Un pic d'envoi peut venir d'un mot de passe SMTP volé ou d'un site compromis. Les recommandations cPanel mises à jour en juillet 2026 servent ici de base à une procédure de confinement, distincte du diagnostic d'un simple refus de livraison.
1. Identifier la source sans effacer les traces
Avec les droits administrateur, relevez l'heure, la taille de file et les domaines concernés. Gardez une copie protégée des journaux avant rotation. Les commandes suivantes consultent les données, sans supprimer de message :
exim -bpcexim -bpgrep 'A=' /var/log/exim_mainlog | tail -n 50grep 'cwd=' /var/log/exim_mainlog | tail -n 50Ces dernières lignes orientent l'enquête ; elles ne constituent pas un comptage fiable par compte. Corrélez identifiant Exim, authentification, IP cliente et heure dans les rapports de livraison WHM. Un champ From peut être falsifié.
Si un compte SMTP est identifié, suspendez son envoi dans la gestion des comptes e-mail, puis réinitialisez son secret et examinez le poste client. Si les traces pointent vers un script local, isolez le site concerné, inspectez ses tâches planifiées et comparez ses fichiers avec une version saine.
Recherchez les PHP récemment modifiés dans le compte identifié :
find /home/USER/public_html -type f -name '*.php' -mtime -2 -printRemplacez USER. Une date récente est un indice, pas une preuve de logiciel malveillant.
2. Réduire les possibilités de récidive
Dans WHM, configurez une limite horaire par domaine adaptée aux volumes habituels, avec alertes sur échecs et reports. Vérifiez que le suivi Eximstats fonctionne : les limites cPanel documentées en dépendent.
Activez SMTP Restrictions après test des applications qui utilisent un relais externe. Cette protection limite les connexions sortantes directes ; elle ne nettoie pas un script qui peut encore passer par Exim.
Dans Exim Configuration Manager, exigez TLS avant authentification. Activez cPHulk et imposez des mots de passe uniques. Ne supposez pas que la double authentification du panneau protège automatiquement les identifiants IMAP/SMTP.
Pour le site compromis, corrigez la porte d'entrée avant remise en ligne, mettez à jour ses composants et renouvelez les secrets accessibles. Préservez les éléments nécessaires à l'enquête.
3. Reprendre progressivement les envois
Examinez la file avec Mail Queue Manager. Supprimez uniquement les messages confirmés comme abusifs après conservation des preuves ; ne purgez pas aveuglément les factures légitimes.
Envoyez quelques messages de test, vérifiez SPF/DKIM/DMARC et surveillez les nouvelles admissions en file. Si une IP est bloquée, demandez son retrait à l'opérateur concerné après nettoyage, avec une chronologie factuelle. Aucun délai de restauration de réputation n'est garanti.
Erreurs courantes
Changer seulement le mot de passe, libérer toute la file et déplacer le spam vers une nouvelle IP laissent la cause active.
FAQ
Le filtre antispam entrant suffit-il ? Non : l'incident porte ici sur l'émission.
Peut-on rouvrir dès que la file baisse ? Attendez aussi la preuve que la source abusive a cessé.
Vérification finale
Source isolée, faille corrigée, secrets renouvelés, file examinée et volumes sous surveillance : documentez ces critères avant de lever la suspension.
Sources : cPanel — prévention, cPanel — configuration Exim.