Если сайт рассылает спам, источник почти всегда один из трёх: вредоносный скрипт, загруженный через взлом, дырявая форма обратной связи, которую боты используют как бесплатный рассыльщик, или украденный пароль почтового ящика. План действий: подтвердить факт рассылки по логам почты, временно заблокировать отправку, найти и убрать источник, затем вычистить домен из чёрных списков. На всё про всё у вас немного времени: каждый час рассылки топит репутацию домена глубже.

Важно. Первый сигнал обычно приходит снаружи: хостинг грозит блокировкой за спам, письма клиентам перестали доходить, домен появился в чёрных списках. Не отмахивайтесь от таких писем хостинга - за вторым предупреждением часто следует блокировка всего аккаунта вместе с сайтом.

Как убедиться, что спам идёт именно с вашего сайта

Смотрим три места. Журнал отправки почты на хостинге: сотни писем в час на незнакомые адреса - вот и подтверждение, заодно журнал покажет, какой скрипт инициирует отправку. Очередь почтового сервера: в панели хостинга видно, сколько писем висит в очереди и от какого отправителя. Проверка домена и IP в чёрных списках: MXToolbox Blacklist Check по домену и IP сервера - если вы в списках Spamhaus или аналогичных, рассылка уже случилась. Отдельно проверьте, не идёт ли спам не с сервера, а от вашего имени: подделку отправителя без взлома отсекают почтовые записи - подробно в статье про SPF, DKIM и DMARC.

Три источника спам-рассылки и как их различить

  • Вредоносный скрипт после взлома - в журнале почты виден PHP-файл со странным именем или из папки загрузок; писем много, уходят пачками круглосуточно
  • Дырявая форма на сайте - рассылку делает легитимный обработчик вашей формы: боты подставляют свои тексты и адреса в поля, а сайт честно шлёт «уведомления»
  • Украденный ящик - сервер чистый, а спам уходит через SMTP вашего почтового ящика: пароль утёк с заражённого компьютера или подобран

Пошагово: останавливаем рассылку и лечим причину

  1. Остановите отправку почтыВременно отключите отправку на хостинге или поставьте лимит. Очередь недоставленных спам-писем очистите - иначе сервер будет доставлять их ещё часами.
  2. Найдите источник по журналуВ журнале почты хостинга видно, какой скрипт и из какой папки отправляет письма. Если это неизвестный файл - у вас взлом, действуйте по плану удаления вируса с сайта: сканер, чистка, закрытие дыры.
  3. Смените все паролиХостинг, FTP, база, админка, почтовые ящики. Если источник - украденный ящик, этот шаг сам по себе останавливает рассылку; заодно проверьте компьютеры, где пароль хранился.
  4. Защитите формыКапча или скрытое поле-ловушка на все формы, запрет HTML и ссылок в полях, отправка только на фиксированный адрес из настроек (адрес получателя никогда не берётся из данных формы).
  5. Включите отправку и наблюдайтеВерните почту и сутки следите за журналом отправки: чистый журнал - источник устранён.
  6. Выйдите из чёрных списковПроверьте домен и IP по спискам, подайте запросы на исключение (delisting) с описанием принятых мер. Snowshoe-списки чистятся за часы, серьёзные - за дни.
На заметку. На виртуальном хостинге IP общий: в чёрный список вас может завести сосед по серверу, а не ваш сайт. Если журнал почты чистый, а IP в списках - пишите в поддержку хостинга: это их зона, вплоть до смены IP или переезда.

Остановим спам-рассылку за один день

Найдём источник по логам, вычистим вредоносный код, защитим формы, выведем домен из чёрных списков и настроим SPF, DKIM, DMARC. Alavir лечит сайты на Битрикс с 2013 года: 450+ проектов.

Остановить рассылку

Как восстановить репутацию домена после спама

После остановки рассылки почта не начинает доходить сразу: репутация домена и IP восстанавливается 2-4 недели чистой отправки. Ускорить можно так: корректные SPF, DKIM и DMARC, выход из всех чёрных списков, отправка транзакционных писем через авторизованный SMTP, первые недели - минимум массовых отправок с домена. Проверяйте прогресс отправкой тестовых писем на Gmail, Яндекс и Mail.ru: путь письма и вердикты проверок видны в свойствах письма.

Совет. Заведите правило: любые массовые рассылки (акции, дайджесты) - только через специализированный сервис рассылок, а не через сервер сайта. Так репутация маркетинговых писем живёт отдельно от транзакционных, и одна жалоба на рассылку не утопит письма о заказах.

Частые вопросы про спам с сайта

Хостинг заблокировал отправку почты за спам. Что делать в первую очередь?
Не просить разблокировку сразу - сначала найти и устранить источник по журналу отправки, сменить пароли, защитить формы. Потом писать хостингу с описанием мер: разблокируют быстрее, а главное - без рецидива через сутки и повторной блокировки.
Спам уходит от нашего имени, но сервер чистый. Как так?
Отправителя письма можно подделать, не касаясь вашего сервера: спамеры просто подставляют ваш домен в поле «От кого». Лечится строгими SPF и DMARC-политикой: письма без вашей подписи почтовики начнут отклонять. Настройка занимает час.
Как проверить, в каких чёрных списках наш домен?
MXToolbox Blacklist Check или аналогичные агрегаторы: вводите домен и IP сервера, получаете статус по десяткам списков. Проверяйте оба - домен и IP попадают в списки независимо друг от друга.
Форма с капчей - этого достаточно, чтобы сайт не рассылал спам?
Капча отсекает ботов, но не лечит взлом: вредоносный скрипт шлёт почту напрямую, минуя формы. Достаточная защита - это капча плюс актуальные обновления CMS, контроль целостности файлов и мониторинг очереди почты.

Итог: спам с сайта - это всегда симптом (взлом, дырявая форма или утёкший пароль), и лечить нужно причину, а не просить хостинг «включить почту обратно». Если журналы почты для вас тёмный лес - передайте задачу нам: найдём источник, остановим рассылку, выведем из чёрных списков, а на абонентской поддержке будем мониторить очередь почты постоянно. Диагностика бесплатная.