Guide de l’administrateur : Ascripto et Microsoft 365

Dernière mise à jour : 19 octobre 2026

Pour l’Administrateur général, l’Administrateur Exchange ou le prestataire informatique chargé de connecter Microsoft 365 ou de modifier le flux de messagerie, et pour quiconque évalue la façon dont Ascripto traite un message.

L’application Entra

Une seule inscription d’application multilocataire, Ascripto, domaine de l’éditeur ascripto.com. Un client voit une seule application d’entreprise dans le centre d’administration Microsoft Entra.

Autorisation	Type	Demandée lors de	Utilisée pour
`openid`, `profile`, `email`	déléguée	la connexion	savoir qui se connecte ; identité fondée sur l’ID d’objet du compte et l’ID de son locataire (tenant), jamais sur l’adresse e-mail
Microsoft Graph `User.Read.All`	application	Connecter Microsoft 365 (consentement administrateur)	la lecture de l’annuaire : les utilisateurs, avec des requêtes delta pour les modifications
Microsoft Graph `Domain.Read.All`	application	ce même consentement	les domaines vérifiés de l’organisation : la preuve qu’un domaine acheminé via le relais vous appartient
Office 365 Exchange Online `Exchange.Manage` (Manage Exchange As Signed-in User)	déléguée	Configurer pour moi uniquement	permettre à Ascripto de créer les connecteurs et la règle, à cette seule occasion

Group.Read.All n’est pas demandée : rien ne lit les groupes. Les autorisations d’application sont authentifiées par certificat, et non par un secret client.

Qui peut donner son consentement. Le consentement administrateur pour l’annuaire nécessite un Administrateur général ou un Administrateur de rôle privilégié ; Ascripto vérifie les rôles d’annuaire du compte connecté avant d’envoyer qui que ce soit vers l’écran de consentement de Microsoft, et indique à un non-administrateur qui peut le faire à sa place. Configurer pour moi nécessite un Administrateur général ou un Administrateur Exchange ; Exchange applique en outre son propre contrôle d’accès en fonction du rôle.

La vérification de l’éditeur est en cours (inscription à l’Espace partenaires commencée le 15 octobre 2026). Tant qu’elle n’est pas terminée, l’écran de consentement de Microsoft affiche non vérifié, et un non-administrateur ne peut pas donner son consentement, même pour se connecter, sans l’approbation d’un administrateur. Commencez par un administrateur.

Synchronisation de l’annuaire

Les modifications sont lues chaque minute (requête delta de Microsoft Graph) et l’annuaire complet une fois par jour, ou immédiatement depuis Paramètres → Connexions. Les utilisateurs sans licence Microsoft 365 apparaissent et ne coûtent rien. Un utilisateur qui disparaît passe dans la corbeille d’Ascripto (7 jours par défaut, réglable jusqu’à un an) et revient sous la même fiche s’il réapparaît.

Flux de messagerie : le relais en boucle

Microsoft Graph ne permet pas de gérer les signatures Outlook, Exchange Web Services est désactivé par étapes d’octobre 2026 à avril 2027, et les clauses d’exclusion de responsabilité des règles de transport ne peuvent ni contenir d’images ni se placer sous la dernière réponse. Ascripto ajoute donc la signature en transit :

auteur ─▶ Exchange Online ──(connecteur sortant)──▶ relais Ascripto
                                                    │ insère la signature
         Exchange Online ◀──(connecteur entrant)────┘
            │
            └─▶ remet au destinataire comme aujourd’hui

Le message quitte votre locataire et y revient aussitôt. Conséquences à signaler à la personne responsable de votre messagerie :

Les enregistrements MX, les e-mails entrants et SPF ne sont pas modifiés. Le dernier saut vers le destinataire part de l’adresse IP d’Exchange Online elle-même : SPF et DMARC sont donc évalués exactement comme avant.
E-mails sortants uniquement, et seulement pour les domaines que vous ajoutez dans Paramètres → Acheminement, qui doivent être vérifiés dans votre locataire (Ascripto les lit via Graph).
Les deux trajets passent par SMTP sur le port 25, avec TLS obligatoire. Ascripto est identifié auprès de votre locataire par certificat, jamais par adresse IP : un changement du côté d’Ascripto n’exige donc jamais de modification dans votre locataire.
Hôtes du relais : eu1.relay.ascripto.com (principal) et eu2.relay.ascripto.com (secours), tous deux couverts par le certificat *.relay.ascripto.com. Hébergés sur Microsoft Azure, dans la région Germany West Central.

Ce que crée la configuration

Les deux méthodes (Configurer pour moi et le script) créent les trois mêmes objets à partir de la même description, et toutes deux sont idempotentes : un objet existant est mis à jour, et non dupliqué.

