Inicio › Guías

Códigos de retorno DNSBL: 127.0.0.2, 127.255.255.x y NXDOMAIN

Publicado 2026-11-03 ／ Actualizado 2026-11-03 ／ Por Yuki Nakazawa

Si una consulta DNSBL devuelve una dirección dentro de 127.0.0.0/8, la IP o el dominio está listado; si la respuesta es NXDOMAIN, no lo está. Más allá de eso, el número exacto depende de cada lista, algunas respuestas 127.x son códigos de error y no inclusiones, y un SERVFAIL o un tiempo de espera agotado no dicen nada en absoluto sobre el estado de inclusión.

Esta guía repasa las convenciones recogidas en el RFC 5782 y los códigos de retorno que Spamhaus, SpamCop y UCEPROTECT documentan en sus propias páginas. Se basa en esas páginas oficiales vigentes en noviembre de 2026. Las listas cambian sus datos y sus políticas, así que conviene revisar la documentación del operador antes de actuar sobre un resultado. Si necesita contexto sobre cómo funcionan las listas de bloqueo, empiece por qué es una DNSBL (RBL).

Lo básico: qué dice el RFC 5782 sobre los códigos de retorno

El RFC 5782, publicado en febrero de 2010, describe cómo se consultan las listas negras y blancas DNS y qué aspecto tienen sus respuestas. Es un documento informativo (Informational), no una especificación de la vía de estándares (Standards Track): recoge la práctica habitual y deja los detalles de la asignación de valores a cada operador de lista.

Cómo se construye una consulta

En IPv4, se invierte el orden de los octetos y se añade la zona de la lista. Para comprobar 192.0.2.99 en bl.example.com:

dig +short 99.2.0.192.bl.example.com A
dig +short 99.2.0.192.bl.example.com TXT

En IPv6, la dirección se escribe como 32 nibbles hexadecimales en orden inverso, seguida de la zona. Las listas basadas en dominios simplemente toman el nombre de dominio seguido del nombre de la zona; el RFC señala que las listas basadas en nombres son mucho menos habituales que las basadas en IP.

El registro A: listado o no

• Listado: la lista devuelve un registro A. El RFC dice que todos los valores A deberían estar en 127.0.0.0/8, para evitar tráfico de red no deseado, y que el valor por convención es 127.0.0.2.
• No listado: no debe haber ningún registro para la dirección. En términos de DNS, la respuesta es NXDOMAIN, es decir, el nombre no existe.
• El valor del registro A no debe usarse como dirección IP. 127.0.0.2 es una señal, no un servidor al que conectarse.

El registro TXT: el motivo y una URL

Según el RFC, las DNSBL deberían publicar un registro TXT que describa por qué está listada una entrada, y ese motivo suele incluir una URL con más información. El software cliente debe comprobar el registro A y puede comprobar el registro TXT. El texto TXT se usa a menudo en el mensaje de error SMTP, así que un mensaje de rebote puede contener una URL de consulta o de eliminación tomada de él.

Por qué las listas devuelven números distintos: sublistas y máscaras de bits

Un valor distinto de 127.0.0.2 suele indicar que la zona combina varias sublistas. El RFC 5782 describe tres formas de representarlas: subdominios, varios registros A y valores codificados por bits.

• Varios registros A: cada sublista tiene su propio valor, y la lista devuelve un registro A por cada sublista en la que aparece la dirección.
• Máscaras de bits: a cada sublista se le asigna un bit, y la respuesta es el OR lógico de los bits de todas las sublistas que coinciden. En el ejemplo del RFC, una dirección que está en las sublistas 127.0.0.2 y 127.0.0.4 devuelve 127.0.0.6.

Lo fundamental es que el propio RFC afirma que no existe una convención de uso extendido para asignar valores a los nombres de las sublistas. El mismo número puede significar cosas distintas en listas distintas. Un código de retorno siempre debe leerse junto con la zona que lo produjo, a la luz de la documentación de esa lista. El RFC dice además que el software cliente debería poder aplicar máscaras de bits y comprobaciones de rangos de valores a los valores devueltos.

Spamhaus ZEN es un buen ejemplo del estilo de respuestas múltiples. Su documentación dice que una consulta suele producir varias respuestas distintas en la misma respuesta DNS, una por cada conjunto de datos en el que está listada la IP, con un código de retorno diferente para cada uno. Ver dos o tres códigos a la vez es normal.

Códigos de retorno de las principales listas de bloqueo

La siguiente tabla recoge los códigos de retorno que los operadores documentan en sus páginas oficiales.

• Spamhaus: ZEN combina la SBL, la CSS, la XBL y la PBL y abarca solo direcciones IP; los dominios se comprueban en la DBL. La DBL usa 127.0.1.0/24 y la lista Zero Reputation Domains usa 127.0.2.0/24. Como la DBL siempre responde a una consulta de IP con 127.0.1.255, no sirve para comprobar IP. Para saber qué significa cada lista de Spamhaus y cómo solicitar la eliminación, consulte nuestra guía de eliminación de Spamhaus.
• SpamCop: las preguntas frecuentes oficiales indican 127.0.0.2 como la respuesta que señala una IP listada. También recomiendan dar a los usuarios acceso al correo filtrado, por ejemplo marcándolo o moviéndolo a una carpeta aparte, en lugar de rechazarlo directamente. La eliminación se explica en nuestra guía para salir de SpamCop.
• UCEPROTECT: la página de uso con DNS enumera los tres nombres de zona, pero no describe los valores de retorno. Dice que el método DNS solo resulta realmente útil para servidores de correo pequeños y medianos, y sugiere rsync para los sistemas que hacen más de 100.000 consultas al día. Los niveles se explican en nuestra guía de los niveles 2 y 3 de UCEPROTECT.
• Barracuda: sus valores de retorno no se tratan aquí. Consulte las propias páginas de Barracuda Central.

