Que faire si vous observez une activité suspecte d’e-mails sur un hébergement cPanel

Ce guide explique, étape par étape et en langage simple, que faire si vous constatez une activité suspecte liée aux e‑mails sur un compte cPanel (envois non autorisés, boîtes supprimées, plaintes de spam, e‑mails manquants). Il propose les vérifications prioritaires, comment limiter les dégâts et les options de restauration sans réinstaller l’ensemble de l’espace d’hébergement.

En bref — actions à mener en priorité (10–30 minutes)

• Changez immédiatement le mot de passe des boîtes affectées et celui du compte cPanel si vous suspectez une compromission globale.
• Si l’activité d’envoi est importante, coupez rapidement la possibilité d’envoyer : changez les mots de passe, désactivez temporairement les scripts du site (renommer un dossier plugin ou thème) ou contactez le support pour bloquer les envois.
• Consultez cPanel > Email > Track Delivery pour identifier l’origine (boîte, script, serveur).
• Si des messages ont été supprimés, restaurez uniquement le dossier mail depuis votre sauvegarde (JetBackup ou archive cPanel) afin d’éviter d’écraser d’autres données.
• Après remise en route : activez 2FA, configurez SPF/DKIM/DMARC et SpamAssassin.

Avant de commencer — prérequis

• Accès au compte cPanel (identifiant/mot de passe) ou possibilité d’ouvrir un ticket auprès du support.
• Accès aux outils : Gestionnaire de fichiers (File Manager), Track Delivery, Email Accounts ; et JetBackup ou autre solution de sauvegarde si disponible.
• Copies locales de vos e‑mails (si vous en disposez) ou fichiers de sauvegarde (.tar.gz).
• Si vous n’êtes pas à l’aise avec des manipulations techniques (Terminal, restauration de fichiers), demandez l’aide du support : certaines opérations serveur requièrent leurs droits.

1 — Sécuriser immédiatement l’accès

1. Changez le mot de passe de la ou des boîtes concernées : cPanel > Email > Email Accounts > Manage > Password. Mettez à jour ce mot de passe dans tous les clients (Outlook, mobile…). cPanel — créer / connecter un compte e‑mail.
2. Si vous suspectez une compromission du compte (comptes inconnus, fichiers web modifiés, comptes qui réapparaissent), changez aussi le mot de passe principal du compte cPanel et les mots de passe associés (FTP, bases de données). Changer le mot de passe cPanel.
3. Activez l’authentification à deux facteurs (2FA) pour le compte cPanel : cPanel > Security > Two‑Factor Authentication. cPanel — 2FA.
4. Avant de réutiliser des appareils, scannez les postes qui accèdent à la boîte (antivirus/antimalware). Si vous avez besoin d’arrêter immédiatement les envois et que vous ne pouvez pas le faire vous‑même, ouvrez un ticket support en fournissant des exemples d’horaires/destinataires — ils peuvent suspendre temporairement l’envoi côté serveur.

2 — Identifier rapidement la source des envois (journaux)

Ouvrez cPanel > Email > Track Delivery et filtrez sur l’adresse concernée pour repérer qui envoie (volume, destinataires, codes d’erreur). Track Delivery — cPanel.

Que rechercher :

• Envois massifs ou répétitifs sur une courte période ; destinataires inconnus ; échecs en nombre.
• Si l’expéditeur est l’adresse de la boîte (ex. [email protected]) : l’origine est souvent Webmail ou un client SMTP authentifié.
• Si l’expéditeur apparaît comme cpanel_user@server_hostname : il s’agit généralement d’un script/site (PHP mail(), cron) qui génère les messages.

Si Track Delivery est vide ou incomplet, signalez des exemples d’heures/destinataires au support pour qu’il consulte les logs Exim côté serveur.

3 — Vérifier si la boîte ou ses fichiers existent sur le serveur

Sur un compte cPanel les données e‑mail se trouvent généralement sous /home/$user/mail/$domaine/$compte_mail/. Vérifiez la présence de ce dossier depuis cPanel > File Manager. Si le dossier existe mais que la boîte a été supprimée dans l’interface, recréez la boîte avec exactement le même identifiant : le contenu devrait redevenir accessible. Où sont stockées les données e‑mail — cPanel Support.

4 — Scénarios fréquents et actions recommandées

4.1 Boîte supprimée mais dossier présent

1. Vérifiez /home/$user/mail/$domain/$email‑user via File Manager ; si les fichiers existent : recréez la boîte e‑mail avec exactement le même identifiant (même nom). Le contenu redevient accessible.
2. Si après recréation vous voyez des erreurs de permission ou fichiers corrompus, joignez une capture au support et demandez une restauration sélective si nécessaire.

4.2 Boîtes inconnues ou comptes qui réapparaissent

1. Dans cPanel > Email > Email Accounts, supprimez les comptes non autorisés (Manage > Delete). Gérer les comptes e‑mail — cPanel.
2. Si les comptes reviennent : changez tous les mots de passe (cPanel, FTP, bases de données), activez 2FA et demandez une enquête au support (probable compromission du compte).

4.3 E‑mails envoyés depuis le site (formulaires, plugins, scripts)

1. Si Track Delivery signale un expéditeur local (cpanel_user@serveur), inspectez les fichiers du site : formulaires, plugins, thèmes et fichiers modifiés récemment dans public_html (ou wp-content pour WordPress).
2. Sur WordPress : désactivez temporairement les plugins (renommer wp-content/plugins), vérifiez les thèmes et restaurez les versions saines. Suivez notre procédure de nettoyage : WordPress : nettoyer et sécuriser un site piraté.
3. Vérifiez les tâches planifiées (cPanel > Cron Jobs) et retirez toute commande inconnue qui lance des scripts d’envoi.
4. Pour limiter la récurrence, configurez les envois du site via SMTP authentifié (plugin ou configuration de librairie) et protégez les formulaires par CAPTCHA.

