud. Si vuelves a la lista poco después, la causa no estaba resuelta.
4. Ignora a quien venda «bajas exprés». Spamhaus afirma que nunca se cobra por eliminar una inclusión.

Luego revisa la autenticación. El correo desde una dirección limpia puede rechazarse igual si el dominio no tiene registros SPF, DKIM o DMARC; nuestra guía sobre SPF, DKIM y DMARC cubre esa parte.

Qué comprueba iplover, y qué no

Ten claro qué cubre una comprobación gratuita. La búsqueda de IP de iplover compara una dirección con las listas de nuestro servidor: dos listas negras (Spamhaus DROP y abuse.ch Feodo Tracker), más listas de rastreadores, nubes, escáneres y Tor. El resultado dice qué listas comprobó, así que «ninguna señal de abuso en las fuentes que comprobamos» significa exactamente eso. No consulta las grandes listas negras de correo como Spamhaus SBL, XBL o PBL, que tienen condiciones de uso para las consultas automáticas. Para esas, usa la web de la lista o la comprobación DNS de arriba.

Una última nota sincera: Feodo Tracker solo publica las direcciones que se usan en ese momento para controlar botnets concretas, y a veces su lista está vacía. Una lista vacía no puede coincidir con nada; es un límite de los datos, no un certificado de buena salud.