Site WordPress envoie du spam : que faire côté serveur ?

Votre hébergeur vous signale que votre site WordPress ou votre serveur envoie du spam. Le message peut parler d’emails sortants anormaux, de file d’attente saturée, de script PHP qui envoie des messages, de réputation email dégradée ou de blocage temporaire des envois.

Le site peut pourtant sembler normal. La page d’accueil s’affiche, l’administration répond, le formulaire existe encore. Le problème se voit surtout côté serveur, dans les logs, dans les retours d’emails ou dans le panneau de l’hébergeur.

La mauvaise réaction consiste à installer un plugin SMTP ou à relancer les emails sans comprendre la source. Si le spam vient d’un formulaire exploité, d’un fichier injecté, d’un compte compromis ou d’une tâche planifiée, les envois peuvent reprendre dès que le blocage est levé.

Ce que signifie un spam envoyé depuis le serveur

Un envoi de spam depuis le serveur signifie que des messages partent, ou tentent de partir, depuis l’environnement qui héberge le site. Cela peut passer par la fonction mail du serveur, un formulaire WordPress, une extension, un script PHP, un compte SMTP ou une tâche automatisée.

L’hébergeur peut couper seulement l’envoi d’emails, limiter le compte, suspendre le site ou demander une correction avant réactivation. Le sujet n’est donc pas seulement la réception des messages. Il touche aussi la sécurité du site, la réputation du domaine et la confiance des services email.

Différence avec le spam reçu par formulaire

Recevoir beaucoup de messages indésirables dans une boîte email n’est pas exactement la même chose que voir le serveur envoyer du spam vers l’extérieur.

Si votre boîte reçoit du bruit, le sujet peut être le formulaire, l’antispam ou le captcha. L’article sur le formulaire WordPress qui envoie du spam traite ce scénario. Ici, le signal est plus serveur : l’hébergeur voit des envois sortants anormaux ou des scripts qui génèrent des emails.

Lire le message de l’hébergeur avant d’agir

Le message de l’hébergeur donne souvent les meilleurs indices. Avant de modifier WordPress, récupérez les informations disponibles : heure des envois, volume, chemin du script, adresse d’expédition, destinataires, file d’attente, retour d’erreur ou règle de blocage.

Causes fréquentes

Le spam sortant peut avoir plusieurs origines. Le bon diagnostic consiste à les séparer au lieu de corriger au hasard.

Ce qu’il ne faut pas faire trop vite

N’installez pas un plugin SMTP en pensant que cela nettoie le problème. Un SMTP peut rendre les envois plus fiables quand le site est sain, mais il peut aussi donner une meilleure route à un site encore compromis.

Ne réactivez pas les emails auprès de l’hébergeur sans preuve de correction. Ne changez pas seulement le mot de passe WordPress si le script vient du serveur. Ne supprimez pas un formulaire utile sans vérifier s’il est réellement la source. Ne restaurez pas une sauvegarde inconnue si vous ne savez pas depuis quand les envois ont commencé.

Méthode pour arrêter le spam sans casser le site

L’objectif est de stopper les envois indésirables, trouver la source, nettoyer ce qui doit l’être et tester les emails utiles après correction.

1. Conserver le message de l’hébergeur, les logs disponibles et les exemples d’emails rejetés.
2. Créer une sauvegarde de l’état actuel avant de supprimer des fichiers ou extensions.
3. Identifier si les envois partent d’un formulaire, d’un script, d’un compte SMTP, de WordPress ou du serveur.
4. Vérifier les fichiers, les uploads, les extensions, le thème, les comptes administrateurs et les tâches planifiées.
5. Contrôler les réglages email : expéditeur, SMTP, SPF, DKIM, DMARC et adresses utilisées par les formulaires.
6. Supprimer les scripts suspects, corriger le formulaire, mettre à jour ou remplacer les extensions vulnérables.
7. Changer les accès critiques : WordPress, hébergement, SFTP, base de données, SMTP et boîtes liées.
8. Tester les formulaires et les emails utiles avant de demander la levée du blocage.

Si l’hébergeur a bloqué les emails ou le site

Si l’hébergeur a seulement bloqué les emails sortants, le site peut rester visible mais les formulaires, notifications, commandes ou alertes WordPress peuvent ne plus partir. Il faut alors tester les fonctions utiles après correction.

Si l’hébergeur a suspendu le site, commencez par le motif exact du blocage. L’article sur le site WordPress bloqué par l’hébergeur détaille ce scénario. Si des fichiers suspects sont aussi signalés, lisez le guide sur les fichiers malveillants détectés par l’hébergeur.

Et la réputation email du domaine ?

Quand un serveur envoie du spam, la réputation email peut être touchée. Les messages légitimes risquent ensuite d’arriver en spam ou d’être rejetés, même après la correction technique.

Il faut donc vérifier les réglages d’envoi, les adresses utilisées par WordPress, les DNS email, les retours d’erreur et les tests de réception. Le but n’est pas seulement de remettre un bouton en marche, mais de s’assurer que les messages utiles repartent proprement.

Quand demander une intervention

Demandez de l’aide si l’hébergeur menace de suspendre le compte, si les logs mentionnent un script inconnu, si les emails sont bloqués, si WooCommerce est actif, si les formulaires génèrent des demandes importantes ou si vous ne savez pas quels accès sont encore fiables.

Le budget se discute après la première lecture du message hébergeur, des logs et des accès disponibles. Un simple formulaire abusé, un script injecté, un serveur suspendu ou une réinfection ne demandent pas le même travail. Pour les ordres de grandeur, l’article sur le nettoyage d’un site WordPress piraté reste le bon complément.

Questions fréquentes