雲端組織中的反垃圾郵件標頭

提示

你知道你可以免費試用 適用於 Office 365 的 Microsoft Defender Plan 2 的功能嗎？ 請於 Microsoft Defender 入口試用中心使用 適用於 Office 365 的 Defender 的 90 天試用版。 了解 試用 適用於 Office 365 的 Microsoft Defender 的可註冊對象及試用條款。

在所有擁有雲端郵箱的組織中，Microsoft 365 會掃描所有收到的郵件，以防垃圾郵件、惡意軟體及其他威脅。 這些掃描的結果會新增至郵件中的下列標頭欄位：

  • X-Forefront-Antispam-Report：包含訊息及其處理方式的相關資訊。
  • X-Microsoft-Antispam：包含大宗郵件和網路釣魚的相關額外資訊。
  • 認證結果：包含電子郵件認證結果資訊，包括寄件人政策框架 (SPF) 、DKIM) (識別郵件的網域金鑰，以及基於網域的訊息驗證、報告與符合性 (DMARC) 。

本文將說明這些標頭欄位提供的項目。

如需如何在各種電子郵件用戶端中檢視電子郵件標頭的詳細資訊，請參閱 在 Outlook 中查看網際網路郵件標題。

提示

您可以複製訊息標題的內容並貼到訊息標題分析器 工具中。 這個工具有助於將標題解析成更易讀的格式。

X-Forefront-Antispam-Report 郵件標頭欄位

取得訊息標頭資訊後，請尋找 X-Forefront-Antispam-Report 標頭。 此標頭中有多個欄位與值對，分隔號為 (;) 。 例如：

...CTRY:;LANG:hr;SCL:1;SRV:;IPV:NLI;SFV:NSPM;PTR:;SFTY:;...

下表說明個別欄位和值。

附註

X-Forefront-Antispam-Report 標頭包含許多不同的欄位和值。 未在表格中描述的欄位專供 Microsoft 反垃圾郵件小組用於診斷目的。

欄位 描述
ARC Authenticated Received Chain (ARC) 通訊協定含有下列欄位：
  • AAR：記錄來自 DMARC 的 Authentication-results 標頭的內容。
  • AMS：包含郵件的加密簽章。
  • AS：包含郵件標頭的加密簽章。 此欄位含有名為 "cv=" 的鏈結驗證標籤，其中包含鏈結驗證結果為 none、pass 或 fail。
CAT: 適用於該訊息的威脅政策類別：
  • AMP：反惡意程式碼
  • BIMP：品牌模仿*
  • BULK：大量
  • DIMP：網域冒充*
  • FTBP： 防惡意軟體 常見附件過濾器
  • GIMP：信箱情報模擬*
  • HPHSH 或 HPHISH：高可信度網路釣魚
  • HSPM：高信賴度垃圾郵件
  • INTOS：組織內部網路釣魚
  • MALW：惡意程式碼
  • OSPM：外寄垃圾郵件
  • PHSH：網路釣魚
  • SAP：安全附件*
  • SPM：垃圾郵件
  • SPOOF：詐騙
  • UIMP：使用者冒用*

*Defender 只適用於 Office 365。

多種保護機制和多重偵測掃描都可能將傳入訊息標示為可疑。 政策依優先順序套用，優先權最高的政策先行執行。 如需詳細資訊，請參閱在您的電子郵件上執行多種保護方法和偵測掃描時適用的原則。
CIP:[IP address] 連接的 IP 位址。 您可以在 IP 允許清單或 IP 封鎖清單中使用這個 IP 位址。 如需詳細資訊，請參閱設定連線篩選。
CTRY 來源國家/地區由連接的 IP 位址決定，這可能與原始發送的 IP 位址不同。
DIR 訊息的方向性：
  • INB：傳入郵件。
  • OUT：傳出郵件。
  • INT：內部訊息。
H:[helostring] 連線電子郵件伺服器的 HELO 或 EHLO 字串。
IPV:CAL 郵件跳過垃圾郵件篩選，因為來源 IP 位址位於 IP 允許清單中。 如需詳細資訊，請參閱設定連線篩選。
IPV:NLI 該 IP 位址在任何 IP 聲譽清單中都找不到。
LANG 由國家代碼指定的訊息撰寫語言（例如，ru_RU 代表俄文）。
PTR:[ReverseDNS] 來源 IP 位址的 PTR 記錄 (又稱為反向 DNS 查閱)。
SCL 郵件的垃圾郵件可信度等級 (SCL)。 在雲端組織中，這個數值並不決定訊息是否被識別為垃圾郵件，或是對其採取的行動。 它主要用於本地 Exchange 環境，包括混合式傳送至垃圾郵件資料夾。 要了解訊息是如何被過濾的，改用 CAT and DIR 值。 如需詳細資訊，請參閱垃圾郵件信賴等級 (SCL)。
SFTY 該郵件被識別為網路釣魚，且也標示為下列其中一個值：
  • 9.19：網域冒用。 傳送端網域嘗試模擬受保護的網域。 系統會將網域冒充的安全提示加入郵件中 (如果已啟用網域冒充)。
  • 9.20：使用者身分冒用。 發送者試圖冒充收件人組織中的使用者，或是 適用於 Office 365 的 Microsoft Defender 中反釣魚政策中指定的受保護使用者。 如果已啟用使用者模擬，系統會將使用者模擬的安全提示新增至訊息中。
  • 9.25：初次接觸安全提示。 此值可能是可疑或網路釣魚訊息的跡象。 如需詳細資訊，請參閱首次接觸安全提示。
SFV:BLK 已略過篩選，且郵件遭到封鎖，因為該郵件是從使用者的封鎖寄件者清單中的地址傳送。

