Exchange Online Protection 設定：防釣魚、防垃圾郵件建議值與 SPF、DKIM、DMARC 設定

簡短回答： 最省事又安全的做法是：對所有用戶啟用 Standard 預置安全性策略，對高風險帳戶啟用 Strict，再為每個發信域名發佈 SPF、DKIM 和 DMARC。預置安全性策略以外只有少數設定要手動改，主要是外發垃圾郵件限額和自動轉發。最後用 Configuration analyzer（組態分析器）核對，它會列出所有比 Standard 或 Strict 更弱的策略設定。

本文寫給 Microsoft 365 租戶管理員，說明 Exchange Online Protection（EOP）該用哪些設定、怎樣落實。微軟現在把 EOP 稱為「所有雲端郵箱的內建安全功能」（built-in security features for all cloud mailboxes），所以在最新的 Learn 頁面會見到這個名稱。以下數值已於 2026 年 10 月 28 日對照 Microsoft Learn 核對。

EOP 涵蓋甚麼

所有雲端郵箱預設啟用內建防護：反惡意軟件、入站和出站反垃圾郵件、連接篩選、反釣魚（偽冒）保護，以及投遞後清除壞郵件的零時差自動清除（ZAP）。預設威脅策略不能關閉，但可以用預置安全性策略或自訂策略覆蓋。冒充保護、釣魚郵件閾值、Safe Links 和 Safe Attachments 需要 Microsoft Defender for Office 365（見 Defender for Office 365 Plan 1 與 Plan 2 比較）。

SPF、DKIM、DMARC 要先修好，或同步處理。微軟提醒，這三項缺失或有誤時，即使策略設定採用建議值，正常郵件也可能落入垃圾郵件或隔離區。

第 1 步：啟用預置安全性策略

1. 打開 Microsoft Defender 門戶 security.microsoft.com。
2. 進入 Email & collaboration > Policies & rules > Threat policies > Preset Security Policies（在 Templated policies 部分）。
3. 首次到訪時，Standard protection 和 Strict protection 通常是關閉的。把 Standard protection 撥到 On，選 Manage protection settings 啟動精靈，在 Apply Exchange Online Protection 頁面選 All recipients。
4. 可選：開啟 Strict protection，只指派給一小批人，例如高層、財務和 IT 管理員。微軟的套用次序是先 Strict，再 Standard，最後才是系統預設策略和自訂策略。

權限：屬於 Organization Management 或 Security Administrator 角色群組。唯讀存取可用 Global Reader。

預置安全性策略內的設定大多不能編輯。需要不同的值，就用自訂策略，並參考下面的建議值。

第 2 步：自訂策略的建議值

數值次序為 系統預設、Standard、Strict，來自微軟的建議設定頁面。

反垃圾郵件策略（Anti-spam）

• Bulk email threshold（大量郵件閾值）：7、6、5。
• Spam（垃圾郵件） 處理：移到垃圾郵件文件夾、移到垃圾郵件文件夾、隔離。
• High confidence spam（高可信度垃圾郵件） 處理：移到垃圾郵件文件夾、隔離、隔離。
• Phishing（釣魚） 處理：移到垃圾郵件文件夾（系統預設策略）、隔離、隔離。
• High confidence phishing（高可信度釣魚） 處理：三檔都是隔離。用戶不能自行釋放高可信度釣魚郵件。
• Bulk complaint level（BCL）達到或超過 的處理：移到垃圾郵件文件夾、移到垃圾郵件文件夾、隔離。
• 垃圾郵件在隔離區保留天數：15 日、30 日、30 日。
• 垃圾郵件和釣魚的零時差自動清除：三檔都開啟。

反惡意軟件策略（Anti-malware）

• Common attachments filter（常見附件篩選）：三檔都開啟。
• 發現這些文件類型時：三檔都是「拒絕郵件並發送退信（NDR）」。
• 惡意軟件的零時差自動清除：三檔都開啟。
• 隔離策略：三檔都是 AdminOnlyAccessPolicy。

