Resposta direta: para localizar a origem de spam no servidor, correlacione os identificadores das mensagens nos logs com autenticação, conta, processo, diretório de execução e horário. Primeiro descubra se o envio veio de uma caixa autenticada, de um script local ou se o remetente foi apenas falsificado; depois contenha essa origem.
Revisão técnica: 08/09/2026.
Confirme o que realmente está acontecendo
Volume alto, fila crescente, rejeições e alertas de reputação são sinais diferentes. Preserve uma amostra dos cabeçalhos completos, IDs da fila, horários e destinatários. Não conclua que o domínio foi invadido apenas porque ele aparece no campo remetente: falsificação também é possível.
Relacione a mensagem à forma de envio
Consulte as ferramentas do painel e os logs do MTA pelo identificador da mensagem. Procure autenticação SMTP, usuário local, endereço de origem e informações registradas sobre o processo. Um diretório de execução associado a PHP pode apontar para uma aplicação, mas deve ser confirmado com logs web, arquivos modificados e eventos no mesmo intervalo.
Contenha a fonte sem apagar evidências
Suspenda temporariamente a caixa, o script ou a conta afetada e preserve logs antes de limpar a fila. Troque senhas e revogue sessões quando houver abuso autenticado. Se a origem for uma aplicação, retire-a do ar ou bloqueie seu envio até revisar código, extensões e credenciais. Veja também como administrar a fila de e-mails.
Corrija a causa do envio
Atualize a aplicação comprometida, remova persistência e faça varredura nos arquivos e tarefas agendadas. Para uma caixa roubada, use senha exclusiva e autenticação adicional quando disponível. A documentação do cPanel para prevenir abuso recomenda restrições SMTP e limites de envio como camadas de proteção; ajuste-os ao tráfego legítimo.
Recupere entrega e reputação
Depois de interromper o abuso, confirme SPF, DKIM, DMARC, hostname e DNS reverso. Examine rejeições antes de solicitar remoção de listas de bloqueio. Alterar o IP sem eliminar a fonte apenas desloca o problema. Se uma conta de e-mail foi comprometida, siga o processo de recuperação e proteção da conta.
Crie alertas úteis
Monitore volume por domínio e conta, taxa de falhas, crescimento da fila e autenticações incomuns. Defina limites que considerem newsletters e sistemas transacionais legítimos. Um alerta deve trazer horário, conta, volume e IDs de exemplo, reduzindo o tempo entre o primeiro envio anormal e a contenção.
