Mi dominio está en una lista negra: cómo salir

Qué es una lista negra

Es una base de datos de dominios o direcciones IP con mala reputación que consultan navegadores, antivirus y servidores de correo. No hay una sola: cada organización mantiene la suya con sus criterios. Las que más afectan a una web pequeña:

• Google Safe Browsing (Navegación segura): la usan Chrome, Firefox y Safari. Si estás en ella, tus visitantes ven una pantalla roja antes de entrar.
• Spamhaus DBL (Domain Blocklist): lista de dominios que usan muchísimos servidores de correo para filtrar spam. Si estás en ella, tus correos y los que enlazan a tu web acaban en spam o rebotan.
• Listas de IP de Spamhaus (dentro de su lista combinada ZEN): afectan a la dirección IP desde la que envías correo, que en un hosting compartido es la del servidor.
• Microsoft Defender SmartScreen: el filtro de Edge y de Windows.
• Motores antivirus (los que agrupa VirusTotal): cada uno con su lista.

Cómo comprobarlo

1. Google: busca tu dominio en el estado del sitio de Navegación segura, en el informe de transparencia de Google. Si tienes la web en Search Console, mira también Seguridad y acciones manuales → Problemas de seguridad.
2. Spamhaus: busca tu dominio y la IP de tu servidor de correo en check.spamhaus.org. Es la herramienta oficial; Spamhaus pide expresamente no consultarla con herramientas automáticas.
3. VirusTotal: analiza la URL en virustotal.com para ver qué motores antivirus la marcan.
4. Tus correos: si rebotan, lee el mensaje de rebote completo. Suele decir qué lista ha provocado el rechazo.

El análisis gratuito consulta la reputación del dominio en listas de amenazas y revisa la configuración del correo (SPF, DKIM y DMARC). Si sale algo, el siguiente paso es la herramienta oficial de esa lista.

Por qué te han incluido

Casi siempre por una de estas razones, y casi nunca por mala suerte:

• La web está hackeada: sirve malware, tiene páginas de phishing creadas por el atacante o redirige a webs de estafa. Es lo más común en las listas de navegadores.
• Tu web o tu servidor envían spam: un formulario de contacto sin protección, un script inyectado que manda correo masivo o una cuenta de correo con la contraseña robada.
• El dominio aparece en spam ajeno: alguien ha puesto enlaces a tu web (por ejemplo, a páginas de spam que le han colado) en campañas de correo masivo.
• Un vecino del servidor: en un hosting compartido, la IP puede estar en una lista por lo que hace otra web. Afecta al correo, no a tu dominio.

Primero, limpia

Pedir la retirada sin quitar la causa no funciona. Las listas vuelven a comprobar y te incluyen otra vez, y algunas tratan peor a quien insiste. Antes de pedir nada:

1. Busca y elimina el malware, las páginas de spam, las puertas traseras y los usuarios que no reconozcas. La guía cómo saber si tu WordPress está hackeado explica dónde mirar.
2. Cierra la entrada: actualiza el plugin o módulo vulnerable y cambia todas las contraseñas (hosting, FTP, base de datos, administradores y cuentas de correo).
3. Si el problema es el correo, protege los formularios contra el envío automático, revisa qué cuentas envían y cambia la contraseña de la que estaba comprometida.
4. Comprueba desde fuera que las URL afectadas ya no muestran nada malicioso, en incógnito y desde el móvil.

Cómo pedir la retirada

Google Safe Browsing

Desde Search Console, en Problemas de seguridad, con el botón Solicitar revisión. Explica qué había, qué has hecho y cómo has evitado que se repita. Según Google, las revisiones de seguridad tardan desde unos pocos días hasta unas semanas; no envíes otra solicitud mientras haya una pendiente. Lo cuento con detalle en Google dice que mi sitio es peligroso.

