Intestazioni dei messaggi antispam nelle organizzazioni basate sul cloud

Consiglio

Sapevi che puoi provare gratuitamente le funzionalità in Microsoft Defender per Office 365 Piano 2? Usa la versione di prova di Defender per Office 365 di 90 giorni nell'hub delle versioni di prova del portale Microsoft Defender. Informazioni su chi può iscriversi e sulle condizioni di valutazione in Prova Microsoft Defender per Office 365.

In tutte le organizzazioni con cassette postali cloud, Microsoft 365 analizza tutti i messaggi in ingresso alla ricerca di posta indesiderata, malware e altre minacce. I risultati di queste analisi vengono aggiunti a questi campi di intestazione nei messaggi:

  • X-Forefront-Antispam-Report: contiene informazioni sul messaggio e sul modo in cui è stato elaborato.
  • X-Microsoft-Antispam: fornisce informazioni aggiuntive sulla posta inviata in massa e il phishing.
  • Authentication-results: contiene informazioni sui risultati dell'autenticazione tramite posta elettronica, tra cui Sender Policy Framework (SPF), Domainkeys Identified Mail (DKIM) e Domain-based Message Authentication, Reporting e Conformance (DMARC).

Questo articolo descrive cosa è disponibile in questi campi dell'intestazione.

Per informazioni sulla visualizzazione dell'intestazione di un messaggio di posta elettronica in diversi client di posta elettronica, vedere Visualizzare le intestazioni dei messaggi Internet in Outlook.

Consiglio

È possibile copiare e incollare il contenuto dell’intestazione di un messaggio nello strumento Analizzatore intestazione messaggio. Questo strumento consente di analizzare le intestazioni e di visualizzarle in un formato più leggibile.

Campi di intestazione del messaggio X-Forefront-Antispam-Report

Dopo aver ottenuto le informazioni di intestazione del messaggio, individuare l’intestazione X-Forefront-Antispam-Report. In questa intestazione sono presenti più coppie di campi e valori separati da punti e virgola (;). Ad esempio:

...CTRY:;LANG:hr;SCL:1;SRV:;IPV:NLI;SFV:NSPM;PTR:;SFTY:;...

I campi e i valori sono descritti nel dettaglio nella tabella seguente.

Nota

L’intestazione X-Forefront-Antispam-Report contiene molti campi e valori. L'utilizzo dei campi non descritti nella tabella è riservato al team di protezione dalla posta indesiderata di Microsoft per finalità diagnostiche.

Campo Descrizione
ARC I campi del protocollo Authenticated Received Chain (ARC) sono i seguenti:
  • AAR: registra il contenuto dell'intestazione Authentication-results da DMARC.
  • AMS: Include le firme crittografiche del messaggio.
  • AS: contiene le firme crittografiche delle intestazioni dei messaggi. Questo campo contiene il tag di convalida della catena denominata "cv=" e include il risultato della convalida della catena, ad esempio nessuna, superata, o non riuscita.
CAT: Categoria di criteri di minaccia applicati al messaggio:
  • AMP: anti-malware
  • BIMP: Rappresentazione del marchio*
  • BULK: bulk
  • DIMP: Impersonificazione del dominio*
  • FTBP: Anti-malware filtro per gli allegati comuni
  • GIMP: Intelligence delle cassette postali impersonazione*
  • HPHSH o HPHISH: phishing ad alta attendibilità
  • HSPM: posta indesiderata con elevata attendibilità
  • INTOS: phishing all'interno dell'organizzazione
  • MALW: malware
  • OSPM: posta indesiderata in uscita
  • PHSH: phishing
  • SAP: allegati sicuri*
  • SPM: posta indesiderata
  • SPOOF: Falsificazione
  • UIMP: Impersonificazione utente*

*Defender solo per Office 365.

