Cómo limpiar la reputación de un bloque IPv4 adquirido

Limpiar reputación IPv4 es, probablemente, lo primero con lo que chocas cuando compras un bloque de direcciones en el mercado de segunda mano. Y no es un detalle menor: una parte considerable de los prefijos /24 que se venden hoy arrastran historiales negativos de sus anteriores dueños. Spam, escaneo de puertos, actividad de botnets o, simplemente, años funcionando bajo CGNAT de algún ISP pequeño. En IP4 Market vemos este escenario todos los días. La buena noticia es que, con método, la mayoría de bloques se recuperan en plazos de entre dos semanas y tres meses. En esta primera parte explico por qué la reputación pesa tanto, cómo auditar el historial del prefijo antes de desplegarlo y qué implica el delisting en las principales DNSBL, Spamhaus incluida.

Por qué la reputación de un bloque IPv4 importa más de lo que crees

La reputación de un prefijo no es una abstracción. Tiene consecuencias muy concretas en el día a día. Un bloque con historial contaminado provoca entregas de correo en carpeta de SPAM o rechazos directos (bounces 550), bloqueos CAPTCHA para usuarios que navegan desde esas IP, rechazos de registro en servicios como Microsoft 365 o Google, y problemas de peering con operadores que filtran por reputación —bastantes proveedores de tránsito tier 1 lo hacen—.

El caso más habitual en España y Latinoamérica es casi siempre el mismo: una operadora regional compra un /24 para montar CGNAT o servicios de hosting, y semanas después descubre que sus clientes no pueden enviar correo porque el bloque lleva años en tres o cuatro listas negras. El coste no es solo técnico (soportes saturados, churn de clientes). También es comercial: las campañas de email marketing de tus clientes dejan de funcionar y el prefijo pierde valor como activo.

Hay algo más. La reputación es acumulativa y persistente. Cisco Talos, Barracuda o Google Postmaster Tools conservan históricos de años. Por eso la limpieza debe empezar antes de poner tráfico en producción. No después.

Auditoría previa: cómo comprobar el historial del prefijo antes de usarlo

Antes de cerrar cualquier compra —o, en el peor de los casos, antes de anunciar el prefijo vía BGP— conviene auditar el bloque de forma sistemática. Este es el proceso que recomendamos:

1. Consulta en agregadores de reputación: revisa Cisco Talos Intelligence, MXToolbox (consulta decenas de DNSBL de golpe) y Spamhaus Lookup. Anota en qué listas aparece y desde cuándo.
2. Analiza el histórico BGP: herramientas como BGPlay de RIPE NCC o Hurricane Electric BGP Toolkit permiten ver qué AS ha anunciado el prefijo, cuándo y desde dónde. Un bloque que saltó entre cinco AS en dos años es señal de alerta, sin más.
3. Revisa el registro WHOIS/RDAP en el RIR correspondiente: comprueba que no haya reclamaciones activas, que el recurso esté limpio en RIPE Database y que el LOA y la transferencia se hayan ejecutado correctamente.
4. Comprueba ROT (Reputation of Traffic) y certificados históricos: buscadores como Shodan o Censys muestran qué servicios estuvieron expuestos en esas IP. Un bloque que albergó proxies abiertos o paneles de phishing necesitará limpieza adicional.

En IP4 Market facilitamos este paso: nuestra plataforma trabaja con vendedores verificados y publica información de contexto de los bloques, lo que reduce mucho el riesgo de adquirir un prefijo con historial problemático.

Limpieza de listas negras: DNSBL, Spamhaus y delisting paso a paso

Identificadas las listas donde figura el bloque, el delisting sigue un patrón parecido en casi todas las DNSBL. Aunque con particularidades que importan:

Spamhaus (SBL, XBL, PBL, DROP)

Spamhaus es la más crítica y también la más estricta. Si tu bloque aparece en el SBL (Spamhaus Block List), normalmente hay una razón documentada: spam activo, un proveedor anterior con mala gestión o incluso presencia en el DROP por ser espacio secuestrado. El proceso:

• Accede al lookup de Spamhaus e identifica el motivo concreto de la inclusión.
• Corrige la causa raíz. Nadie te delista un bloque que sigue emitiendo spam. Revisa si hay servidores comprometidos, formularios abusados o relays abiertos en el rango.
• Solicita la eliminación desde el propio sistema de Spamhaus (requiere registro gratuito) aportando evidencia de que ya eres el titular legítimo del recurso: contrato de compra, actualización del registro RIPE y documento de transferencia.
• Arma te de paciencia. Los primeros delistings tras un cambio de titularidad tardan días y es frecuente tener que insistir. Spamhaus valora la trayectoria: evitar nuevas incidencias durante las primeras semanas es clave.

Otras DNSBL habituales

Barracuda, SpamCop, CBL/Abuseat, SORBS y PSBL suelen tener procesos más simples: formulario de delisting con la IP, una justificación breve y, a veces, verificación automática de que el bloque ha dejado de emitir tráfico sospechoso. SpamCop expira sola si no hay nuevas denuncias (en días, normalmente). SORBS puede ponerse terca y, en casos extremos, toca escalar por su sistema de tickets.

