Exchange Online Protection 设置：防钓鱼、防垃圾邮件推荐值与 SPF、DKIM、DMARC 配置

简短回答： 最省事又安全的做法是：对所有用户启用 Standard 预设安全策略，对高风险账号启用 Strict，再为每个发信域名发布 SPF、DKIM 和 DMARC。预设策略之外只剩少数设置要手动改，主要是外发垃圾邮件限额和自动转发。最后用 Configuration analyzer（配置分析器）核对，它会列出所有比 Standard 或 Strict 更弱的策略设置。

本文写给 Microsoft 365 租户管理员，说明 Exchange Online Protection（EOP）该用哪些设置、怎么落实。微软现在把 EOP 称为"所有云邮箱的内置安全功能"（built-in security features for all cloud mailboxes），所以在最新的 Learn 页面里会看到这个名称。下列数值已于 2026 年 10 月 28 日对照 Microsoft Learn 核对。

EOP 覆盖什么

所有云邮箱默认启用内置防护：反恶意软件、入站和出站反垃圾邮件、连接筛选、反钓鱼（欺骗）保护，以及投递后清除坏邮件的零小时自动清除（ZAP）。默认威胁策略不能关闭，但可以用预设或自定义策略覆盖。冒充保护、钓鱼邮件阈值、Safe Links 和 Safe Attachments 需要 Microsoft Defender for Office 365（见Defender for Office 365 Plan 1 与 Plan 2 对比）。

SPF、DKIM、DMARC 要先修好，或同步处理。微软提醒，这三项缺失或有误时，即使策略设置是推荐值，正常邮件也可能进入垃圾箱或隔离区。

第 1 步：启用预设安全策略

1. 打开 Microsoft Defender 门户 security.microsoft.com。
2. 进入 Email & collaboration > Policies & rules > Threat policies > Preset Security Policies（在 Templated policies 部分）。
3. 首次访问时，Standard protection 和 Strict protection 通常是关闭的。把 Standard protection 拨到 On，选 Manage protection settings 启动向导，在 Apply Exchange Online Protection 页面选 All recipients。
4. 可选：打开 Strict protection，只分配给一小批人，例如高管、财务和 IT 管理员。微软的应用顺序是先 Strict，再 Standard，最后才是默认和自定义策略。

权限：属于 Organization Management 或 Security Administrator 角色组。只读访问可用 Global Reader。

预设策略里的设置大多不能编辑。需要不同的值，就用自定义策略，并参考下面的推荐值。

第 2 步：自建自定义策略时的推荐值

数值顺序为 默认、Standard、Strict，来自微软的推荐设置页面。

反垃圾邮件策略（Anti-spam）

• Bulk email threshold（批量邮件阈值）：7、6、5。
• Spam（垃圾邮件） 处理：移到垃圾邮件文件夹、移到垃圾邮件文件夹、隔离。
• High confidence spam（高可信度垃圾邮件） 处理：移到垃圾邮件文件夹、隔离、隔离。
• Phishing（钓鱼） 处理：移到垃圾邮件文件夹（默认策略）、隔离、隔离。
• High confidence phishing（高可信度钓鱼） 处理：三档都是隔离。用户不能自行释放高可信度钓鱼邮件。
• Bulk complaint level（BCL）达到或超过 的处理：移到垃圾邮件文件夹、移到垃圾邮件文件夹、隔离。
• 垃圾邮件在隔离区保留天数：15 天、30 天、30 天。
• 垃圾邮件和钓鱼的零小时自动清除：三档都开启。

反恶意软件策略（Anti-malware）

• Common attachments filter（常见附件筛选）：三档都开启。
• 发现这些文件类型时：三档都是"拒绝邮件并发送退信（NDR）"。
• 恶意软件的零小时自动清除：三档都开启。
• 隔离策略：三档都是 AdminOnlyAccessPolicy。

反钓鱼策略（欺骗部分，适用于所有邮箱）

• Enable spoof intelligence（欺骗智能）：三档都开启。
• Honor DMARC record policy（遵循 DMARC 记录策略）：三档都开启。发件域 DMARC 为 p=quarantine 时隔离，为 p=reject 时拒收。
• 欺骗智能判定为欺骗时：移到垃圾邮件文件夹、移到垃圾邮件文件夹、隔离。
• Show first contact safety tip（首次联系安全提示）：默认关闭，Standard 和 Strict 开启。
• Show (?) for unauthenticated senders 和 Show "via" tag：三档都开启。

外发垃圾邮件策略（不在预设策略内）

• 每小时外部邮件上限：Standard 建议 500，Strict 建议 400。
• 每小时内部邮件上限：Standard 1000，Strict 800。
• 每日邮件上限：Standard 1000，Strict 800。
• 用户达到上限后的限制：限制该用户发送邮件。
• Automatic forwarding rules（自动转发规则）：Off - Forwarding is disabled（关闭转发）。默认值由系统控制。

第 3 步：SPF、DKIM、DMARC

这三项在你的 DNS 托管商处发布，Microsoft 365 里没有 SPF 或 DMARC 记录的管理界面。

SPF

在每个发信域名的根域名下建一条 TXT 记录。如果只用 Microsoft 365 发信：

v=spf1 include:spf.protection.outlook.com -all

微软的规则：每个域名或子域名只能有一条 SPF 记录，DNS 查询次数少于 10 次，TTL 至少 3600 秒。每个发信的子域名要有自己的 SPF 记录。从不发信的域名，发布 v=spf1 -all。

DKIM

1. 在 Defender 门户进入 Email & collaboration > Policies & rules > Threat policies > Email authentication settings，打开 DKIM 选项卡。
2. 选中你的自定义域名，查看要发布的两条 CNAME 值，也可以用 PowerShell 读取：

