Filtering door Exchange Online Protection (EOP) uitgelegd: SCL-, BCL- en PCL-scores

Exchange Online Protection (EOP) is de filterlaag die voor elke Microsoft 365-mailbox staat. Hij draait vóór de Defender for Office 365-policies op tenantniveau en beslist in de eerste honderd milliseconden drie dingen:

1. Moet het bericht meteen worden geweigerd?
2. Als het wordt geaccepteerd, welke spamscore krijgt het dan?
3. Als het bulkmail is, hoe streng moet het dan worden gefilterd?

De antwoorden staan in de headers van het bericht. Als je ze kunt lezen, kun je de deliverability bij Microsoft 365 debuggen zonder te gokken.

Spam Confidence Level (SCL)

X-MS-Exchange-Organization-SCL: 1

SCL	Betekenis	Standaardactie
-1	Op de toegestane lijst / veilige afzender	Filtering overslaan
0	Geen spam	Inbox
1	Geen spam	Inbox
5	Spam	Map Ongewenste e-mail
6	Spam	Map Ongewenste e-mail
7	Spam met hoge zekerheid	Ongewenste e-mail of quarantaine
8	Spam met hoge zekerheid	Ongewenste e-mail of quarantaine
9	Spam met hoge zekerheid	Quarantaine of weigeren

EOP geeft zelden een SCL van 2, 3 of 4, dus de schaal kent in de praktijk maar een paar stappen. Een SCL van 5 of hoger betekende van oudsher spam, maar Microsoft zegt nu dat de SCL-waarde niet langer het oordeel of de actie bepaalt bij mailboxen in de cloud. De waarden CAT en SFV in X-Forefront-Antispam-Report vertellen je wat er echt is gebeurd.

Bulk Complaint Level (BCL)

X-Microsoft-Antispam: BCL:4

BCL beoordeelt de klachtengeschiedenis van de verzender, niet de inhoud van het bericht. Het is een schaal van 0 tot 9, waarbij 0 = niet van een bulkverzender en 8 of 9 = een bulkverzender die veel klachten krijgt.

Tenantbeheerders stellen een BCL-drempel in (standaard 7). Berichten boven die drempel gaan naar Ongewenste e-mail, ook als de SCL laag is.

Komt je transactionele mail goed aan maar belandt je marketingmail bij dezelfde tenant in Ongewenste e-mail, dan is BCL meestal de oorzaak: je IP-adres of domein heeft een klachtengeschiedenis die EOP meeweegt.

Phishing Confidence Level (PCL)

PCL (0 tot 8) verschijnt alleen bij berichten die EOP verdenkt van imitatie of phishing. Een PCL van 4 of hoger zet het bericht meestal in quarantaine, ongeacht de SCL. Je ziet dit als je mail verstuurt met merknamen, inlogverzoeken of tekst over wachtwoorden.

De volledige antispam-header lezen

De compacte header om te bestuderen is X-Microsoft-Antispam:

X-Microsoft-Antispam: BCL:4;ARA:13230040|2092899012|26050799012;

De ARA-waarde is intern en kun je meestal negeren. De velden die ertoe doen:

• BCL: zie hierboven.
• Elke SFV: (Spam Filter Verdict, te vinden in de bijbehorende header X-Forefront-Antispam-Report), met deze veelvoorkomende waarden:
  • SFV:NSPM: geen spam
  • SFV:SPM: spam
  • SFV:BLK: afzender geblokkeerd
  • SFV:SKA: afzender staat op een toegestane lijst in een antispampolicy (overgeslagen)
  • SFV:SKB: afzender kwam overeen met een lijst van geblokkeerde afzenders of domeinen in een antispampolicy
  • SRV:BULK: bulkbericht op of boven de BCL-drempel

Zie je SRV:BULK en klagen ontvangers dat je mail in Ongewenste e-mail belandt, verlaag dan je verzendvolume of verbeter de engagement op de betreffende lijsten.

