Point SynoPower Club\u00a0:<\/strong> J'ai pass\u00e9 des ann\u00e9es au support technique de Synology, et la principale pr\u00e9occupation concernant l'auto-h\u00e9bergement \u00e9tait qu'une mauvaise nuit suffise \u00e0 rendre le site inaccessible. Ce ne fut pas le cas ici. Le NAS a continu\u00e9 \u00e0 servir les pages, la boutique \u00e0 prendre les commandes, et le seul sympt\u00f4me \u00e9tait une dizaine de lignes manquantes dans les formulaires. La cl\u00e9 du succ\u00e8s r\u00e9sidait dans le fait que tout \u00e9tait centralis\u00e9\u00a0: les formulaires, le journal des e-mails et les adresses IP des visiteurs \u00e9taient tous h\u00e9berg\u00e9s sur le m\u00eame serveur Synology. Ainsi, le tra\u00e7age de l'attaque par e-mail a pu \u00eatre effectu\u00e9 en une seule session, au lieu de trois tickets de support aupr\u00e8s de trois h\u00e9bergeurs diff\u00e9rents.<\/p>\n<\/blockquote>\n\n\n\n L'envoi massif d'emails ne n\u00e9cessite aucun piratage. L'attaquant r\u00e9cup\u00e8re l'adresse de sa victime et la saisit dans un maximum de formulaires publics\u00a0: inscriptions \u00e0 des newsletters, cr\u00e9ations de comptes et formulaires de contact renvoyant une copie du message \u00e0 l'exp\u00e9diteur. Chaque site web envoie alors un email l\u00e9gitime et correctement sign\u00e9 \u00e0 la victime. Techniquement, aucun de ces messages n'est consid\u00e9r\u00e9 comme du spam\u00a0; ils passent donc les filtres et s'accumulent dans la bo\u00eete de r\u00e9ception.<\/p>\n\n\n\n L'objectif est rarement l'inondation en elle-m\u00eame. Microsoft Threat Intelligence a recens\u00e9 des groupes qui utilisent le spamming comme premi\u00e8re \u00e9tape, puis contactent la victime par t\u00e9l\u00e9phone en se faisant passer pour le service d'assistance informatique cens\u00e9 r\u00e9soudre le probl\u00e8me de spam. D'autres attaquants utilisent cette inondation pour masquer une alerte bancaire, une confirmation d'achat ou un avis de changement de mot de passe, tout en utilisant abusivement un compte vol\u00e9.<\/p>\n\n\n\n Les formulaires de contact sont attrayants car beaucoup d'entre eux r\u00e9pondent automatiquement \u00e0 l'adresse \u00e9lectronique saisie. Pour un pirate, il s'agit d'un relais de messagerie gratuit et anonyme, avec un nom d'exp\u00e9diteur fiable. Pour le propri\u00e9taire du site, cela signifie que son domaine envoie des courriels \u00e0 des personnes qui ne les ont jamais demand\u00e9s, et que certaines d'entre elles cliqueront sur le bouton \u00ab\u00a0spam\u00a0\u00bb.<\/p>\n\n\n\n La tendance \u00e9tait flagrante une fois les dossiers compar\u00e9s. Entre le soir du 24 septembre et le lendemain matin, notre formulaire de soutien a re\u00e7u dix demandes, espac\u00e9es d'une \u00e0 deux heures. Ce rythme lent est d\u00e9lib\u00e9r\u00e9\u00a0: il permet de rester sous les limites de trafic et de se fondre dans le trafic habituel.<\/p>\n\n\n\n Aucune de ces personnes n'avait jamais visit\u00e9 SynoPower Club. Notre courriel de confirmation, avec un objet du type SynoPower #1234 : Demande de renseignements sur le produit, leur a \u00e9t\u00e9 envoy\u00e9 \u00e0 chacun. Si vous avez re\u00e7u l'un de ces messages et que vous ne nous avez jamais contact\u00e9s, vous avez \u00e9t\u00e9 victime d'une campagne de spam\u00a0: votre adresse a \u00e9t\u00e9 saisie par une autre personne. Aucun compte n'a \u00e9t\u00e9 cr\u00e9\u00e9 pour vous et aucun pr\u00e9l\u00e8vement n'a \u00e9t\u00e9 effectu\u00e9. Consultez notre guide sur Comment savoir si un courriel provient r\u00e9ellement de SynoPower Club ?<\/a> liste toutes les adresses d'exp\u00e9dition.<\/p>\n\n\n\n Notre formulaire disposait d\u00e9j\u00e0 de deux protections anti-spam activ\u00e9es, pourtant l'attaque massive d'emails les a contourn\u00e9es\u00a0: Cloudflare Turnstile et un champ honeypot cach\u00e9. Les deux ont fonctionn\u00e9 correctement, mais aucune n'\u00e9tait con\u00e7ue pour ce type d'attaque.