La reputación de una dirección que usted no eligió

Nadie elige una dirección IP. Se le entrega una, y llega con una década de comportamiento ajeno ya adherido a ella. En un rango offshore esa historia pesa más de lo habitual, por una razón estructural y no accidental — y la versión honesta de esa frase es la que ningún proveedor pone en una página de producto. Esto es lo que la dirección decide realmente, quién la juzga, y la única decisión que pesa más que cualquier registro DNS que usted pueda configurar.

La historia que se alquila junto con la dirección

No se emiten direcciones IPv4 nuevas desde 2011. Toda dirección asignada hoy ya se asignó antes, a menudo varias veces, y el bloque en el que se encuentra arrastra datos de reputación desde antes de que a usted se le ocurriera su servicio. Cuando un proveedor le asigna una dirección, no la está acuñando: la está reciclando, y el recibo llega con los antiguos inquilinos adjuntos.

Lo que sorprende es la granularidad. Casi nada en internet juzga una única dirección. Las listas de bloqueo, los proveedores de correo y los sistemas de puntuación de fraude trabajan por rangos —un /24, a veces todo un sistema autónomo— porque esa es la unidad que un operador controla, y porque quien abusa de una dirección simplemente pasa a la siguiente del bloque. De ahí se derivan tres consecuencias, y las tres escapan a su control:

• Sus vecinos son su reputación. Las otras 253 máquinas de su /24 toman decisiones que recaen sobre usted, y usted no puede ver quiénes son, qué ejecutan ni cuánto correo envían. Hereda su promedio.
• Las listas sobreviven a los inquilinos. Un rango puede conservar una entrada mucho después de que se haya dado de baja al cliente que se la ganó, porque la lista no tiene forma de saber que el cliente cambió, ni incentivo para suponerlo.
• Los rangos offshore parten más bajo. Un proveedor que no pide identidad atrae, entre clientes honestos, precisamente a los que acaban en las listas — y estas responden ampliando el alcance de una sola dirección al /24 y de ahí a toda la red. Es un coste real de la decisión de jurisdicción. Debe formar parte de esa decisión, no aparecer como sorpresa tras la primera factura.

Otras dos cosas se mueven por debajo mientras la dirección permanece igual. Las direcciones ahora se alquilan y se transfieren entre organizaciones, de modo que el registro de un bloque puede cambiar de manos sin que un solo paquete cambie de rumbo — y los datos de reputación, que viven con las direcciones y no con el registro, no siguen el papeleo. Y las bases de geolocalización tardan meses en actualizarse. Una dirección trasladada a Chișinău puede seguir resolviendo a Ámsterdam en la mitad de las bases comerciales durante un trimestre o más, lo que un motor antifraude interpreta como una dirección neerlandesa sobre una conexión moldava, y penaliza la discrepancia. Ninguna de las dos cosas es un defecto. Ambas son la fricción normal de un mercado de direcciones que se quedó sin existencias hace quince años.

Nuestra propia política de uso aceptable nombra el mecanismo en lugar de ocultarlo: el correo masivo no solicitado hace que todo el rango acabe en listas negras en cuestión de horas, y el rango es compartido. Por eso existe la regla, y por eso la sanción recae sobre el puerto y no sobre la cuenta. Los servidores de correo y el correo masivo con consentimiento están explícitamente permitidos: la línea la marca el consentimiento, no el volumen.

Seis jueces, y no coinciden

«En lista negra» se usa como si fuera una sola condición. En realidad son al menos seis, decididas por seis partes que usan datos distintos, publican cantidades distintas de esos datos y, en dos casos, nunca le dirán que tomaron una decisión.