Authentication-Results

EOP schrijft een standaard Authentication-Results-header. Let op:

Authentication-Results: spf=pass smtp.mailfrom=yourdomain.com;
  dkim=pass header.d=yourdomain.com; dmarc=pass action=none header.from=yourdomain.com;
  compauth=pass reason=100

De belangrijkste velden:

• spf, dkim, dmarc: moeten allemaal pass zijn voor het grootste voordeel voor je reputatie.
• compauth: het samengestelde authenticatieoordeel van Microsoft. Pass / fail / softpass / none.
• reason: code van drie cijfers die compauth verklaart. 100 is het beste (volledige pass). Codes 1xx zijn passes, 2xx zijn soft passes, en 0xx en 6xx zijn fails.

Een veelvoorkomende reputatiekiller: SPF slaagt voor het bouncedomein van de ESP, maar niets komt overeen met je From-domein en geen enkele DKIM-handtekening gebruikt het → compauth faalt of geeft een soft pass in plaats van een pass. Onderteken DKIM met je From-domein en compauth geeft weer een pass.

Bekijk elk bericht met onze e-mailheader-analyzer.

Wat de SCL beïnvloedt

EOP maakt geen gewichten bekend, maar in de praktijk overheersen deze factoren:

• Reputatie van het verzendende IP-adres (intern bij Microsoft).
• Het compauth-oordeel (pass/fail).
• Of er een DMARC-policy wordt afgedwongen.
• Reputatie van de URL's in de berichttekst.
• Patronen in de content (verhouding afbeeldingen, linkdichtheid, verdachte trefwoorden).
• Historisch klachtenpercentage van het domein.

Wat de BCL beïnvloedt

• Klachtenpercentage via JMRP (aan de kant van Outlook.com, teruggekoppeld naar EOP).
• Meldingen via de invoegtoepassing "Report message" van Microsoft 365.
• Engagement op mailboxniveau (massaal verwijderen zonder te openen).

Zo verlaag je je SCL/BCL

1. Slaag voor DMARC-alignment, niet alleen voor SPF of DKIM afzonderlijk.
2. Houd je klachtenpercentage onder 0,1%. Gebruik JMRP om klagers gericht aan te pakken.
3. Let op de reputatie van je URL's. Link niet naar gratis hostingdomeinen of net geregistreerde redirects.
4. Haal inactieve gebruikers uit je bulkverzendingen.
5. Meng transactionele mail en marketingmail niet op hetzelfde subdomein.

Veelgestelde vragen

Waar zie ik de SCL/BCL van een bericht dat ik heb verstuurd? Stuur een testbericht naar een Microsoft 365-mailbox die je zelf beheert. Bekijk de volledige bron en zoek naar de headers X-Microsoft-Antispam en X-MS-Exchange-Organization-SCL.

Kan ik de SCL beïnvloeden met alleen aanpassingen in de content? Een beetje. Reputatie en authenticatie wegen het zwaarst. Aanpassingen in de content (onderwerpregels, linkdichtheid) helpen als al het andere al in orde is.

Kijkt EOP naar afbeeldingen? Het scant afbeeldingen op bekende phishingbeelden, maar leest geen tekst uit afbeeldingen (geen OCR). E-mail met veel afbeeldingen schaadt je vooral via het contentsignaal "geen platte tekst, veel afbeeldingen".

Gerelateerd

• Waarom e-mails in Ongewenste e-mail van Outlook belanden
• SNDS en JMRP instellen

Bronnen

• Anti-spam message headers (Microsoft Learn), de velden van X-Forefront-Antispam-Report en X-Microsoft-Antispam, elke SFV-waarde en de reason-codes van compauth.
• Spam confidence level (SCL) in Microsoft 365 (Microsoft Learn), wat de SCL-waarden betekenen en waarom ze bij mailboxen in de cloud niet langer de actie bepalen.
• Bulk complaint level (BCL) in cloud organizations (Microsoft Learn), de BCL-schaal en de standaarddrempels: 7 in de standaardpolicy, 6 bij Standard, 5 bij Strict.
• How email authentication works in Microsoft 365 (Microsoft Learn), hoe Microsoft 365 SPF, DKIM, DMARC en impliciete signalen combineert tot samengestelde authenticatie.
• RFC 8601: Message Header Field for Indicating Message Authentication Status, de standaard Authentication-Results-header die EOP schrijft.