Autoriser les e-mails de simulation Bluesecure dans Microsoft 365

Pour que vos campagnes de simulation de phishing arrivent bien dans les boîtes de réception de vos collaborateurs, vous devez déclarer Bluesecure comme expéditeur de confiance dans Microsoft 365 : c'est ce qu'on appelle le whitelisting (mise en liste d'autorisation). Sans cette étape, les filtres de Microsoft risquent de bloquer, de mettre en quarantaine ou de classer en courrier indésirable des e-mails qui imitent justement des tentatives de phishing.

Microsoft propose plusieurs méthodes pour y parvenir. Vous n'avez pas besoin de toutes les appliquer : commencez par la méthode recommandée, puis ajoutez une méthode complémentaire seulement si des e-mails sont encore filtrés ou si votre configuration l'exige.

Quelle méthode choisir ?

1 Remise avancée (recommandée)

Cette méthode indique à Microsoft que les e-mails Bluesecure sont des simulations de phishing autorisées. Ils sont alors livrés sans filtrage, et les liens ne sont pas ouverts automatiquement par les outils d'analyse de Microsoft (ce qui évite de faux clics dans vos statistiques de campagne).

• Connectez-vous à security.microsoft.com.
• Allez dans E-mail et collaboration > Stratégies et règles > Stratégies de menace > Remise avancée (Email & collaboration > Policies & rules > Threat policies > Advanced delivery).
• Ouvrez l'onglet Simulation d'hameçonnage (Phishing simulation), puis cliquez sur Ajouter ou Modifier.

• Renseignez les trois champs avec les informations de votre page de whitelisting Bluesecure :
  • Domaine : les domaines d'envoi des e-mails Bluesecure.
  • Adresse IP d'envoi : les adresses IP des serveurs Bluesecure.
  • URL de simulation à autoriser : les URL de vos campagnes, sans https:// au début ni / à la fin.
• Enregistrez.

2 Règles de flux de courrier Exchange

Une règle de flux de courrier (ou règle de transport) demande à Exchange de ne pas appliquer le filtrage anti-spam à certains e-mails. Deux variantes sont possibles : choisissez celle qui correspond le mieux à votre organisation.

2.1 Règle basée sur le domaine et les adresses IP Bluesecure

• Connectez-vous à admin.exchange.microsoft.com.
• Allez dans Flux de courrier > Règles (Mail flow > Rules), puis cliquez sur Ajouter une règle > Créer une règle.
• Donnez un nom à la règle, par exemple « Ignorer le filtrage pour Bluesecure ».
• Dans Appliquer cette règle si, choisissez L'expéditeur > le domaine est et saisissez le domaine Bluesecure.
• Ajoutez les adresses IP des serveurs Bluesecure.
• Dans Procéder comme suit, choisissez Modifier les propriétés du message > Définir le seuil de probabilité de courrier indésirable (SCL) et sélectionnez Ignorer le filtrage du courrier indésirable (valeur -1).
• Ajoutez des exceptions si nécessaire.
• Vérifiez puis enregistrez la règle.

2.2 Règle basée sur l'en-tête personnalisé Bluesecure

Cette variante reconnaît les e-mails Bluesecure grâce à l'en-tête technique X-BSC présent dans les messages, plutôt que par domaine ou adresse IP.

• Dans admin.exchange.microsoft.com, allez dans Flux de courrier > Règles, puis Ajouter une règle > Créer une règle.
• Nommez la règle, par exemple « Autoriser les e-mails avec l'en-tête X-BSC ».
• Dans Appliquer cette règle si, choisissez En-tête du message, puis indiquez le nom d'en-tête X-BSC et la valeur true.
• Dans Procéder comme suit, choisissez Modifier les propriétés du message > Définir le seuil de probabilité de courrier indésirable (SCL) et sélectionnez Ignorer le filtrage du courrier indésirable (valeur -1).
• Ajoutez des exceptions si nécessaire.
• Enregistrez la règle.

3 Adresses IP autorisées dans le filtre de connexion

• Connectez-vous à security.microsoft.com.
• Allez dans E-mail et collaboration > Stratégies et règles > Stratégies de menace > Stratégies anti-courrier indésirable (Anti-spam policies).
• Cliquez sur Stratégie de filtre de connexion (Connection filter policy), puis sur Modifier la stratégie de filtre de connexion.
• Ajoutez les adresses IP des serveurs Bluesecure dans le champ Toujours autoriser les messages provenant des adresses IP ou plages d'adresses suivantes.
• Enregistrez.

4 Domaines et expéditeurs autorisés (stratégie anti-spam)

• Connectez-vous à security.microsoft.com.
• Allez dans E-mail et collaboration > Stratégies et règles > Stratégies de menace > Stratégies anti-courrier indésirable (Anti-spam policies).
• Cliquez sur la stratégie anti-spam entrante (Inbound anti-spam policy), puis sur Modifier les expéditeurs et domaines autorisés.
• Ajoutez les domaines Bluesecure dans Domaines autorisés (Allow domains).
• Ajoutez l'adresse d'expédition de votre campagne dans Gérer les expéditeurs (Manage senders), puis enregistrez.

5 Complément : forcer l'affichage des images

Si les e-mails arrivent bien mais que leurs images ne s'affichent pas, ajoutez l'adresse d'expédition Bluesecure aux expéditeurs approuvés des boîtes aux lettres. Cette opération se fait en PowerShell (outil en ligne de commande de Microsoft), après vous être connecté à Exchange Online PowerShell.

5.1 Pour tous les utilisateurs

Get-Mailbox -ResultSize unlimited -RecipientTypeDetails UserMailbox | Set-MailboxJunkEmailConfiguration -TrustedSendersAndDomains @{Add="[email protected]"} -ErrorAction SilentlyContinue

5.2 Pour un seul utilisateur et une adresse d'expédition

Set-MailboxJunkEmailConfiguration -Identity [email protected] -TrustedSendersAndDomains @{Add="[email protected]"}

5.3 Pour un seul utilisateur et deux adresses d'expédition

Set-MailboxJunkEmailConfiguration -Identity [email protected] -TrustedSendersAndDomains @{Add="[email protected]","[email protected]"}

Tester votre configuration

• Attendez 24 heures après chaque modification avant de tester : Microsoft répartit ses services sur de nombreux serveurs, et les changements mettent du temps à se propager.
• Envoyez une campagne test à quelques destinataires et vérifiez qu'elle arrive en boîte de réception, avec les images affichées.
• Si des e-mails sont encore filtrés, consultez les journaux de flux de courrier dans le Centre d'administration Exchange pour identifier la règle qui les bloque.

Questions fréquentes