Site WordPress qui envoie des spams · Urgence
Vos devis arrivent en indésirable, votre hébergeur vous alerte, votre domaine est inscrit chez Spamhaus. Un script injecté dans WordPress utilise votre serveur comme relais pour des milliers de mails frauduleux. C'est fréquent, et ça se règle : on supprime le script, on referme la porte d'entrée, on remet SPF, DKIM et DMARC d'aplomb et on gère les demandes de retrait des listes noires, une par une.
Diagnostic gratuit sous 24 h ouvrées, devis après diagnostic. Re-nettoyage inclus pendant 30 jours.
Activateur France NumInitiative gouvernementaleIntervention le jour même
06 38 42 04 85Du lundi au vendredi, 9 h à 18 h. En dehors de ces horaires, laissez un message : on rappelle en priorité le matin suivant.
Réponse sous 1 h ouvrée. On vous dit en quelques questions ce qu'on voit et comment on procède.
Ils nous font confiance
Ce problème vous concerne-t-il ?
L'envoi de spam depuis un site piraté se voit rarement sur le site lui-même. Il se voit dans votre boîte mail, chez votre hébergeur et chez vos clients. Si vous reconnaissez trois de ces signes, votre serveur sert probablement de relais.
Des notifications de non-remise pour des messages en anglais, en russe ou en chinois, vers des adresses inconnues : ce sont les rebonds du spam envoyé depuis votre domaine.
La plupart des hébergeurs coupent l'envoi au-delà de quelques centaines de mails par heure. Si votre formulaire de contact ne part plus, c'est souvent la raison.
Gmail, Outlook et les serveurs d'entreprise consultent les listes noires. Un domaine listé voit ses mails légitimes rejetés ou classés en spam, y compris ceux envoyés depuis votre messagerie habituelle.
Un test sur MXToolbox (blacklist check) le confirme en dix secondes. Spamhaus DBL liste les domaines, SBL et CSS listent les adresses IP.
Envoyer 40 000 mails en une nuit consomme du processeur. Un site vitrine qui devient lent sans raison est un signe classique.
Les scripts d'envoi (« mailers ») se cachent dans les dossiers d'images, les extensions plus mises à jour depuis des années ou les thèmes inutilisés.
Un administrateur inconnu, une adresse mail de récupération modifiée : l'attaquant s'est ménagé un accès permanent.
Ce n'est pas le même problème, mais il y mène : un formulaire sans protection sert de relais pour envoyer du spam à des tiers via votre serveur.
Pourquoi ça arrive
Un site n'envoie jamais de spam « tout seul ». Soit un script a été déposé sur le serveur par une faille, soit un formulaire mal protégé est détourné. Voici les six portes d'entrée que nous retrouvons le plus souvent.
Cause 1
Selon Patchstack, plus de 90 % des vulnérabilités WordPress publiées en 2025 concernent des extensions, et près d'une sur trois n'avait pas de correctif au moment de la publication. Une extension abandonnée est une porte ouverte en permanence.
Cause 2
Un site « nettoyé » à la va-vite garde souvent un fichier PHP oublié dans uploads. Sucuri relève que la majorité des sites réinfectés le sont par une porte dérobée non retirée lors du premier nettoyage.
Cause 3
Un identifiant admin trouvé dans une fuite de données, un mot de passe FTP identique depuis 2015 : l'attaquant n'a même pas besoin de faille.
Cause 4
Sans captcha invisible, sans limitation de fréquence et sans validation des en-têtes, un formulaire peut être utilisé pour injecter des destinataires et envoyer du spam à des milliers d'adresses.
Cause 5
Sur certains mutualisés, un site voisin compromis peut écrire dans vos dossiers ou utiliser la même file d'envoi. Votre site est propre, votre IP est quand même listée.
Cause 6
Sans SPF, DKIM et DMARC, n'importe qui peut envoyer des mails « de votre part » depuis n'importe quel serveur. Ce n'est pas un piratage de votre site, mais le résultat est le même : votre domaine finit sur liste noire.
Dans l'immédiat
L'objectif immédiat n'est pas de comprendre, c'est d'arrêter l'hémorragie : chaque mail envoyé pèse sur la réputation de votre domaine pour des semaines.
Comment on intervient
Cinq étapes, dont trois le premier jour. Le retrait des listes noires dépend ensuite du délai de chaque liste : Spamhaus traite la plupart des demandes en moins de 24 h, d'autres listes expirent d'elles-mêmes après quelques jours sans nouveau spam.
On confirme que le spam part bien du site (journaux du serveur, file d'attente mail), on identifie le script et le volume envoyé, on coupe l'envoi. On vous dit ce qu'on voit et ce qu'on propose.
Vous validez : le périmètre et le devis
Suppression du script d'envoi et des portes dérobées, comparaison de chaque fichier avec la version d'origine de WordPress et des extensions, contrôle des tâches planifiées et des comptes.
Mise à jour ou remplacement de l'extension fautive, protection du formulaire, pare-feu applicatif, limitation d'envoi, journalisation des mails sortants.
Configuration des enregistrements DNS d'authentification, puis demande de retrait sur chaque liste noire avec la preuve du nettoyage. On suit chaque réponse.
Vous validez : la remise en service de l'envoi
Scan quotidien, vérification hebdomadaire des listes noires et de la délivrabilité, re-nettoyage sans frais si l'infection revient dans le mois.
