Configurez le déploiement côté serveur des signatures e-mail pour Microsoft 365. Les e-mails transitent par les serveurs sécurisés de Scribe pour ajouter les signatures depuis n’importe quel appareil ou client.
L’installation côté serveur ajoute automatiquement les signatures aux e-mails depuis n’importe quel appareil ou client.
Installation centralisée en un clic. Aucune action requise de la part des collaborateurs. Les utilisateurs ne voient pas les signatures lors de la rédaction des e-mails. Vos e-mails sont traités par les serveurs sécurisés de Scribe pour l’injection des signatures.
Plateformes prises en charge : Web, Desktop, Apple Mail, iOS, Android
L’installation côté serveur modifie le routage de vos e-mails, pas les boîtes mail de vos collaborateurs. Rien n’est installé sur leurs appareils, et aucun module complémentaire ne s’exécute dans leur client de messagerie. À la place, la configuration ci-dessous ajoute une étape à votre flux d’envoi, et la signature est ajoutée à chaque message pendant son acheminement.
Un collaborateur envoie un e-mail. Exchange Online l’accepte depuis n’importe quel client ou appareil utilisé, si bien que la même règle couvre le web, le bureau, Apple Mail, iOS et Android. Les outils qui envoient depuis la boîte d’un collaborateur sont également couverts : les e-mails commerciaux HubSpot, ainsi que tout autre CRM ou séquenceur connecté à la boîte, reprennent la signature sans configuration supplémentaire, dès lors que l’adresse d’expéditeur appartient à un collaborateur dont vous avez installé la signature. Un outil qui envoie depuis ses propres serveurs plutôt que via Exchange Online, comme les e-mails marketing HubSpot, n’atteint jamais cette règle et n’obtient aucune signature.
Exchange Online achemine le message vers Scribe. La règle de flux de messagerie que vous créez ci-dessous cible les expéditeurs situés à l’intérieur de votre organisation et les redirige vers le connecteur sortant, qui achemine vers l’hôte intelligent smtp.server.scribe-mail.com en TLS.
Scribe ajoute la signature. Scribe insère la signature publiée du collaborateur en choisissant la bonne variante selon le contexte, puis re-signe le message afin qu’il reste authentifié après modification, et l’estampille avec un en-tête X-Scribe-Processed.
Le message retourne à Exchange Online. Scribe le renvoie via le connecteur entrant, configuré pour n’accepter les connexions que depuis les deux adresses IP de Scribe.
Exchange Online le distribue. L’en-tête X-Scribe-Processed correspond à l’exception de la règle, si bien que celle-ci ne se déclenche pas une seconde fois et le message part vers le destinataire comme n’importe quel autre message.
Scribe ajoute la signature ainsi que ses propres en-têtes : X-Scribe-Processed, un en-tête de routage indiquant au relais où renvoyer le message, un DKIM-Signature rafraîchi, une chaîne ARC et le Content-Type correspondant au corps réécrit. Vos destinataires, l’objet, les pièces jointes et le texte rédigé par votre collaborateur sont transmis sans modification.
Cette fonctionnalité s’adresse aux utilisateurs avancés. Une assistance informatique est requise pour configurer cette intégration.
Les utilisateurs ne voient pas les signatures lors de la rédaction d’un e-mail.
Vos e-mails sont traités via les serveurs sécurisés de Scribe pour installer les signatures. Scribe ne peut ni lire ni modifier vos e-mails.
Vous pouvez combiner l’intégration cloud avec l’intégration côté serveur. Si les deux sont connectées, Scribe utilise par défaut l’intégration cloud afin que les utilisateurs puissent voir leurs signatures lors de la rédaction d’e-mails.
Accès administrateur Microsoft 365 (centre d’administration Exchange)
Au moins une signature créée dans Scribe
La configuration comprend quatre étapes : créer un connecteur sortant, créer un connecteur entrant, créer une règle de flux de messagerie et configurer DKIM.
1
Créer un connecteur sortant
Pour acheminer les e-mails via les serveurs sécurisés de Scribe, créez un connecteur sortant dans votre administration Exchange. Dans l’interface d’administration Exchange, accédez à Flux de messagerie → Connecteurs et cliquez sur “Add a connector.”
Administration Exchange : page Connecteurs
2
Sélectionner le type de connexion
Sélectionnez “Office 365” pour la connexion depuis et “Partner organization” pour la connexion vers.
Nouveau connecteur : sélection du type de connexion
3
Configurer les détails du connecteur
Saisissez un nom et une description pour le connecteur. Cochez éventuellement “Turn it on” pour l’activer immédiatement.
