Le filtrage Exchange Online Protection (EOP) expliqué : scores SCL, BCL et PCL

Exchange Online Protection (EOP) est la couche de filtrage placée devant chaque boîte mail Microsoft 365. Elle s'exécute avant toute politique Defender for Office 365 propre au tenant, et décide de trois choses dans les cent premières millisecondes :

1. Le message doit-il être refusé d'emblée ?
2. S'il est accepté, quel score de spam doit-il porter ?
3. S'il s'agit d'un envoi en masse, avec quelle sévérité faut-il le filtrer ?

Les réponses se trouvent dans les en-têtes du message. Si vous savez les lire, vous pouvez dépanner la délivrabilité Microsoft 365 sans deviner.

Spam Confidence Level (SCL)

X-MS-Exchange-Organization-SCL: 1

SCL	Signification	Action par défaut
-1	Liste d'autorisation / expéditeur approuvé	Filtrage ignoré
0	Pas du spam	Boîte de réception
1	Pas du spam	Boîte de réception
5	Spam	Courrier indésirable
6	Spam	Courrier indésirable
7	Spam à haut niveau de confiance	Courrier indésirable ou quarantaine
8	Spam à haut niveau de confiance	Courrier indésirable ou quarantaine
9	Spam à haut niveau de confiance	Quarantaine ou rejet

EOP produit rarement un SCL de 2, 3 ou 4 : l'échelle est donc en pratique discontinue. Un SCL de 5 ou plus a longtemps voulu dire spam, mais Microsoft indique désormais que la valeur SCL ne décide plus du verdict ni de l'action dans les boîtes mail cloud ; ce sont les valeurs CAT et SFV de X-Forefront-Antispam-Report qui vous disent ce qui s'est réellement passé.

Bulk Complaint Level (BCL)

X-Microsoft-Antispam: BCL:4

Le BCL note l'historique de plaintes de l'expéditeur, pas le contenu du message. C'est une échelle de 0 à 9 où 0 = pas un expéditeur en masse et 8 ou 9 = un expéditeur en masse qui suscite beaucoup de plaintes.

Les administrateurs du tenant fixent un seuil BCL (7 par défaut). Les messages au-dessus du seuil partent en courrier indésirable même si leur SCL est faible.

Si vos e-mails transactionnels passent bien mais que vos e-mails marketing finissent en courrier indésirable chez le même tenant, le BCL en est généralement la raison : votre IP ou votre domaine a un historique de plaintes dont EOP tient compte.

Phishing Confidence Level (PCL)

Le PCL (de 0 à 8) n'apparaît que sur les messages qu'EOP soupçonne d'usurpation d'identité ou de phishing. Un PCL ≥ 4 envoie en général le message en quarantaine, quel que soit le SCL. Vous le verrez si vous envoyez des e-mails qui contiennent des noms de marques, des invitations à se connecter ou des textes liés aux mots de passe.

Lire l'en-tête antispam complet

L'en-tête compact à étudier est X-Microsoft-Antispam :

X-Microsoft-Antispam: BCL:4;ARA:13230040|2092899012|26050799012;

La valeur ARA est interne et vous pouvez en général l'ignorer. Les champs qui comptent :

• BCL : voir plus haut.
• Toute valeur SFV: (Spam Filter Verdict, écrite dans l'en-tête associé X-Forefront-Antispam-Report), avec ces valeurs courantes :
  • SFV:NSPM : pas du spam
  • SFV:SPM : spam
  • SFV:BLK : expéditeur bloqué
  • SFV:SKA : expéditeur sur une liste d'autorisation d'une politique anti-spam (filtrage ignoré)
  • SFV:SKB : expéditeur trouvé dans une liste d'expéditeurs ou de domaines bloqués d'une politique anti-spam
  • SRV:BULK : message en masse au niveau du seuil BCL ou au-dessus

Si vous voyez SRV:BULK et que des destinataires se plaignent de recevoir vos e-mails en courrier indésirable, réduisez votre volume d'envoi ou améliorez l'engagement sur les listes concernées.

