Suivi des messages dans le Centre d’administration Exchange dans Exchange Online

Le suivi des messages dans le Centre d’administration Exchange (CAE) suit les messages électroniques lorsqu’ils transitent par votre organization Microsoft 365. Vous pouvez déterminer si le service a reçu, rejeté, différé ou remis un message. Le suivi des messages affiche également les actions effectuées sur le message avant qu’il n’atteigne son status final. Vous pouvez utiliser les informations du suivi des messages pour répondre efficacement aux questions des utilisateurs sur ce qui est arrivé aux messages, pour résoudre les problèmes de flux de courrier et pour valider les modifications de stratégie.

Ce qu'il faut savoir avant de commencer

• Vous devez disposer d’autorisations pour pouvoir effectuer les procédures décrites dans cet article. Vous avez le choix parmi les options suivantes :

  • Autorisations Exchange Online : appartenance au groupe de rôles Gestion de l’organisation.

  • Autorisations Microsoft Entra : L’appartenance aux rôles d’administrateur^* général ou d’administrateur Exchange donne aux utilisateurs les autorisations requises et les autorisations pour d’autres fonctionnalités de Microsoft 365.

    Importante

    ^* Microsoft vous recommande d’utiliser les rôles disposant du moins d’autorisations. L’utilisation de comptes à autorisations réduites permet d’améliorer la sécurité de votre organisation. Le rôle d’administrateur général dispose de privilèges élevés. Il doit être limité aux scénarios d’urgence lorsque vous ne pouvez pas utiliser un rôle existant.

• Le nombre maximal de messages affichés dans les résultats dépend du type de rapport que vous avez sélectionné. Pour plus d’informations, consultez les résultats du suivi des messages. L’applet de commande Get-HistoricalSearch dans Exchange Online PowerShell renvoie tous les messages dans les résultats.

Ouvrir un suivi des messages

Dans le CAE, dans https://admin.exchange.microsoft.com, accédez à Flux de messagerie>Suivi des messages. Ou, pour accéder directement à la page Suivi des messages , utilisez https://admin.exchange.microsoft.com/#/messagetrace.

Page de suivi des messages

Sur la page Suivi des messages , vous pouvez démarrer un nouveau suivi par défaut en sélectionnant Démarrer un suivi.

Dans le menu volant Nouveau suivi des messages qui s’ouvre, les sélections par défaut recherchent tous les messages de tous les expéditeurs et destinataires des deux derniers jours. Vous pouvez également utiliser l’une des requêtes stockées à partir des onglets disponibles (en l’état ou comme point de départ pour vos propres requêtes) :

• Requêtes par défaut : requêtes intégrées fournies par Microsoft 365.
• Requêtes personnalisées : requêtes enregistrées par les administrateurs de votre organisation pour une utilisation ultérieure.
• Requêtes enregistrées automatiquement : les 10 dernières requêtes exécutées. Cette liste vous permet de reprendre facilement là où vous vous êtes arrêté.

L’onglet Rapports téléchargeables affiche les demandes de rapport téléchargeables et les rapports eux-mêmes lorsqu’ils sont disponibles au téléchargement.

Options pour un nouveau suivi des messages

Les sections suivantes décrivent les paramètres disponibles dans le menu volant Nouvelle trace des messages qui s’ouvre lorsque vous sélectionnez Démarrer une trace ou Ouvrir une trace existante.

Expéditeurs et destinataires

La valeur par défaut pour Expéditeurs et destinataires est Tous, mais vous pouvez entrer des valeurs spécifiques :

• Expéditeurs : cliquez dans la zone et commencez à taper pour entrer ou sélectionner un ou plusieurs expéditeurs de votre organisation.
• Destinataires : cliquez dans la zone et commencez à taper pour entrer ou sélectionner un ou plusieurs destinataires dans votre organisation.

Vous pouvez taper les adresses e-mail d’expéditeurs et de destinataires externes. Les caractères génériques sont pris en charge (par exemple), *@contoso.commais vous ne pouvez pas utiliser plusieurs caractères génériques dans une valeur.

Vous pouvez coller plusieurs listes d’expéditeurs ou de destinataires séparées par des points-virgules (;), des espaces (\s), des retours chariot (\r) ou de nouvelles lignes (\n).

Intervalle de temps

Dans la section Intervalle de temps , la valeur par défaut est 2 jours, mais vous pouvez spécifier des plages de dates/heures allant jusqu’à 90 jours. Lorsque vous utilisez des plages de dates/heures, tenez compte des problèmes suivants :

• Par défaut, vous sélectionnez la plage horaire en mode Curseur à l’aide d’une chronologie.

  

  L’enregistrement d’une requête dans le mode Curseur enregistre l’intervalle de temps relatif (par exemple, deux jours à compter d’aujourd’hui).

