Dodatek do Outlooka: wdrożenie centralne

Ta strona jest przeznaczona dla administratorów IT, którzy chcą, aby przycisk Zgłoś phishing pojawiał się automatycznie u każdego użytkownika w tenancie M365. Instrukcje dla użytkownika końcowego: Dodatek do Outlooka.

21.1 Co jest instalowane

Niewielki manifest XML (~5 KB). SourceLocation w manifeście wskazuje na https://platform.phishspot.com/outlook/taskpane, gdzie ładuje się aktualny pakiet UI. Efekt: wdrażanie nowych funkcji nie wymaga ponownego dystrybuowania dodatku — sam manifest zmienia się tylko wtedy, gdy zmieniają się etykiety, uprawnienia lub ikony.

21.2 Pobierz artefakt

Plik manifestu do bezpośredniego wgrania:

phishspot-outlook-manifest-v1.3.0.xml

Pełna paczka sideload (zip z ikonami + README):

phishspot-outlook-sideload-v1.3.0.zip

21.3 Wdrożenie przez Microsoft 365 Admin Center

PhishSpot używa formatu add-in only manifest, więc wdrażaj go z portalu Integrated apps (ścieżka rekomendowana przez Microsoft). Klasyczny portal Add-ins w panelu administracyjnym też zadziała — oba obsługują ten format.

Przebieg krok po kroku

1. Zaloguj się do admin.microsoft.com jako Global Admin.

2. W menu po lewej rozwiń … Show all, a następnie wybierz Settings → Integrated apps.

3. Kliknij link Add-ins u góry strony Integrated apps, a potem Deploy Add-in.

   

4. W wyborze źródła zaznacz Upload custom apps → Upload manifest file (.xml) from device i wskaż phishspot-outlook-manifest-v1.3.0.xml.

   

   (Kreator pokaże też dodatki z Microsoft Marketplace — to inna ścieżka, zignoruj. PhishSpot to dodatek typu LOB (line-of-business), instalowany z pliku manifestu.)

   

5. W kroku Assign users wybierz zakres i kliknij Deploy.

   

6. Standardowy manifest Microsoft 365 wymaga ReadItem. Klient bez bezpośredniego dostępu do nagłówków prosi osobno o delegowane uprawnienia Graph Mail.Read, User.Read i offline_access. Sprawdź zgodę według polityki tenantu: Mail.Read przyznaje odczyt skrzynki. Aplikacja korzysta z niego do pobrania zgłaszanej wiadomości i nie prosi o wysyłanie ani modyfikowanie poczty.

7. Potwierdź. Ostatni krok kreatora podpowiada, żeby ogłosić wdrożenie użytkownikom — zobacz Wskazówki dla użytkowników poniżej.

Zakres przypisania: wybieraj grupy, nie pojedynczych użytkowników

Zakres	Kiedy stosować
Everyone	”Używaj ostrożnie — tylko dla dodatków naprawdę uniwersalnych.” Zgłaszanie phishingu pasuje do wszystkich w większości organizacji, więc zwykle jest to dobry wybór.
Specific users / groups ⭐	Zalecane. Przypisanie do grupy oznacza, że nowi pracownicy automatycznie dostają dodatek, gdy zostaną dodani do grupy, a opuszczający — tracą go, gdy zostaną usunięci. Bez interwencji administratora. Przypisywanie do pojedynczych osób jest kruche — każda nowa osoba wymaga ręcznego dodania.
Just me	Idealne do testów. Po zweryfikowaniu, że przycisk działa w Twojej skrzynce, wróć do wdrożonego dodatku i kliknij Change who has access to add-in, aby poszerzyć rollout.

Czas propagacji

Microsoft dokumentuje, że dodatki mogą pojawić się na wstążce po 24–72 godzinach od wdrożenia, choć większość użytkowników widzi przycisk w ciągu 1–6 godzin. Użytkownicy mogą potrzebować zrestartować Outlooka (zamknąć wszystkie okna i otworzyć ponownie) zanim przycisk się pojawi. To normalne — nie eskaluj zbyt szybko.

21.4 Rekomendowana strategia rolloutu

Microsoft rekomenduje wdrażanie falami:

1. Fala 1 — IT + interesariusze. Wdróż dla zespołu IT i kilku interesariuszy biznesowych. Sprawdź, czy przycisk Zgłoś phishing pojawia się w ich Outlooku, czy parowanie działa od początku do końca, i czy testowo zgłoszona wiadomość trafia na listę Zgłoszone wiadomości w PhishSpot pod właściwym kontem. Rozwiąż tutaj wszelkie specyficzne dla tenanta niespodzianki (proxy / firewall / braki w prowizjonowaniu Kontaktów).
2. Fala 2 — jeden lub dwa działy. Rozszerz do jednego–dwóch działów. Oceń adopcję i obciążenie zespołu reagowania na incydenty. Dopracuj komunikację na podstawie wniosków z Fali 1.
3. Fala 3 — pełny rollout. Gdy Fala 2 wygląda zdrowo, przełącz przypisanie na grupę obejmującą całą organizację (lub Everyone) i ogłoś szeroko.

