Si una web WordPress envia spam, és una incidència de sortida, no només un problema de correu. Primer cal saber si els missatges els genera WordPress, una credencial SMTP/API compromesa o directament el servei de correu de l’hosting.
Identifica la ruta real d’enviament
Relaciona timestamps del proveïdor o de la cua amb logs de WordPress, formularis i esdeveniments programats. Registra remitent, patró de destinataris, família d’assumptes i compte o clau API utilitzats.
Contén la cua sense destruir evidència
- Pausa la ruta confirmada si l’abús continua actiu.
- Conserva una mostra de metadades de cua i logs del proveïdor.
- No esborris tota la cua fins separar missatges legítims i spam.
- Revisa reputació i possibles restriccions del proveïdor després de contenir.
Orígens habituals del correu no desitjat
- Formularis o registres compromesos.
- Plugin o tema amb codi d’enviament injectat.
- Callbacks programats que continuen generant missatges.
- Credencials SMTP o d’API de correu robades.
Troba l’origen abans de rotar totes les credencials
Si el correu apareix amb periodicitat, revisa tasques cron malicioses. Si el codi s’executa abans dels plugins normals o reapareix, comprova persistència a mu-plugins. Rota SMTP/API quan la font activa ja estigui continguda.
Reconstrueix una ruta de correu fiable
- Elimina la font maliciosa o abusada.
- Actualitza o substitueix el component vulnerable.
- Rota credencials de correu i comptes privilegiats.
- Restaura només fluxos transaccionals esperats.
- Monitoritza volum i esdeveniments del proveïdor.
No desactivis wp_mail indefinidament
Pots trencar recuperacions de contrasenya, correus de comanda i alertes sense arreglar una credencial SMTP compromesa.
Verificació
La incidència queda tancada quan s’atura l’spam al proveïdor, el correu legítim funciona, cap tasca o sender ocult recrea la cua i la reputació o l’estat del compte comencen a normalitzar-se.
CRITERI D’INCIDENT WP REPAIR
Seqüència d’intervenció segura
Volum de correu, capçaleres de missatges, registres de cua i fitxer data i hores identificar la ruta d’enviament. Canvia l’adreça des de no eliminar un remitent maliciós.
- Pausa o limiti el correu sortint mentre es preserva la cua i el proveïdor registres.
- Recollir capçaleres de mostra, remitent de sobres, resultats d’autenticació i data i hores.
- Cerca a la web i el correu registres per a l’script original, el compte o la clau API.
- Inspecciona formularis, usuaris, cron, càrregues i fitxers PHP recentment canviats.
Què ha de quedar verificat
- El volum de sortida torna a la línia de base esperada.
- Només les aplicacions legítimes poden autenticar i enviar.
- No queda cap script spam, ruta de formulari abusada o credencial compromesa.
Fonts tècniques oficials
Aquesta guia explica el diagnòstic. Si la web està afectada ara mateix, la intervenció ha de preservar una via de recuperació i verificar el recorregut real del negoci.
Veure el servei de reparació urgent →SOBRE ESTE SÍNTOMA
Preguntes freqüents d'aquesta guia.
Canviarà l’adreça del lloc per aturar els correus electrònics spam?+
No. Canvia l’adreça From no elimina cap remitent maliciós ni tanca la ruta que usa per enviar correu; només canvia una capçalera de missatges que encara estan generats per la mateixa font compromesa.
És segur eliminar la cua de correu immediat per aturar la inundació?+
No abans de preservar primer les mostres. Les capçaleres de missatges i les metadades de cua són sovint la forma més ràpida de rastrejar la ruta d’enviament fins al seu origen, de manera que eliminar la cua abans de capturar aquesta evidència pot fer que la causa arrel sigui molt més difícil d’identificar.
Podria el spam ser originari sense WordPress estar directament involucrat?+
Sí. Un compte robat de SMTP o credencial API es pot usar per enviar correu a través del proveïdor directament, sense cap sol·licitud que toqui el codi WordPress, per la qual cosa la ruta d’enviament no s'ha d’assumir per executar a través de wp_mail per omissió.
Com distingiria un formulari compromès a part del codi maliciós real en el servidor?+
Un formulari públic abusat mostra als bots explotant un camp obert similar a relé o un paràmetre receptor, mentre que el codi del lloc compromès implica un script porta del darrere o un correu postal que envia correu directament independentment de les presentacions del formulari. Compara les capçaleres de missatges, el remitent de sobres i els resultats d’autenticació amb els registres web i de correu identifica quin patró coincideix amb el tràfic.