• Vous pouvez basculer vers l’affichage par plage horaire personnalisée pour spécifier les valeurs suivantes :

  • Fuseau horaire : s’applique aux entrées et aux résultats de votre requête.
  • Date de début : date et heure.
  • Date de fin : date et heure.

  

  L’enregistrement d’une requête dans l’affichage Plage horaire personnalisée enregistre la plage de date/heure absolue (par exemple, 2023-05-06 13:00 to 2023-05-08 18:00).

Pendant 10 jours ou moins, les résultats sont disponibles instantanément sous forme de rapport de synthèse. Vous pouvez également interroger jusqu’à 90 jours de données historiques pour les requêtes de rapport de synthèse en quasi temps réel. Toutefois, vous ne pouvez interroger que 10 jours de données à la fois.

Si vous spécifiez une plage de dates/heures légèrement supérieure à 10 jours :

• Les résultats sont disponibles uniquement sous forme de fichier CSV téléchargeable (rapport de synthèse amélioré ou rapport étendu).
• Les résultats sont préparés à partir des données archivées du suivi des messages. Plusieurs heures peuvent s’écouler avant que le rapport soit disponible au téléchargement. Selon le nombre d’autres administrateurs qui ont également envoyé des demandes de rapport à peu près au même moment, vous pouvez également constater un délai avant le début du traitement d’une demande en file d’attente.

Options de recherche détaillées

Dans la section Options de recherche détaillées , les options suivantes sont disponibles :

• Filtre d’objets : Le filtre d’objet pour les requêtes de suivi des messages offre les options suivantes : commence par, se termine par et contient. Ce filtre prend également en charge les caractères spéciaux.

  

• Filtre de status de livraison : Le filtre de status de livraison prend en charge les recherches de status tels que « Mis en quarantaine », « Filtré comme spam », « Obtenir le status », etc.

  

Les valeurs suivantes sont disponibles :

• Tout : il s’agit de la valeur par défaut.
• Remis : le message a été remis avec succès à la destination prévue.
• Développé : un destinataire de groupe de distribution a été développé avant d’être remis aux membres individuels du groupe.
• Échec : le message n’a pas été remis.
• En attente^* : tentative de remise du message en cours ou nouvelle tentative.
• Rappelé : Le message a été rappelé. Pour plus d’informations, consultez Utiliser le rappel de message basé sur le cloud.
• En quarantaine^* : le message a été mis en quarantaine (en tant que courrier indésirable, courrier en nombre ou hameçonnage). Pour plus d’informations, voir Messages électroniques mis en quarantaine.
• Filtré comme spam : le message a été identifié comme spam ^*et a été rejeté ou bloqué (non mis en quarantaine).
• Getting status : Microsoft 365 a récemment reçu le message, mais aucune autre donnée de status n’est encore disponible. Vous pouvez effectuer une nouvelle case activée quelques minutes après.

^* Cette valeur est disponible uniquement pour les recherches de moins de 10 jours. Si vous devez interroger des données de plus de 10 jours, utilisez l’applet de commande Start-HistoricalSearch dans Exchange Online PowerShell.

• ID de message : ID de message Internet (également connu sous le nom d’ID client) dans le champ d’en-tête Message-ID de l’en-tête du message. Les utilisateurs peuvent vous donner cette valeur pour examiner des messages spécifiques.

  Cette valeur est constante pendant toute la durée de vie du message. Pour les messages créés dans Microsoft 365 ou Exchange, la valeur ID de message utilise le format <GUID@ServerFQDN>, crochets angulaires compris. Par exemple : <d9683b4c-127b-413a-ae2e-fa7dfb32c69d@DM3NAM06BG401.Eop-nam06.prod.protection.outlook.com>. D’autres systèmes de messagerie peuvent utiliser une syntaxe ou des valeurs différentes. Cette valeur est censée être unique, mais tous les systèmes de messagerie ne respectent pas strictement cette exigence. Une valeur arbitraire est attribuée si le champ d’en-tête ID-message : n’existe pas ou est vide pour les messages entrants provenant de sources externes.

  Lorsque vous utilisez l’ID de message pour filtrer les résultats, veillez à inclure la chaîne complète, y compris les crochets en angle.

• ID de message réseau : L’ID de message réseau est une valeur d’ID de message unique qui prévaut sur les copies du message créées en raison de la bifurcation et sur le processus de transport des messages. Il s’agit d’une entité dynamique dans laquelle sa valeur diffère même pour une copie de l’instance spécifique du message. Par conséquent, chaque version copiée de l’instance a une valeur d’ID de message réseau différente.