W tenancie do ~50 skrzynek można połączyć Fale 1 i 2 w jeden pilotaż. W tenancie powyżej kilku tysięcy skrzynek dodaj czwartą falę dzielącą Falę 3 wg regionu lub roli.

21.5 Wskazówki dla użytkowników

Microsoft wprost wskazuje to jako dobrą praktykę, a istotnie poprawia to liczbę zgłoszeń:

• Wyślij e-mail do wszystkich w dniu uruchomienia dodatku. Dodaj akapit wyjaśniający, do czego służy przycisk, screenshot wstążki i jedno zdanie o tym, czego nie robić (np. “w razie wątpliwości kliknij Zgłoś — fałszywe alarmy są w porządku; kliknięcie linku w wiadomości — już nie.”).
• Linkuj do runbooka helpdesku. Krótkie FAQ pokrywające: “Nie widzę jeszcze przycisku” (propagacja 24–72 h), “Pyta o 6-cyfrowy kod” (jednorazowe parowanie), “Dostałem podziękowanie — co dalej?” (SLA triażu zespołu bezpieczeństwa).
• Onboarding nowych osób. Dodaj do checklistry onboardingu IT krok potwierdzający, że użytkownik widzi przycisk i sparował swoje urządzenie.
• Wzmocnij komunikację w Miesiącu Świadomości Cyberbezpieczeństwa. Powtórz komunikaty w październiku — większość organizacji widzi wtedy skok zgłoszeń.

21.6 Zaprowiadź kontakty w PhishSpot

Dodatek paruje użytkownika z jednym Kontaktem PhishSpot. Upewnij się, że każdy użytkownik, który ma korzystać z dodatku, ma odpowiadający mu rekord Kontaktu, zanim spróbuje sparować — w przeciwnym razie pojawi się komunikat “Nie znaleziono konta”.

Możesz tworzyć kontakty:

• z importu CSV (zobacz Kontakty)
• przez synchronizację katalogu Microsoft Entra (Azure AD) — automatycznie
• ręcznie

21.7 Pierwsze parowanie — droga użytkownika

Outlook zapisuje aktywację w ustawieniach skrzynki, więc parowanie może być dostępne w innych klientach tej samej skrzynki. Pierwsza aktywacja:

1. Outlook → kliknij Zgłoś phishing w dowolnej otwartej wiadomości.
2. Panel pokazuje 6-cyfrowy kod.
3. Użytkownik otwiera https://platform.phishspot.com/guest/activation/new, loguje się i wkleja kod.
4. Panel automatycznie zgłasza wybraną wiadomość albo prosi o połączenie tej samej skrzynki Microsoft 365 i ponowienie zgłoszenia.

Każde udane parowanie tworzy token API w PhishSpot z uprawnieniem reported_messages:create przypisanym do jednego konta. Listę i odwoływanie tokenów znajdziesz w Ustawienia → Tokeny API.

21.8 Aktualizacje przyrostowe

Nowe wersje pakietu JS pojawiają się co kilka tygodni. Nie musisz ponownie wgrywać manifestu — wskaźnik wersji na https://platform.phishspot.com/api/v1/outlook/version jest jedynym źródłem prawdy, a każdy Outlook pobiera nowy pakiet przy następnym uruchomieniu.

Gdy zmienia się sam manifest (nowe uprawnienie, nowy przycisk), w notatce o wydaniu znajdziesz adnotację “manifest update required” i nowy plik phishspot-outlook-manifest-vX.Y.Z.xml. Wgraj go w taki sam sposób — M365 Admin Center rozpoznaje go jako uaktualnienie istniejącej aplikacji (ten sam Id UUID). Aby wymusić aktualizację z poziomu panelu dodatku LOB, wybierz wdrożony dodatek i kliknij przycisk Update Button w prawym dolnym rogu panelu szczegółów; zmiana zostanie zastosowana przy następnym uruchomieniu Outlooka przez każdego użytkownika.

