Come verificare se un IP è in una blacklist, e come farsi rimuovere

Scritto da Aldo · threat hunter in un blue team
Ultimo aggiornamento: 9 novembre 2026 · 5 min di lettura

Le tue email tornano indietro con “blocked using …”, o un cliente ti dice che il tuo sito risulta segnalato. Da qualche parte il tuo indirizzo è in una lista. Ecco come scoprire quale, cosa significa e come uscirne senza perdere una settimana.

Cos'è una blacklist

Una blacklist (o blocklist) è un elenco di indirizzi IP, o di blocchi di indirizzi, di cui qualcuno consiglia di non fidarsi per uno scopo preciso. I server di posta le usano per rifiutare lo spam; i firewall per scartare il traffico di reti criminali. Ogni lista ha le sue ragioni, le sue regole per aggiungere indirizzi e la sua procedura di rimozione. Essere in una non dice nulla sulle altre.

La maggior parte delle blacklist per la posta è pubblicata come DNS blacklist (DNSBL), così qualsiasi server di posta può controllare un indirizzo con una sola interrogazione DNS. E puoi farlo anche tu.

Un esempio concreto: l'indirizzo di prova che ogni lista deve avere

Per interrogare una DNSBL, scrivi i quattro numeri dell'indirizzo in ordine inverso e aggiungi il nome della zona della lista. Lo standard per le blacklist DNS impone a ogni lista IPv4 di tenere una voce di prova permanente per 127.0.0.2, quindi è l'indirizzo sicuro con cui esercitarsi. Spamhaus riunisce le sue liste in un'unica zona, zen.spamhaus.org:

nslookup 2.0.0.127.zen.spamhaus.org
nslookup -type=TXT 2.0.0.127.zen.spamhaus.org

La risposta che abbiamo ricevuto il 9 novembre 2026:

Addresses:  127.0.0.2
            127.0.0.4
            127.0.0.10

"Listed by XBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by PBL, see https://check.spamhaus.org/query/ip/127.0.0.2"

Come leggerla:

Una risposta qualsiasi significa “in lista”. Un indirizzo che non è in lista non riceve risposta (il nome non esiste).
Gli indirizzi restituiti sono codici, non indirizzi veri. Per Spamhaus, 127.0.0.2 indica la SBL (fonti e operazioni di spam), 127.0.0.4 la XBL (macchine infettate da malware o usate come proxy), e 127.0.0.10 o 127.0.0.11 la PBL. Le altre liste usano codici propri, documentati sui loro siti.
Il record TXT ti dice dove andare dopo: la pagina della lista per quell'indirizzo preciso, con il motivo e la procedura di rimozione.

Una trappola: se la risposta è 127.255.255.254, la lista non ha risposto affatto alla tua domanda. Spamhaus la restituisce alle interrogazioni fatte tramite i grandi resolver pubblici, che non serve. Fai il controllo da un server che usa un DNS proprio o del suo provider, oppure usa il sito della lista.

Per controllare il tuo indirizzo, invertilo allo stesso modo: 198.51.100.25 diventa 25.100.51.198.zen.spamhaus.org.

Cosa significa ogni tipo di inserimento

Inserimento	Cosa dice	Cosa fare
Una lista di spam come la Spamhaus SBL	Da questo indirizzo o da questa rete è partito spam	Trova cosa l'ha inviato: un account violato, un modulo di contatto usato per inoltrare posta, un sito compromesso. Correggi, poi chiedi la rimozione.
Una lista di malware come la Spamhaus XBL	Un dispositivo dietro questo indirizzo è infetto o usato come proxy	Trova e ripulisci il dispositivo (in una rete di casa, controlla ogni computer e apparecchio). Poi chiedi la rimozione.
Una lista “di policy” come la Spamhaus PBL	È un indirizzo domestico o dinamico che non dovrebbe consegnare posta direttamente	Non è una punizione. Invia la posta attraverso i server del tuo provider o del tuo servizio email. Se gestisci un vero server di posta su un indirizzo statico, la pagina della PBL spiega come rimuoverlo.
Una lista di reti come Spamhaus DROP	L'intero blocco è dirottato o gestito da criminali	Nulla che tu possa correggere da solo. Se affitti questo indirizzo, parla con il tuo provider, o cambia fornitore.
Un indirizzo di hosting condiviso o di una VPN	L'ha causato qualcun altro sullo stesso indirizzo	Chiedi un altro indirizzo all'hosting o alla VPN; possono anche chiedere loro la rimozione.

Farsi rimuovere, nell'ordine giusto

Leggi il motivo sulla pagina della lista. Spesso nomina il problema: una famiglia di malware precisa, un intervallo di tempo, un tipo di traffico.
Correggi la causa. Cambia le password degli account di posta, aggiorna o rimuovi il sito o il plugin compromesso, ripulisci le macchine infette, chiudi i relay aperti e i moduli abusati. Controlla i log della posta in uscita per confermare che lo spam si è fermato.
Chiedi la rimozione sul sito della lista. Alcuni inserimenti scadono da soli quando il problema finisce; altri richiedono la richiesta. Se torni in lista poco dopo, la causa non è stata risolta.
Ignora chi vende “rimozioni express”. Spamhaus dichiara che non c'è mai alcun costo per la rimozione di un inserimento.

Poi guarda l'autenticazione. La posta da un indirizzo pulito può comunque essere rifiutata se il dominio non ha record SPF, DKIM o DMARC; la nostra guida su SPF, DKIM e DMARC copre quell'aspetto.

Cosa controlla iplover, e cosa no

Sii chiaro su cosa copre un controllo gratuito. Il lookup IP di iplover confronta un indirizzo con le liste del nostro server: due blacklist (Spamhaus DROP e abuse.ch Feodo Tracker), più le liste di crawler, cloud, scanner e Tor. Il risultato dice quali liste ha controllato, quindi “nessun segnale di abuso nelle fonti che controlliamo” significa esattamente questo. Non interroga le grandi blacklist per la posta come Spamhaus SBL, XBL o PBL, che hanno condizioni d'uso per le interrogazioni automatiche. Per quelle, usa il sito della lista o il controllo DNS qui sopra.

Un'ultima nota onesta: Feodo Tracker pubblica solo gli indirizzi usati in quel momento per controllare botnet specifiche, e a volte la sua lista è vuota. Una lista vuota non può trovare corrispondenze; è un limite dei dati, non un certificato di buona salute.

Fonti

Documenti ufficiali usati per verificare i fatti di questa guida.