  Les différences entre l’ID de message réseau et l’ID de message sont résumées dans le tableau suivant :

  ID de message réseau	Message ID
  ID de l’instance spécifique d’un e-mail	ID de l’e-mail
  Unique et persistant dans les copies du message qui peuvent être créées en raison de la bifurcation du message	Constante pendant la durée de vie du message

  Pour plus d’informations sur l’ID de message réseau, consultez les informations suivantes :

  • Exchange Server : journaux de suivi des messages

  • Exchange Online : rapports améliorés de suivi des messages

  • Outlook : en-têtes de message

  Pour suivre la valeur d’ID de message réseau et l’utiliser pour suivre des messages spécifiques dans Exchange Online, utilisez l’un des en-têtes de message suivants :

  • X-MS-Exchange-Organization-Network-Message-Id

  • X-MS-Office365-Filtering-Correlation-Id

  • X-MS-Exchange-CrossTenant-Network-Message-Id

  Vous pouvez utiliser la valeur d’ID de message réseau de ces en-têtes pour récupérer davantage de messages spécifiques. Par exemple :

  • messages envoyés par un expéditeur spécifique.
  • Messages adressés à un destinataire spécifique.
  • Message envoyés au cours d’une période spécifiée.

  Vous pouvez également utiliser l’applet de commande Get-MessageTraceV2 dans Exchange Online PowerShell pour suivre la valeur d’ID de message réseau.

  L’exemple suivant utilise la valeur ID de message réseau pour rechercher les messages qui ont été envoyés john@contoso.com entre le 13 juin 2024 et le 15 juin 2024 :

  • Le paramètre MessageTraceID utilise la valeur d’ID de message réseau , qui dans cet exemple est 2bbad36aa4674c7ba82f4b307fff549.
  • Les résultats de la commande Get-MessageTraceV2 sont redirigés vers l’applet de commande Get-MessageTraceDetailV2 . Les résultats vous permettent d’identifier :
    • Valeur ID de message réseau .
    • Les messages spécifiques que cette valeur d’ID de message réseau permet de récupérer.

  Get-MessageTraceV2 -MessageTraceId 2bbad36aa4674c7ba82f4b307fff549f -SenderAddress john@contoso.com -StartDate 06/13/2025 -EndDate 06/15/2025 | Get-MessageTraceDetailV2
  

• Direction : Sélectionnez l’une des valeurs suivantes :

  • Tout : il s’agit de la valeur par défaut.
  • Entrant : messages envoyés aux destinataires de votre organization.
  • Sortant : messages envoyés par les utilisateurs de votre organization.

• Adresse IP du client d’origine : adresse IP de l’ordinateur ou de l’appareil client de l’expéditeur de l’e-mail. Vous pouvez utiliser ce filtre pour examiner les ordinateurs piratés qui envoient de grandes quantités de courrier indésirable ou de programmes malveillants. Bien que les messages puissent sembler provenir de plusieurs expéditeurs, il est probable que le même ordinateur génère tous les messages.

  Remarque

  Les informations d’adresse IP du client ne sont disponibles que pendant 10 jours et uniquement dans le rapport de synthèse amélioré ou le rapport étendu (fichiers CSV téléchargeables).

Type de rapport

Les types de rapports disponibles sont les suivants :

• Rapport de synthèse : disponible si l’intervalle de temps est inférieur à 10 jours et ne nécessite aucune autre option de filtrage. Les résultats sont disponibles presque immédiatement après avoir sélectionné Rechercher. Le rapport renvoie jusqu’à 20 000 résultats.

  Sélectionnez Rechercher pour démarrer le suivi des messages. Vous accédez à la page Résultats de la recherche Suivi des messages , comme décrit dans la section Sortie du rapport de synthèse .

  Les 10 dernières requêtes de rapport de synthèse sont disponibles dans l’onglet Enregistrements automatiques de la page Suivi des messages .

• Rapport de synthèse amélioré : inclut les informations contenues dans le rapport de synthèse, ainsi que d’autres détails (par exemple, la direction et l’adresse IP du client d’origine). Disponible uniquement sous forme de fichier CSV téléchargeable. Le rapport renvoie jusqu’à 100 000 résultats.

• Rapport étendu : inclut les mêmes informations que le rapport de synthèse étendu, ainsi que des détails complets sur l’événement de routage et de message. Disponible uniquement sous forme de fichier CSV téléchargeable. Le rapport renvoie jusqu’à 1 000 résultats.

  Le rapport de synthèse amélioré et le rapport étendu nécessitent une ou plusieurs des options de filtrage suivantes, quel que soit l’intervalle de temps : expéditeurs, destinataires ou ID de message.

  Le rapport de synthèse amélioré et le rapport étendu sont préparés à partir des données archivées du suivi des messages. Plusieurs heures peuvent s’écouler avant que le rapport soit disponible au téléchargement. Selon le nombre d’autres administrateurs qui ont également envoyé des demandes de rapport à peu près au même moment, vous pouvez également constater un délai avant le début du traitement d’une demande en file d’attente.

  Bien que vous puissiez sélectionner le rapport de synthèse amélioré ou le rapport étendu pour n’importe quelle plage de dates/heures, les données archivées des dernières 24 heures ne sont généralement pas disponibles.