Con las listas principales limpias y el prefijo registrado correctamente a tu nombre en el RIR, ya tienes la base. En la segunda parte del artículo cubriremos la configuración técnica que sostiene esa reputación a largo plazo: rDNS, RPKI/ROA, autenticación de correo (SPF, DKIM, DMARC) y buenas prácticas de gestión del rango.

Configuración técnica para reconstruir la confianza: rDNS, SPF, RPKI y ROA

Digamos que ya diste el primer paso: el prefijo está registrado a tu nombre en el RIR correspondiente y las listas negras más críticas ya no te señalan. Ahora toca lo menos vistoso pero lo que de verdad sostiene la reputación a largo plazo. Empecemos por el rDNS (registro PTR inverso). La regla es simple: cada dirección IP que envía correo o aloja servicios debe resolver a un nombre de host válido, y ese nombre debe resolver de vuelta a la misma IP. Resolución directa e inversa coherente, sin excepciones. Un ejemplo: si envías correo desde 185.45.67.10, el PTR debe apuntar a algo como mail.tudominio.es y ese registro A debe devolver exactamente 185.45.67.10. Gmail, Outlook y los grandes receptores penalizan directamente los rangos sin PTR coherente. No negocian esto.

El segundo pilar es la autenticación de correo, y aquí conviene no improvisar. Publica un registro SPF que declare únicamente los servidores autorizados a enviar en nombre de tu dominio (solo los necesarios, nada de “vamos a incluirlo todo por si acaso”), firma todos los mensajes con DKIM usando claves RSA de 2048 bits como mínimo, y remata con una política DMARC que arranque en p=none con los reportes activados. ¿Por qué empezar tan blandos? Porque así pasas gradualmente a p=quarantine o p=reject cuando verifiques que no hay envíos legítimos fallando. Este escalonado evita bloqueos autogenerados durante la migración. Los hay, y duelen.

En el plano de enrutado, crea un ROA (Route Origin Authorization) en el RIR y firma tu anuncio BGP bajo RPKI con la máxima longitud de prefijo ajustada a tu rango real. Un /24 anunciado con un ROA que solo permita longitud 24 impide secuestros de origen, y cada vez más operadores serios lo exigen como requisito para dar tránsito. Un detalle que se olvida a menudo: si trabajas con un proveedor mediante LOA, el ROA debe autorizar el ASN de ese proveedor, no el tuyo. Parece obvio. Hasta que alguien lo hace mal y se queda sin anuncio.

Cómo limpiar reputación IPv4 de forma sostenible y evitar futuras inclusiones

Limpiar una vez no sirve de nada si el rango vuelve a ensuciarse en semanas. Lo he visto pasar más de una vez: esfuerzo de semanas tirado a la basura por descuidar el día a día. Estas prácticas mantienen el prefijo sano:

• Monitorización continua: da de alta el rango en herramientas de seguimiento de DNSBL y configura alertas. Detectar una inclusión en Spamhaus el mismo día reduce el tiempo de remediación de semanas a horas. La diferencia es enorme.
• Segmentación del rango: si operas hosting compartido, asigna bloques separados para correo saliente, servicios de cliente e infraestructura propia. Una fuga de spam en un hosting de cliente no debe contaminar tu IP de correo corporativo. Nunca.
• Salida de correo rate-limited: al reactivar un rango, limita el volumen de envío durante las primeras 4-6 semanas (unas decenas de miles de mensajes diarios por IP, por poner una cifra) e incrementa progresivamente. Los filtros de reputación valoran los patrones estables y crecientes. La prisa aquí sale cara.
• Filtros de salida y honeypots: bloquea el puerto 25 saliente no autenticado desde redes de clientes y registra los intentos. Mucho spam procede de servidores comprometidos dentro del propio rango. A veces el problema estás siendo tú sin saberlo.
• Higiene de asignaciones: lleva registros internos de qué cliente o servicio usa cada IP. Cuando un operador de blacklist te pida detalles, responder con evidencias marca la diferencia entre un delisting rápido y uno eterno.

Un matiz importante: la reputación se reconstruye por dirección IP y por prefijo. Un /24 con dos IP limpias y doscientas quemadas seguirá puntuando mal de forma agregada. Así que el esfuerzo debe cubrir todo el rango, no solo las direcciones visibles. Todas.

Conclusión: un prefijo limpio como activo que se protege

Limpiar la reputación de un bloque IPv4 no es un trámite puntual. Es un proyecto con fases claras: verificar la titularidad en el RIR, solicitar delisting con evidencias, desplegar rDNS, SPF, DKIM, DMARC y RPKI, y mantener monitorización y segmentación de forma permanente. Hecho bien, el proceso puede tardar entre dos semanas y tres meses según las listas implicadas. No es poco, pero al final tienes un rango heredado con historial negativo convertido en un activo fiable que no arrastrará penalizaciones a tu negocio.

Y hay una razón económica directa, además de la técnica: los rangos con historial limpio se compran, venden y alquilan mejor. Cuando un /24 se cotiza en torno a los 30-50 dólares por dirección, un prefijo quemado pierde valor o directamente no encuentra comprador. En IP4 Market trabajamos con vendedores verificados y precios competitivos, y siempre recomendamos auditar la reputación de cualquier bloque antes de cerrar la operación. Una limpieza previa bien ejecutada protege tu inversión y acelera el retorno. Trata tu prefijo como lo que es, infraestructura crítica con valor de mercado, y lo mantendrás limpio sin esfuerzo extraordinario.