[Résolu] Site Hacké sous Drupal 7.31 et cela continue en 7.32: mail par script

Bonjour,

Site hacké samedi avec envoie de plus de 150 mails via script. Heureusement OVH a bloqué. Il s'agissait de mail en anglais avec pour sujet : delivery n°........ ou error delivery n°.............

J'ai mis dès que j'ai reçu le mail de OVH la mise à jour du core de 7.31 à 7.32 que je n'avais pas pris le temps de mettre depuis 10 jours.

J'ai alors renforcé la sécurité par plusieurs points :
- verification des logs, et si recherche de lien inexistant sur mon site, interrogation de l'ip.
J'utilise IP range bans et j'ai bloqué les plages d'ip provenant de pays suspects (retrouvées via ipnetinfo): ukraine, russie, géorgie, létonie, lituanie.... et même Allemagne. Mon site est en français, un site de courtier local en prêt immobilier donc les étrangers ne sont pas mes clients ni des prospects, je laisse par contre les robots moteurs de recherche Googlebot, MSN, Amazon.... ;-)
- mise en place d'une sauvegarde automatique BDD + FTP via backup & migrate en complément de la sauvegarde auto fournie par OVH
- J'ai vérifié les droits, notamment au niveau des champs textes. Ainsi seul l'administrateur peut faire du HTML, les autres seulement du texte !

Aujourd'hui, cela recommence.

Je cherche une faille, mais je ne vois pas bien comment. En tous les cas, bien que je ne permettais pas de commentaire sur mes articles, et que je n'ai pas de forum, les modules commentaires et forum étaient activés. Je viens de les désactiver. Idem pour le module contact, puisque j'utilise webform...

Que faire de plus ? Parce que j'ai évidemment besoin de la fonction mail par script... notamment pour les webform et les comptes utilisateurs.

Je ne veux pas demander à OVH de débloquer l'envoie de mail via script si cela peut encore être hacké.

Je précise que le module Captcha fonctionne bien depuis plusieurs mois sur les webform et les pages comptes utilisateurs.

Merci d'avance de votre aide.