Home › Guide

Codici di risposta DNSBL: 127.0.0.2, 127.255.255.x e NXDOMAIN

Pubblicato il 2026-11-03 ／ Aggiornato il 2026-11-03 ／ A cura di Yuki Nakazawa

Una ricerca DNSBL che restituisce un indirizzo in 127.0.0.0/8 significa che l'IP o il dominio è elencato; una risposta NXDOMAIN significa che non lo è. Oltre a questo, il numero esatto è specifico di ciascuna lista, alcune risposte 127.x sono codici di errore e non listing, e un SERVFAIL o un timeout non dicono assolutamente nulla sullo stato del listing.

Questa guida illustra le convenzioni riportate in RFC 5782 e i codici di risposta che Spamhaus, SpamCop e UCEPROTECT documentano sulle proprie pagine. Si basa su quelle pagine ufficiali aggiornate a novembre 2026. Le liste cambiano dati e policy, quindi consultate la documentazione del gestore prima di agire in base a un risultato. Se vi servono le basi sul funzionamento delle blocklist, partite da che cos'è una DNSBL (RBL).

Le basi: che cosa dice RFC 5782 sui codici di risposta

RFC 5782, pubblicata a febbraio 2010, descrive come si interrogano le blacklist e le whitelist DNS e che aspetto hanno le loro risposte. È un documento informativo (Informational), non una specifica Standards Track: registra la prassi comune, e i dettagli sull'assegnazione dei valori sono lasciati a ciascun gestore di lista.

Come si costruisce una ricerca

Per IPv4, si inverte l'ordine degli ottetti e si aggiunge la zona della lista. Per controllare 192.0.2.99 su bl.example.com:

dig +short 99.2.0.192.bl.example.com A
dig +short 99.2.0.192.bl.example.com TXT

Per IPv6, l'indirizzo si scrive come 32 nibble esadecimali in ordine inverso, seguiti dalla zona. Le liste basate sui domini usano semplicemente il nome di dominio seguito dal nome della zona; la RFC osserva che le liste basate sui nomi sono molto meno comuni di quelle basate sugli IP.

Il record A: elencato o no

• Elencato: la lista restituisce un record A. La RFC afferma che tutti i valori A dovrebbero essere in 127.0.0.0/8, per evitare traffico di rete indesiderato, e che il valore per convenzione è 127.0.0.2.
• Non elencato: non devono esserci record per l'indirizzo. In termini DNS, la risposta è NXDOMAIN, cioè il nome non esiste.
• Il valore del record A non deve essere usato come indirizzo IP. 127.0.0.2 è un indicatore, non un server a cui connettersi.

Il record TXT: il motivo e un URL

Secondo la RFC, le DNSBL dovrebbero pubblicare un record TXT che descriva perché una voce è elencata, e quel motivo include spesso un URL con ulteriori informazioni. Il software client deve controllare il record A e può controllare il record TXT. Il testo TXT viene spesso usato nel messaggio di errore SMTP, quindi un messaggio di bounce può contenere un URL di verifica o di rimozione tratto da esso.

Perché le liste restituiscono numeri diversi: sottoliste e maschere di bit

Un valore diverso da 127.0.0.2 di solito significa che la zona combina più sottoliste. RFC 5782 descrive tre modi per rappresentarle: sottodomini, record A multipli e valori codificati in bit.

• Record A multipli: ogni sottolista ha il proprio valore, e la lista restituisce un record A per ogni sottolista in cui compare l'indirizzo.
• Maschere di bit: a ogni sottolista viene assegnato un bit, e la risposta è l'OR logico dei bit di tutte le sottoliste corrispondenti. Nell'esempio della RFC, un indirizzo presente nelle sottoliste 127.0.0.2 e 127.0.0.4 restituisce 127.0.0.6.

Il punto fondamentale è che la RFC stessa afferma che non esiste una convenzione ampiamente diffusa per associare i nomi delle sottoliste ai valori. Lo stesso numero può avere significati diversi su liste diverse. Leggete sempre un codice di risposta insieme alla zona che lo ha prodotto, confrontandolo con la documentazione di quella lista. La RFC afferma inoltre che il software client dovrebbe essere in grado di applicare maschere di bit e test su intervalli di valori ai valori restituiti.

Spamhaus ZEN è un buon esempio dello stile a risposte multiple. La sua documentazione indica che una query produce generalmente più risposte distinte nella stessa risposta DNS, una per ogni dataset in cui l'IP è elencato, con un codice di risposta diverso per ciascun dataset. Vedere due o tre codici contemporaneamente è normale.

Codici di risposta delle principali blocklist

La tabella seguente riporta i codici di risposta che i gestori documentano sulle loro pagine ufficiali.

• Spamhaus: ZEN combina SBL, CSS, XBL e PBL e copre solo indirizzi IP; i domini si controllano sulla DBL. La DBL usa 127.0.1.0/24 e la lista Zero Reputation Domains usa 127.0.2.0/24. Poiché la DBL risponde sempre a una query su IP con 127.0.1.255, non può essere usata per controllare gli IP. Per il significato di ciascuna lista Spamhaus e per sapere come richiedere la rimozione, vedete la nostra guida alla rimozione da Spamhaus.
• SpamCop: la FAQ ufficiale indica 127.0.0.2 come la risposta che segnala un IP elencato. Raccomanda inoltre di consentire agli utenti l'accesso alla posta filtrata, per esempio contrassegnandola o spostandola in una cartella separata, anziché rifiutarla del tutto. La rimozione è trattata nella nostra guida al delisting da SpamCop.
• UCEPROTECT: la pagina sull'uso via DNS elenca i nomi delle tre zone ma non descrive i valori restituiti. Afferma che il metodo DNS è davvero utile solo per server di posta di piccole e medie dimensioni e suggerisce rsync per i sistemi che effettuano più di 100.000 richieste al giorno. I livelli sono spiegati nella nostra guida a UCEPROTECT Level 2 e 3.
• Barracuda: i suoi valori di risposta non sono trattati qui. Consultate le pagine di Barracuda Central.