Seis partes que juzgan una dirección IP, qué bloquea cada una y qué puede hacer usted

Quién juzga	Cómo se entera	¿Puede arreglarlo?	Qué bloquea realmente
Proveedores de correo	Un rebote, o silencio	Parcialmente	Su mensaje, a la carpeta de spam o directamente fuera. Aquí la reputación se puntúa por dirección y por dominio de envío, y ambas se siguen por separado.
Spamhaus y las principales listas públicas	Un rebote que nombra la lista	Sí	La conexión SMTP, en la puerta, antes de que se lea su mensaje. Es la que produce un rebote con un motivo indicado, lo que la convierte en el fallo más útil que puede tener.
Listas que cobran por eliminarle	Un rebote, rara vez	No	En la práctica, casi nada. Algunas incluyen todo un /24 o toda una red por culpa de un solo remitente, y luego ofrecen una retirada exprés mediante pago. Los operadores de cierto tamaño no las consultan.
CDN y cortafuegos web	Una página de verificación	No	A sus visitantes, con una página de verificación — o sus propias peticiones salientes hacia sitios que están detrás de una de ellas. La decisión se toma sobre su red, no sobre su máquina.
Puntuación de fraude y pagos	Usted no se entera	No	Nada visible. Eleva silenciosamente una puntuación de riesgo en el checkout de otro, como un dato más entre decenas. Nunca verá la regla, y no hay ninguna instancia a la que apelar.
Sitios que bloquean centros de datos en bloque	Un rechazo en sus propios registros	No	Las peticiones que su servidor hace hacia fuera —scrapers, llamadas a API, comprobaciones de estado—. No es en absoluto un problema de reputación. Es un problema de categoría: usted es un centro de datos, y ellos querían personas.

Recorra la tercera columna de arriba abajo y aparecerá la forma del problema. Solo uno de los seis es realmente arreglable por usted, otro lo es parcialmente, y los cuatro restantes son decisiones tomadas en otra parte sobre una categoría a la que usted pertenece. Esa proporción es el argumento para diseñar en torno a la dirección en lugar de pelear contra ella — que es de lo que trata la última sección.

Por qué el correo juzga con más dureza, y con más honestidad

El correo es el único de los seis que le dirá, por escrito, en el momento del fallo, exactamente por qué le rechazó. Una página de verificación no se explica. Una puntuación de fraude nunca sale a la luz. Un mensaje de rebote contiene un código, el nombre de una lista y a menudo una URL. El correo es el juez más severo de esta página y el único honesto, y esa combinación lo convierte en el lugar correcto donde invertir su esfuerzo de configuración.

El DNS inverso, y la mitad que todo el mundo olvida

Un registro PTR asocia su dirección a un nombre. Configurarlo es la mitad fácil, y es donde se detiene la mayoría. El requisito es que esté confirmado en sentido directo: el nombre que devuelve su PTR debe a su vez resolver de vuelta a la misma dirección. Google lo exige a los remitentes masivos en esos términos: registros directo e inverso válidos, con la dirección de envío coincidiendo con la del nombre de host del PTR. Un PTR que apunta a un nombre que no resuelve a ningún sitio, o a otra máquina, es peor que no tener ninguno, porque parece un error de configuración y no una omisión. En nuestra red, el registro inverso lo configura usted, lo que significa que también puede equivocarse al hacerlo; configúrelo antes de que salga el primer mensaje, no después del primer rebote.

SPF, DKIM y DMARC autentican: no avalan

Los tres registros demuestran que un mensaje procede realmente de quien dice proceder. Eso es todo lo que demuestran. No son una carta de recomendación, sino un documento de identidad, y un documento de identidad no le hace bienvenido en ningún sitio. Un mensaje autenticado desde una dirección en lista negra sigue siendo un mensaje autenticado desde una dirección en lista negra: se rechazará con más seguridad, no con menos. Configure los tres porque hoy son un mínimo exigible y no una ventaja, y entienda que con eso todavía no ha hecho nada por su reputación.

Hay también una división que conviene entender antes de dedicar una semana a la mitad equivocada. La reputación se sigue por separado para su dirección y para su dominio de envío. Eso tiene una consecuencia práctica en ambos sentidos: un dominio nuevo e impecable que envía desde una dirección limpia sigue sin tener ninguna reputación — no tener reputación no es lo mismo que tener buena reputación, y los primeros mil mensajes se tratan en consecuencia—, mientras que un dominio con años de envíos correctos a sus espaldas conserva ese historial al cambiar de dirección. La mitad del dominio es la mitad portátil, y ese es el verdadero argumento para firmar con DKIM sobre su propio dominio y no sobre el que le ofrezca por defecto la herramienta de envío.