Più forme di protezione e più analisi di rilevamento potrebbero contrassegnare un messaggio in ingresso. I criteri vengono applicati in un ordine di precedenza e i criteri con la priorità più alta vengono applicati per primi. Per altre informazioni, vedere Criteri applicabili ai messaggi di posta elettronica quando vengono usati più metodi di protezione e analisi di rilevamento.
CIP:[IP address] L'indirizzo IP di connessione. È possibile usare questo indirizzo IP nell'elenco Consenti indirizzi IP o nell'elenco Blocca indirizzi IP. Per ulteriori informazioni, vedere Configurare il filtraggio delle connessioni.
CTRY Paese/area geografica di origine determinato dall'indirizzo IP di connessione, che potrebbe non essere lo stesso dell'indirizzo IP di invio di origine.
DIR Direzionalità del messaggio:
  • INB: messaggio in ingresso.
  • OUT: messaggio in uscita.
  • INT: messaggio interno.
H:[helostring] Stringa HELO o EHLO del server di posta elettronica connesso.
IPV:CAL Il messaggio ha saltato il filtro della posta indesiderata perché l'indirizzo IP di origine era presente nell'Elenco elementi consentiti di IP. Per ulteriori informazioni, vedere Configurare il filtraggio delle connessioni.
IPV:NLI L'indirizzo IP non è stato trovato in alcun elenco di reputazione IP.
LANG Lingua in cui è stato scritto il messaggio come specificato dal codice del paese , ad esempio ru_RU per il russo.
PTR:[ReverseDNS] Il record PTR (noto anche come ricerca DNS inversa) dell'indirizzo IP di origine.
SCL Il livello di probabilità di spam (SCL) del messaggio. Nelle organizzazioni cloud, questo valore non determina se il messaggio viene identificato come spam o l'azione intrapresa su di esso. Viene utilizzato principalmente negli ambienti Exchange on-locali, inclusa la consegna ibrida nella cartella Spam Email. Per capire come il messaggio è stato filtrato, usa invece i CAT valori e (e DIR ). Per ulteriori informazioni, vedere Livello di probabilità di posta indesiderata (SCL).
SFTY Il messaggio è stato identificato come phishing ed è anche contrassegnato con uno dei valori seguenti:
  • 9.19: impersonificazione del dominio. Il dominio di invio sta tentando di sostituirsi a un dominio protetto. Il suggerimento di sicurezza per la rappresentazione del dominio viene aggiunto al messaggio (se la rappresentazione del dominio è abilitata).
  • 9.20: impersonificazione dell'utente. L'utente che invia sta tentando di rappresentare un utente nell'organizzazione del destinatario o un utente protetto specificato in un criterio anti-phishing in Microsoft Defender per Office 365. L'avviso di sicurezza per l'impersonificazione utente viene aggiunto al messaggio (se l'impersonificazione utente è abilitata).
  • 9.25: Suggerimento di sicurezza per il primo contatto. Questo valore potrebbe essere un'indicazione di un messaggio sospetto o di phishing. Per ulteriori informazioni, consulta Suggerimento di sicurezza per il primo contatto.
SFV:BLK Il filtraggio è stato ignorato e il messaggio è stato bloccato perché è stato inviato da un indirizzo presente nell'elenco Mittenti bloccati di un utente.

Per maggiori informazioni su come gli amministratori possono gestire la lista dei mittenti bloccati di un utente, consulta Configura le impostazioni della posta indesiderata nelle cassette cloud di posta indesiderata.
SFV:NSPM Il filtro della posta indesiderata ha contrassegnato il messaggio come nonspam e il messaggio è stato inviato ai destinatari previsti.
SFV:SFE Il filtro è stato saltato e il messaggio è stato consentito perché è stato inviato da un indirizzo presente nell'elenco Mittenti attendibili di un utente.

Per maggiori informazioni su come gli amministratori possono gestire la lista dei Mittenti Sicuri di un utente, consulta Configura le impostazioni della posta indesiderata nelle cassette cloud delle poste.
SFV:SKA Il messaggio ha aggirato il filtro della posta indesiderata ed è stato recapitato alla Posta in arrivo perché il mittente era nell'elenco dei mittenti consentiti o nell'elenco dei domini consentiti in un criterio di protezione antispam. Per altre informazioni, vedere Configurare i criteri di protezione dalla posta indesiderata.
SFV:SKB Il messaggio è stato contrassegnato come posta indesiderata perché corrisponde a un mittente presente in un elenco di mittenti o domini bloccati in un criterio di protezione dalla posta indesiderata. Per altre informazioni, vedere Configurare i criteri di protezione dalla posta indesiderata.
SFV:SKI Il messaggio ha saltato il filtraggio dello spam perché l'indirizzo IP di origine era nella lista di permessi IP nella policy di filtro connessione. Per ulteriori informazioni, vedere Configurare il filtraggio delle connessioni.
SFV:SKN Il messaggio ha bypassato il filtraggio dello spam grazie a una regola di flusso di posta di Exchange (regola di trasporto).
SFV:SKQ Il messaggio è stato rilasciato dalla quarantena ed è stato inviato al destinatario.
SFV:SKS Il messaggio veniva contrassegnato come spam prima che il filtraggio spam lo processasse, sia tramite una regola di flusso di posta di Exchange (regola di trasporto) che impostava l'SCL, sia tramite una decisione antispam trasmessa da Exchange on-premises in un deployment ibrido. Queste azioni sono input per il filtraggio, non la decisione finale. Secure di default valuta la richiesta e potrebbe non rispettarla, quindi SFV:SKS viene timbrato solo quando la richiesta di segnalare il messaggio come spam viene accettata.
SFV:SPM Il messaggio è stato contrassegnato come posta indesiderata dal filtro della posta indesiderata.
SRV:BULK Il messaggio è stato identificato come posta elettronica in blocco dal filtro posta indesiderata e dalla soglia del livello di reclamo in blocco. Quando il parametro MarkAsSpamBulkMail è On attivo di default), i messaggi email di massa vengono identificati come spam. Per altre informazioni, vedere Configurare i criteri di protezione dalla posta indesiderata.
X-CustomSpam: [ASFOption] Il messaggio corrisponde a un'impostazione di filtro avanzato della posta indesiderata (ASF). Per visualizzare il valore dell'intestazione X per ogni impostazione asf, vedere Impostazioni avanzate del filtro della posta indesiderata nei criteri di protezione dalla posta indesiderata.