Connecteur entrant Ascripto inbound : de type local (on-premises), activé, RequireTls, acceptant les e-mails dont le certificat client TLS est *.relay.ascripto.com, pour tout domaine d’expéditeur (RestrictDomainsToCertificate false), CloudServicesMailEnabled pour qu’Exchange traite le message qui revient comme le sien et conserve les en-têtes d’origine.

Connecteur sortant Ascripto outbound : de type local, activé, associé à la règle de transport (IsTransportRuleScoped), hôtes actifs eu1.relay.ascripto.com et eu2.relay.ascripto.com, TlsSettings DomainValidation avec TlsDomain *.relay.ascripto.com, UseMxRecord false, RouteAllMessagesViaOnPremises false.

Règle de flux de messagerie Ascripto signatures, priorité 0, mode Enforce, RuleErrorAction Ignore :

Condition / exception	Valeur	Pourquoi
le domaine de l’adresse de l’expéditeur est	vos domaines acheminés, comparés sur l’enveloppe	uniquement les e-mails de vos domaines
l’expéditeur est	à l’intérieur de l’organisation	ne jamais relayer d’e-mails entrants ou externes
sauf si l’en-tête `X-Ascripto-Relayed` correspond à	`.`	le relais ajoute cet en-tête ; sans cette exception, le message tournerait en boucle
sauf si l’adresse de l’expéditeur correspond à	`<>` et `Return-Path` contient `<>`	les messages de non-remise ne portent pas de signature
sauf si le type de message est	Calendaring	les invitations ne sont pas touchées
action	acheminer via `Ascripto outbound`

Le script (relay-setup.ps1, présenté étape par étape sur la page Acheminement) installe le module ExchangeOnlineManagement s’il est absent, exécute Connect-ExchangeOnline, puis Get- / Set- ou New- pour chaque objet, et Enable-TransportRule. Il fonctionne sous Windows PowerShell 5.1 ou PowerShell 7. Configurer pour moi exécute les mêmes applets de commande via le point de terminaison d’administration d’Exchange, avec un jeton délégué qui reste dans la mémoire de la requête pendant environ une heure et n’est jamais écrit nulle part : ni dans la base de données, ni dans un cookie, ni dans un journal.

La vérification

Ascripto ne peut pas lire votre configuration Exchange. Le script de vérification exécute Get-InboundConnector, Get-OutboundConnector et Get-TransportRule pour les trois noms et écrit ascripto-check.json ; chargé sur la page Acheminement, ce fichier permet de comparer chaque paramètre à ce que définit la configuration et de lister toute différence par nom et par valeur. Le fichier est comparé, puis supprimé. L’autre moitié est la sonde de flux de messagerie de la ligne du domaine : Dernier e-mail il y a 2 minutes · 14 au cours des dernières 24 heures, ou Aucun e-mail de ce domaine n’a atteint Ascripto depuis N jours.

Comment le relais traite un message

Pour chaque destinataire (le relais traite un destinataire par transaction : un message adressé à trois personnes revient donc sous forme de trois remises) :

Acheminer. Le domaine de l’expéditeur est recherché dans la copie locale de vos routes que conserve le relais, afin de déterminer à quel hôte Exchange Online rendre le message. Un domaine inconnu est refusé avec une erreur temporaire (4xx), jamais deviné : un délai de propagation coûte ainsi un retard, et non un message mal acheminé. Exchange réessaie.
Décider s’il faut signer. Sont laissés exactement tels que reçus, et consignés comme Non signé avec la raison : les e-mails chiffrés S/MIME ou signés numériquement ; les messages de calendrier ; les messages de non-remise ; un expéditeur qui n’est pas une personne de votre annuaire dotée d’une signature (une liste de distribution, un message redirigé) ; un message trop volumineux pour être signé ; et le rare message qu’Outlook classique envoie uniquement en texte enrichi (winmail.dat), où la signature ne peut pas être placée en toute sécurité.
Insérer. Le HTML et le texte brut de la signature sont placés sous le nouveau texte et au-dessus des éventuels messages précédents cités, dans la partie HTML comme dans la partie texte brut. Les images sont incorporées sous forme de parties MIME inline, dédupliquées d’après leur contenu, pour qu’un fil de discussion n’accumule pas une copie du logo à chaque réponse. Si le message contient la propre signature Outlook de l’expéditeur (le bloc <div id="Signature"> d’Outlook), ce bloc est remplacé au lieu d’être doublé. La signature d’Ascripto est elle-même encadrée par <div data-ascripto-sig="1">, pour qu’un renvoi ou une boucle la retrouve et n’en ajoute pas une seconde.
Marquer et renvoyer. L’en-tête X-Ascripto-Relayed est ajouté et le message est rendu à votre locataire via TLS.

