# Mon hébergeur a suspendu mon site pour activité suspecte

> Un e-mail de l’hébergeur annonce une coupure pour « activité suspecte », sans autre détail : dans la grande majorité des cas, le site compromis est devenu un outil au service d’un tiers, à l’insu du marchand.

- Source canonique : [https://allaux.fr/securite/hebergeur-a-suspendu-mon-site](https://allaux.fr/securite/hebergeur-a-suspendu-mon-site)
- Langue : FR
- Dernière mise à jour : 2026-08-03

## Réponse directe

> Répondez à l’hébergeur pour obtenir l’élément déclencheur exact : chemin du fichier détecté, extrait du journal, ou horodatage de l’envoi incriminé. C’est le point de départ le plus rapide, et il vous est donné gratuitement. Ne demandez pas une réactivation immédiate avant d’avoir traité la cause : un compte remis en ligne inchangé est suspendu de nouveau, souvent dans la journée.

## Les formulations les plus fréquentes des hébergeurs

- « Envoi massif de courriers indésirables détecté depuis votre compte » : le serveur de mail sortant a été utilisé pour du spam
- « Consommation anormale de ressources CPU ou mémoire » : un script tourne en continu sur le serveur, souvent sans rapport avec votre boutique
- « Participation détectée à une attaque contre un service tiers » : le serveur envoie des requêtes vers d’autres sites, généralement à leur insu comme au vôtre
- « Contenu malveillant détecté dans les fichiers du compte » : un scanner automatique a identifié un fichier connu comme malveillant
- « Signalement reçu d’un tiers » : un autre hébergeur, un fournisseur de messagerie ou un service de sécurité a signalé une activité provenant de votre adresse IP

## Pourquoi la suspension n’est presque jamais arbitraire

Un hébergeur mutualisé héberge des centaines, parfois des milliers de sites sur les mêmes serveurs physiques. Une activité anormale sur un compte, qu’elle soit un envoi de spam massif, un script qui consomme des ressources disproportionnées ou des requêtes sortantes vers un service tiers, menace directement la stabilité des autres sites hébergés sur la même machine et la réputation de la plage d’adresses IP de l’hébergeur auprès des services anti-spam.

C’est pour cette raison que la coupure est presque toujours automatique et immédiate, déclenchée par un système de surveillance interne, avant qu’un humain n’ait examiné le cas en détail. L’hébergeur ne cherche pas à sanctionner le marchand : il isole un compte qui présente objectivement les mêmes signaux qu’un site compromis utilisé comme relais. Sur WordPress, ce relais prend le plus souvent la forme d’un script PHP injecté qui envoie des e-mails via la fonction native mail() ou wp_mail(), ou qui exécute des tâches en tâche de fond via wp-cron.php à une fréquence anormalement élevée.

Le point d’entrée qui a permis cette prise de contrôle suit le schéma le plus courant sur WordPress et WooCommerce : une extension ou un thème qui n’a pas reçu de mise à jour depuis longtemps, ou plus rarement une faille dans une extension elle-même récente mais critique. C’est le cas documenté de la faille CVE-2023-28121 sur l’extension WooCommerce Payments, une faille d’authentification de score CVSS 9,8 touchant les versions 4.8.0 à 5.6.1, qui permettait à un attaquant non authentifié de se faire passer pour n’importe quel utilisateur, y compris un administrateur. L’extension était installée sur plus de 600 000 sites. Le correctif, la version 5.6.2, a été publié le 23 mars 2023, et Automattic l’a poussé de force sur les sites concernés vu la gravité de la faille. Les attaques à grande échelle n’ont commencé que le 14 juillet 2023, soit près de quatre mois plus tard, avec un pic de 1,3 million de tentatives contre 157 000 sites le 16 juillet 2023 relevé par Wordfence. Un accès administrateur obtenu de cette façon donne à l’attaquant tout ce qu’il faut pour installer le script à l’origine de la suspension.

## Une suspension n’efface généralement rien

> L’hébergeur bloque l’accès ou coupe certains services (envoi de mail, exécution de scripts), mais conserve en général les fichiers et la base de données intacts. C’est un arrêt d’urgence, pas une suppression du compte.

## Obtenir la remise en ligne dans de bonnes conditions

1. **Demander le détail technique exact à l’hébergeur** — Le message initial est souvent générique. Le support technique peut fournir les logs précis : adresses IP, fichiers concernés, volume et destinataires des envois détectés.
2. **Identifier et retirer le script ou le compte responsable** — Sans ce détail technique, la remise en ligne se fait à l’aveugle et la suspension se répète en général en quelques jours.
3. **Rechercher la faille d’entrée avant de redemander l’activation** — Les hébergeurs demandent en général une confirmation que la cause a été traitée, pas seulement que le symptôme visible a disparu.
4. **Régénérer tous les mots de passe et clés d’API** — Un compte hébergement, un compte administrateur WordPress ou une clé d’API compromis doivent être considérés comme exposés même après le nettoyage.

## Pour aller plus loin

- **Mon site envoie des e-mails que je n’ai pas écrits** — Le symptôme le plus fréquent qui précède une suspension pour spam. ([/securite/mon-site-envoie-des-emails-que-je-n-ai-pas-ecrits](/securite/mon-site-envoie-des-emails-que-je-n-ai-pas-ecrits))
- **Que faire dans les deux heures** — L’ordre exact des priorités une fois le doute confirmé. ([/securite/que-faire-dans-les-deux-heures](/securite/que-faire-dans-les-deux-heures))
- **Site WordPress piraté** — La page de référence pour un piratage WordPress déjà identifié. ([/wordpress-woocommerce/site-pirate](/wordpress-woocommerce/site-pirate))

## FAQ

### Vais-je perdre mon nom de domaine ou mes fichiers ?

Non, en général. Une suspension pour activité suspecte coupe l’accès ou certains services, mais le nom de domaine et les fichiers restent la propriété du compte, sauf non-paiement séparé de l’hébergement.

### L’hébergeur peut-il me remettre en ligne sans que je nettoie le site ?

Certains le font temporairement sur demande, mais la suspension revient rapidement si la cause n’a pas été traitée : c’est le même comportement automatique qui l’a déclenchée la première fois.

### Comment savoir si mon adresse IP a été mise sur liste noire ?

Plusieurs outils en ligne gratuits vérifient si une adresse IP figure sur les principales listes noires anti-spam. C’est une vérification à faire après le nettoyage, avant de redemander l’envoi de mails.

### Est-ce forcément lié à une extension de paiement ?

Non, ce n’est qu’un exemple documenté. La cause la plus fréquente reste une extension ou un thème obsolète, quelle que soit sa fonction, laissé sans mise à jour pendant une longue période.

### Que faire si l’hébergeur refuse de réactiver le compte ?

Demandez un rapport écrit détaillé de la situation avant de changer d’hébergeur : ce rapport sert de base au diagnostic et évite de migrer le problème vers le nouvel hébergement sans l’avoir traité.