反釣魚策略（偽冒部分，適用於所有郵箱）

• Enable spoof intelligence（偽冒智慧）：三檔都開啟。
• Honor DMARC record policy（遵循 DMARC 記錄策略）：三檔都開啟。寄件域名的 DMARC 為 p=quarantine 時隔離，為 p=reject 時拒收。
• 偽冒智慧判定為偽冒時：移到垃圾郵件文件夾、移到垃圾郵件文件夾、隔離。
• Show first contact safety tip（首次聯絡安全提示）：預設關閉，Standard 和 Strict 開啟。
• Show (?) for unauthenticated senders 與 Show "via" tag：三檔都開啟。

外發垃圾郵件策略（不在預置安全性策略內）

• 每小時外部郵件上限：Standard 建議 500，Strict 建議 400。
• 每小時內部郵件上限：Standard 1000，Strict 800。
• 每日郵件上限：Standard 1000，Strict 800。
• 用戶達到上限後的限制：限制該用戶發送郵件。
• Automatic forwarding rules（自動轉發規則）：Off - Forwarding is disabled（停用轉發）。預設值由系統控制。

第 3 步：SPF、DKIM、DMARC

這三項在你的 DNS 代管商處發佈，Microsoft 365 內沒有 SPF 或 DMARC 記錄的管理介面。

SPF

在每個發信域名的根域名建立一條 TXT 記錄。如果只用 Microsoft 365 發信：

v=spf1 include:spf.protection.outlook.com -all

微軟的規則：每個域名或子域名只可有一條 SPF 記錄，DNS 查詢少於 10 次，TTL 至少 3600 秒。每個發信的子域名要有自己的 SPF 記錄。從不發信的域名，發佈 v=spf1 -all。

DKIM

1. 在 Defender 門戶進入 Email & collaboration > Policies & rules > Threat policies > Email authentication settings，開啟 DKIM 分頁。
2. 選取你的自訂域名，查看要發佈的兩條 CNAME 值，也可以用 PowerShell 讀取：

Connect-ExchangeOnline
Get-DkimSigningConfig -Identity contoso.com | Format-List Name,Enabled,Status,Selector1CNAME,Selector2CNAME
# 如果該域名還沒有組態：
New-DkimSigningConfig -DomainName contoso.com -Enabled $false

1. 在 DNS 代管商處，為 selector1._domainkey 和 selector2._domainkey 建立 CNAME，指向上面顯示的值。請用你租戶內的值，不要用範例值。
2. DNS 生效後啟用簽署：在 DKIM 分頁打開該網域的詳細數據窗格，開啟 Sign messages for this domain with DKIM signatures 開關。微軟偵測到你的 CNAME 記錄之前，狀態會顯示 CnameMissing，這可能需要幾分鐘甚至更久。也可以執行 Set-DkimSigningConfig -Identity contoso.com -Enabled $true。

DMARC

按微軟建議分階段推行。主機名稱 _dmarc，記錄類型 TXT：

1. 先用 v=DMARC1; p=none; pct=100; rua=mailto:dmarc-reports@contoso.com，觀察彙總報告。
2. 改為 p=quarantine，pct 依次提高到 10、25、50、75、100。
3. 報告顯示合法發信來源都能通過後，改為 p=reject。

報告發到共用郵箱或群組，不要發到某個人的收件匣。自己無法控制的第三方發信服務，請使用子域名。

第 4 步：用 Configuration analyzer 核對

進入 Email & collaboration > Policies & rules > Threat policies > Configuration analyzer，或直接打開 security.microsoft.com/configurationAnalyzer。Standard recommendations 分頁列出所有比 Standard 弱的設定，Strict recommendations 對應 Strict。按一行可看原因，部分項目有 Apply recommendation（套用建議）。Configuration drift analysis and history 分頁可查看最長 90 日的變更，並要求已啟用統一審核。

