Guias · Investigar um IP

Como verificar se um IP está numa lista de bloqueio, e como sair dela

Escrito por Aldo · threat hunter em um blue team
Última atualização: 9 de novembro de 2026 · 5 min de leitura

Os seus e-mails voltam com “blocked using …”, ou um cliente avisa que o seu site está marcado. Em algum lugar, o seu endereço está numa lista. Veja como descobrir qual, o que isso significa e como sair dela sem perder uma semana.

O que é uma lista de bloqueio

Uma lista de bloqueio (ou lista negra) é uma lista de endereços IP, ou de blocos, nos quais alguém recomenda não confiar para um fim específico. Servidores de e-mail as usam para recusar spam; firewalls, para descartar tráfego de redes criminosas. Cada lista tem os próprios motivos, as próprias regras de inclusão e o próprio processo de remoção. Estar numa não diz nada sobre as outras.

A maioria das listas de bloqueio de e-mail é publicada como lista DNS (DNSBL), para que qualquer servidor de e-mail confira um endereço com uma única consulta DNS. Você também pode.

Um exemplo real: o endereço de teste que toda lista precisa ter

Para consultar uma DNSBL, escreva os quatro números do endereço em ordem inversa e acrescente o nome de zona da lista. O padrão das listas de bloqueio DNS exige que toda lista IPv4 tenha uma entrada de teste permanente para 127.0.0.2, então esse é o endereço seguro para praticar. A Spamhaus junta as listas dela numa só zona, zen.spamhaus.org:

nslookup 2.0.0.127.zen.spamhaus.org
nslookup -type=TXT 2.0.0.127.zen.spamhaus.org

A resposta que recebemos em 9 de novembro de 2026:

Addresses:  127.0.0.2
            127.0.0.4
            127.0.0.10

"Listed by XBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by PBL, see https://check.spamhaus.org/query/ip/127.0.0.2"

Como ler:

• Qualquer resposta significa “listado”. Um endereço que não está na lista não recebe resposta (o nome não existe).
• Os endereços devolvidos são códigos, não endereços reais. Na Spamhaus, 127.0.0.2 indica a SBL (fontes e operações de spam), 127.0.0.4 a XBL (máquinas infectadas por malware ou usadas como proxy), e 127.0.0.10 ou 127.0.0.11 a PBL. Outras listas usam os próprios códigos, documentados nos sites delas.
• O registro TXT diz aonde ir: a página da lista para aquele endereço exato, com o motivo e o processo de remoção.

Uma pegadinha: se a resposta for 127.255.255.254, a lista não respondeu à sua pergunta. A Spamhaus devolve isso para consultas feitas pelos grandes resolvedores públicos, que ela não atende. Faça a verificação de um servidor que use o próprio DNS ou o do provedor, ou use o site da lista.

Para conferir o seu próprio endereço, inverta do mesmo jeito: 198.51.100.25 vira 25.100.51.198.zen.spamhaus.org.

O que cada tipo de listagem significa

Sair da lista, na ordem certa

1. Leia o motivo na página da lista. Muitas vezes ele aponta o problema: uma família de malware específica, um período, um tipo de tráfego.
2. Corrija a causa. Troque as senhas das contas de e-mail, atualize ou remova o site ou plugin comprometido, limpe as máquinas infectadas, feche relays abertos e formulários abusados. Confira os logs de e-mail de saída para confirmar que o spam parou.
3. Peça a remoção no site da lista. Algumas listagens expiram sozinhas quando o problema para; outras precisam do pedido. Se você voltar para a lista logo depois, a causa não foi resolvida.
4. Ignore quem vende “remoção expressa”. A Spamhaus afirma que nunca se cobra para remover uma listagem.

Depois, confira a autenticação. E-mail enviado de um endereço limpo ainda pode ser recusado se o domínio não tiver registros SPF, DKIM ou DMARC; o nosso guia sobre SPF, DKIM e DMARC cobre essa parte.

O que o iplover verifica, e o que não verifica

Tenha claro o que uma verificação gratuita cobre. A consulta de IP do iplover compara um endereço com as listas do nosso servidor: duas listas de bloqueio (Spamhaus DROP e abuse.ch Feodo Tracker), mais listas de rastreadores, nuvens, scanners e Tor. O resultado diz quais listas foram consultadas, então “nenhum sinal de abuso nas fontes que verificamos” significa exatamente isso. Ela não consulta as grandes listas de bloqueio de e-mail como Spamhaus SBL, XBL ou PBL, que têm termos de uso para consultas automatizadas. Para essas, use o site da lista ou a verificação por DNS acima.

Uma última observação, com franqueza: o Feodo Tracker só publica os endereços usados naquele momento para controlar botnets específicas, e às vezes a lista dele está vazia. Uma lista vazia não encontra nada; é um limite dos dados, não um atestado de boa saúde.