Las cifras que publica Gmail, y lo que implican

Para remitentes de unos cinco mil mensajes diarios o más, Google publica requisitos y no simples sugerencias: SPF y DKIM en el dominio de envío, DMARC presente —se acepta una política none—, baja voluntaria en un clic en el correo comercial y de suscripción, y una tasa de quejas por spam por debajo del 0,30 %, con un 0,10 % recomendado. Merece la pena convertir esas cifras. Con cinco mil mensajes, el 0,30 % son quince quejas. Que quince personas pulsen un botón el día en que envió una lista de la que no estaba del todo seguro es la diferencia entre entregado y filtrado, y no es un umbral que pueda tantear a ciegas.

El puerto 25 saliente está bloqueado por defecto en la mayoría de las grandes nubes, por lo que allí nadie descubre nada de esto. Un proveedor offshore suele dejarlo abierto, y eso no es un regalo: un puerto abierto en un rango compartido significa que la reputación del rango la decide cualquier otro que lo esté usando. El nuestro se limita en tasa y se cierra ante abusos repetidos, precisamente por esa razón y por ninguna otra.

Diez minutos de comprobación, antes de pagar

Todas estas preguntas se pueden responder antes de que cambie de manos el dinero, y cada respuesta vale más que cualquier afirmación de una página de producto. La disposición del proveedor a responderlas ya es, en sí misma, el resultado que busca.

1. Pregunte qué dirección va a recibir (2 min). No el rango: la dirección. Un proveedor que no puede decírselo antes del pago tampoco puede decirle nada sobre su historia, y esa es la respuesta a lo que realmente estaba preguntando.
2. Compruebe la dirección, y luego el /24 que la rodea (3 min). Los verificadores públicos de reputación aceptan ambos formatos. Una dirección limpia dentro de un bloque profusamente listado le dice exactamente lo que necesita saber sobre sus próximos dos años.
3. Averigüe quién anuncia el rango (2 min). La red que anuncia un bloque le dice más que el propio bloque. Una red con una larga trayectoria y un contacto de abusos publicado se comporta de forma distinta a una que apareció el trimestre pasado.
4. Pruebe el puerto 25 saliente antes de diseñar en torno a él (1 min). Abra una conexión hacia un servidor de correo que controle y vea qué ocurre. Descubrir la respuesta después de la migración es la mejor manera de perder un fin de semana.
5. Confirme que el registro inverso es cosa suya, y con qué rapidez (1 min). Ambas mitades importan: que pueda configurarlo usted mismo, y que el cambio tarde minutos y no le deje esperando en una cola de tickets el día del lanzamiento.
6. Pregunte qué ocurre si una dirección resulta inservible (1 min). La respuesta que le conviene es que se la cambien, sin discusión y sin coste. Consígalo por escrito, porque el día que lo necesite no estará en condiciones de negociar.

Qué puede arreglar, y qué debe rodear

Cinco situaciones, y la distinción que importa entre ellas no es lo mal que parezcan. Es si la palanca está en sus manos, en las de otro, o en las de nadie.

Cinco situaciones, y si la palanca está en sus manos

Situación	Quién la decidió	¿Puede arreglarla?	Qué hacer
En una lista de política	Su proveedor	Sí	Una entrada de política no es una acusación. La mayoría de esos rangos los declara el propio operador de la red, indicando solo que esas direcciones no deberían enviar correo directamente. Existe una retirada de autoservicio, sujeta a tener una dirección estática, un servidor de correo real y registros correctos en ambos sentidos — y la exclusión de una sola dirección caduca al año y se revierte en cuanto se detecta spam.
En lista por spam real desde su dirección	La lista	Parcialmente	Arregle primero la causa, porque una retirada concedida y vuelta a merecer es peor que la entrada original. Si el historial pertenece a un inquilino anterior y no a usted, la solución es otra dirección, no una apelación.
Todo el /24 en lista de un operador de pago por retirada	Solo la lista	No	No haga nada, y en particular no pague. Trate la entrada como información sobre la lista y no sobre usted, y compruebe si algún proveedor que realmente le importe la consulta. Normalmente ninguno lo hace.
Visitantes retados por un CDN delante de otro	Otra persona	No	Nada en su máquina cambia esto, porque nada de esto se decide en su máquina. Es una cosa más que se resuelve una capa por encima de usted, junto con el registro y el proxy.
Correo rechazado con listas limpias y registros correctos	Nadie, exactamente	Parcialmente	Esto es reputación y no una entrada en lista, y la reputación se construye enviando: primero poco volumen, destinatarios reales, y semanas en lugar de días. O bien deja de intentar construirla sobre esta dirección, que es el tema de la siguiente sección.