Connect-ExchangeOnline
Get-DkimSigningConfig -Identity contoso.com | Format-List Name,Enabled,Status,Selector1CNAME,Selector2CNAME
# 如果该域名还没有配置：
New-DkimSigningConfig -DomainName contoso.com -Enabled $false

1. 在 DNS 托管商处，为 selector1._domainkey 和 selector2._domainkey 建 CNAME，指向上面显示的值。请用你租户里的值，不要用示例值。
2. DNS 生效后启用签名：在 DKIM 选项卡打开该域名的详细信息窗格，打开 Sign messages for this domain with DKIM signatures 开关。微软检测到你的 CNAME 记录之前，状态会显示 CnameMissing，这可能需要几分钟甚至更久。也可以运行 Set-DkimSigningConfig -Identity contoso.com -Enabled $true。

DMARC

按微软建议分阶段推行。主机名 _dmarc，记录类型 TXT：

1. 先用 v=DMARC1; p=none; pct=100; rua=mailto:dmarc-reports@contoso.com，观察汇总报告。
2. 改为 p=quarantine，pct 依次提高到 10、25、50、75、100。
3. 报告显示合法发信源都能通过后，改为 p=reject。

报告发到共享邮箱或群组，不要发到某个人的收件箱。自己无法控制的第三方发信服务，请使用子域名。

第 4 步：用 Configuration analyzer 核对

进入 Email & collaboration > Policies & rules > Threat policies > Configuration analyzer，或直接打开 security.microsoft.com/configurationAnalyzer。Standard recommendations 选项卡列出所有比 Standard 弱的设置，Strict recommendations 对应 Strict。点一行可以看原因，部分项目有 Apply recommendation（应用建议）。Configuration drift analysis and history 选项卡可查看最长 90 天的变更，并要求已开启统一审核。

用 PowerShell 读回关键值：

Get-HostedContentFilterPolicy | Format-List Name,BulkThreshold,SpamAction,HighConfidenceSpamAction,PhishSpamAction,QuarantineRetentionPeriod
Get-MalwareFilterPolicy | Format-List Name,EnableFileFilter,FileTypeAction,ZapEnabled
Get-AntiPhishPolicy | Format-List Name,HonorDmarcPolicy,DmarcQuarantineAction,DmarcRejectAction

常见错误

1. 改了默认策略，却忘了预设策略优先级更高。 用户只要在预设策略里，你的自定义策略就不会对他生效。
2. 发布了两条 SPF 记录。 一个域名两条记录会导致永久错误，请合并成一条。
3. DMARC 一上来就用 p=reject。 先用 p=none，看报告，补全缺漏的发信源。
4. SPF 用 ~all 结尾，却指望 DMARC 发挥作用。 微软建议用 -all，这样当邮件 SPF 失败又没有 DKIM 时，DMARC 才能处理。
5. 外发限额和自动转发保持默认。 这两项不在预设策略内，要手动设置。
6. 照抄示例里的 DKIM CNAME 目标。 一定要复制你自己租户里显示的值。

怎么确认生效了

1. 在 Preset security policies 页面确认 Standard 已开启，并列出了预期的收件人。
2. 微软给出的测试方法：垃圾邮件（非高可信度）对 Standard 用户进垃圾邮件文件夹，对 Strict 用户进隔离区。
3. 微软给出的批量邮件测试：BCL 为 6 或更高的批量邮件，Standard 用户进垃圾邮件文件夹；BCL 为 5 或更高的，Strict 用户进隔离区。
4. 向外部邮箱发一封邮件，查看邮件头，确认 spf=pass、dkim=pass、dmarc=pass。
5. 重新运行 Configuration analyzer，确认需要处理的项目数在下降。
6. 收紧策略期间，每周看一次 DMARC 汇总报告。

FAQ

"this message is protected with Microsoft information protection" 是什么意思？

发件人对这封邮件用了 Microsoft Purview 邮件加密或权限保护。收件人必须通过身份验证才能阅读，发件人也可能限制了转发等操作。参见Outlook 怎么发送和打开加密邮件。

Microsoft 365 包含 Exchange Online Protection 吗？

微软表示，内置防护包含在所有有云邮箱的组织里。另外还有面向本地邮箱的内置安全订阅。具体价格请看微软的价格页面。

EOP 和 Defender for Office 365 有什么区别？

EOP 涵盖反垃圾邮件、反恶意软件、针对欺骗的反钓鱼、连接筛选和 ZAP。Defender for Office 365 增加 Safe Links、Safe Attachments、冒充保护和钓鱼邮件阈值，Plan 2 再增加调查和演练工具。

反钓鱼策略该怎么设置？

开启欺骗智能和 Honor DMARC record policy，p=quarantine 时隔离，p=reject 时拒收，并显示首次联系安全提示。最简单的办法是给所有人分配 Standard 预设策略。

Exchange Online Protection 在 Microsoft 365 里起什么作用？

它是每个云邮箱都有的一组内置防护：反垃圾邮件、反恶意软件、针对欺骗的反钓鱼、连接筛选和零小时自动清除。微软现在称之为「所有云邮箱的内置安全功能」。要核对自己的设置，请使用上文的 Configuration analyzer。

另见Microsoft 365 安全检查清单和Microsoft Secure Score、CIS Benchmark、SCuBAGear 对比。

想请人再看一遍你的租户配置，我们的 Microsoft 365 安全审计会逐项检查这些设置。

如果想在动手前先了解完整审计的价格，Microsoft 365 安全审计要花多少钱一文列出了按人数分档的固定价格。