127.255.255.x y resolvedores públicos: respuestas que no son inclusiones

Spamhaus reserva 127.255.255.0/24 para códigos de error. Pueden devolverse en cualquier zona, y las preguntas frecuentes oficiales indican que no deben interpretarse como que el objeto consultado está listado.

Por qué los resultados de los resolvedores públicos no son fiables

Las preguntas frecuentes de Spamhaus dicen que, al consultar a través de grandes resolvedores públicos, en la mayoría de los casos se obtiene una respuesta de no listado (NXDOMAIN). Dicho de otro modo, una IP listada puede parecer limpia. Las mismas preguntas frecuentes señalan el uso de Amazon, Quad9, Google, Cloudflare u otro resolvedor público como la causa más habitual del problema contrario, en el que una lista parece bloquear todo internet.

Algunos resolvedores también reescriben las respuestas NXDOMAIN y devuelven una dirección IP para nombres que no existen. Un servidor de correo puede confundir eso con una inclusión. Las preguntas frecuentes sugieren indicar al servidor de correo que ignore cualquier respuesta que no esté en 127.0.0.0/8, usar un resolvedor propio o contactar con el ISP o el proveedor de DNS. Para ver qué resolvedor se está usando realmente, proponen esta comprobación:

dig txt whoami.fastly.net

Si se aplica filtrado DNSBL en un servidor de correo propio, conviene asegurarse también de que no rechace correo cada vez que reciba una respuesta 127.255.255.x. Spamhaus lo describe como un error de configuración.

NXDOMAIN, SERVFAIL y tiempo de espera agotado

Toda respuesta DNS lleva un código de respuesta (RCODE), definido en el RFC 1035. Al leer un resultado DNSBL, hay que separar el RCODE del valor del registro A.

El RFC 5782 no dice cómo deben gestionar los clientes una lista que falla o no responde. Interpretar un SERVFAIL o un tiempo de espera agotado como listado o como no listado es un error. Vuelva a intentarlo más tarde o consulte por otra vía.

Usar las entradas de prueba para comprobar que una lista funciona

El RFC 5782 exige que las listas IPv4 contengan una entrada para 127.0.0.2 y que no contengan ninguna para 127.0.0.1. Las listas IPv6 usan ::FFFF:7F00:2 (listado) y ::FFFF:7F00:1 (no listado), y las listas de dominios usan el nombre reservado TEST (listado) e INVALID (no listado).

dig +short 2.0.0.127.zen.spamhaus.org A
dig +short 1.0.0.127.zen.spamhaus.org A

Si la primera consulta devuelve un código de inclusión (un valor 127.x distinto de 127.255.255.x) y la segunda no devuelve nada, las consultas a esa lista funcionan. Si la primera devuelve 127.255.255.x, la vía de consulta está siendo rechazada. El RFC dice que los clientes deberían comprobar periódicamente las entradas de prueba y no deberían usar una lista que no las tenga correctas. También señala que algunos operadores, al cerrar una lista, han eliminado todas las entradas o han instalado un comodín que lista todas las direcciones. Si 127.0.0.1 también aparece como listado, lo sospechoso es la lista o la vía de consulta, no la IP propia.

Una forma práctica de interpretar su propio resultado

1. Elegir la IP o el dominio correctos. Use la IP que aparece en el mensaje de rebote, o la IP del servidor de envío que figura en las líneas Received de las cabeceras del mensaje.
2. Comprobar varias listas a la vez. Nuestro comprobador de listas negras consulta las listas principales de una sola vez.
3. Leer cada código junto con su zona. Un código de inclusión en 127.0.0.0/8 (distinto de 127.255.255.x) significa listado; consulte qué significa ese valor en esa lista. Una respuesta 127.255.255.x, un SERVFAIL o un tiempo de espera agotado significan que el estado sigue siendo desconocido.
4. Mirar el registro TXT y la página de consulta del operador. Muchas listas devuelven un motivo o una URL. El resultado de la página de consulta del propio operador es el que hace fe.
5. Corregir la causa y luego seguir el proceso de eliminación de esa lista. Cada operador decide si retira la inclusión y cuándo. Si la causa persiste, la inclusión suele volver.

Para el proceso completo de diagnóstico cuando el correo rebota, consulte correo bloqueado por una lista negra. Si necesita ayuda para interpretar los resultados o localizar la causa, puede consultarnos sobre la eliminación de listas.

Preguntas frecuentes

Páginas oficiales consultadas

Los datos de este artículo se contrastaron con las páginas oficiales que se indican a continuación en el momento de su publicación. Las políticas y el funcionamiento pueden cambiar sin previo aviso, por lo que conviene consultar las páginas oficiales antes de tomar decisiones importantes.

• RFC 5782: DNS Blacklists and Whitelists
• RFC 1035: Domain Names - Implementation and Specification (RCODE)
• Spamhaus FAQ: DNSBL Usage (return codes and public resolvers)
• Spamhaus: ZEN Blocklist
• Spamhaus: Domain Blocklist (DBL)
• SpamCop FAQ: How do I configure my mailserver to reject mail based on the blocklist?
• UCEPROTECT: Using DNS Lookups

Guías relacionadas

Todas las guías →