Письмо считается спамом при 5 баллах и отклоняется при 15. Каждый тест ниже добавляет или снимает баллы; в результате перечислены сработавшие.
Пороги меняются через threshold и rejectThreshold. Баллы меняются через scores — либо по ключу настройки (scores: {deceptiveLink: 4}), либо по имени теста, что фиксирует баллы этого теста (scores: {FROM_NAME_BRAND: 4}).
Вероятность спама по оценке классификатора в логарифмической шкале шансов: 2,4 балла при 90 %, 5 при 99 % и 6,25 при 99,9 %, поэтому классификатор сам помечает спам, только если уверен хотя бы на 99 %. Имя указывает диапазон: BAYES_999 — 99,9 % и выше, BAYES_99 — от 99 % до 99,9 %, BAYES_50 — от 40 % до 60 %. Ключи настроек bayesHam и bayesSpam задают два крайних значения.
Домен ссылки имитирует бренд похожими или переставленными символами
MIXED_SCRIPT_DOMAIN
3
mixedScriptDomain
Метка домена смешивает алфавиты
BRAND_IN_DOMAIN
1,5
brandInDomain
Название бренда внутри чужого домена
TYPO_DOMAIN
1
typoDomain
Отличается от домена бренда на одну букву
DECEPTIVE_LINK
3
deceptiveLink
Ссылка показывает один адрес, а ведёт на другой
MALICIOUS_DOMAIN
6
maliciousDomain
Резолвер Cloudflare против вредоносных программ блокирует домен из ссылки
ADULT_DOMAIN
2
adultDomain
Семейный резолвер Cloudflare блокирует домен из ссылки
URIBL_<LIST>
5
uriblListed
Домен из ссылки есть в чёрном списке доменов, например URIBL_DBL
Домены, которые только упомянуты в тексте без ссылки, тоже проверяются на сходство с брендами, но учитываются, только если явно имитируют бренд: похожие буквы или переставленные символы для бренда из пяти и более букв. Ответ или подпись могут упоминать любой сайт, а у компании может быть короткое название, отличающееся от названия бренда на один символ.