127.255.255.x e resolver pubblici: risposte che non sono listing

Spamhaus riserva 127.255.255.0/24 ai codici di errore. Possono essere restituiti per qualsiasi zona, e la FAQ ufficiale afferma che non devono essere interpretati come indicazione che l'oggetto interrogato sia elencato.

Perché i risultati dei resolver pubblici non sono affidabili

La FAQ di Spamhaus afferma che, quando interrogate tramite grandi resolver pubblici, nella maggior parte dei casi ottenete una risposta "non elencato" (NXDOMAIN). In altre parole, un IP elencato può sembrare pulito. La stessa FAQ indica l'uso di Amazon, Quad9, Google, Cloudflare o di un altro resolver pubblico come la causa più comune del problema opposto, quello in cui una lista sembra bloccare l'intera Internet.

Alcuni resolver riscrivono inoltre le risposte NXDOMAIN e restituiscono un indirizzo IP per nomi che non esistono. Un server di posta può scambiarlo per un listing. La FAQ suggerisce di istruire il server di posta a ignorare qualsiasi risposta che non sia in 127.0.0.0/8, di gestire un proprio resolver oppure di contattare il proprio ISP o provider DNS. Per vedere quale resolver state effettivamente usando, la FAQ propone questo controllo:

dig txt whoami.fastly.net

Se eseguite il filtraggio DNSBL sul vostro server di posta, assicuratevi anche che non rifiuti la posta ogni volta che riceve una risposta 127.255.255.x. Spamhaus descrive questo comportamento come un errore di configurazione.

NXDOMAIN, SERVFAIL e timeout a confronto

Ogni risposta DNS contiene un codice di risposta (RCODE), definito in RFC 1035. Quando leggete un risultato DNSBL, distinguete l'RCODE dal valore del record A.

RFC 5782 non dice come i client debbano gestire una lista che va in errore o non risponde. Interpretare un SERVFAIL o un timeout come elencato o come non elencato è un errore. Riprovate più tardi o interrogate da un percorso diverso.

Usate le voci di test per verificare che una lista funzioni

RFC 5782 richiede che le liste IPv4 contengano una voce per 127.0.0.2 e non ne contengano una per 127.0.0.1. Le liste IPv6 usano ::FFFF:7F00:2 (elencato) e ::FFFF:7F00:1 (non elencato), e le liste di domini usano il nome riservato TEST (elencato) e INVALID (non elencato).

dig +short 2.0.0.127.zen.spamhaus.org A
dig +short 1.0.0.127.zen.spamhaus.org A

Se la prima query restituisce un codice di listing (un valore 127.x diverso da 127.255.255.x) e la seconda non restituisce nulla, le ricerche su quella lista funzionano. Se la prima restituisce 127.255.255.x, il vostro percorso di interrogazione viene rifiutato. La RFC afferma che i client dovrebbero controllare periodicamente le voci di test e non dovrebbero usare una lista che non le gestisce correttamente. Osserva inoltre che i gestori che chiudono una lista hanno talvolta rimosso tutte le voci, oppure installato un wildcard che elenca ogni indirizzo. Se anche 127.0.0.1 risulta elencato, sospettate della lista o del vostro percorso di interrogazione, non del vostro IP.

Un metodo pratico per leggere il vostro risultato

1. Scegliete l'IP o il dominio giusto. Usate l'IP indicato nel messaggio di bounce, oppure l'IP del server di invio ricavato dalle righe Received negli header del messaggio.
2. Controllate più liste in una volta. Il nostro blacklist checker interroga le principali liste in un solo passaggio.
3. Leggete ogni codice insieme alla sua zona. Un codice di listing in 127.0.0.0/8 (diverso da 127.255.255.x) significa elencato; verificate che cosa significa quel valore su quella lista. Una risposta 127.255.255.x, un SERVFAIL o un timeout significano che lo stato è ancora sconosciuto.
4. Guardate il record TXT e la pagina di verifica del gestore. Molte liste restituiscono un motivo o un URL. Considerate la pagina di verifica del gestore come il risultato di riferimento.
5. Eliminate la causa, poi seguite la procedura di rimozione di quella lista. Ogni gestore decide se e quando rimuovere un listing. Se la causa persiste, di solito il listing ritorna.

Per il percorso completo di risoluzione dei problemi quando la posta viene respinta, vedete email bloccate da una blacklist. Se vi serve aiuto per interpretare i risultati o per individuare la causa, potete chiederci informazioni sul delisting.

Domande frequenti

Pagine ufficiali consultate

Le informazioni di questo articolo sono state verificate sulle pagine ufficiali indicate di seguito al momento della pubblicazione. Le policy e il funzionamento possono cambiare senza preavviso: prima di fare affidamento su un'informazione importante, consulti le pagine ufficiali.

• RFC 5782: DNS Blacklists and Whitelists
• RFC 1035: Domain Names - Implementation and Specification (RCODE)
• Spamhaus FAQ: DNSBL Usage (return codes and public resolvers)
• Spamhaus: ZEN Blocklist
• Spamhaus: Domain Blocklist (DBL)
• SpamCop FAQ: How do I configure my mailserver to reject mail based on the blocklist?
• UCEPROTECT: Using DNS Lookups

Guide correlate

Tutte le guide →