關於管理員如何管理使用者的封鎖寄件人名單，請參閱 「雲端郵箱上的垃圾郵件設定」。
SFV:NSPM 垃圾郵件過濾會將訊息標記為非垃圾郵件，並將郵件發送給預期收件人。
SFV:SFE 已略過篩選，並允許該郵件通過，因為該郵件是由使用者的安全寄件者清單中的位址所傳送。

欲了解更多管理員如何管理使用者的安全寄件人名單，請參閱 「在雲端信箱設定垃圾郵件設定」。
SFV:SKA 郵件跳過垃圾郵件篩選，並已傳送到收件匣，因為寄件者位於反垃圾郵件原則中允許的寄件者清單或允許的網域清單。 如需詳細資訊，請參閱設定反垃圾郵件原則。
SFV:SKB 郵件被標示為垃圾郵件，因為該郵件符合反垃圾郵件原則中封鎖的寄件者清單或封鎖的網域清單中的寄件者。 如需詳細資訊，請參閱設定反垃圾郵件原則。
SFV:SKI 該郵件跳過垃圾郵件過濾，因為來源 IP 位址在連線過濾政策的 IP 允許清單中。 如需詳細資訊，請參閱設定連線篩選。
SFV:SKN 該郵件因 Exchange 郵件流規則（傳輸規則）而繞過垃圾郵件過濾。
SFV:SKQ 郵件已從隔離區釋出，並傳送給預定的收件者。
SFV:SKS 該郵件在垃圾郵件過濾處理前被標記為垃圾郵件，可能是透過設定 SCL 的 Exchange 郵件流規則（傳輸規則），或是由本地 Exchange 在混合部署中傳遞的垃圾郵件決策所標記。 這些動作是過濾的輸入，而非最終決定。 Secure 預設 會評估該請求，可能不會執行，因此 SFV:SKS 只有在將郵件標記為垃圾郵件的請求被接受時才會蓋印。
SFV:SPM 垃圾郵件篩選已將此郵件標記為垃圾郵件。
SRV:BULK 該郵件因垃圾郵件篩選機制及大量郵件申訴等級 (BCL) 臨界值，而被判定為大宗郵件。 當 MarkAsSpamBulkMail 參數（預設開啟）時 On ，批量郵件會被識別為垃圾郵件。 如需詳細資訊，請參閱設定反垃圾郵件原則。
X-CustomSpam: [ASFOption] 郵件符合進階垃圾郵件篩選 (ASF) 設定。 要查看每個 ASF 設定的 X 標頭值，請參閱 反垃圾郵件政策中的 ASF) 設定 (進階垃圾郵件過濾器。

注意：ASF 會在 X-CustomSpam: 郵件流規則處理訊息 後 ，為訊息新增 X 標頭欄位。 你無法用郵件流規則來識別並處理被 ASF 過濾的訊息。

X-Microsoft-Antispam 郵件標頭欄位

下表說明在 X-Microsoft-Antispam 郵件標頭中的實用欄位。 此標頭的其他欄位專供 Microsoft 反垃圾郵件小組進行診斷之用。

欄位 描述
BCL 郵件的批量投訴等級 (BCL)。 BCL 高，表示大量郵件訊息更容易引發抱怨 (因此更可能是垃圾郵件)。 如需詳細資訊，請參閱大量客訴層級 (BCL)。

Authentication-results 郵件標頭

SPF、DKIM 和 DMARC 的電子郵件驗證檢查結果會記錄 (加戳記) 在輸入郵件的 Authentication-results 郵件標頭中。 Authentication-results 標頭在 RFC 7001 中定義。