  La taille maximale d’un fichier CSV téléchargeable est de 800 Mo. Si un rapport téléchargeable dépasse 800 Mo, vous ne pouvez pas l’ouvrir dans Excel ou le Bloc-notes.

  Lorsque vous sélectionnez Suivant, vous accédez à un menu volant récapitulatif qui répertorie les options de filtrage sélectionnées, un titre unique (modifiable) pour le rapport et l’adresse e-mail pour recevoir la notification lorsque le suivi des messages est terminé (également modifiable, et doit se trouver dans l’un des domaines acceptés de votre organisation).

  Sélectionnez Préparer le rapport pour envoyer le suivi des messages. Vous pouvez voir le status du rapport sous l’onglet Rapports téléchargeables. Pour plus d’informations sur les données retournées, consultez les sections Rapports de synthèse améliorés et Rapports étendus.

  Remarque

  L’adresse IP du serveur de protection des e-mails sortants à partir du cloud est incluse dans l’enregistrement SPF de Microsoft 365, mais n’est pas affichée dans les types de rapport de suivi des messages. Cette condition est voulue, car les rapports de suivi des messages sont générés avant l’implication du serveur de protection des messages sortants.

Résultats du suivi des messages

Les différents types de rapports renvoient différents niveaux d’information. Les informations disponibles dans les différents rapports sont décrites dans les sections suivantes :

• Sortie du rapport de synthèse
• Rapports de synthèse améliorés
• Rapports étendus

Sortie du rapport de synthèse

Après avoir exécuté le suivi des messages, les résultats sont triés par date/heure décroissante (les événements les plus récents en premier).

Le rapport de synthèse contient les informations suivantes :

• Date : date et heure auxquelles le service a reçu le message, affiché en utilisant le fuseau horaire UTC configuré.
• Expéditeur : adresse e-mail de l’expéditeur (domained’alias@).
• Destinataire : adresse e-mail du destinataire. Si le message a plusieurs destinataires, chaque destinataire se trouve sur une ligne distincte. Si le destinataire est un groupe de distribution, un groupe de distribution dynamique ou un groupe de sécurité avec messagerie, le groupe est le premier destinataire, suivi de chaque membre du groupe sur une ligne distincte.
• Objet : les 256 premiers caractères du champ Objet du message : .
• État : Ces valeurs sont décrites dans la section Options de recherche détaillées .

Par défaut, les 250 premiers résultats sont chargés et facilement disponibles. Lorsque vous faites défiler vers le bas, il y a une légère pause pendant le chargement du prochain lot de résultats, jusqu’à un maximum de 10 000.

Vous pouvez trier les entrées en cliquant sur un en-tête de colonne disponible.

Sous l’onglet Email, vous pouvez réduire l’espacement vertical dans la liste en cliquant sur Changer d’affichage, puis en sélectionnant Compacter la liste.

Utilisez la zone Rechercher et une valeur correspondante pour rechercher des entrées spécifiques. Les caractères génériques ne sont pas pris en charge

Pour des filtres plus avancés que vous pouvez également enregistrer et utiliser plus tard, sélectionnez Filtrer , puis Nouveau filtre. Dans le menu volant de filtre personnalisé qui s’ouvre, entrez les informations suivantes :

• Nommez votre filtre : Entrez un nom unique.
• Ajoutez une clause de filtre en entrant les informations suivantes :
  • Champ : Sélectionnez parmi les valeurs suivantes :
    • Sender
    • Destinataire
    • Subject
    • État
  • Opérateur : La sélection commence par ou est.
  • Valeur : entrez la valeur que vous souhaitez rechercher.

Vous pouvez sélectionner Ajouter une nouvelle clause et répéter l’étape précédente autant de fois que nécessaire. Plusieurs clauses utilisent la logique AND (<Clause1> ET <Clause2>...).

Pour supprimer une clause de filtre, sélectionnez Supprimer la clause en regard de l’entrée.

Lorsque vous avez terminé dans le menu volant Filtre personnalisé , sélectionnez Enregistrer. Le nouveau filtre est automatiquement chargé et les résultats filtrés sont affichés sur la page des résultats de recherche du suivi des messages. Ce résultat est identique à la sélection de l’option Filtrer, puis à la sélection du filtre existant dans la section Filtres personnalisés de la liste.

Pour décharger un filtre existant et rétablir les informations par défaut sur la page Résultats de la recherche Suivi des messages , sélectionnez >Effacer tous les filtres.

Sélectionnez Modifier le suivi des messages pour modifier les critères de recherche.

Utilisez Exporter les résultats pour exporter les résultats affichés dans un fichier CSV.

Sélectionnez Actualiser pour actualiser les résultats.

Colonnes personnalisables :

Pour vos résultats de recherche, vous pouvez sélectionner dans les colonnes personnalisables.

