Que faire face à une alerte de connexion suspecte à cPanel ou à la messagerie

Une alerte de connexion suspecte indique qu'une session cPanel, webmail, IMAP ou SMTP présente une différence par rapport à l'usage habituel, comme une IP, un pays, un réseau ou un appareil nouveaux. Elle ne prouve pas à elle seule que le compte a été compromis, mais il vaut mieux vérifier avant de l'écarter.

N'utilisez pas les liens d'un message inattendu. Connectez-vous directement à l'espace client ou à cPanel et vérifiez-y le compte concerné.

Dans ces alertes, SMTP désigne une connexion utilisée pour envoyer des e-mails ; IMAP, POP et webmail désignent des connexions à la boîte mail. Le protocole aide à savoir si c'est une application, un client de messagerie ou une session interactive qui est intervenu.

Si vous reconnaissez la connexion

La localisation d'une IP est approximative. Une connexion peut sembler venir d'une autre ville ou d'un autre pays lorsque vous utilisez :

• Un réseau mobile dont la sortie se trouve dans une autre région.
• Un VPN ou un réseau d'entreprise.
• Un fournisseur d'accès à Internet qui a changé votre IP publique.
• Un client de messagerie ou un service externe qui se connecte pour vous.
• Un voyage ou un nouvel appareil.

Comparez la date, l'adresse e-mail ou l'utilisateur et le type de connexion. S'ils correspondent à une action que vous venez de faire, vous pouvez garder le mot de passe, même s'il reste recommandé d'activer l'authentification à deux facteurs dans l'espace client.

Si vous ne reconnaissez pas la connexion

1. Changez immédiatement le mot de passe précis concerné. Le mot de passe d'une boîte mail, d'un compte FTP ou de WordPress est indépendant de celui de cPanel.
2. S'il s'agit de cPanel, le changement remplace aussi l'identifiant principal utilisé par cPanel, FTP et SSH. Vérifiez séparément les comptes FTP supplémentaires et ne changez que ceux que vous ne reconnaissez pas ou qui ont pu être exposés.
3. Activez l'authentification à deux facteurs dans l'espace client.
4. Analysez avec un logiciel de sécurité les ordinateurs depuis lesquels vous gérez le compte. Changer le mot de passe depuis un appareil infecté peut aussi exposer le nouveau.
5. Vérifiez dans Suivi de livraison si la boîte mail a envoyé des messages que vous ne reconnaissez pas et contrôlez les règles, filtres et redirections inconnus.
6. Vérifiez les modifications récentes des fichiers, utilisateurs, tâches cron, DNS et applications.

Utilisez des mots de passe nouveaux et uniques. Il ne suffit pas d'ajouter un caractère à l'ancien ni de réutiliser le mot de passe d'un autre service. Le guide sur la façon dont les mots de passe sont volés explique les origines les plus fréquentes.

Si la boîte mail ne permet plus de se connecter ou d'envoyer, il peut y avoir une restriction préventive. Connexion, réception et envoi sont des autorisations distinctes. Vérifiez la cause et les messages en attente avant de réactiver, en suivant le guide pour débloquer un compte après la compromission de ses identifiants.

Quand demander une vérification

Contactez l'assistance si vous ne reconnaissez pas la connexion, si vous constatez des envois ou des modifications non autorisés, ou si vous ne pouvez pas déterminer quel identifiant a été utilisé. Indiquez le compte concerné, la date approximative et l'IP affichée dans l'alerte ; n'envoyez jamais le mot de passe.

Nous pourrons comparer la connexion avec les journaux disponibles et vérifier s'il existe une activité ultérieure liée. Une géolocalisation inattendue sans actions anormales peut être légitime ; une IP connue n'exclut pas un identifiant compromis.

Gardez le contexte de la vérification

Notez quelle connexion vous avez vérifiée et à quel appareil ou à quelle tâche elle correspond. Les alertes d'une application qui se connecte en arrière-plan peuvent se répéter même si vous n'avez pas ouvert le navigateur.

Si vous changez un identifiant, mettez-le à jour sur les appareils vérifiés et observez si des connexions étrangères continuent d'apparaître. Une vérification ultérieure permet de distinguer les tentatives d'une application qui utilise encore l'ancien mot de passe d'une nouvelle activité qui demande encore de l'attention.