Início › Guias

Códigos de retorno de DNSBL: 127.0.0.2, 127.255.255.x e NXDOMAIN

Publicado em 2026-11-03 ／ Atualizado em 2026-11-03 ／ Por Yuki Nakazawa

Uma consulta a uma DNSBL que retorna um endereço em 127.0.0.0/8 significa que o IP ou domínio está listado; uma resposta NXDOMAIN significa que não está. Além disso, o número exato é específico de cada lista, algumas respostas 127.x são códigos de erro e não listagens, e SERVFAIL ou um timeout não dizem absolutamente nada sobre o status de listagem.

Este guia percorre as convenções registradas na RFC 5782 e os códigos de retorno que o Spamhaus, o SpamCop e o UCEPROTECT documentam em suas próprias páginas. Ele se baseia nessas páginas oficiais em 11/2026. As listas mudam seus dados e políticas, então consulte a documentação do operador antes de agir com base em um resultado. Se você precisa entender primeiro como funcionam as listas de bloqueio, comece por o que é uma DNSBL (RBL).

O básico: o que a RFC 5782 diz sobre códigos de retorno

A RFC 5782, publicada em fevereiro de 2010, descreve como as blacklists e whitelists de DNS são consultadas e como são as suas respostas. Ela é um documento informativo (Informational), não uma especificação da categoria Standards Track: registra a prática comum, e os detalhes da atribuição de valores ficam a cargo de cada operador de lista.

Como uma consulta é montada

Para IPv4, você inverte a ordem dos octetos e acrescenta a zona da lista. Para verificar 192.0.2.99 em bl.example.com:

dig +short 99.2.0.192.bl.example.com A
dig +short 99.2.0.192.bl.example.com TXT

Para IPv6, o endereço é escrito como 32 nibbles hexadecimais em ordem inversa, seguidos da zona. As listas baseadas em domínio simplesmente usam o nome de domínio seguido do nome da zona; a RFC observa que listas baseadas em nomes são bem menos comuns que as baseadas em IP.

O registro A: listado ou não

• Listado: a lista retorna um registro A. A RFC diz que todos os valores A devem estar em 127.0.0.0/8, para evitar tráfego de rede indesejado, e que o valor por convenção é 127.0.0.2.
• Não listado: não pode haver nenhum registro para o endereço. Em termos de DNS, a resposta é NXDOMAIN, ou seja, o nome não existe.
• O valor do registro A não deve ser usado como endereço IP. 127.0.0.2 é um sinalizador, não um servidor ao qual se conectar.

O registro TXT: o motivo e uma URL

Segundo a RFC, as DNSBLs devem publicar um registro TXT descrevendo por que uma entrada está listada, e esse motivo muitas vezes inclui uma URL com mais informações. O software cliente precisa verificar o registro A e pode verificar o registro TXT. O texto do TXT costuma ser usado na mensagem de erro SMTP, então uma mensagem de devolução pode conter uma URL de consulta ou de remoção extraída dele.

Por que as listas retornam números diferentes: sublistas e máscaras de bits

Um valor diferente de 127.0.0.2 geralmente significa que a zona combina várias sublistas. A RFC 5782 descreve três formas de representá-las: subdomínios, vários registros A e valores codificados em bits.

• Vários registros A: cada sublista tem o seu próprio valor, e a lista retorna um registro A para cada sublista em que o endereço aparece.
• Máscaras de bits: a cada sublista é atribuído um bit, e a resposta é o OR lógico dos bits de todas as sublistas que correspondem. No exemplo da RFC, um endereço nas sublistas 127.0.0.2 e 127.0.0.4 retorna 127.0.0.6.

O ponto principal é que a própria RFC afirma que não existe uma convenção amplamente usada para associar nomes de sublistas a valores. O mesmo número pode significar coisas diferentes em listas diferentes. Sempre interprete um código de retorno junto com a zona que o produziu, com base na documentação daquela lista. A RFC também diz que o software cliente deve ser capaz de aplicar máscaras de bits e testes de faixa de valores aos valores retornados.

O Spamhaus ZEN é um bom exemplo do estilo de respostas múltiplas. A sua documentação diz que uma consulta geralmente produz várias respostas distintas na mesma resposta DNS, uma para cada conjunto de dados em que o IP está listado, com um código de retorno diferente para cada conjunto. Ver dois ou três códigos ao mesmo tempo é normal.

Códigos de retorno das principais listas de bloqueio

A tabela abaixo reúne os códigos de retorno que os operadores documentam em suas páginas oficiais.

• Spamhaus: o ZEN combina SBL, CSS, XBL e PBL e cobre apenas endereços IP; os domínios são verificados no DBL. O DBL usa 127.0.1.0/24, e a lista Zero Reputation Domains usa 127.0.2.0/24. Como o DBL sempre responde a uma consulta de IP com 127.0.1.255, ele não pode ser usado para verificar IPs. Para saber o que significa cada lista do Spamhaus e como pedir a remoção, veja o nosso guia de remoção do Spamhaus.
• SpamCop: o FAQ oficial indica 127.0.0.2 como a resposta que identifica um IP listado. Ele também recomenda dar aos usuários acesso aos e-mails filtrados, por exemplo marcando-os ou movendo-os para uma pasta separada, em vez de rejeitá-los diretamente. A remoção é tratada no nosso guia de remoção do SpamCop.
• UCEPROTECT: a página de uso via DNS lista os três nomes de zona, mas não descreve os valores de retorno. Ela diz que o método por DNS só é realmente útil para servidores de e-mail de pequeno e médio porte e sugere o rsync para sistemas que fazem mais de 100.000 consultas por dia. Os níveis são explicados no nosso guia sobre os Levels 2 e 3 do UCEPROTECT.
• Barracuda: os seus valores de retorno não são tratados aqui. Consulte as páginas do próprio Barracuda Central.