Option de menu volant plus large :

Vous pouvez sélectionner l’option de menu volant pour un menu volant plus large pour le détail du suivi des messages.

Cohérence du fuseau horaire :

Le suivi des messages utilise par défaut le fuseau horaire défini dans les paramètres du compte Exchange de l’administrateur connecté.

Rechercher les enregistrements associés à ce message

Les enregistrements de messages associés sont des enregistrements qui partagent le même ID de message. N’oubliez pas que même un seul message envoyé entre deux personnes peut générer plusieurs enregistrements. Le nombre d’enregistrements augmente quand le message est affecté par le développement du groupe de distribution, le transfert, les règles de flux de courrier (également appelées règles de transport), etc.

Dans la zone vide en regard de la colonne Date, sélectionnez la zone de case activée ronde qui apparaît en regard de l’entrée. Les actions suivantes s’affichent sur la page de résultats du suivi des messages :

• Afficher dans l’Explorateur : ouvre le message dans l’Explorateur (Threat Explorer) dans les organisations avec Microsoft Defender pour Office 365 Plan 2. Pour plus d’informations, consultez À propos de la Explorer des menaces et des détections en temps réel dans Microsoft Defender pour Office 365.
• Aller à la chasse : recherche le message dans l’Explorateur de menaces dans les organisations avec Microsoft Defender pour Office 365 Plan 2. Pour plus d’informations, consultez Repérage de menaces dans Threat Explorer for Microsoft Defender for Office 365
• Rechercher des éléments associés : ouvre un nouveau suivi des messages pour rechercher les enregistrements associés au message.

Pour plus d’informations sur l’ID du message, consultez la section Options de recherche détaillées .

Détails du suivi des messages

Dans la sortie du rapport de synthèse, vous pouvez afficher les détails d’un message en cliquant n’importe où dans la ligne, à l’exception de la zone case activée ronde qui s’affiche en regard de la valeur Date.

Le menu volant des détails contient les informations suivantes qui ne sont pas présentes dans le rapport de synthèse :

• Événements de message : une fois cette section développée, vous pouvez voir des classifications qui vous permettent de classer les actions que le service effectue sur les messages. Certains des événements les plus intéressants que vous pourriez rencontrer sont :

  • Recevoir : le service a reçu le message.
  • Envoyer : le service a envoyé le message.
  • Échec : le message n’a pas pu être remis.
  • Remettre : le message a été remis à une boîte aux lettres.
  • Développer : le message a été envoyé à un groupe de distribution qui a été développé.
  • Transfert : les destinataires ont été déplacés vers un message bifurqué en raison de la conversion de contenu, des limites de destinataires de message ou des agents.
  • Différer : la remise du message a été reportée et pourrait être réessayée ultérieurement.
  • Résolu : le message a été redirigé vers une nouvelle adresse de destinataire sur la base d’une recherche Active Directory. Lorsque cet événement se produit, l’adresse du destinataire d’origine est indiquée sur une ligne distincte du suivi des messages, de même que le status de remise final du message.
  • Règle DLP : une règle DLP correspondait au message.
  • Étiquette de sensibilité : Un événement d’étiquetage côté serveur s’est produit. Par exemple, une étiquette a été automatiquement ajoutée à un message qui inclut une action à chiffrer ou a été ajoutée via le client web ou mobile. Le serveur Exchange termine et consigne l’action. Une étiquette ajoutée via Outlook n’est pas incluse dans le champ d’événement.

  Remarques : Un message sans incident et remis avec succès génère plusieurs entrées d’événement dans le suivi des messages. Pour obtenir une description d’autres événements, consultez Types d’événements dans le journal de suivi des messages dans Exchange local.

• Informations complémentaires : Une fois cette section développée, vous pouvez afficher les détails suivants :

  • ID du message : Cette valeur est décrite dans la section Options de recherche détaillées . Exemple de valeur d’ID de message .<d9683b4c-127b-413a-ae2e-fa7dfb32c69d@DM3NAM06BG401.Eop-nam06.prod.protection.outlook.com>
  • Taille du message : taille du message envoyé, y compris les pièces jointes/images/texte.
  • Depuis l’adresse IP : adresse IP de l’ordinateur qui a envoyé le message. Pour les messages sortants envoyés à partir d'Exchange Online, ce champ est vide.
  • To IP : adresse(s) IP(s) où le service a tenté de remettre le message. Si le message a plusieurs destinataires, ces adresses s’affichent. Pour les messages entrants envoyés à Exchange Online, ce champ est vide.

Rapports de synthèse améliorés

Un rapport de synthèse amélioré est disponible sous l’onglet Rapports téléchargeables de la page Suivi des messages :

• Les rapports disponibles au téléchargement ont la valeur ÉtatTerminé
• Les rapports qui ne sont pas disponibles au téléchargement ont les valeurs ÉtatNon démarré ou En cours.