Nom :Scribe signature outbound
Description :Scribe signature outbound
Nom et description du connecteur
4
Sélectionner l'utilisation du connecteur
Sélectionnez “Only when I have a transport rule set up that redirects messages to this connector.”
Utilisation de la sélection du connecteur
5
Configurer le routage
Sélectionnez “Route email through these smart hosts” et ajoutez l’hôte suivant à la liste :
smtp.server.scribe-mail.com
Configuration du routage avec le smart host Scribe
6
Configurer les restrictions de sécurité
Sélectionnez “Always use Transport Layer Security (TLS) to secure the connection (recommended)”, puis :a. Sélectionnez : “Issued by a trusted certificate authority (CA).”b. Cochez : “Add the subject name or subject alternative name (SAN) matches this domain name.”c. Saisissez ce qui suit dans le champ :
smtp.server.scribe-mail.com
Restrictions de sécurité : configuration TLS
7
Valider le connecteur
Saisissez l’adresse suivante comme e-mail de test et lancez la validation :
scribe-o365-test@scribe-mail.com
Il arrive que la validation échoue, mais vous pouvez poursuivre sans validation en toute sécurité.
Configuration de l'e-mail de validation
8
Créer un connecteur entrant
Dans votre interface d’administration Exchange, allez dans Mail flow → Connectors et cliquez sur “Add connector.” Sélectionnez la connexion depuis “Your organization’s email server” (la connexion vers sera automatiquement définie sur Office 365).
Nouveau connecteur entrant : sélection du type de connexion
9
Configurer les détails du connecteur entrant
Saisissez un nom et une description. Vous pouvez également cocher “Turn it on” pour activer immédiatement le connecteur.
Nom :Scribe signature inbound
Description :Scribe signature inbound
Nom et description du connecteur entrant
10
Authentifier les e-mails envoyés
Sélectionnez “By verifying that the IP address of the sending server matches one of the following IP addresses, which belong exclusively to your organization.”Ajoutez les deux adresses IP suivantes à la liste :
15.236.243.144
51.44.50.107
Authentification des e-mails envoyés : vérification des IP
11
Créer une règle de flux de messagerie
Dans votre interface d’administration Exchange, accédez à Mail flow → Rules.a. Cliquez sur “Add a rule”b. Cliquez sur “Create a new rule”
Page Rules : créer une nouvelle règle
12
Définir les conditions de la règle
Remplissez le formulaire de la règle comme suit :
Nom :Route outbound mail via Scribe Signature
Apply this rule if : The sender → is external/internal → The sender is located “InOrganization”
Do the following : Redirect the message to → the following connector → sélectionnez “Scribe signature outbound”
Except if : The message headers → match these text patterns → l’en-tête de message X-Scribe-Processed correspond à Processed
Cette exception empêche Scribe de traiter vos e-mails plusieurs fois.
Formulaire de définition des conditions de la règle
13
Activer la règle
À l’étape suivante, vous pouvez laisser les paramètres de la règle tels quels. Vérifiez votre règle et enregistrez-la. Dans la liste des règles, sélectionnez votre règle et activez-la.
Activer la règle de flux de messagerie
14
Configurer DKIM
Configurez DKIM pour vos domaines d’envoi afin d’éviter que les e-mails n’arrivent en spam et de préserver les images et les liens.Cliquez sur Configurer DKIM dans Scribe pour lancer la configuration.
Les questions qui reviennent le plus souvent lorsqu’une équipe IT examine cette intégration.
Quels e-mails sont routés via Scribe ?
Uniquement ceux que la règle de flux de messagerie cible : les messages dont l’expéditeur se trouve InOrganization. Les e-mails provenant de l’extérieur de votre tenant ne sont jamais redirigés vers Scribe.La règle comporte également une exception, définie lorsque vous remplissez les conditions de la règle : les messages déjà marqués avec l’en-tête X-Scribe-Processed sont ignorés, afin qu’aucun message ne soit traité deux fois.
La connexion à Scribe est-elle chiffrée ?
Oui, dans les deux sens, et la configuration l’impose. Le connecteur sortant utilise Always use Transport Layer Security (TLS), exige un certificat émis par une autorité de certification de confiance, et vérifie que le nom du sujet ou le SAN correspond à smtp.server.scribe-mail.com. Le connecteur entrant n’accepte les e-mails en retour que depuis les adresses IP de Scribe.
Que devons-nous autoriser à travers le pare-feu ?
En sortie, le connecteur achemine vers le smart host de Scribe :
smtp.server.scribe-mail.com
En entrée, Scribe renvoie les e-mails traités depuis deux adresses IP fixes, qui sont les seules que le connecteur entrant est configuré à accepter :
15.236.243.14451.44.50.107
L'acheminement via Scribe affecte-t-il SPF, DKIM ou DMARC ?