Nota: ASF aggiunge X-CustomSpam: campi X-header ai messaggi dopo che le regole di flusso di posta elaborano i messaggi. Non è possibile usare le regole del flusso di posta per identificare e agire sui messaggi filtrati in base all'ASF.

Campi di intestazione del messaggio X-Microsoft-Antispam

Nella tabella seguente vengono descritti i campi utili nell'intestazione del messaggio X-Microsoft-Antispam. L'utilizzo degli altri campi dell'intestazione è riservato al team di protezione dalla posta indesiderata di Microsoft per scopi di diagnostica.

Campo Descrizione
BCL Il livello di reclami in blocco (BCL) del messaggio. Più il BCL è elevato, maggiore è la probabilità che un messaggio di posta elettronica in blocco generi reclami, ed è quindi più probabile che si tratti di posta indesiderata. Per ulteriori informazioni, vedere Livello di reclamo in blocco (BCL).

Intestazione del messaggio Risultati dell'autenticazione

I risultati dei controlli dell'autenticazione della posta elettronica per SPF, DKIM e DMARC sono registrati (stampati) nell'intestazione Authentication-results dei messaggi in ingresso. L'intestazione Authentication-results è definita in RFC 7001.

Nell'elenco seguente viene descritto il testo aggiunto all'intestazione Authentication-Results per ogni tipo di controllo dell'autenticazione tramite posta elettronica:

  • SPF utilizza la sintassi seguente:

    spf=<pass (IP address)|fail (IP address)|softfail (reason)|neutral|none|temperror|permerror> smtp.mailfrom=<domain>

    Ad esempio:

    spf=pass (sender IP is 192.168.0.1) smtp.mailfrom=contoso.com

spf=fail (sender IP is 127.0.0.1) smtp.mailfrom=contoso.com

  • DKIM utilizza la sintassi seguente:

    dkim=<pass|fail (reason)|none> header.d=<domain>

    Ad esempio:

    dkim=pass (signature was verified) header.d=contoso.com

dkim=fail (body hash did not verify) header.d=contoso.com

  • DMARC utilizza la sintassi seguente:

    dmarc=<pass|fail|bestguesspass|none> action=<permerror|temperror|oreject|pct.quarantine|pct.reject> header.from=<domain>

    Ad esempio:

    dmarc=pass action=none header.from=contoso.com

dmarc=bestguesspass action=none header.from=contoso.com

dmarc=fail action=none header.from=contoso.com

dmarc=fail action=oreject header.from=contoso.com

Campi di intestazione del messaggio Risultati dell'autenticazione

Nella tabella seguente vengono descritti i campi e i valori possibili per il controllo di autenticazione di ogni messaggio di posta elettronica.