Les informations suivantes sont disponibles dans le fichier CSV du rapport de synthèse amélioré :

• origin_timestamp^* : date et heure auxquelles le service a initialement reçu le message, affichées en utilisant le fuseau horaire UTC configuré.
• sender_address : adresse e-mail de l’expéditeur (alias@domain).
• Recipient_status : status de remise du message au destinataire. Si le message a été envoyé à plusieurs destinataires, il affiche tous les destinataires et le status correspondant à chacun, au format : <email address>##<status>. Voici quelques exemples d’états de destinataire :
  • ##Receive, Envoyer signifie que le message a été reçu par le service et a été envoyé à la destination prévue.
  • ##Receive, Échec signifie que le message a été reçu par le service, mais que la remise à la destination prévue a échoué.
  • ##Receive, Remettre signifie que le message a été reçu par le service et remis dans la boîte aux lettres du destinataire.
• message_subject : 256 premiers caractères du champ Objet du message.
• total_bytes : taille du message en octets, pièces jointes comprises.
• message_id : cette valeur est décrite dans la section Options de recherche détaillées . Exemple de valeur message_id est <d9683b4c-127b-413a-ae2e-fa7dfb32c69d@DM3NAM06BG401.Eop-nam06.prod.protection.outlook.com>.
• network_message_id : valeur d’ID de message unique qui persiste dans toutes les copies du message qui peuvent être créées en raison de la bifurcation ou de l’expansion du groupe de distribution. Exemple de network_message_id valeur est 1341ac7b13fb42ab4d4408cf7f55890f.
• original_client_ip : adresse IP du serveur SMTP de l’expéditeur.
• directionnalité : indique si le message a été envoyé entrant (vers votre organization) ou sortant (depuis votre organization).
• connector_id : nom du connecteur source ou de destination. Pour plus d’informations sur les connecteurs dans Exchange Online, voir Configurer le flux de messagerie à l’aide de connecteurs dans Office 365.
• delivery_priority^* : indique si le message a été envoyé avec une priorité élevée, faible ou normale .

^* Ces propriétés sont disponibles uniquement dans un rapport de synthèse amélioré.

Rapports étendus

Un rapport étendu est disponible sous l’onglet Rapports téléchargeables de la page Suivi des messages :

• Les rapports disponibles au téléchargement ont la valeur ÉtatTerminé
• Les rapports qui ne sont pas disponibles au téléchargement ont les valeurs ÉtatNon démarré ou En cours.

Les informations suivantes sont disponibles dans le fichier CSV du rapport amélioré :

• client_ip : adresse IP du serveur de messagerie ou du client de messagerie qui a envoyé le message.

• client_hostname : nom d’hôte ou nom de domaine complet du serveur de messagerie ou du client de messagerie qui a envoyé le message.

• server_ip : adresse IP du serveur source ou de destination.

• server_hostname : nom d’hôte ou nom de domaine complet du serveur de destination.

• source_context : informations supplémentaires associées au champ source . Par exemple :

  • Protocol Filter Agent
  • 3489061114359050000

• source : composant Exchange Online responsable de l’événement. Par exemple :

  • AGENT
  • MAILBOXRULE
  • SMTP

• event_id : Cette valeur correspond aux valeurs d’événement Message expliquées dans Rechercher des enregistrements associés pour ce message.

• internal_message_id : identificateur de message attribué par le serveur Exchange Online qui traite actuellement le message.

• recipient_address : adresses e-mail des destinataires du message. Les adresses de messagerie multiples sont séparées par des points-virgules (;).

• recipient_count : nombre total de destinataires dans le message.

• related_recipient_address : présentez avec EXPAND, REDIRECTet des RESOLVE événements pour afficher les adresses e-mail d’autres destinataires associés au message.

• référence : ce champ contient des informations supplémentaires pour des types d’événements spécifiques. Par exemple :

  • DSN : contient le lien du rapport, qui est la valeur message_id de la notification de remise status associée (également appelée DSN, rapport de non-remise, notification d’échec de remise ou message de rebond) si un DSN est généré suite à cet événement. S’il s’agit d’un message DSN, ce champ contient la valeur message_id du message d’origine pour lequel le DSN a été généré.

  • EXPAND : contient la valeur related_recipient_address des messages associés.

  • RECEVOIR : peut contenir la valeur message_id du message associé si le message a été généré par d’autres processus (par exemple, des règles de boîte de réception).

  • SEND : contient la valeur internal_message_id de n’importe quel message DSN.

  • TRANSFER : contient la valeur internal_message_id du message qui fait l’objet d’une duplication (par exemple, par conversion de contenu, limites de destinataires de message ou agents).

  • MAILBOXRULE : contient la valeur internal_message_id du message entrant qui a provoqué la génération du message sortant par la règle de boîte de réception.

    Pour les autres types d’événements, ce champ (internal_message_id) est vide.