21.9 Aktualizacje a blokady

Bootstrap dodatku sprawdza wersję przy każdym otwarciu. Dwa scenariusze:

• latest > zainstalowane — miękki baner. Użytkownik nadal może zgłaszać.
• min_supported > zainstalowane — twarda blokada. Zgłaszanie wyłączone do czasu wgrania nowego manifestu.

min_supported podnosimy tylko wtedy, gdy stara wersja jest niekompatybilna z istotną zmianą bezpieczeństwa lub modelu danych. Rzadko — najwyżej raz lub dwa razy w roku.

21.10 Wyłączenie

Aby usunąć dodatek:

1. M365 Admin Center → Integrated apps → PhishSpot Report Phishing → Remove. Usunięcie z wszystkich skrzynek w ciągu kilku godzin.
2. PhishSpot → Ustawienia → Tokeny API — odwołaj wszystkie tokeny ze źródłem outlook_addin.

21.11 Rozwiązywanie problemów

Objaw	Prawdopodobna przyczyna	Rozwiązanie
Przycisk nie pojawia się nikomu	Trwa propagacja	Microsoft podaje, że 24–72 h to norma; zrestartuj Outlook, aby przyspieszyć
Przycisk jest, panel pusty	Brak dostępu do platform.phishspot.com	Sprawdź proxy / firewall
Parowanie zawsze mówi “brak konta”	Użytkownik nie ma rekordu Kontaktu	Utwórz Kontakt i spróbuj ponownie
Zgłoszenia 403	Token przypięty do innego konta	Odłącz i sparuj ponownie
Nowy Outlook na Windows utknął na starej wersji	Agresywne cache’owanie	outlook.exe /resetnavpane lub wyczyść folder Wef

21.12 Zgodność

• Zgłoszenia są przechowywane w Twoim koncie PhishSpot, zgodnie z ustawieniami rezydencji danych.
• Token nigdy nie opuszcza skrzynki użytkownika (przechowywany w Office.roamingSettings).
• Kod źródłowy dodatku znajduje się w tym samym repozytorium Git co platforma PhishSpot, w plugins/office/. Podlega temu samemu procesowi przeglądu kodu.

21.13 Wersja 1.3: urządzenia mobilne, starsze klienty i lokalny Exchange

Wymagana aktualizacja manifestu. Wgraj manifest v1.3.0, aby udostępnić przycisk mobilny i minimum Mailbox 1.3. Dodatek zawiera składnię ES5 i uzupełnienia starszych silników przeglądarki. Dostępność funkcji zależy także od Exchange i aktualizacji Office. Podczas pilotażu zweryfikuj konkretne instalacje Outlook 2016, 2019, 2021 i 2024; zgodność manifestu nie zastępuje testu odbiorowego klienta.

Środowisko	Instalacja i nagłówki
Microsoft 365 na komputerze / w przeglądarce	Standardowy manifest (ReadItem). Pełne nagłówki z Outlooka, a gdy są niedostępne — delegowane logowanie Graph.
Outlook iOS / Android ze skrzynką Microsoft 365	Standardowy manifest z przyciskiem mobilnym. Logowanie Graph, gdy Outlook nie udostępnia pełnych nagłówków.
Lokalny Exchange	Manifest lokalnego Exchange v1.3.0, wdrażany przez administratora Exchange. Wymaga ReadWriteMailbox, ponieważ Office wymaga go dla EWS. Dodatek odczytuje nagłówki przez GetItem i nie zapisuje poczty.

Wdróż jeden wariant manifestu na skrzynkę. Mają ten sam identyfikator dodatku. Wariant lokalnego Exchange nie ma przycisku mobilnego i nie korzysta z EWS w Exchange Online. Wymaga dostępu HTTPS do lokalnego EWS oraz dostępności Office.js.

Dla ścieżki Microsoft 365 aplikacja Microsoft używana przez PhishSpot musi mieć adres przekierowania typu web https://platform.phishspot.com/api/integrations/microsoft_graph/callback oraz delegowane uprawnienia Graph User.Read/Mail.Read z dostępem offline. Polityka tenantu może wymagać zgody administratora. To odrębna zgoda od uprawnień aplikacyjnych do synchronizacji katalogu Entra. UPN logowania Microsoft musi odpowiadać adresowi kontaktu sparowanego z PhishSpot. Aplikacyjne uprawnienie Mail.Read do całego tenantu nie jest wymagane.

Administrator konta sprawdza i usuwa zapisany dostęp w Ustawienia → Integracje → Połączenia skrzynek Outlook, przez zasób JSON:API outlook_mailbox_connections lub MCP manage_outlook_mailboxes. Odłączenie zachowuje aktywację i wcześniejsze zgłoszenia. Wylogowanie w dodatku unieważnia aktywację i usuwa zapisane dane dostępu skrzynki. Samą zgodę Microsoft można cofnąć w zarządzaniu zgodami Microsoft Entra.