Campo Descrizione
action Indica l'azione eseguita dal filtro posta indesiderata in base ai risultati del controllo DMARC. Ad esempio:
  • pct.quarantine: indica che una percentuale inferiore al 100% dei messaggi che non superano DMARC viene recapitata comunque. Questo risultato significa che il messaggio non ha superato il controllo DMARC e che il criterio DMARC è stato impostato su p=quarantine. Tuttavia, il campo pct non è stato impostato su 100% e il sistema ha determinato in modo casuale di non applicare l'azione DMARC in base ai criteri DMARC del dominio specificato.
  • pct.reject: indica che una percentuale inferiore al 100% dei messaggi che non superano DMARC viene recapitata comunque. Questo risultato significa che il messaggio non ha superato il controllo DMARC e che il criterio DMARC è stato impostato su p=reject. Tuttavia, il campo pct non è stato impostato su 100% e il sistema ha determinato in modo casuale di non applicare l'azione DMARC per i criteri DMARC del dominio specificato.
  • permerror: si è verificato un errore permanente durante la valutazione DMARC, ad esempio durante l'individuazione di un record TXT DMARC non corretto in DNS. È probabile che la reinvio di questo messaggio non abbia un risultato diverso. Potrebbe invece essere necessario contattare il proprietario del dominio per risolvere il problema.
  • temperror: si è verificato un errore temporaneo durante la valutazione DMARC. Se il mittente invia il messaggio in un secondo momento, potrebbe essere elaborato correttamente.
compauth Risultato autenticazione composita. Microsoft 365 combina più tipi di autenticazione (SPF, DKIM e DMARC) e altre parti del messaggio per determinare se il messaggio è autenticato. Usa il dominio Da: come base per la valutazione. Nota: nonostante un compauth errore, il messaggio potrebbe essere comunque consentito se altre valutazioni non indicano una natura sospetta.
dkim Descrive i risultati del controllo DKIM per il messaggio. I valori possibili includono:
  • pass: indica che il controllo DKIM per il messaggio è stato superato.
  • fail (motivo): indica che il controllo DKIM per il messaggio non è stato superato e include il motivo, Ad esempio, se il messaggio non è stato firmato o se la firma non è stata verificata.
  • none: indica che il messaggio non è stato firmato. Questo risultato potrebbe indicare o meno che il dominio ha un record DKIM o che il record DKIM non restituisce un risultato.
dmarc Descrive i risultati del controllo DMARC per il messaggio. I valori possibili includono:
  • pass: indica che il controllo DMARC per il messaggio è stato superato.
  • fail: indica che il controllo DMARC per il messaggio non è stato superato.
  • bestguesspass: indica che non esiste alcun record TXT DMARC per il dominio. Se il dominio ha un record TXT DMARC, il controllo DMARC per il messaggio passerà.
  • none: indica che non esistono record TXT DMARC per il dominio di invio in DNS.
header.d Dominio identificato nella firma DKIM, se presente. Questo dominio viene interrogato per la chiave pubblica.
header.from Il dominio dell'indirizzo del campo From nell'intestazione del messaggio di posta elettronica (noto anche come indirizzo 5322.From o mittente P2). Il destinatario vede l'indirizzo mittente nei client di posta elettronica.
reason Motivo per cui l'autenticazione composita è stata passata o non è riuscita. Il valore è un codice a tre cifre. Per ulteriori informazioni, vedere la sezione Codici motivo per l'autenticazione composita.
smtp.mailfrom Il dominio dell'indirizzo MAIL FROM (noto anche come indirizzo 5321.MailFrom, mittente P1 o mittente della busta di trasporto). Questo indirizzo di posta elettronica viene utilizzato per i rapporti di mancato recapito (noti anche come NDR o messaggi di mancato recapito).
spf Descrive i risultati del controllo SPF per il messaggio (se l'origine del messaggio è inclusa nel record SPF per il dominio). I valori possibili includono:
  • pass (IP address): l'origine del messaggio è inclusa nel record SPF per il dominio. L'origine è autorizzata a inviare o inoltrare messaggi di posta elettronica per il dominio.
  • fail (IP address): noto anche come hard fail. L'origine del messaggio non è inclusa nel record SPF per il dominio e il dominio indica al sistema di posta elettronica di destinazione di rifiutare il messaggio (-all).
  • softfail (reason): noto anche come soft fail. L'origine del messaggio non è inclusa nel record SPF per il dominio e il dominio indica al sistema di posta elettronica di destinazione di accettare e contrassegnare il messaggio (~all).
  • neutral: l'origine del messaggio non è inclusa nel record SPF per il dominio e il dominio non offre alcuna istruzione specifica per il messaggio (?all).
  • none: il dominio non ha un record SPF, o il record SPF non restituisce un risultato.
  • temperror: si è verificato un errore temporaneo. Ad esempio, un errore DNS. Il medesimo controllo potrebbe avere esito positivo in seguito.
  • permerror: si è verificato un errore permanente. Ad esempio, il dominio presenta un record SPF con formato non valido.

Codici motivo dell'autenticazione composita

La tabella seguente descrive i codici a tre cifre reason utilizzati con i risultati compauth.