Spamhaus

La retirada se pide solo en check.spamhaus.org: buscas el dominio o la IP y sigues los pasos que te indica. Lo que conviene saber, según Spamhaus:

• Es gratis. Spamhaus no cobra nunca por retirar una entrada; quien te ofrezca sacarte de Spamhaus a cambio de dinero es un estafador.
• La mayoría de las inclusiones en la DBL son automáticas y caducan solas cuando el dominio deja de cumplir los criterios.
• Si la web estaba hackeada, primero hay que limpiarla, actualizar y cambiar las contraseñas.
• Una vez aprobada, la retirada es inmediata en Spamhaus, aunque algunos servidores tardan hasta 24 horas en enterarse.

Microsoft SmartScreen

Si Edge bloquea tu web, la propia página de aviso tiene un enlace en «Más información» para informar de que el sitio no contiene amenazas. Rellénalo cuando la web esté limpia.

Antivirus (VirusTotal)

VirusTotal no retira detecciones: solo muestra lo que dicen los motores. Hay que escribir a cada fabricante que marca tu web; VirusTotal publica una lista de contactos de cada uno para falsos positivos.

Si lo prefieres, hago yo el trámite: la revisión de Google va incluida en cualquier limpieza, y el trámite en listas negras externas es un suplemento de 75 €. Las limpiezas empiezan en 219 € (WordPress) y 349 € (tiendas), con 90 días de garantía; los detalles, en web hackeada.

SPF, DKIM y DMARC: que no vuelva a pasar con el correo

Son tres registros DNS que dicen quién puede enviar correo en nombre de tu dominio. No te sacan de una lista negra, pero hacen mucho más difícil que alguien suplante tu dominio y mejoran la entrega de tus correos legítimos. Gmail los exige: todos los remitentes necesitan SPF o DKIM, y quien envía más de 5.000 correos al día a cuentas de Gmail necesita además DMARC.

• SPF: la lista de servidores autorizados a enviar con tu dominio. Ejemplo: v=spf1 include:_spf.tu-proveedor.com ~all. Solo puede haber un registro SPF por dominio.
• DKIM: una firma en cada correo que demuestra que no se ha modificado. Se activa en tu proveedor de correo, que te da el registro DNS a publicar.
• DMARC: dice qué hacer con los correos que fallan SPF y DKIM y a quién enviar informes. Empieza observando: v=DMARC1; p=none; rua=mailto:dmarc@tu-web.com. Cuando los informes muestren que todo tu correo legítimo pasa, sube a p=quarantine y luego a p=reject.

Cómo configurar cada uno paso a paso, los errores más comunes (dos registros SPF, más de 10 consultas DNS, el correo de la web enviado sin autenticar) y cómo pasar de observar a rechazar sin perder correo legítimo, en la guía de SPF, DKIM y DMARC.

Y una costumbre que evita muchas inclusiones: no envíes boletines desde el servidor de la web. Usa un servicio de envío de correo, que gestiona las bajas y la reputación.

Qué esperar después

Salir de una lista no devuelve todo a la normalidad al instante. Lo que suele pasar:

• Navegadores: cuando Google aprueba la revisión, el aviso deja de mostrarse en Chrome y en los resultados a medida que se actualizan sus datos. Otros navegadores que usan Navegación segura tardan algo más en reflejarlo.
• Correo: aunque ya no estés en la lista, los proveedores de correo tienen su propia memoria. Durante unas semanas, parte del correo puede seguir llegando a spam hasta que la reputación del dominio se recupera con envíos normales.
• Antivirus: cada fabricante tiene sus plazos, y algunos no responden. Prioriza los que usan tus clientes (los de Windows y los más extendidos en empresas).

Para no enterarte por un cliente la próxima vez, comprueba la reputación del dominio cada cierto tiempo y activa en Search Console los avisos por correo: Google te escribe cuando detecta un problema de seguridad. Si recibes informes DMARC, échales un vistazo de vez en cuando; un remitente desconocido usando tu dominio aparece ahí antes que en ninguna lista.

Fuentes

• Spamhaus: Domain Blocklist (DBL) y retirada
• Google: informe de problemas de seguridad
• Google: estado del sitio en Navegación segura
• VirusTotal: contactos para falsos positivos
• Google: requisitos para remitentes de Gmail