Mon hébergeur a suspendu mon site pour activité suspecte
Un e-mail de l’hébergeur annonce une coupure pour « activité suspecte », sans autre détail : dans la grande majorité des cas, le site compromis est devenu un outil au service d’un tiers, à l’insu du marchand.
Les formulations les plus fréquentes des hébergeurs
- « Envoi massif de courriers indésirables détecté depuis votre compte » : le serveur de mail sortant a été utilisé pour du spam
- « Consommation anormale de ressources CPU ou mémoire » : un script tourne en continu sur le serveur, souvent sans rapport avec votre boutique
- « Participation détectée à une attaque contre un service tiers » : le serveur envoie des requêtes vers d’autres sites, généralement à leur insu comme au vôtre
- « Contenu malveillant détecté dans les fichiers du compte » : un scanner automatique a identifié un fichier connu comme malveillant
- « Signalement reçu d’un tiers » : un autre hébergeur, un fournisseur de messagerie ou un service de sécurité a signalé une activité provenant de votre adresse IP
Pourquoi la suspension n’est presque jamais arbitraire
Un hébergeur mutualisé héberge des centaines, parfois des milliers de sites sur les mêmes serveurs physiques. Une activité anormale sur un compte, qu’elle soit un envoi de spam massif, un script qui consomme des ressources disproportionnées ou des requêtes sortantes vers un service tiers, menace directement la stabilité des autres sites hébergés sur la même machine et la réputation de la plage d’adresses IP de l’hébergeur auprès des services anti-spam.
C’est pour cette raison que la coupure est presque toujours automatique et immédiate, déclenchée par un système de surveillance interne, avant qu’un humain n’ait examiné le cas en détail. L’hébergeur ne cherche pas à sanctionner le marchand : il isole un compte qui présente objectivement les mêmes signaux qu’un site compromis utilisé comme relais. Sur WordPress, ce relais prend le plus souvent la forme d’un script PHP injecté qui envoie des e-mails via la fonction native mail() ou wp_mail(), ou qui exécute des tâches en tâche de fond via wp-cron.php à une fréquence anormalement élevée.
Le point d’entrée qui a permis cette prise de contrôle suit le schéma le plus courant sur WordPress et WooCommerce : une extension ou un thème qui n’a pas reçu de mise à jour depuis longtemps, ou plus rarement une faille dans une extension elle-même récente mais critique. C’est le cas documenté de la faille CVE-2023-28121 sur l’extension WooCommerce Payments, une faille d’authentification de score CVSS 9,8 touchant les versions 4.8.0 à 5.6.1, qui permettait à un attaquant non authentifié de se faire passer pour n’importe quel utilisateur, y compris un administrateur. L’extension était installée sur plus de 600 000 sites. Le correctif, la version 5.6.2, a été publié le 23 mars 2023, et Automattic l’a poussé de force sur les sites concernés vu la gravité de la faille. Les attaques à grande échelle n’ont commencé que le 14 juillet 2023, soit près de quatre mois plus tard, avec un pic de 1,3 million de tentatives contre 157 000 sites le 16 juillet 2023 relevé par Wordfence. Un accès administrateur obtenu de cette façon donne à l’attaquant tout ce qu’il faut pour installer le script à l’origine de la suspension.
Obtenir la remise en ligne dans de bonnes conditions
-
Demander le détail technique exact à l’hébergeur
Le message initial est souvent générique. Le support technique peut fournir les logs précis : adresses IP, fichiers concernés, volume et destinataires des envois détectés.
-
Identifier et retirer le script ou le compte responsable
Sans ce détail technique, la remise en ligne se fait à l’aveugle et la suspension se répète en général en quelques jours.
-
Rechercher la faille d’entrée avant de redemander l’activation
Les hébergeurs demandent en général une confirmation que la cause a été traitée, pas seulement que le symptôme visible a disparu.
-
Régénérer tous les mots de passe et clés d’API
Un compte hébergement, un compte administrateur WordPress ou une clé d’API compromis doivent être considérés comme exposés même après le nettoyage.
Pour aller plus loin
Décrivez votre besoin en 1 minute
Quelques questions ciblées pour que je vous réponde avec une estimation, pas avec un questionnaire de plus.