127.255.255.x e resolvedores públicos: respostas que não são listagens

O Spamhaus reserva 127.255.255.0/24 para códigos de erro. Eles podem ser retornados para qualquer zona, e o FAQ oficial afirma que não devem ser entendidos como indicação de que o objeto consultado está listado.

Por que os resultados de resolvedores públicos não são confiáveis

O FAQ do Spamhaus diz que, ao consultar por grandes resolvedores públicos, na maioria dos casos você recebe uma resposta de não listado (NXDOMAIN). Em outras palavras, um IP listado pode parecer limpo. O mesmo FAQ aponta o uso da Amazon, do Quad9, do Google, do Cloudflare ou de outro resolvedor público como a causa mais comum do problema oposto, em que uma lista parece bloquear a internet inteira.

Alguns resolvedores também reescrevem respostas NXDOMAIN e retornam um endereço IP para nomes que não existem. Um servidor de e-mail pode confundir isso com uma listagem. O FAQ sugere configurar o servidor de e-mail para ignorar qualquer resposta fora de 127.0.0.0/8, usar o seu próprio resolvedor ou entrar em contato com o seu provedor de acesso ou de DNS. Para ver qual resolvedor você está de fato usando, o FAQ indica esta verificação:

dig txt whoami.fastly.net

Se você aplica filtragem por DNSBL no seu próprio servidor de e-mail, garanta também que ele não rejeite e-mails sempre que receber uma resposta 127.255.255.x. O Spamhaus descreve isso como uma configuração incorreta.

NXDOMAIN, SERVFAIL e timeout

Toda resposta DNS traz um código de resposta (RCODE), definido na RFC 1035. Ao ler um resultado de DNSBL, separe o RCODE do valor do registro A.

A RFC 5782 não diz como os clientes devem lidar com uma lista que falha ou não responde. Interpretar SERVFAIL ou um timeout como listado ou como não listado é um erro. Tente de novo mais tarde ou consulte por outro caminho.

Use as entradas de teste para verificar se uma lista funciona

A RFC 5782 exige que as listas IPv4 contenham uma entrada para 127.0.0.2 e não contenham uma para 127.0.0.1. As listas IPv6 usam ::FFFF:7F00:2 (listado) e ::FFFF:7F00:1 (não listado), e as listas de domínios usam o nome reservado TEST (listado) e INVALID (não listado).

dig +short 2.0.0.127.zen.spamhaus.org A
dig +short 1.0.0.127.zen.spamhaus.org A

Se a primeira consulta retornar um código de listagem (um valor 127.x que não seja 127.255.255.x) e a segunda não retornar nada, as consultas àquela lista estão funcionando. Se a primeira retornar 127.255.255.x, o seu caminho de consulta está sendo recusado. A RFC diz que os clientes devem verificar as entradas de teste periodicamente e não devem usar uma lista sem entradas de teste corretas. Ela também observa que operadores que encerraram uma lista às vezes removeram todas as entradas ou instalaram um curinga que lista todos os endereços. Se 127.0.0.1 também voltar como listado, suspeite da lista ou do seu caminho de consulta, e não do seu próprio IP.

Um jeito prático de interpretar o seu resultado

1. Escolha o IP ou domínio certo. Use o IP da mensagem de devolução ou o IP do servidor de envio que aparece nas linhas Received dos cabeçalhos da mensagem.
2. Verifique várias listas de uma vez. O nosso verificador de blacklist consulta as principais listas de uma só vez.
3. Leia cada código junto com a sua zona. Um código de listagem em 127.0.0.0/8 (que não seja 127.255.255.x) significa listado; veja o que esse valor significa naquela lista. Uma resposta 127.255.255.x, SERVFAIL ou um timeout significa que o status continua desconhecido.
4. Veja o registro TXT e a página de consulta do operador. Muitas listas retornam um motivo ou uma URL. Considere a página de consulta do próprio operador como o resultado oficial.
5. Corrija a causa e depois siga o processo de remoção daquela lista. Cada operador decide se e quando remove da lista. Se a causa persistir, a listagem geralmente volta.

Para o caminho completo de solução de problemas quando os e-mails estão voltando, veja e-mail bloqueado por uma blacklist. Se precisar de ajuda para interpretar os resultados ou encontrar a causa, você pode falar conosco sobre a remoção.

Perguntas frequentes

Páginas oficiais consultadas

As informações deste artigo foram conferidas nas páginas oficiais abaixo na data da publicação. Políticas e procedimentos mudam sem aviso prévio; consulte as páginas oficiais antes de tomar qualquer decisão importante.

• RFC 5782: DNS Blacklists and Whitelists
• RFC 1035: Domain Names - Implementation and Specification (RCODE)
• Spamhaus FAQ: DNSBL Usage (return codes and public resolvers)
• Spamhaus: ZEN Blocklist
• Spamhaus: Domain Blocklist (DBL)
• SpamCop FAQ: How do I configure my mailserver to reject mail based on the blocklist?
• UCEPROTECT: Using DNS Lookups

Guias relacionados

Todos os guias →