Diagnostic gratuit sous 24 h ouvrées. Le devis est établi après le diagnostic, sur un périmètre écrit : ce qui est inclus, ce qui ne l'est pas, et le délai.
Ce que ça comprend
Inclus
Non inclus
Scénario type
Un site vitrine de TPE, une extension de galerie installée il y a cinq ans et jamais mise à jour, un lundi matin où plus aucun devis ne part.
Ce scénario est une synthèse de ce qu'on rencontre le plus souvent sur ce type d'incident : aucun site client n'est décrit ici.
Et après
Un site nettoyé sans suivi se refait pirater. Trois façons de ne pas y revenir.
Maintenance
Le nettoyage referme la porte utilisée. La maintenance empêche qu'une autre s'ouvre : mises à jour hebdomadaires, sauvegardes testées, scan quotidien.
Hébergement
Beaucoup d'infections viennent d'un mutualisé mal isolé ou d'un serveur obsolète. On migre le site nettoyé vers un hébergement sain, sans coupure.
Refonte
Thème abandonné, extensions mortes, PHP obsolète : on nettoie une fois, puis on refond sur une base propre plutôt que de nettoyer tous les six mois.
FAQ
L'envoi est coupé et le site nettoyé le premier jour. Le retrait des listes noires prend ensuite de quelques heures à quelques jours selon la liste : Spamhaus répond généralement sous 24 h après une demande justifiée, certaines listes expirent seules après trois à sept jours sans nouveau spam. Comptez un retour à la normale complet sous une semaine dans la plupart des cas.
Le diagnostic est gratuit, sous 24 h ouvrées. Le devis est établi après, sur un périmètre écrit : nombre de sites touchés, état du site, listes noires concernées. Pas de forfait à l'aveugle, pas de surprise après coup.
Spamhaus ne retire un domaine ou une IP que si la cause a disparu. La procédure : nettoyer le site et couper l'envoi, vérifier sur le site de Spamhaus quelle liste vous cite (SBL, CSS ou DBL), remplir le formulaire de retrait en expliquant la cause et la correction, puis attendre la réponse. Si le spam reprend, le domaine est relisté et le retrait suivant devient plus long. C'est pour cela qu'on nettoie avant de demander quoi que ce soit.
C'est précisément le problème : un site qu'on ne touche pas n'est pas mis à jour. Une extension installée il y a quatre ans peut avoir une faille publiée depuis, exploitée automatiquement par des robots qui scannent des millions de sites. Patchstack compte plus de 11 000 vulnérabilités WordPress publiées sur la seule année 2025.
Rarement. Le script d'envoi est souvent en place depuis des semaines avant que le spam ne commence : la sauvegarde est déjà infectée. Et restaurer ne corrige pas la faille qui a permis l'entrée. On peut utiliser une sauvegarde ancienne comme référence pour comparer les fichiers, pas comme solution.
C'est normal et souvent temporaire : l'hébergeur protège son réseau. On prend contact avec lui, on lui transmet le rapport de nettoyage et la liste des corrections, et le site est généralement remis en ligne le jour même. On travaille avec tous les hébergeurs français et étrangers.
Pas si la faille est corrigée et le site durci, ce qui fait partie de chaque intervention. Le risque réel vient des sites qu'on nettoie sans les mettre à jour ensuite. C'est pour cela que la surveillance de 30 jours est incluse et que nous conseillons une maintenance WordPress pour la suite.
Un script d'envoi de spam n'exfiltre généralement pas vos données, mais l'attaquant a eu accès au serveur. Si le site contient des données personnelles (comptes clients, formulaires stockés, commandes), le RGPD impose de notifier la CNIL sous 72 h en cas de violation présentant un risque. Le diagnostic vous dit précisément ce à quoi l'attaquant a pu accéder, pour décider en connaissance de cause.
Problèmes voisins
Problème voisin
« Ce site peut avoir été piraté » ou écran rouge
Problème voisin
Mot de passe refusé, administrateur inconnu
Problème voisin
Cryptominage, pages spam, serveur saturé
Problème voisin
Migrer un site nettoyé vers un hébergement sain
Page principale
Symptômes, méthode, garanties et les 13 problèmes courants.
Chaque heure passée avec un site compromis coûte des visiteurs, des mails perdus et de la confiance. Appelez, ou décrivez ce que vous voyez : on vous répond sous 1 h ouvrée.
Diagnostic gratuit sous 24 h ouvrées, devis après diagnostic, re-nettoyage inclus 30 jours.
Ils nous font confiance
Le blog EVICO
70 % des sites compromis contiennent une porte dérobée. Webshell, compte fantôme, mot de passe d’application, cron de…
Avertissement « Ce site peut avoir été piraté » ou page rouge Safe Browsing : la procédure exacte de réexamen Google, les délais…
Redirections vers des sites de paris ou de faux antivirus : le redirect hack expliqué de l’intérieur. Les 6 cachettes exactes du…
La méthode de nettoyage que nous appliquons sur chaque site piraté : logs, checksums, base de données, cron, réexamen Google. 7…
Remplissez le formulaire pour télécharger immédiatement votre rapport d’audit SEO personnalisé (17 pages, PDF).
Téléchargement immédiat · Sans engagement · Données RGPD
Pour découvrir ce que le digital peut réellement apporter à votre entreprise, réservez votre audit gratuit. On analyse votre marché, vos concurrents et vos opportunités — et vous repartez avec un cahier des charges complet, sans engagement.