<\/p>\n\n\n\n Un honeypot intercepte les scripts qui remplissent tous les champs d'une page, y compris un champ invisible aux humains. Ces requ\u00eates provenaient d'un navigateur l\u00e9gitime qui n'a rempli que les champs visibles\u00a0; le pi\u00e8ge est donc rest\u00e9 vide. Turnstile v\u00e9rifie si le visiteur se comporte comme un utilisateur humain. Chacune des dix requ\u00eates contenait un jeton Turnstile valide, ce qui indique que l'exp\u00e9diteur utilisait un navigateur authentique et une navigation naturelle, et non un script rudimentaire.<\/p>\n\n\n\n C'est la limite acceptable des contr\u00f4les de robots contre le spamming. Ils rendent les abus automatis\u00e9s de masse co\u00fbteux, mais un exp\u00e9diteur patient qui soumet un formulaire par heure via un navigateur classique ressemble en tout point \u00e0 un client. Pour bloquer ces abus, il faut un signal indiquant la provenance de la requ\u00eate, et pas seulement son comportement.<\/p>\n\n\n\n L'ensemble de la pile \u00e9tant h\u00e9berg\u00e9 sur un seul syst\u00e8me Synology, l'investigation s'est d\u00e9roul\u00e9e exclusivement sur le NAS. Voici les quatre v\u00e9rifications effectu\u00e9es, dans l'ordre\u00a0; elles sont compatibles avec tout site WordPress h\u00e9berg\u00e9 sur Container Manager ou Web Station.<\/p>\n\n\n Ouvrez la liste des entr\u00e9es de votre extension de formulaire et triez-la par date. Recherchez les noms ou messages al\u00e9atoires, les sujets r\u00e9currents et un intervalle r\u00e9gulier entre les soumissions, puis notez l'adresse IP enregistr\u00e9e avec chaque entr\u00e9e.<\/p>\n<\/div>\n<\/div>\n Ouvrez le journal des e-mails de votre plugin SMTP ou le journal de distribution du serveur Synology MailPlus et recherchez les num\u00e9ros d'entr\u00e9e. Cela vous indiquera si votre site a bien envoy\u00e9 une confirmation \u00e0 chaque adresse et si elle a \u00e9t\u00e9 distribu\u00e9e.<\/p>\n<\/div>\n<\/div>\n T\u00e9l\u00e9chargez la liste de sortie du projet Tor et recherchez-y chaque adresse IP figurant dans les entr\u00e9es. Dans notre cas, les dix adresses \u00e9taient des n\u0153uds de sortie Tor, tandis qu'aucune des 199 entr\u00e9es l\u00e9gitimes depuis 2024 ne provenait d'une adresse pr\u00e9sente dans cette liste.<\/p>\n<\/div>\n<\/div>\n V\u00e9rifiez que les adresses IP figurant dans vos journaux appartiennent bien aux visiteurs et non \u00e0 Cloudflare ou \u00e0 votre proxy inverse. Si les m\u00eames adresses apparaissent syst\u00e9matiquement, r\u00e9tablissez l'adresse IP d'origine du visiteur avant d'en tirer des conclusions.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n La solution au probl\u00e8me des envois massifs d'e-mails devait r\u00e9pondre \u00e0 deux conditions\u00a0: bloquer compl\u00e8tement cet exp\u00e9diteur et ne pas perturber les clients qui utilisent le formulaire chaque semaine pour se renseigner sur les licences. Nous avons opt\u00e9 pour une modification cibl\u00e9e.<\/p>\n\n\n\n Les formulaires envoy\u00e9s via le r\u00e9seau Tor sont d\u00e9sormais syst\u00e9matiquement refus\u00e9s sur l'ensemble du site. Cloudflare identifie le trafic Tor avec le code pays T1, et nous v\u00e9rifions \u00e9galement l'adresse IP du visiteur par rapport \u00e0 la liste de sortie du projet Tor, mise \u00e0 jour quotidiennement. Ainsi, la r\u00e8gle reste applicable m\u00eame si une requ\u00eate atteint le NAS sans passer par Cloudflare. En cas de refus, un court message contenant notre adresse de support s'affiche, permettant ainsi \u00e0 un client l\u00e9gitime pr\u00e9f\u00e9rant Tor de nous contacter par e-mail.<\/p>\n\n\n\n Les pages de navigation, de paiement et de compte restent inchang\u00e9es. La modification s'applique uniquement au moment de la soumission d'un formulaire, l\u00e0 o\u00f9 l'abus a eu lieu.<\/p>\n\n\n\n La meilleure fa\u00e7on de se pr\u00e9munir contre les attaques par spam via un formulaire est de ne plus envoyer de courriels \u00e0 l'adresse saisie. Si le formulaire sert uniquement \u00e0 vous notifier, un attaquant n'a aucun int\u00e9r\u00eat \u00e0 y saisir l'adresse d'un inconnu. Nous avons s\u00e9rieusement envisag\u00e9 cette option.