compauth dans Microsoft 365 : Composite Authentication et tous les codes de raison

Dans l’en-tête Authentication-Results d’un e-mail reçu dans Microsoft 365 figure, à côté des résultats standard pour SPF, DKIM et DMARC, un champ propre à Microsoft :

Authentication-Results: spf=pass (sender IP is 192.0.2.10)
  smtp.mailfrom=example.com; dkim=pass (signature was verified)
  header.d=example.com; dmarc=pass action=none header.from=example.com;
  compauth=pass reason=100

compauth signifie Composite Authentication : Microsoft 365 combine les résultats de SPF, DKIM et DMARC avec d’autres signaux du message afin d’établir une évaluation globale de la crédibilité de l’adresse From visible. L’évaluation se base sur le domaine From, c’est-à-dire l’adresse que les destinataires voient dans leur client de messagerie. Microsoft comble ainsi la lacune qui apparaît lorsqu’un domaine expéditeur n’a pas publié d’enregistrements d’authentification ou ne les a publiés que de manière incomplète : même sans politique DMARC, il vérifie implicitement si l’e-mail correspond au domaine revendiqué.

Les quatre résultats

• compauth=pass : Le message a réussi l’authentification explicite (DMARC) ou implicite.
• compauth=softpass : La vérification implicite a réussi avec un niveau de confiance moindre.
• compauth=fail : Le message a échoué à la vérification explicite ou implicite.
• compauth=none : Aucune vérification composite n’a eu lieu ou elle a été ignorée.

Un compauth=fail n’entraîne pas automatiquement une mise en quarantaine ou un classement dans le dossier de courrier indésirable. Il s’agit d’un signal d’entrée pour la décision de filtrage ; le traitement effectif dépend de CAT et d’autres champs de X-Forefront-Antispam-Report. À l’inverse, pour savoir pourquoi compauth a pris cette décision, il faut consulter le code reason qui suit directement le résultat.

Vue d’ensemble des codes de raison

Le code à trois chiffres indique la règle ayant conduit au résultat. Le premier chiffre sert de groupe : 0xx et 6xx sont des échecs, 1xx et 7xx des vérifications réussies, 2xx correspond à softpass, tandis que 3xx, 4xx et 9xx signifient qu’aucune vérification n’a été effectuée ou qu’elle a été ignorée.

Les cas les plus fréquents en pratique

compauth=fail reason=001 est le cas standard pour les domaines sans authentification ou avec une authentification faible. La correction relève de l’expéditeur : publier SPF avec -all, une signature DKIM et une politique DMARC. Tant que ces enregistrements font défaut, la délivrabilité dépend des signaux de réputation.

compauth=fail reason=601 apparaît lorsque des e-mails utilisant son propre domaine comme expéditeur arrivent de l’extérieur, typiquement avec Direct Send : des appareils multifonctions, applications ou prestataires remettent directement au MX sans connecteur authentifié. La correction passe par un Inbound Connector correctement configuré ou par l’ajout de la source à son propre SPF.

compauth=fail reason=000 ou 010 signifie que DMARC a été appliqué normalement. Si action=oreject figure à côté, Microsoft 365 a traduit la politique Reject de l’expéditeur en une remise en quarantaine. Il n’y a rien à corriger, sauf si l’expéditeur est légitime et que son authentification est défectueuse.

reason=108 et reason=130 concernent les scénarios de transfert et de passerelle : une station intermédiaire a modifié l’e-mail ou un ARC-Sealer fiable a conservé les résultats de vérification d’origine. Quiconque exploite une passerelle avant Microsoft 365 devrait déclarer son ARC-Sealing comme fiable dans la configuration antispam ; sinon, les e-mails légitimes continueront d’échouer à DMARC.

Lire compauth dans l’en-tête

En pratique, compauth est rarement seul : seule l’interaction avec les résultats SPF, DKIM et DMARC individuels, l’alignement des domaines impliqués et la chaîne Received donne une image complète. L’analyseur d’en-têtes d’e-mail de ce site décode compauth et son code de raison directement dans le navigateur, puis affiche côte à côte les domaines concernés (From, Envelope-From, d=) pour l’évaluation de l’alignement ; l’en-tête collé ne quitte pas le navigateur.