用 PowerShell 讀回關鍵值：

Get-HostedContentFilterPolicy | Format-List Name,BulkThreshold,SpamAction,HighConfidenceSpamAction,PhishSpamAction,QuarantineRetentionPeriod
Get-MalwareFilterPolicy | Format-List Name,EnableFileFilter,FileTypeAction,ZapEnabled
Get-AntiPhishPolicy | Format-List Name,HonorDmarcPolicy,DmarcQuarantineAction,DmarcRejectAction

常見錯誤

1. 改了系統預設策略，卻忘了預置安全性策略的優先次序較高。 用戶只要在預置安全性策略內，你的自訂策略就不會對他生效。
2. 發佈了兩條 SPF 記錄。 一個域名兩條記錄會導致永久錯誤，請合併成一條。
3. DMARC 一開始就用 p=reject。 先用 p=none，看報告，補上遺漏的發信來源。
4. SPF 以 ~all 結尾，卻期望 DMARC 發揮作用。 微軟建議用 -all，這樣當郵件 SPF 失敗又沒有 DKIM 時，DMARC 才能處理。
5. 外發限額和自動轉發保持預設。 這兩項不在預置安全性策略內，要手動設定。
6. 照抄範例的 DKIM CNAME 目標。 一定要複製你自己租戶內顯示的值。

如何確認已生效

1. 在 Preset security policies 頁面確認 Standard 已開啟，並列出預期的收件人。
2. 微軟提供的測試方法：垃圾郵件（非高可信度）對 Standard 用戶進垃圾郵件文件夾，對 Strict 用戶進隔離區。
3. 微軟提供的大量郵件測試：BCL 為 6 或以上的大量郵件，Standard 用戶進垃圾郵件文件夾；BCL 為 5 或以上的，Strict 用戶進隔離區。
4. 向外部郵箱發一封郵件，查看郵件標頭，確認 spf=pass、dkim=pass、dmarc=pass。
5. 重新執行 Configuration analyzer，確認需要處理的項目數目在下降。
6. 收緊策略期間，每星期看一次 DMARC 彙總報告。

FAQ

「this message is protected with Microsoft information protection」是甚麼意思？

寄件人對這封郵件使用了 Microsoft Purview 郵件加密或權限保護。收件人必須通過身份驗證才能閱讀，寄件人也可能限制了轉發等操作。參閱 Outlook 怎樣發送和開啟加密電郵。

Microsoft 365 包含 Exchange Online Protection 嗎？

微軟表示，內建防護包含在所有設有雲端郵箱的機構內。另外也有適用於內部部署郵箱的內建安全訂閱。實際價格請看微軟的價格頁面。

EOP 與 Defender for Office 365 有甚麼分別？

EOP 涵蓋反垃圾郵件、反惡意軟件、針對偽冒的反釣魚、連接篩選和 ZAP。Defender for Office 365 增加 Safe Links、Safe Attachments、冒充保護和釣魚郵件閾值，Plan 2 再增加調查和模擬演練工具。

反釣魚策略應該怎樣設定？

開啟偽冒智慧和 Honor DMARC record policy，p=quarantine 時隔離，p=reject 時拒收，並顯示首次聯絡安全提示。最簡單的做法是為所有人指派 Standard 預置安全性策略。

Exchange Online Protection 在 Microsoft 365 內有甚麼作用？

它是每個雲端郵箱都有的一組內建防護：反垃圾郵件、反惡意軟件、針對偽冒的反釣魚、連線篩選和零時差自動清除。微軟現在稱之為「所有雲端郵箱的內建安全功能」。要核對自己的設定，請使用上文的 Configuration analyzer。

另見 Microsoft 365 安全檢查清單和 Microsoft Secure Score、CIS Benchmark、SCuBAGear 比較。

想請人再看一遍你的租戶設定，我們的 Microsoft 365 保安審計會逐項檢查這些設定。

如果想在動手前先了解完整審計的收費，Microsoft 365 安全審計要多少錢一文列出了按人數分檔的固定收費。