以下列表描述了針對每種電子郵件認證檢查， Authentication-Results 標頭所新增的文字：

  • SPF 使用下列語法：

    spf=<pass (IP address)|fail (IP address)|softfail (reason)|neutral|none|temperror|permerror> smtp.mailfrom=<domain>

    例如：

    spf=pass (sender IP is 192.168.0.1) smtp.mailfrom=contoso.com

spf=fail (sender IP is 127.0.0.1) smtp.mailfrom=contoso.com

  • DKIM 使用下列語法：

    dkim=<pass|fail (reason)|none> header.d=<domain>

    例如：

    dkim=pass (signature was verified) header.d=contoso.com

dkim=fail (body hash did not verify) header.d=contoso.com

  • DMARC 使用下列語法：

    dmarc=<pass|fail|bestguesspass|none> action=<permerror|temperror|oreject|pct.quarantine|pct.reject> header.from=<domain>

    例如：

    dmarc=pass action=none header.from=contoso.com

dmarc=bestguesspass action=none header.from=contoso.com

dmarc=fail action=none header.from=contoso.com

dmarc=fail action=oreject header.from=contoso.com

Authentication-results 郵件標頭欄位

下表描述每個電子郵件驗證檢查的欄位和可能的值。

欄位 描述
action 表示垃圾郵件篩選器根據 DMARC 檢查結果所採取的動作作。 例如：
  • pct.quarantine： 表示未通過 DMARC 的訊息被送達的比例低於 100%。 此結果表示訊息未達標，且 DMARC 政策設定為 p=quarantine。 但 pct 欄位沒有設成 100%，系統根據指定網域的 DMARC 政策隨機決定不套用 DMARC 動作。
  • pct.reject： 表示未通過 DMARC 的訊息被送達的比例低於 100%。 此結果表示訊息未達標，且 DMARC 政策設定為 p=reject。 但 pct 欄位沒有設定為 100%，系統隨機決定不依據指定網域的 DMARC 政策套用 DMARC 動作。
  • permerror：在 DMARC 評估過程中發生了永久性錯誤，例如在 DNS 中遇到錯誤形成的 DMARC TXT 紀錄。 重發這則訊息不太可能有不同的結果。 相反地，你可能需要聯絡網域擁有者來解決問題。
  • temperror：在 DMARC 評估過程中發生了暫時錯誤。 如果發送者稍後才發送訊息，可能會被正確處理。
compauth 複合驗證結果。 Microsoft 365 結合多種認證方式 (SPF、DKIM、DMARC) 及訊息的其他部分，以判斷訊息是否已認證。 使用 From: 網域作為評估基礎。 注意：即使發生 compauth 失敗，如果其他評估未顯示該訊息具有可疑性，該訊息仍可能獲准通過。
dkim 描述郵件的 DKIM 檢查結果。 可能的值包括：
  • pass：表示該電子郵件的 DKIM 檢查已通過。
  • fail (原因)：表示郵件的 DKIM 檢查失敗及原因。 例如，如果訊息沒有簽名或簽名沒有被驗證。
  • 無：表示訊息未簽署。 這個結果可能表示該網域有 DKIM 紀錄，也可能不表示該網域有 DKIM 紀錄，或者 DKIM 紀錄無法評估出結果。
dmarc 描述郵件的 DMARC 檢查結果。 可能的值包括：
  • pass：表示該郵件已通過 DMARC 檢查。
  • fail：表示郵件的 DMARC 檢查失敗。
  • bestguesspass：表示該網域不存在 DMARC TXT 紀錄。 如果該網域有 DMARC TXT 記錄，則該訊息的 DMARC 檢查會通過。
  • none：表示 DNS 中的寄件網域沒有 DKIM TXT 記錄。
header.d DKIM 簽章中識別的網域（如果有的話）。 此網域需查詢公鑰。
header.from 電子郵件標頭中寄件者地址的網域 (也稱為 5322.From 地址或 P2 傳送者)。 收件者會看到電子郵件用戶端中的「寄件者地址」。
reason 複合認證通過或失敗的原因。 這個數值是一個三位數的代碼。 欲了解更多資訊，請參閱 複合認證原因代碼 章節。
smtp.mailfrom MAIL FROM 位址的網域名稱（也稱為 5321.MailFrom 位址、P1 寄件者或信封寄件者）。 此電子郵件地址用於未送達報告 (也稱為 NDR 或退信) 。
spf 描述訊息的 SPF 檢查結果（訊息來源是否包含在該網域的 SPF 紀錄中）。 可能的值包括：
  • pass (IP address)：訊息來源包含在該網域的 SPF 記錄中。 來源有權為該網域發送或轉發電子郵件。
  • fail (IP address)：又稱為 hard fail。 訊息來源不包含在該網域的 SPF 紀錄中，網域指示目的電子郵件系統拒絕該郵件 (-all) 。
  • softfail (reason)：也稱為 soft fail。 訊息來源不包含在該網域的 SPF 記錄中，網域指示目的郵件系統接受並標記該訊息 (~all) 。
  • neutral：訊息來源不包含在網域的 SPF 記錄中，且網域對目的地訊息 (?all) 也沒有提供特定指令。
  • none：網域沒有 SPF 記錄或 SPF 記錄未得到結果。
  • temperror：發生了臨時錯誤。 例如，DNS 錯誤。 稍後再進行同樣的檢查可能會成功。
  • permerror：發生了永久錯誤。 例如，網域有格式錯誤的 SPF 記錄時。