Consiglio

Per altre informazioni sui risultati dell'autenticazione tramite posta elettronica e su come correggere gli errori, vedere Guida alle operazioni di sicurezza per l'autenticazione tramite posta elettronica in Microsoft 365.

Codice della motivazione Descrizione
000 Il messaggio non ha superato l'autenticazione esplicita (compauth=fail). Il messaggio ha ricevuto un errore DMARC e l'azione dei criteri DMARC è p=quarantine o p=reject.
001 Il messaggio non è riuscito a eseguire l'autenticazione implicita (compauth=fail). Il dominio di invio non disponeva di record di autenticazione della posta elettronica pubblicati o, in caso affermativo, presentava un criterio di errore più debole (SPF ~all o ?allo un criterio DMARC di p=none).
002 L'organizzazione ha un criterio per la coppia mittente/dominio a cui è esplicitamente vietato inviare messaggi di posta elettronica contraffatti. Un amministratore configura manualmente questa impostazione.
010 Il messaggio non ha superato il controllo DMARC, l'azione dei criteri DMARC è p=reject o p=quarantine, e il dominio mittente è uno dei domini accettati dall'organizzazione (spoofing self-to-self o intra-org).
1xx Il messaggio ha passato l'autenticazione esplicita o implicita (compauth=pass).
  100 SPF è stato superato oppure DKIM è stato superato e i domini presenti negli indirizzi MAIL FROM e From sono allineati.
  101 Il messaggio è stato firmato da DKIM dal dominio usato nell'indirizzo From.
  102 I domini di indirizzo MAIL FROM e From sono stati allineati e SPF è trascorso.
  103 Il dominio dell'indirizzo From è allineato al record PTR DNS (ricerca inversa) associato all'indirizzo IP di origine
  104 Il record DNS PTR (ricerca inversa) associato all'indirizzo IP di origine è allineato al dominio dell'indirizzo From.
  108 La verifica DKIM non è andata a buon fine a causa di una modifica del contenuto del messaggio dovuta ai precedenti passaggi legittimi. Ad esempio, il corpo del messaggio è stato modificato nell'ambiente di posta elettronica locale dell'organizzazione.
  109 Anche se il dominio del mittente non dispone di record DMARC, il messaggio verrebbe comunque passato.
  111 Nonostante un errore temporaneo o un errore permanente di DMARC, il dominio SPF o DKIM è allineato al dominio dell'Indirizzo da.
  112 Un timeout DNS ha impedito il recupero del record DMARC.
  115 Il messaggio è stato inviato da un'organizzazione di Microsoft 365 in cui il dominio dell'indirizzo Da è configurato come un dominio accettato.
  116 Il record MX del dominio dell'indirizzo From è allineato al record PTR (ricerca inversa) dell'indirizzo IP di connessione.
  130 Il risultato ARC di un sealer ARC attendibile ha superato l'errore DMARC.
2xx Il messaggio ha superato con riserva l'autenticazione implicita (compauth=softpass).
  201 Il record PTR per il dominio dell'Indirizzo da è allineato alla subnet del record PTR per l'indirizzo IP di connessione.
  202 Il dominio dell'indirizzo From è allineato al dominio del record PTR per l'indirizzo IP di connessione.
3xx Il messaggio non è stato controllato per l'autenticazione composita (compauth=none).
4xx Il messaggio ha ignorato l'autenticazione composita (compauth=none).
501 DMARC non è stato applicato. Il messaggio è un report di mancato recapito valido (noto anche come NDR o messaggio di mancato recapito) e il contatto tra il mittente e il destinatario viene stabilito in precedenza.
502 DMARC non è stato applicato. Il messaggio è un rapporto di mancato recapito (NDR) valido per un messaggio inviato da questa organizzazione.
6xx Il messaggio non è riuscito a eseguire l'autenticazione implicita tramite posta elettronica (compauth=fail).
  601 Il dominio di invio è un dominio accettato nell'organizzazione (spoofing self-to-self o intra-org).
7xx Il messaggio ha passato l'autenticazione implicita (compauth=pass).
  701-704 DMARC non è stato applicato perché questa organizzazione ha una cronologia di ricezione di messaggi legittimi dall'infrastruttura di invio.
9xx Il messaggio ha ignorato l'autenticazione composita (compauth=none).
  905 DMARC non è stato applicato a causa di un routing complesso. Ad esempio, i messaggi Internet vengono indirizzati attraverso un ambiente Exchange locale o un servizio non Microsoft prima di raggiungere Microsoft 365.
  • Last updated on