Un mail légitime bloqué se repère d’abord dans les en-têtes : sous Microsoft Defender, SFV:SPM signale un classement par l’anti-spam, et un BCL 7 à 9 peut envoyer une newsletter attendue en quarantaine. Les repères ci-dessous valent pour Microsoft Defender pour Office 365 Plan 1 ou Plan 2, dans un environnement Microsoft 365, en 2026.
Un faux positif n’est pas un simple retard de livraison. C’est un message professionnel légitime traité comme indésirable par le filtre, point que la documentation du fabricant décrit explicitement et que beaucoup de pages commerciales sur la protection de messagerie laissent de côté.
Ce qu’il vous faut
- Un accès à Microsoft Defender pour Office 365 Plan 1 ou Plan 2.
- Le message bloqué avec ses en-têtes complets.
- Les droits pour modifier une stratégie anti-courrier indésirable ou une règle de flux Exchange.
Avec ces trois éléments, vous pouvez isoler la couche qui bloque le message et corriger le bon réglage.
SFV:SPM, BCL et type de blocage
La première vérification consiste à identifier si le blocage vient du tri anti-spam ou d’un risque de phishing. Un verdict anti-spam mal calibré bloque des messages légitimes. Une tentative de phishing peut, elle, passer avec une apparence technique correcte et se repère plutôt dans la demande, le domaine expéditeur ou le lien.
Lire le verdict anti-spam dans les en-têtes
Les en-têtes de message donnent un indice exploitable tout de suite. Quand vous voyez SFV:SPM, Microsoft Defender a rendu un verdict de spam. Vous n’êtes plus face à une panne générique de messagerie. Vous cherchez une décision de filtrage prise par la couche anti-spam.
Ce repère évite une erreur fréquente : modifier le DNS, suspecter un incident serveur ou accuser l’utilisateur avant d’avoir lu le verdict. Si SFV:SPM apparaît sur un devis, une facture, une confirmation de commande ou une alerte technique attendue, traitez le cas comme un faux positif jusqu’à preuve du contraire.
Distinguer anti-spam et anti-phishing
L’anti-spam juge surtout qu’un message ressemble à un envoi indésirable. Le phishing vise l’usurpation, la fraude au paiement ou le vol d’accès. En pratique, le bon tri ne se fait pas avec le même réflexe : pour un faux positif, vous lisez l’en-tête et la politique appliquée ; pour un doute de phishing, vous contrôlez le domaine de l’expéditeur, vous survolez les liens avant clic et vous bloquez toute action sensible tant qu’une vérification externe n’a pas été faite.
La différence compte aussi pour les équipes métier. Un changement d’IBAN se valide par un autre canal que le mail. Une demande urgente attribuée à un dirigeant se confirme par téléphone. Ces contrôles n’améliorent pas le filtre anti-spam, mais ils limitent l’impact d’un message techniquement acceptable et frauduleux dans son intention.
Repérer les campagnes légitimes pénalisées
Les newsletters et e-mails marketing sont exposés à un autre mécanisme : le BCL 7 à 9. Ce niveau élevé de plainte en masse peut provoquer une mise en quarantaine ou un blocage, même si l’envoi est légitime. Ici, le problème n’est pas seulement le contenu du message. Le signal collectif envoyé par les destinataires pèse aussi dans la décision.
Un message transactionnel isolé et une campagne volumique ne se traitent donc pas de la même façon. Si le blocage touche surtout vos envois marketing, cherchez d’abord une dégradation de la perception de ces messages avant d’assouplir le filtre. Une liste mal qualifiée ou une séparation insuffisante entre messages commerciaux et messages de service suffit à brouiller l’analyse.
Remettre un mail légitime en réception
Travaillez dans l’ordre et ne modifiez qu’un réglage à la fois. Vous devez pouvoir relier chaque changement à un résultat visible.
- Ouvrez les en-têtes complets du message, puis cherchez SFV:SPM. L’étape est validée si vous lisez clairement un verdict anti-spam ; elle échoue si aucun élément d’en-tête ne montre une décision de filtrage.