• return_path : adresse de retour spécifiée par la commande MAIL FROM qui a envoyé le message. Bien que ce champ ne soit jamais vide, la valeur de l’adresse de l’expéditeur null peut être représentée par <>.

• message_info : Informations supplémentaires sur le message. Par exemple :

  • Date et heure d’origine du message UTC pour DELIVER et SEND événements. La date-heure d’origine est l’heure à laquelle le message est entré pour la première fois dans le Exchange Online organization. La date-heure UTC est représentée au format date-heure ISO 8601 : yyyy-MM-ddThh:mm:ss.fffZ, où yyyy = année, MM = mois, dd = jour, T indique le début de la composante de temps, hh = heure, mm = minute, ss = seconde, fff = fractions Zulude seconde, et Z signifie , ce qui est une autre façon de désigner l’UTC.
  • Erreurs d'authentification. Par exemple, vous pouvez voir la valeur 11a et le type d’authentification qui ont été utilisés lorsque l’erreur d’authentification s’est produite.

• tenant_id : valeur GUID qui représente le Exchange Online organization (par exemple, 39238e87-b5ab-4ef6-a559-af54c6b07b42).

• original_server_ip : adresse IP du serveur d’origine.

• custom_data : contient des données relatives à des types d’événements spécifiques. Pour plus d'informations, voir les ressources suivantes :

  • custom_data valeurs
  • Agent de filtrage du courrier indésirable
  • Agent de filtrage des programmes malveillants
  • Agent de règle de transport

custom_data valeurs

Le champ custom_data d’un AGENTINFO événement est utilisé par différents agents Exchange Online pour consigner les détails du traitement des messages. Certains des agents les plus intéressants sont décrits dans les sections suivantes.

• Agent de filtrage du courrier indésirable

• Agent de filtrage des programmes malveillants

• Agent de règle de transport

Agent de filtrage du courrier indésirable

Une valeur custom_data qui commence par S:SFA est celle de l’agent de filtre anti-spam. Pour plus d’informations, consultez les champs d’en-tête de message X-Forefront-Antispam-Report.

Voici un exemple de valeur de custom_data pour un message filtré contre le courrier indésirable :

S:SFA=SUM|SFV=SPM|IPV=CAL|SRV=BULK|SFS=470454002|SFS=349001|SCL=9|SCORE=-1|LIST=0|DI=SN|RD=ftmail.inc.com|H=ftmail.inc.com|CIP=98.129.140.74|SFP=1501|ASF=1|CTRY=US|CLTCTRY=|LANG=en|LAT=287|LAT=260|LAT=18;

Agent de filtrage des programmes malveillants

Une valeur custom_data qui commence par S:AMA est de l’agent de filtre des programmes malveillants. Les principaux détails sont décrits dans le tableau suivant :

Voici un exemple de valeur de custom_data pour un message contenant un programme malveillant :

S:AMA=SUM|v=1|action=b|error=|atch=1;S:AMA=EV|engine=M|v=1|sig=1.155.974.0|name=DOS/Test_File|file=filename;S:AMA=EV|engine=A|v=1|sig=201707282038|name=Test_File|file=filename

Agent de règle de transport

Une valeur custom_data qui commence parS:TRA provient de l’agent de règle de transport pour les règles de flux de courrier (également appelées règles de transport). Les principaux détails sont décrits dans le tableau suivant :

Voici un exemple de valeur de custom_data pour un message qui remplit les conditions d’une règle de flux de courrier :

S:TRA=ETR|ruleId=19a25eb2-3e43-4896-ad9e-47b6c359779d|st=7/17/2017 12:31:25 AM|action=ApplyHtmlDisclaimer|sev=1|mode=Enforce

Utilisation de l’applet de commande PowerShell Get-MessageTraceV2

Pour utiliser la nouvelle fonctionnalité de suivi des messages via la nouvelle applet Get-MessageTraceV2de commande PowerShell, vérifiez que vous utilisez la version 3.7.0 ou ultérieure du module PowerShell V3 d’Exchange Online.

Limites :

Afin de réduire le risque d’utilisation abusive des ressources d’Exchange Online, de garantir la disponibilité des services pour tous les utilisateurs et de fournir une expérience prévisible à nos clients, nous avons mis en place une limitation basée sur le débit basée sur le nombre de requêtes au cours d’une période. Pour un client, un maximum de 100 demandes de requête est accepté dans une fenêtre d’exécution de 5 minutes. La limitation n’est pas automatiquement appliquée si le taux de demandes est inférieur à 100 demandes au cours des 5 dernières minutes. Si votre client a configuré une automatisation configurée pour effectuer des requêtes plus fréquemment que le seuil de limitation, mettez à jour votre automatisation pour qu’elle s’ajuste en dessous de la limite de limitation.

Paramètre ResultSize : le nouveau suivi des messages prend en charge une valeur par défaut de 1000 résultats et un maximum de 5000 résultats (définis via le -ResultSize paramètre). Ce changement vise à garantir une utilisation équitable de nos ressources, car la pagination peut créer des problèmes de performance pour notre système.