Cela affecte DKIM, et l’étape Configurer DKIM du guide est celle qui s’en occupe. L’insertion d’une signature modifie le corps du message, ce qui invalide la signature DKIM qu’Exchange Online a appliquée avant le départ du message. Scribe re-signe donc le message en sortie.Une fois DKIM configuré, deux éléments sont ajoutés à chaque message traité :
Un nouvel DKIM-Signature, signé avec une clé que Scribe génère pour votre domaine et publiée sous forme d’enregistrement scribe._domainkey. Il couvre les en-têtes From, To, Cc, Subject et Message-ID ainsi que le corps du message.
Une chaîne ARC (RFC 8617) : ARC-Authentication-Results, ARC-Message-Signature et ARC-Seal. Ils enregistrent les résultats d’authentification que le message portait lorsque Scribe l’a reçu, afin qu’un serveur destinataire puisse déterminer qu’un intermédiaire autorisé l’a modifié plutôt que d’interpréter la modification comme une altération.
SPF n’est pas affecté, car Exchange Online effectue toujours la livraison finale et le message atteint votre destinataire depuis l’infrastructure d’envoi de Microsoft.La re-signature ne se produit qu’une fois votre enregistrement DKIM validé, c’est pourquoi le guide traite cette étape comme obligatoire plutôt qu’optionnelle. Ignorez-la et vos destinataires recevront des e-mails dont la signature d’origine ne peut plus être vérifiée.
Qu'est-ce qui empêche un message d'être traité deux fois ?
Deux mécanismes. Scribe marque chaque message qu’il traite avec un en-tête X-Scribe-Processed, et la règle de flux de messagerie comporte une exception pour les messages dont les en-têtes correspondent, si bien qu’un message revenant de Scribe ne déclenche plus la redirection.Comme deuxième garde-fou, Scribe vérifie si le corps du message contient déjà la signature avant d’en insérer une. Un message qui lui parvient deux fois est envoyé avec une seule signature.
La validation du connecteur a échoué. La configuration est-elle défectueuse ?
Pas nécessairement. La validation de Microsoft envoie un message de test à scribe-o365-test@scribe-mail.com et n’aboutit pas toujours, même lorsque le routage est correct. Vous pouvez enregistrer le connecteur et poursuivre. Confirmez plutôt la configuration en envoyant un vrai e-mail une fois la règle de flux de messagerie activée, puis vérifiez que le destinataire voit bien la signature.
Pourquoi les collaborateurs ne voient-ils pas la signature lors de la rédaction ?
Parce que la signature est ajoutée après le départ du message de la boîte aux lettres, et non dans la fenêtre de rédaction. Pour la même raison, la copie enregistrée dans le dossier Éléments envoyés de l’expéditeur est la version antérieure au traitement par Scribe, elle n’affiche donc pas la signature non plus. Le destinataire reçoit toujours la signature complète.Si la visibilité à la rédaction compte pour vos équipes, connectez également l’intégration cloud. Lorsque les deux sont connectées, Scribe utilise par défaut la version cloud pour que les collaborateurs voient leur signature pendant la rédaction, et la version côté serveur continue de couvrir les clients que la version cloud ne peut pas atteindre.
Les réponses et les e-mails internes reçoivent-ils une signature différente ?
Oui, si vous les publiez. Les variantes de signature fonctionnent avec l’installation côté serveur, et Scribe en choisit une lors du traitement de chaque message :
En réponse, lorsque le sujet commence par un préfixe de réponse ou de transfert tel que Re:, Fw: ou Fwd:, y compris leurs équivalents localisés.
Interne, lorsque tous les destinataires sont sur le même domaine que l’expéditeur.
Principale dans tous les autres cas.
Que fait Scribe du contenu de nos e-mails ?
Scribe insère la signature, signe à nouveau le message et le renvoie directement à Exchange Online. Il n’agit pas sur ce que vos collaborateurs écrivent : les destinataires, l’objet, les pièces jointes et le corps du message sont transmis sans modification.Les contrôles mis en place par Scribe à ce sujet sont vérifiés dans le cadre de son processus SOC 2 Type II. Consultez Sécurité produit et Sécurité de l’infrastructure pour les détails qu’exigera votre revue de sécurité, ou le Trust Center pour les certifications elles-mêmes.
Comment revenir en arrière ?
Désactivez la règle de flux de messagerie dans le centre d’administration Exchange. Les e-mails quittent alors à nouveau Exchange Online directement, sans passage par Scribe et sans signature ajoutée. Les deux connecteurs peuvent rester en place, inutilisés, jusqu’à ce que vous décidiez de les supprimer.
