Mon serveur envoie du spam : trouver l’origine, vider la file et corriger

1Constater l’ampleur sur la file d’attente

Avec Postfix, postqueue -p | tail -1 (ou mailq | tail -1) donne le nombre de messages en attente. Avec Exim, exim -bpc compte la file, et exim -bp la liste ; sur Debian et Ubuntu le binaire s’appelle exim4. Regardez si les expéditeurs et destinataires se répètent, et si les messages portent sur un sujet que vous n’envoyez jamais.

2Arrêter l’envoi pour limiter les dégâts

Chaque minute d’envoi dégrade la réputation de l’adresse IP. Coupez le service : sudo systemctl stop postfix (ou exim4). Si des e-mails légitimes doivent continuer à partir, mettez plutôt la file en attente avec sudo postsuper -h ALL, qui bloque les messages sans les supprimer, sous réserve de traiter la cause rapidement. Bloquer le port 25 sortant au pare-feu fonctionne aussi, en gardant le port de soumission pour vos clients de messagerie.

3Lire les en-têtes pour remonter à l’origine

Affichez un message de la file : sudo postcat -vq IDENTIFIANT (l’identifiant figure dans la sortie de postqueue -p). Avec Exim, utilisez sudo exim -Mvh IDENTIFIANT. Cherchez :

• X-PHP-Originating-Script : indique l’utilisateur et le fichier PHP expéditeur. Cet en-tête n’existe que si mail.add_x_header vaut On dans php.ini ; activez-le si les messages n’en ont pas, pour les envois suivants.
• Une adresse d’expéditeur d’un utilisateur du système ou d’un domaine hébergé.
• Une ligne Received mentionnant localhost (envoi par un script) ou une adresse extérieure (authentification ou relais).

4Relier le message à un compte ou à un script

Dans /var/log/mail.log, une authentification réussie laisse la mention sasl_username=. Pour compter les comptes les plus actifs : sudo grep -o 'sasl_username=[^ ,]*' /var/log/mail.log | sort | uniq -c | sort -rn | head. Un compte qui envoie des milliers de messages, ou depuis une adresse étrangère à son propriétaire, est compromis. Si l’origine est un script, sudo grep -r "mail(" /var/www --include=*.php -l repère les fichiers qui envoient du courrier, à comparer avec le chemin donné par X-PHP-Originating-Script.

5Corriger la cause

• Compte compromis. Changez le mot de passe par un mot de passe long et unique, déconnectez les sessions, et vérifiez s’il n’existe pas de règle de transfert ajoutée. Ne transmettez jamais le nouveau mot de passe par e-mail.
• Script ou site compromis. Isolez les fichiers, mettez à jour le logiciel concerné et suivez le nettoyage d’un site piraté.
• Formulaire détourné. Un champ non filtré permet d’ajouter des en-têtes (Bcc:) et d’utiliser votre formulaire comme émetteur de masse. Validez les champs, retirez les retours à la ligne des valeurs placées en en-tête, et ajoutez un antirobot.
• Relais ouvert. Contrôlez avec postconf -n | grep -E 'mynetworks|relay_restrictions|recipient_restrictions' que mynetworks ne couvre que le réseau local et que la restriction reject_unauth_destination figure dans les règles, comme dans la documentation Postfix.

6Vider la file avec prudence

Gardez d’abord quelques messages comme preuve : sudo postcat -vq IDENTIFIANT > exemple.txt. Supprimez ensuite un message avec sudo postsuper -d IDENTIFIANT, ou tous les messages avec sudo postsuper -d ALL. Cette dernière commande supprime aussi les courriers légitimes en attente : vérifiez d’abord qu’il n’y en a pas, ou triez-les avant avec postqueue -p. Avec Exim, sudo exim -Mrm IDENTIFIANT supprime un message.

7Relancer le service et surveiller

Relancez avec sudo systemctl start postfix, puis surveillez postqueue -p | tail -1 et sudo tail -f /var/log/mail.log plusieurs heures. Si la file regonfle, il reste une source. Limiter le débit par client (smtpd_client_message_rate_limit dans la configuration Postfix) borne les dégâts d’un compte détourné.

8Demander le retrait des listes noires

Une fois la cause corrigée et l’envoi sain, vérifiez l’adresse IP auprès de Spamhaus et des autres listes, puis suivez la procédure de retrait de chacune. Retirer une IP tant que le spam continue est inutile : elle est de nouveau listée. La marche à suivre est dans la page sur l’IP du serveur en liste noire.