Paramètre StartingRecipientAddress : l’utilisation principale de ce paramètre est d’aider à extraire les données suivantes tout en minimisant la duplication.

Étant donné que la pagination n’est plus prise en charge, vous pouvez utiliser le EndTime paramètre avec l’heure Received du dernier enregistrement des résultats de la requête et renseigner le StartingRecipientAddresss paramètre avec RecipientAddress le dernier enregistrement du résultat précédent. Pour plus d’informations, consultez l’exemple ci-dessous.

Pour l’exemple de données ci-dessus, vous pouvez extraire les 10 premiers enregistrements à l’aide de la requête suivante :

Get-MessageTraceV2 -StartDate '2024-11-01T00:00:00Z' -EndDate '2024-11-01T00:10:00Z' -ResultSize 10

Dans l’exemple de la V2 ci-dessous, nous utilisons l’image StartingRecipientAddress du dernier destinataire (r_1_010@contoso) des résultats précédents. Pour extraire les enregistrements suivants, utilisez la requête suivante.

Get-MessageTraceV2 -StartDate '2024-11-01T00:00:00Z' -EndDate '2024-11-01T00:10:00Z' -ResultSize 10 -StartingRecipientAddress r_1_010@contoso.com

Meilleures pratiques

Pour améliorer les performances des requêtes, spécifiez un nombre de filtres aussi grand nombre et aussi précis que possible. Nous recommandons vivement aux administrateurs de réduire l’écart entre StartDate et EndDate chaque fois que possible. Il est également conseillé de définir plus de paramètres, tels que SenderAddress, lorsque l’expéditeur est connu. À utiliser MessageTraceId le cas échéant pour les requêtes PowerShell. Cette opération est nécessaire lors de l’interrogation de données pour des messages envoyés à plus de 1 000 destinataires. Désormais, cela est également pris en charge dans le CAE.

Définissez la (également appelée dans NetworkMsgId le journal de suivi des messages) lors de la MessageTraceId consultation d’un message spécifique ou lorsqu’un message est envoyé à de nombreux destinataires (par exemple, plus de 1 000). Cela est nécessaire pour obtenir des résultats complets. Lorsqu’il est utilisé avec StartingRecipientAddress, vous pouvez récupérer l’ensemble complet des données en plusieurs tours. Pour plus d’informations sur StartingRecipientAddress, consultez la section FAQ.

Foire aux questions

Comment savoir si des résultats partiels sont affichés ?

Pour les utilisateurs du CAE, faites défiler vers le bas pour obtenir plus de résultats jusqu’à ce que les données soient complètes. Les utilisateurs n’ont aucune action supplémentaire à effectuer et la V2 la charge automatiquement à mesure que l’utilisateur fait défiler vers le bas pour obtenir des résultats supplémentaires. Pour les utilisateurs d’applets de commande PowerShell d’Exchange Online, nous travaillons à fournir un indicateur dans la sortie pour la requête suivante si les données sont partielles (prévu dans les prochaines semaines). Pour l’instant, les utilisateurs peuvent utiliser l’exemple de script ci-dessous pour collecter les résultats en continu.

Exemple de script :

$mt = Get-MessageTraceV2 -<filters>

$nextRound = Get-MessageTraceV2 -<filters> -EndDate $mt[-1].Received.ToString("O")

Comment la pagination de la V1 pourrait-elle être réalisée dans la V2 ?

La pagination est déconseillée dans la V2 afin de garantir une utilisation équitable des ressources et des performances de requête pour tous les utilisateurs. Au lieu de cela, vous pouvez obtenir des résultats tour par tour. Les résultats sont classés par Received ordre décroissant d’abord, puis RecipientAddress par ordre croissant (non-respect de la casse). Pour obtenir le prochain cycle de résultats, mettez à jour le EndDate paramètre à la Received valeur des dernières données du cycle en cours. Reportez-vous aux exemples de script de la section précédente.

Quand et comment pourrions-nous utiliser le paramètre : StartingRecipientAddress?

Le StartingRecipientAddress paramètre est utilisé pour obtenir la série de données suivante. StartingRecipientAddress ReceivedAvec , vous pouvez obtenir les résultats tour par tour pour obtenir les résultats complets. Au tour suivant, les données qui partagent le même Received résultat que le dernier résultat du tour en cours, mais qui sont RecipientAddress alphabétiquement plus grandes que ( StartingRecipientAddressinsensible à la casse), ou plus anciennes que le dernier résultat du tour actuel, seront sorties.

Exemple de script :

$mt = Get-MessageTraceV2 -<filters>

$nextRound = Get-MessageTraceV2 -<filters> -EndDate $mt[-1].Received.ToString("O") -StartingRecipientAddress $mt[-1].RecipientAddress