4.4 E‑mails visibles dans un client mais pas en Webmail

Souvent dû à POP3 qui supprime les messages du serveur après téléchargement. Préférez IMAP pour la synchronisation multi‑appareils. Reconfigurez les appareils en IMAP et, si besoin, restaurez les messages locaux vers le serveur en déplaçant les mails depuis le client vers le dossier IMAP du compte. Configurer un client de messagerie — cPanel.

5 — Restaurer les messages supprimés (sauvegardes)

Les options dépendent des sauvegardes mises en place :

• Si JetBackup est disponible, restaurez sélectivement le dossier mail/$domain/$user via JetBackup plutôt que de restaurer l’ensemble du compte.
• Si vous possédez un backup cPanel (.tar.gz) : extrayez uniquement le répertoire /home/$user/mail/... et restaurez ces fichiers, puis recréez la boîte si nécessaire.
• Si vous n’avez pas accès à JetBackup, contactez le support pour vérifier l’existence d’une sauvegarde serveur et demander une restauration sélective.

6 — Protéger le domaine contre l’usurpation et améliorer la délivrabilité

Configurez SPF, DKIM et DMARC depuis cPanel > Email > Email Deliverability pour réduire le spoofing. cPanel fournit un diagnostic et peut installer les enregistrements si votre DNS est géré localement sur le serveur. N’activez pas une politique trop stricte (-all / reject) avant d’avoir inclus tous les serveurs légitimes qui envoient pour votre domaine. Email Deliverability — cPanel.

7 — Réglages anti‑spam et prévention

• Activez et configurez SpamAssassin (cPanel > Email > Spam Filters) ; ajustez le seuil et la liste blanche selon vos besoins. Spam Filters — cPanel.
• Bloquez les IP suspectes via cPanel > IP Blocker si vous observez des connexions répétées.
• Ajoutez une authentification SMTP pour les scripts du site plutôt que d’utiliser PHP mail().

Dépannage rapide (si quelque chose bloque)

• Track Delivery n’affiche rien : l’option peut être désactivée par l’hébergeur. Contactez le support et fournissez exemples d’heures et destinataires pour examen des logs serveurs.
• Impossible de restaurer sans sauvegarde serveur : vérifiez si vous disposez d’un backup local (.tar.gz) ou demandez au support une restauration sélective du dossier /home/$user/mail/… .
• Si des comptes réapparaissent après suppression : changez tous les mots de passe (cPanel + FTP + bases), activez 2FA, vérifiez les utilisateurs cPanel et demandez une enquête au support (compromission probable).
• Si l’envoi massif provient d’un script : désactivez plugins/thèmes suspects, supprimez les tâches cron inconnues et forcez l’envoi via SMTP authentifié.

Limites et recommandations finales

• Certaines actions (lecture complète des logs Exim, restauration serveur, suppression de backdoors côté serveur) nécessitent l’intervention de l’hébergeur. Si vous n’avez pas accès à ces éléments, ouvrez un ticket technique en joignant les éléments d’analyse (exemples d’e‑mails, plages horaires, captures Track Delivery).
• Évitez la restauration complète du compte si vous pouvez restaurer uniquement le dossier mail : la restauration totale écrase toutes les données plus récentes.
• Si le site Web est compromis, traitez d’abord la compromission (nettoyage du site, suppression du script d’envoi) puis restaurez les boîtes ; sinon l’attaque recommencera.

Liens internes utiles

• Activer la double authentification (2FA) dans cPanel
• Créer/modifier une adresse e‑mail dans cPanel
• Utiliser Email Deliverability (SPF/DKIM/DMARC)
• Suivre les e‑mails envoyés (Track Delivery)
• JetBackup 5 : Sauvegarder et restaurer (si disponible)
• WordPress : nettoyer et sécuriser un site piraté

Modèle bref à joindre au support (copier/adapter)

Objet : « Activité e‑mail suspecte sur le compte cPanel — demande d’analyse »

Résumé court : j’observe des envois non autorisés / des boîtes supprimées / des plaintes spam depuis mon domaine.
Comptes concernés : [liste des adresses]
Exemples (date/heure/destinataire) : [exemples précis]
Captures : Track Delivery (filtre sur l’adresse), liste des comptes e‑mail, dossier /home/$user/mail/…
Sauvegardes disponibles : JetBackup / backup_cpanel_YYYYMMDD.tar.gz (oui/non)
Action souhaitée : analyse des logs Exim et restauration sélective du dossier mail si disponible.

Si vous le souhaitez, je peux : 1) rédiger le texte complet à envoyer au support ; 2) vérifier vos captures d’écran cPanel avant envoi ; ou 3) préparer une check‑list imprimable en FR/EN/AR. Dites‑moi ce dont vous avez besoin.

Documentation de référence

• Track Delivery — cPanel & WHM Documentation
• Email Deliverability in cPanel — cPanel & WHM Documentation
• Where is email data stored on my cPanel server? — cPanel Support
• Two‑Factor Authentication for cPanel — cPanel & WHM Documentation
• Set Up Mail Client — cPanel & WHM Documentation
• Spam Filters (Apache SpamAssassin) — cPanel & WHM Documentation
• Backup Tarball Contents — cPanel & WHM Documentation
• How do you find email headers? — cPanel Support

Documentation consultée le 16 octobre 2026. Les outils peuvent varier selon votre hébergement.