Spamhaus, Barracuda, SORBS: come uscire da una blacklist (passo passo)

Finire in blacklist è uno scenario quasi inevitabile nella vita di un mittente email: spam trap hit, complaint rate elevato, IP reassign con eredità tossica, errore di configurazione. La differenza tra un'ora di problema e tre mesi di danno reputazionale sta nella reattività e nel metodo. In questo articolo elenchiamo le blacklist più rilevanti per il traffico verso destinatari italiani, come identificare se sei dentro, processo di delisting per le tre più impattanti (Spamhaus, Barracuda, SORBS) e — punto cruciale — come prevenire il prossimo round.

Tipi di blacklist

Identificare in quale lista sei

Strumenti gratuiti:

• MultiRBL.valli.org (controlla 200+ liste)
• MXToolBox Blacklist Check (gestione storica)
• DNSBL.info
• Da terminale: dig +short 1.0.168.192.zen.spamhaus.org (IP rovesciato + dominio della lista)

Esempio lookup CLI per IP 198.51.100.42:

# IP rovesciato: 42.100.51.198
dig +short 42.100.51.198.zen.spamhaus.org
# Se risponde 127.0.0.X = sei nella lista, X indica quale sub-lista
# 127.0.0.2 = SBL
# 127.0.0.3 = CSS
# 127.0.0.4-7 = XBL
# 127.0.0.10-11 = PBL

⚠️ Attenzione: alcune liste (come PBL Spamhaus) listano ranges di IP residenziali che non dovrebbero inviare email direttamente. È normale: se il tuo IP è in PBL ma non in SBL/XBL, non sei "spammer", semplicemente l'IP appartiene a un range non destinato all'invio. Risolvi spostando il traffico a un IP business.

Spamhaus: SBL, XBL, CSS, DBL

Spamhaus è la blacklist più influente al mondo: Gmail, Outlook, e la maggior parte degli ISP italiani la consultano. Tre database principali per IP:

• SBL (Spamhaus Block List): IP che spammano deliberatamente o ospitano spammer
• XBL (Exploits Block List): IP infetti da malware, trojan, botnet
• CSS (Composite Snowshoe Spam): pattern di snowshoe spam (volume distribuito su tanti IP)
• PBL (Policy Block List): range IP residenziali non destinati a invii diretti

E per dominio:

• DBL (Domain Block List): domini coinvolti in spam (mittenti, link nel body, MX di phishing)

Processo delisting Spamhaus

1. Vai su check.spamhaus.org, inserisci IP o dominio
2. Se elencato, leggi attentamente il record: contiene la causa (spam trap, malware, snowshoe) e a volte timestamp dell'ultima evidenza
3. Risolvi il problema reale: trovi spam trap nelle tue liste? Pulisci. Server compromesso? Bonifica
4. Compila il form di delisting via "Removal Center"
5. Documenta nel form: cosa hai cambiato, quando, prove (screenshot policy, log). Lacking documentation = rifiuto
6. Attesa: 24-72 ore tipicamente, fino a una settimana per casi complessi

Tip critico: Spamhaus delista una sola volta gratuitamente per IP/dominio. Se torni listato a breve, il delisting successivo è molto più difficile e può richiedere intervento commerciale.

Barracuda Reputation Block List (BRBL)

BRBL è usata da appliance Barracuda installate in aziende e ISP, particolarmente diffuse in B2B Italia. Listing basato su pattern di volume e content.

1. Verifica su barracudacentral.org/rbl/removal-request
2. Compila il form: nome, email contatto, IP, dominio, descrizione del problema
3. Spiega COSA è cambiato per evitare reincidenza
4. Attesa: 12-48 ore

BRBL è generalmente più collaborativa di Spamhaus per primi delisting, meno per recidivi.

SORBS

SORBS gestisce diverse sub-list: spam.dnsbl.sorbs.net, web.dnsbl.sorbs.net (server vulnerabili web), zombie.dnsbl.sorbs.net, dul.dnsbl.sorbs.net (dynamic user list).