L’ajout des signatures ne dépend jamais du plan de contrôle d’Ascripto. Les signatures sont publiées sur les hôtes du relais sous forme de paquet et lues depuis le disque local ; le relais continue de signer si l’application web ou la base de données est indisponible.

Comportement en cas de panne

Situation	Comportement par défaut	Alternative
L’ajout de la signature est impossible (le service de signature du relais est occupé, injoignable ou n’a pas encore de paquet pour votre espace de travail)	laisser passer en cas de panne (fail-open) : le message poursuit sa route sans signature et est consigné comme Envoyé sans signature	bloquer en cas de panne (fail-closed), par espace de travail et sur demande : le message est différé pour qu’Exchange Online réessaie, pour les organisations dont la signature porte des mentions légales obligatoires
L’acheminement ne peut pas être déterminé	toujours bloquer en cas de panne (refus temporaire ; Exchange met le message en file d’attente et réessaie)	aucune ; une supposition erronée remettrait vos e-mails à un autre locataire
Espace de travail suspendu pour défaut de paiement	les e-mails passent sans signature pendant 7 jours, puis sont refusés temporairement ; Exchange Online les met en file d’attente et finit par les renvoyer à l’expéditeur, sauf si l’acheminement est supprimé	payer, ou désactiver la règle
Espace de travail suspendu pour violation des conditions d’utilisation	refus temporaire immédiat	supprimer l’acheminement

Le journal des e-mails

Paramètres → Acheminement → Journal des e-mails : chaque message passé par le relais, du plus récent au plus ancien, sur les 10 derniers jours, avec recherche par expéditeur, destinataire ou Message-ID, et mise à jour à quelques minutes d’intervalle. Pour chaque destinataire : Signature insérée ou Non signé : raison, et Sorti du relais, accepté par Microsoft / En attente : Microsoft a demandé au relais de réessayer / Refusé par Microsoft ; l’expéditeur reçoit un message de non-remise, avec le code SMTP et le nombre de tentatives. L’objet et le contenu des e-mails ne sont jamais stockés : ils ne peuvent donc pas être recherchés. La trace conserve les adresses d’enveloppe, le Message-ID, l’heure, la taille et le résultat.

Ce que voient les destinataires et les expéditeurs

La signature n’apparaît ni dans la fenêtre de rédaction ni dans les Éléments envoyés, car elle est insérée après l’envoi. Il n’existe pas aujourd’hui de « mise à jour des Éléments envoyés ».
Tous les clients de messagerie sont couverts, y compris Outlook mobile et Apple Mail, car rien ne dépend du client.
Authentification : Exchange Online remet le message revenu avec un DMARC aligné sur SPF (c’est sa propre adresse IP qui l’envoie). Il ne signe pas avec DKIM un message revenu par un connecteur, comme pour les autres produits de relais. Une copie transférée plus tard par un destinataire peut donc échouer à la vérification DMARC. À venir : DKIM par délégation, où vous ajoutez deux enregistrements CNAME (ascripto1._domainkey et ascripto2._domainkey) pointant vers Ascripto et où le relais signe au retour.

Retirer Ascripto

L’ordre compte, car retirer un domaine dans Ascripto amène le relais à retenir aussitôt les e-mails de ce domaine.

Dans Exchange Online, désactivez d’abord la règle : Disable-TransportRule -Identity 'Ascripto signatures' -Confirm:$false (la page Acheminement affiche cette ligne lorsque vous retirez le dernier domaine).
Dans Ascripto, Paramètres → Acheminement → Retirer pour chaque domaine.
Supprimez la règle et les connecteurs : Remove-TransportRule 'Ascripto signatures', Remove-OutboundConnector 'Ascripto outbound', Remove-InboundConnector 'Ascripto inbound'.
Dans le centre d’administration Microsoft Entra → Entra ID → Applications d’entreprise → Ascripto → Autorisations → Consentement administrateur → révoquez les autorisations, ou supprimez l’application d’entreprise, ce qui retire toutes les autorisations accordées.

Pour retirer un domaine et conserver les autres : retirez-le dans Ascripto, puis relancez aussitôt la configuration ; la règle régénérée ne le mentionne plus. D’ici là, Exchange continue d’envoyer les e-mails de ce domaine à Ascripto, où ils attendent ; rien n’est perdu.

Utilisateurs facturés et données

Sur Microsoft 365, un utilisateur facturé est toute personne pour qui le relais a signé au moins un message dans le mois. Les boîtes aux lettres partagées et les expéditeurs sans signature ne coûtent rien.

Le traitement des données (région de stockage, conservation, accès du personnel, DPA) est le même que pour Google Workspace et il est décrit dans ce guide. Propre au relais : le contenu des messages est traité en transit et n’est pas stocké ; le journal des e-mails est conservé 10 jours.