Las cinco mejoran enormemente en cuanto deja de adivinar. Tres herramientas no cuestan nada y se configuran en una tarde: un panel de postmaster de los grandes proveedores, que muestra su tasa de spam y su tasa de autenticación frente a los datos de ellos y no a los suyos; los bucles de retroalimentación, que le dicen quién se quejó para que deje de escribirle antes de que suba la tasa; y el hábito de leer bien los rebotes. Un código 4xx es un rechazo temporal, a menudo un límite de tasa: reduzca el ritmo. Un 5xx es una decisión, y el texto que lo acompaña suele nombrar la lista o la política que la tomó. La mayoría borra ambos sin leer ninguno, y luego describe el resultado como un misterio.

Una configuración que sobrevive a una mala dirección

Una decisión pesa más que cualquier registro de esta guía, y es una decisión de arquitectura, no de configuración: no envíe su correo desde la máquina en la que corre su aplicación. Envíelo a través de un relay cuya reputación es el trabajo a tiempo completo de otra persona, mantenida sobre un conjunto de direcciones que se calientan, se vigilan y se sustituyen. No está externalizando un problema que podría haber resuelto usted mismo; está renunciando a reconstruir, sobre una sola dirección de un rango compartido, algo que necesita un equipo dedicado para seguir funcionando.

Eso deja a la máquina offshore haciendo aquello para lo que realmente pagó la jurisdicción: alojar el servicio, custodiar los datos, seguir en pie cuando llega una reclamación — y sitúa la entregabilidad donde ya es un producto en sí mismo. Las dos cuestiones dejan de estar acopladas, lo que significa que un mal mes para la dirección deja de ser un mal mes para el restablecimiento de contraseñas de sus usuarios.

Si está empezando hoy, el orden importa más que la lista. Configure el registro inverso y confirme que resuelve de vuelta a usted antes que nada, porque todo lo demás se juzga contra él. Publique SPF y DKIM, y luego DMARC en none para recibir informes sin romper la entrega mientras los lee. Envíe cien mensajes reales a personas reales y lea los resultados. Solo entonces decida si esta dirección llegará a ser alguna vez una dirección de envío, y si la respuesta es no, decídalo ahora y no después de haber construido una cola entera bajo el supuesto de que lo sería.

Si debe alojar el correo usted mismo, separe las direcciones: una para la web pública, otra que no haga más que enviar. Un /29 lo convierte en algo trivial y cuesta menos que un mes depurando por qué se filtra un restablecimiento de contraseña enviado desde su IP de marketing. Pregúntelo antes de necesitarlo, no en pleno apuro.

El argumento de fondo es el mismo que este sitio repite de mil formas. Ir offshore compra algo concreto y lo cobra en forma de fricción de ecosistema, y esto es lo que esa fricción parece desde dentro, no como una viñeta en una página comparativa. Si su perfil de riesgo no necesita la jurisdicción, una dirección limpia en un proveedor ordinario vale más para usted que cualquier cosa de esta página. Si la necesita, compre la jurisdicción y alquile la reputación a otro — y si va en serio con alojar su propio correo, empiece por una máquina que venga con su propio bloque de direcciones, en lugar de una sola dirección entre la multitud.

Escrito por los ingenieros que dirigen la plataforma, y revisado de nuevo hoy. Si algo aquí es incorrecto o ha quedado desactualizado, dígalo desde el panel — de ahí proviene más o menos la mitad de esto.