¿Qué es ARC (Authenticated Received Chain)?

Definición

La Authenticated Received Chain es un estándar de autenticación de correo definido en la RFC 8617, publicada en julio de 2019. Su propósito es resolver una debilidad de larga data en la forma en que SPF y DKIM se comportan cuando un mensaje se retransmite a través de un servidor intermediario en lugar de entregarse directamente del remitente al destinatario.

Cuando envías un correo directamente a un destinatario, las comprobaciones de SPF y DKIM suelen tener éxito y DMARC pasa. El problema aparece cuando un mensaje viaja a través de un tercero por el camino. Una lista de distribución, una cuenta que reenvía el correo automáticamente o una pasarela de seguridad suelen modificar el mensaje. Puede reescribir el asunto, añadir un pie de página o retransmitir el mensaje desde una dirección IP distinta. Esos cambios rompen la firma DKIM original e invalidan el resultado de SPF, lo que puede hacer que DMARC falle aunque el mensaje sea perfectamente legítimo.

ARC fue diseñado por un grupo del sector que incluía a ingenieros de Google y de otros grandes operadores de correo, precisamente para dar a los receptores una forma de reconocer esta situación. En lugar de juzgar únicamente la autenticación rota que ve en el salto final, un receptor puede leer la cadena ARC y descubrir que el mensaje se autenticó correctamente antes de que el intermediario lo tocara.

Cómo funciona

ARC funciona haciendo que cada intermediario participante añada al mensaje un registro firmado criptográficamente, llamado conjunto ARC, antes de reenviarlo. Cada conjunto ARC se compone de tres campos de encabezado, y cada conjunto lleva un número de instancia para que la cadena pueda leerse en orden.

El primer campo es ARC-Authentication-Results. Este captura una instantánea de los resultados de SPF, DKIM y DMARC que el intermediario observó en el momento en que recibió el mensaje. Es, en la práctica, una copia congelada del veredicto de autenticación en ese salto.

El segundo campo es ARC-Message-Signature. Funciona de forma muy parecida a una firma DKIM. Es una firma criptográfica sobre los encabezados y el cuerpo del mensaje tal y como existen en ese punto de la cadena, lo que vincula el resultado de autenticación registrado con el contenido real que había presente.

El tercer campo es ARC-Seal. Es una firma que cubre toda la cadena de encabezados ARC anteriores, no solo el conjunto actual. El sello lleva una etiqueta de validación de cadena, escrita como cv, que informa del estado de la cadena hasta el momento. Un valor de none significa que este es el primer salto, pass significa que todos los conjuntos ARC anteriores se validaron correctamente, y fail significa que algo en la cadena no se pudo verificar.

A medida que un mensaje pasa por varios servidores compatibles con ARC, los números de instancia aumentan con cada salto. Un servidor receptor que valida el mensaje lee los conjuntos ARC en orden, confirma que no falta ninguna entrada, comprueba que cada sello informa de las entradas anteriores como válidas y verifica la firma de mensaje más reciente. Si la cadena se mantiene íntegra, el receptor puede confiar en el resultado de autenticación que se registró en el primer salto.

Por qué importa para la entregabilidad del correo

ARC importa porque el reenvío y las listas de distribución están por todas partes y, sin ARC, hacen que el correo legítimo se rechace de forma silenciosa. Un empleado que reenvía el correo del trabajo a una cuenta personal, una lista de debate que añade un pie de página a cada mensaje y un dispositivo de seguridad de un tercero que analiza el correo entrante rompen DKIM o SPF de maneras que no tienen nada que ver con si el mensaje es auténtico.

Cuando el propietario de un dominio publica una política DMARC estricta como p=reject, esos resultados de autenticación rotos harían que normalmente se descartara la copia reenviada. El destinatario nunca ve un mensaje que estaba esperando y, desde fuera, parece un fallo de entrega sin causa clara. ARC le da al receptor final suficiente contexto para tomar una mejor decisión. Si la cadena ARC demuestra que el mensaje se autenticó correctamente antes de que un intermediario de confianza lo modificara, el receptor puede optar por entregarlo en lugar de aplicar la política estricta contra un reenvío honesto.

Es importante ser preciso sobre lo que ARC hace y lo que no hace. ARC no anula DMARC y no es una garantía de entrega. Es una señal. El receptor sigue siendo quien decide cuánto confiar en una cadena ARC determinada, y esa confianza depende de la reputación de los intermediarios que la firmaron. ARC simplemente elimina una fuente habitual y frustrante de rechazos falsos para que el buen correo tenga más posibilidades de llegar a la bandeja de entrada.

Cómo lo gestiona VeriMails

VeriMails es un servicio de verificación de correo, así que se centra en una parte distinta y complementaria del panorama de la entregabilidad. ARC protege los mensajes que ya están en tránsito a través de intermediarios, mientras que VeriMails actúa antes de que pulses enviar, confirmando que las direcciones de tu lista son reales y capaces de recibir correo.

Por cada dirección que compruebas, VeriMails ejecuta una validación de sintaxis, una consulta del registro MX, una comprobación de DNS, un handshake SMTP en directo con el servidor de correo receptor, detección de catch-all, detección de direcciones desechables y detección de direcciones basadas en roles. Esa combinación te dice si una dirección es entregable antes de que entre en una campaña, con categorías de entregabilidad claras para tus decisiones de campaña.

Los dos enfoques se refuerzan mutuamente. ARC y el stack de autenticación más amplio de SPF, DKIM y DMARC protegen tu reputación de envío al demostrar que tu correo es auténtico. VeriMails protege esa misma reputación desde el otro lado, manteniendo las direcciones no válidas y arriesgadas fuera de tu lista, para que generes menos rebotes y menos quejas de spam. Puedes verificar direcciones de una en una a través de la API REST de VeriMails o por lotes subiendo un archivo CSV, y cada cuenta nueva empieza con 100 créditos gratuitos que nunca caducan y sin necesidad de tarjeta de crédito.

Preguntas frecuentes