複合認證原因碼

下表說明與 reason 結果搭配使用的三位數 compauth 代碼。

提示

欲了解更多電子郵件認證結果及修正失敗的方法，請參閱 Microsoft 365 電子郵件認證的安全操作指南。

原因代碼 描述
000 該訊息未通過明確驗證 (compauth=fail)。 此訊息未通過 DMARC 驗證，且 DMARC 原則動作為 p=quarantine 或 p=reject。
001 訊息未能通過隱式驗證（compauth=fail）。 寄件網域未發佈電子郵件驗證記錄，或者即使有，其失敗原則也較弱（SPF 為 ~all 或 ?all，或 DMARC 原則為 p=none）。
002 該組織對寄件人/網域配對有明確禁止發送偽造郵件的政策。 管理員會手動設定這個設定。
010 郵件未通過 DMARC，DMARC 原則動作為 p=reject 或 p=quarantine，且寄件網域是貴組織已接受的網域之一（自我偽冒或組織內部偽冒）。
1xx 訊息通過了顯式或隱性認證 (compauth=pass) 。
  100 SPF 通過或 DKIM 通過，且 MAIL FROM 與 From 地址中的網域是對齊的。
  101 該訊息由 From 地址所用的網域以 DKIM 簽署。
  102 MAIL FROM 與 From 的地址域對齊，SPF 通過。
  103 寄件者地址的網域與來源 IP 位址相關聯的 DNS PTR 記錄 (反向查詢) 一致
  104 與來源 IP 位址相關的 DNS PTR 紀錄 (反向查詢) 與 From 位址網域對齊。
  108 DKIM 失敗，因為郵件本文曾遭先前合法傳遞躍點修改。 例如，訊息內容在組織的本地電子郵件環境中被修改。
  109 雖然寄件人的網域沒有 DMARC 紀錄，但訊息還是會傳送過去。
  111 儘管 DMARC 存在暫時錯誤或永久錯誤，SPF 或 DKIM 網域仍與 From 位址網域對齊。
  112 DNS 逾時阻止了 DMARC 紀錄的取回。
  115 該訊息來自一個 Microsoft 365 組織，該組織的寄件地址網域被設定為 接受網域。
  116 寄件者地址網域的 MX 記錄與連接 IP 位址的 PTR 記錄一致 (反向查詢) 。
  130 來自 受信任的 ARC 簽署者 的 ARC 結果推翻了 DMARC 失敗判定。
2xx 郵件透過軟傳遞隱含驗證 (compauth=softpass) 。
  201 寄件者地址網域的 PTR 記錄與連接 IP 位址的 PTR 記錄子網路一致。
  202 寄件者地址網域與連接 IP 位址的 PTR 記錄網域一致。
3xx 訊息沒有被檢查複合認證 (compauth=none) 。
4xx 該訊息繞過了複合認證 (compauth=none) 。
501 DMARC 並未被強制執行。 該訊息是有效的未送達報告 (也稱為NDR或退信訊息) ，且發送者與收件人之間已建立聯繫。
502 DMARC 並未被強制執行。 此郵件是針對由此組織寄出的郵件所產生的有效 NDR。
6xx 該郵件未通過隱含式電子郵件驗證 (compauth=fail)。
  601 傳送網域是您組織中接受的網域 (自我對自我或組織內部偽冒)。
7xx 訊息通過了隱含認證 (compauth=pass) 。
  701-704 DMARC 沒有被強制執行，因為這個組織過去有收到來自發送基礎設施的合法訊息的紀錄。
9xx 該訊息繞過了複合認證 (compauth=none) 。
  905 由於路由複雜，DMARC 未被強制執行。 例如，網際網路訊息會在抵達 Microsoft 365 前，先經過本地的 Exchange 環境或非 Microsoft 服務。
  • 上次更新時間：