Authentication-Results

EOP écrit un en-tête Authentication-Results standard. Cherchez :

Authentication-Results: spf=pass smtp.mailfrom=yourdomain.com;
  dkim=pass header.d=yourdomain.com; dmarc=pass action=none header.from=yourdomain.com;
  compauth=pass reason=100

Les champs clés :

• spf, dkim, dmarc : doivent tous être à pass pour tirer le meilleur parti de la réputation.
• compauth : le verdict d'authentification composite de Microsoft. Pass / fail / softpass / none.
• reason : code à trois chiffres qui explique le compauth. 100 est le meilleur (réussite complète). Les codes 1xx sont des réussites, les 2xx des réussites partielles, et les 0xx et 6xx des échecs.

Un tueur de réputation fréquent : SPF passe pour le domaine de bounce de l'ESP, mais rien n'est aligné sur votre domaine From et aucune signature DKIM ne l'utilise → compauth échoue ou passe en softpass au lieu de passer. Signez DKIM avec votre domaine From et compauth repasse à pass.

Inspectez n'importe quel message avec notre analyseur d'en-têtes e-mail.

Ce qui influence le SCL

EOP ne publie pas ses pondérations, mais en pratique, ces éléments dominent :

• La réputation de l'IP d'envoi (interne à Microsoft).
• Le verdict compauth (pass/fail).
• Une politique DMARC appliquée ou non.
• La réputation des URL dans le corps du message.
• Les schémas de contenu (ratio d'images, densité de liens, mots-clés suspects).
• L'historique du taux de plaintes du domaine.

Ce qui influence le BCL

• Le taux de plaintes JMRP (côté Outlook.com, renvoyé à EOP).
• Les signalements via le complément « Signaler le message » de Microsoft 365.
• L'engagement au niveau des boîtes mail (suppressions en masse sans ouverture).

Comment faire baisser votre SCL/BCL

1. Réussissez l'alignement DMARC, pas seulement SPF ou DKIM séparément.
2. Gardez le taux de plaintes sous 0,1 %. Utilisez JMRP pour repérer et traiter les plaignants.
3. Surveillez la réputation des URL. Ne mettez pas de liens vers des domaines d'hébergement gratuit ou des redirections fraîchement enregistrées.
4. Retirez les utilisateurs désengagés des envois en masse.
5. Ne mélangez pas transactionnel et marketing sur le même sous-domaine.

FAQ

Où voir le SCL/BCL d'un message que j'ai envoyé ? Envoyez un message de test vers une boîte mail Microsoft 365 que vous contrôlez. Affichez la source complète et cherchez les en-têtes X-Microsoft-Antispam et X-MS-Exchange-Organization-SCL.

Peut-on influencer le SCL en retouchant seulement le contenu ? À la marge. La réputation et l'authentification dominent. Les retouches de contenu (objets, densité de liens) aident si tout le reste est déjà propre.

EOP regarde-t-il les images ? Il analyse les images pour y repérer des visuels de phishing connus, mais ne fait pas d'OCR du texte. Un e-mail chargé en images vous pénalise surtout via le signal de contenu « pas de texte brut, ratio d'images élevé ».

À lire aussi

• Pourquoi les e-mails arrivent dans le courrier indésirable d'Outlook
• Guide de configuration SNDS et JMRP

Sources

• Anti-spam message headers (Microsoft Learn) : les champs X-Forefront-Antispam-Report et X-Microsoft-Antispam, toutes les valeurs SFV et les codes reason de compauth.
• Spam confidence level (SCL) in Microsoft 365 (Microsoft Learn) : ce que veulent dire les valeurs SCL et pourquoi elles ne fixent plus l'action dans les boîtes mail cloud.
• Bulk complaint level (BCL) in cloud organizations (Microsoft Learn) : l'échelle BCL et les seuils par défaut : 7 dans la politique par défaut, 6 en Standard, 5 en Strict.
• How email authentication works in Microsoft 365 (Microsoft Learn) : comment Microsoft 365 combine SPF, DKIM, DMARC et des signaux implicites en une authentification composite.
• RFC 8601: Message Header Field for Indicating Message Authentication Status : l'en-tête standard Authentication-Results qu'écrit EOP.