- Classez le message par type d’envoi, message individuel ou envoi en masse. Le tri est correct si une newsletter, un e-mail promotionnel ou une communication volumique est bien rangé côté campagne ; il est faux si vous traitez une facture ou un échange client comme un mail marketing.
- Vérifiez si le cas relève d’un signal de plainte en masse quand l’envoi est volumique. Vous êtes sur la bonne piste si le message bloqué appartient à une campagne légitime susceptible d’être touchée par un BCL 7 à 9 ; vous partez dans la mauvaise direction si vous cherchez ce score sur un mail unitaire.
- Modifiez une seule politique ou une seule règle. Le changement est exploitable si vous savez exactement quel réglage a été touché ; il devient inutilisable si une stratégie anti-spam et une règle de flux sont modifiées dans la même séquence.
- Attendez la prise d’effet avant le test. Le contrôle est fiable si vous refaites un envoi après le délai prévu, soit 15 à 30 minutes pour une stratégie anti-courrier indésirable et jusqu’à une heure pour une règle de flux Exchange ; il ne vaut rien si vous testez avant la propagation ou pendant la mise en cache.
- Renvoyez un message réel du même type. La correction est confirmée si le mail arrive dans la boîte de réception ; elle n’est pas acquise si le message revient en quarantaine ou reste bloqué malgré une seule modification.
Arrêtez-vous et faites intervenir un administrateur messagerie confirmé si le même envoi reste bloqué après un test propre, une seule modification et le délai complet de propagation.
SPF, DKIM et ce qu’ils ne corrigent pas
SPF et DKIM servent à authentifier l’expéditeur. Ils réduisent l’usurpation simple, mais ils n’expliquent pas à eux seuls pourquoi un message légitime est bloqué.
Ce que SPF et DKIM vérifient réellement
Le protocole SMTP, créé en 1982, ne prévoit à l’origine aucun mécanisme pour distinguer un vrai expéditeur d’un faux. SPF corrige une partie du problème en limitant l’envoi à des serveurs et adresses IP déclarés dans le DNS. DKIM ajoute une signature numérique liée au DNS pour authentifier la provenance du message.
Ces deux briques servent à dire : ce serveur peut envoyer pour ce domaine, et ce message porte une signature attendue. Elles renforcent l’identité technique de l’expéditeur. Elles ne disent pas qu’un contenu est souhaité, pertinent ou sans risque métier.
Pourquoi un mail peut rester bloqué malgré une bonne authentification
Un message peut respecter SPF et DKIM et rester refusé pour une autre raison. Un verdict anti-spam défavorable, un score de plainte en masse élevé ou une règle de flux plus stricte suffisent. À l’inverse, une attaque avancée peut présenter un format qui respecte formellement l’authentification tout en conservant une intention frauduleuse.
La conséquence est simple : ne corrigez pas le DNS par réflexe quand un seul message ne passe pas. Commencez par lire la couche qui a pris la décision. Si le blocage relève de l’anti-spam, SPF et DKIM ne sont pas la première molette à tourner. Si le mail demande un paiement, un changement d’IBAN ou un clic urgent, l’authentification ne remplace pas la vérification humaine.
Ce qu’une passerelle dédiée change, et ce qu’elle ne change pas
Une passerelle externe ne remplace pas l’analyse du blocage. Le fabricant d’e-securemail pour Microsoft 365 présente son service comme un filtrage placé au niveau MX, donc avant l’arrivée dans l’environnement Microsoft 365. Cette architecture peut déplacer l’endroit où la décision est prise. Elle ne supprime pas la nécessité de savoir si le rejet vient du spam, d’une règle ou d’une campagne mal perçue.
Gardez aussi une règle d’hygiène côté utilisateurs : séparez strictement les usages personnels et professionnels, et n’utilisez pas l’adresse de travail pour des inscriptions personnelles. Cette séparation réduit l’exposition de la boîte professionnelle à des flux parasites et facilite la veille sur les anomalies de messagerie.
Un mail légitime bloqué se corrige rarement dans le DNS : lisez d’abord le verdict qui a vraiment arrêté le message.
Sources