1. Verifica su sorbs.net/lookup.shtml
2. Apri ticket di delisting su sorbs.net/contact.shtml
3. Indica IP, motivo del listing, azione correttiva
4. Attesa: variabile, da 24 ore a una settimana

SORBS è famosa per casi di "listing aggressivo": può listare per spam trap hit anche minimi. Per la maggior parte degli ISP italiani è un segnale debole; per alcuni provider B2B è considerata.

UCEPROTECT

UCEPROTECT (Level 1, 2, 3) è una blacklist tedesca aggressiva, controversa: Level 3 lista interi /16 se anche solo uno spammer è dentro. Per delisting Level 1 il processo è gratuito ma lento; per Level 2/3 c'è un costo (express delisting). Molti operatori la ignorano per la sua scarsa selettività, ma alcuni mailer tedeschi la usano. In Italia impatto basso.

Le blacklist private degli ISP

Gmail, Outlook, Yahoo, Libero, Aruba hanno blacklist private non consultabili da fuori. Il sintomo è: pubblicamente sei pulito su MultiRBL, ma il provider X rifiuta sistematicamente con codici 5.7.1. Processo:

• Gmail: nessun delisting esplicito, devi recuperare reputation via volume basso + engagement alto per 2-4 settimane. Form bulk sender per casi gravi
• Outlook: form di "deliverability support" su sendersupport.olc.protection.outlook.com
• Yahoo: form postmaster senders.yahooinc.com
• Libero/Virgilio (Italiaonline): contatto via postmaster@libero.it
• Aruba/PEC: contatto via supporto Aruba Business

Cosa NON fare

1. Cambiare IP per evitare il problema: i pattern di comportamento ti seguono. Il nuovo IP finirà presto nello stesso stato
2. Comprare delisting da terzi non ufficiali: nessuna lista seria accetta pagamento per delisting (eccetto UCEPROTECT Level 2/3 express). I "removal service" sono fuffa
3. Aprire ticket senza prima fixare la causa: il delisting senza fix viene respinto e il prossimo è più difficile
4. Continuare a inviare durante il listing: ogni messaggio bouncato peggiora la situazione e prolunga il delisting
5. Aprire più ticket della stessa lista: rallenta il processo e segnala impazienza

Prevenzione: il flusso che evita il prossimo listing

1. Confirmed opt-in (double opt-in) per le iscrizioni nuove: evita liste comprate, scraping, errori di digitazione
2. Suppression list aggressiva: 3 soft bounce consecutivi = pausa, 1 hard bounce = stop permanente, 1 complaint = stop permanente
3. Re-engagement campaign ogni 6 mesi: chi non clicca da 12 mesi va sospeso (no invio)
4. Monitoring continuo: query MultiRBL automatica giornaliera su tutti gli IP in uso, alert su listing nuovi
5. Spam trap detection: se la complaint rate sale improvvisamente, fermati e fai audit prima di continuare
6. Auth pulita: SPF, DKIM, DMARC tutti pass > 99%
7. List-Unsubscribe header: deve essere presente, funzionante one-click (RFC 8058)

💡 Suggerimento: una spam trap "pristine" (mai usata legittimamente) è un segnale che hai scraped/comprato indirizzi. Una spam trap "recycled" (indirizzo abbandonato e riconvertito) è un segnale che la tua list hygiene è debole. Le due hanno fix diversi: la prima richiede di azzerare l'acquisizione delle liste, la seconda richiede di aggressivizzare la sunset policy.

Riferimenti

• Spamhaus Project
• Barracuda Central
• SORBS
• SURBL (URI blacklist)
• MultiRBL aggregato

Uscire da una blacklist è solo un sintomo curato: la malattia (list hygiene scadente, content problematico, mancato consenso) torna a manifestarsi se non si interviene a monte. Target SMTP esegue lookup automatico su 30 blacklist principali ogni 30 minuti per tutti gli IP outbound e attiva auto-throttle a soglie predefinite; il Send-Time Firewall blocca pattern di volume/contenuto compatibili con incoming spam trap hit prima che il danno reputazionale si concretizzi.