Bounces en masse après un piratage : listes sales et domaine brûlé
Après un envoi pirate, la file se remplit de refus : adresses mortes, pièges, domaines cassés. Nettoyez la file, retirez les invalides, ne renvoyez pas « pour voir ». Le bounce lui-même est un signal anti-spam.
Le script a écrit à des millions d'adresses mortes. Nettoyez la file, retirez les invalides, ne renvoyez pas « pour voir ». Le bounce lui-même est un signal anti-spam.
Ce que ces bounces racontent
Un script n'a pas une base clients soignée. Il a des listes industrielles, des fautes, des pièges à spam (spamtraps). Chaque refus dit aux filtres : cet expéditeur écrit à n'importe qui. Même après nettoyage du site, relancer ces destinataires prolonge la peine.
Les bounces arrivent souvent sur une boîte « Return-Path » que vous voyez pour la première fois saturée. Ce n'est pas vos clients qui se plaignent : c'est l'Internet qui refuse. Distinguez-les des réponses humaines (« je n'ai rien demandé ») qui, elles, signalent plutôt du phishing au nom du domaine.
Copiez un échantillon de DSN hors serveur. Ils datent le pic et servent aux recours. Les détruire en « vidant tout » pour se rassurer efface la chronologie.
Ne pas renvoyer la file
Les files cPanel, Prestashop, WooCommerce, ESP : mettez en pause, exportez, triez. Le bouton « relancer les échecs » est le geste le plus coûteux de la semaine. Vous rejouez le spam avec votre nouveau mot de passe, donc avec votre signature DKIM neuve : vous apprenez aux filtres que le domaine propre envoie encore n'importe quoi.
Si la file mélange devis réels et millions d'inconnus, extraire à la main les dix vrais destinataires du jour. Le reste se jette. Ce n'est pas du « manque de professionnalisme » : c'est de l'hygiène de réputation.
Le réchauffement commence après une file maîtrisée, pas dessus.
- Pause globale des files.
- Export, tri, destruction des invalides.
- Renvoi unitaire des seuls messages métier demandés.
Trier hard bounce, soft, et plaintes
Hard : adresse inexistante, domaine mort. On retire définitivement. Soft : boîte pleine, greylist temporaire. On ne s'en sert pas comme excuse pour rejouer une liste pirate. Plaintes (FBL) : un humain a cliqué « spam ». Elles pèsent plus que les hard. Coupez tout envoi vers ces adresses.
Les messages « user unknown » en rafale vers le même domaine sont typiques d'une liste générée. Ce n'est pas votre CRM qui s'est « un peu sali ».
Ne construisez pas une nouvelle campagne « d'excuses » vers les adresses qui ont bounce. Elles n'ont jamais été vos clients, ou elles sont mortes.
Nettoyer listes et CRM
Si l'attaquant a injecté des contacts dans Prestashop, Mailchimp, Brevo : exportez, isolez les créations de la fenêtre d'incident, retirez-les. Une liste « enrichie » de 40 000 lignes en une nuit n'est pas une opportunité commerciale.
Votre vrai fichier : dédoublonnez, retirez les hard bounces historiques. Ce n'est pas de la RGPD-panique, c'est de la délivrabilité. Si la table clients a été lue, le nettoyage liste et le volet fuite sont deux sujets : on les documente tous les deux.
Ne rachetez pas une « liste B2B propre » pour compenser. Après un incident, c'est le plus court chemin vers un second pic de bounces.
L'adresse d'enveloppe brûlée
Le Return-Path (souvent une boîte technique) reçoit la marée. Parfois cette adresse se retrouve elle-même listée. Distinguez-la du From visible. On peut changer une enveloppe technique une fois la pompe arrêtée ; on ne change pas de From métier toutes les heures (Gmail).
Si `noreply@` est devenu illisible, créez une enveloppe neuve documentée dans le SPF, pas un bricolage quotidien. Un seul changement, stable.
Les auto-réponses « je suis absent » vers des millions d'adresses pirates ajoutent du volume. Désactivez-les le temps du pic.
Effet sur Gmail, Outlook et les listes
Un taux de bounce élevé est un des signaux les plus simples pour un filtre. Il survit au nettoyage du PHP. D'où l'ordre : plus de renvoyés sales, puis recours, puis petits messages vrais. Microsoft est lent (Outlook) ; Google cite parfois le volume et la politique dans le 550.
Les listes de domaines (URIBL, DBL) se nourrissent aussi des URL dans les messages. Si le spam contenait votre site, le nettoyage du site et la file mail se rejoignent.
Joignez des exemples de DSN aux recours, pas cent pages. Date de fin d'envoi, échantillon, file à zéro.
Transactionnel : ce qu'on garde
Un reset demandé aujourd'hui par un client connu : on envoie. Un reliquat de 8 000 « bienvenue » générés par un bot : on jette. La distinction se fait à l'œil sur l'échantillon, pas avec un plugin « renvoyer tout ce qui a échoué ».
Les commandes boutique : vérifiez que les mails de confirmation ne sont pas une file pirate déguisée (destinataires incohérents, langues multiples). En cas de doute, confirmez la commande dans l'admin et écrivez à la main aux cinq vrais clients du jour.
Informer d'une fuite est un envoi ciblé, une fois, rédigé — pas un recycle de la file spam.
Quand la pompe n'est pas vraiment arrêtée
Des bounces qui continuent d'arriver à un rythme stable trois jours après « nettoyage » : il reste un cron, une clé, un voisin de compte, ou une règle n'est pas en cause ici — plutôt un envoi sortant. Rouvrez les journaux, pas le bouton relancer.
Un hébergeur qui rate-limite est un allié. Ne négociez pas la levée du quota pour vider une file douteuse.
Déclarer le site si le PHP n'est pas sous contrôle. Joignez l'échantillon de DSN : ça oriente vers mail() vs SMTP vs ESP.