<\/p>\n\n\n\n Nous avons choisi de maintenir la confirmation. Nombre de nos clients nous contactent car leur cl\u00e9 de licence n'a pas \u00e9t\u00e9 activ\u00e9e ou qu'un courriel de commande a \u00e9t\u00e9 class\u00e9 comme spam. Une r\u00e9ponse imm\u00e9diate confirmant la r\u00e9ception de leur message, accompagn\u00e9e d'un num\u00e9ro de ticket, les rassure consid\u00e9rablement. La supprimer p\u00e9naliserait tous nos clients l\u00e9gitimes pour le d\u00e9sagr\u00e9ment caus\u00e9 \u00e0 un seul exp\u00e9diteur.<\/p>\n\n\n\n Le compromis est \u00e9vident. Bloquer Tor emp\u00eache l'exp\u00e9diteur d'acc\u00e9der \u00e0 la route utilis\u00e9e par Tor, mais un attaquant d\u00e9termin\u00e9 pourrait se rabattre sur des proxys classiques. Si des messages ind\u00e9sirables sont renvoy\u00e9s depuis des adresses non Tor, il faut alors rendre la confirmation facultative ou la d\u00e9sactiver. Cette d\u00e9cision doit \u00eatre prise en amont, et non apr\u00e8s un incident.<\/p>\n\n\n\n L'\u00e9tape 4 de l'enqu\u00eate m\u00e9rite une section \u00e0 part enti\u00e8re, car il s'agit du pi\u00e8ge le plus courant lorsqu'un site auto-h\u00e9berg\u00e9 est victime d'envoi massif d'emails ou d'autres abus. Une requ\u00eate adress\u00e9e \u00e0 SynoPower Club transite par Cloudflare, puis par le proxy inverse de Synology DSM, avant d'atteindre WordPress dans son conteneur. Sans configuration suppl\u00e9mentaire, WordPress voit l'adresse du dernier saut\u00a0; ainsi, chaque formulaire, commentaire et commande est enregistr\u00e9 avec l'adresse IP de Cloudflare ou du proxy.<\/p>\n\n\n\n Cloudflare transmet l'adresse d'origine dans l'en-t\u00eate CF-Connecting-IP, et Apache peut \u00eatre configur\u00e9 pour ne faire confiance \u00e0 cet en-t\u00eate que lorsque la requ\u00eate provient de Cloudflare ou de votre propre proxy. Nous avions corrig\u00e9 cette faille quelques jours auparavant pour la d\u00e9tection des fraudes aux commandes, et cela a port\u00e9 ses fruits imm\u00e9diatement\u00a0: les formulaires affichaient les v\u00e9ritables adresses de sortie Tor, ce qui a permis de d\u00e9celer le probl\u00e8me en quelques minutes.<\/p>\n\n\n\n Si votre serveur est un NAS Synology prot\u00e9g\u00e9 par Cloudflare, v\u00e9rifiez ce point avant utilisation. Effectuez un test en envoyant une requ\u00eate depuis votre t\u00e9l\u00e9phone via les donn\u00e9es mobiles et assurez-vous que l'adresse IP enregistr\u00e9e correspond bien \u00e0 celle affich\u00e9e par votre t\u00e9l\u00e9phone.<\/p>\n\n\n\n Un magasin qui vend des licences Synology devrait pouvoir les ex\u00e9cuter, et le n\u00f4tre le fait, dans son int\u00e9gralit\u00e9. Virtual Machine Manager<\/a> Il h\u00e9berge l'instance Virtual DSM qui contient le site, Container Manager ex\u00e9cute WordPress et sa base de donn\u00e9es, et Synology MailPlus<\/a> envoie toutes les confirmations de commande, les livraisons de licences et les r\u00e9ponses aux formulaires.<\/p>\n\n\n\nQu\u2019est-ce que le bombardement d\u2019emails et pourquoi les formulaires de contact sont-ils cibl\u00e9s\u00a0?<\/h2>\n\n\n\n
Comment le bombardement d'emails est apparu sur notre boutique h\u00e9berg\u00e9e par Synology<\/h2>\n\n\n\n
\n
![\"Envoi](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-form-entries.webp\")
Pourquoi un tourniquet et un pot de miel n'ont pas emp\u00each\u00e9 cela<\/h2>\n\n\n\n
D\u00e9tection des attaques par e-mail en masse sur un NAS Synology en 4 \u00e9tapes<\/h2>\n\n\n\n
Lisez les entr\u00e9es du formulaire<\/h3>\n
V\u00e9rifiez qui a re\u00e7u du courrier<\/h3>\n
Comparer les adresses IP avec la liste Tor<\/h3>\n
V\u00e9rifiez que les adresses IP correspondent \u00e0 de v\u00e9ritables visiteurs.<\/h3>\n
![\"Journal](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-mail-log.webp\")
Ce que nous avons chang\u00e9 apr\u00e8s l'enqu\u00eate<\/h2>\n\n\n\n
Faut-il conserver la r\u00e9ponse automatique apr\u00e8s un envoi massif d'e-mails\u00a0?<\/h2>\n\n\n\n
R\u00e9cup\u00e9ration de l'adresse IP r\u00e9elle du visiteur derri\u00e8re Cloudflare et le proxy inverse Synology<\/h2>\n\n\n\n
Pourquoi utilisons-nous SynoPower Club sur Synology ?<\/h2>\n\n\n\n
![\"Gestionnaire](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/synopower-club-on-virtual-dsm.webp\")