Qu'est-ce que l'ARC (Authenticated Received Chain) ?

Définition

L'Authenticated Received Chain est un standard d'authentification des e-mails défini dans le RFC 8617, publié en juillet 2019. Son but est de corriger une faiblesse de longue date dans la manière dont SPF et DKIM se comportent lorsqu'un message est relayé par un serveur intermédiaire plutôt que livré directement de l'expéditeur au destinataire.

Lorsque vous envoyez un e-mail directement à un destinataire, les contrôles SPF et DKIM réussissent généralement et DMARC passe. Le problème survient lorsqu'un message transite par un tiers intermédiaire. Une liste de diffusion, un compte qui transfère automatiquement le courrier ou une passerelle de sécurité modifie souvent le message. Il peut réécrire l'objet, ajouter un pied de page ou relayer le message depuis une autre adresse IP. Ces modifications cassent la signature DKIM d'origine et invalident le résultat SPF, ce qui peut faire échouer DMARC alors même que le message est parfaitement légitime.

L'ARC a été conçu par un groupe industriel comprenant des ingénieurs de Google et d'autres grands opérateurs de messagerie, précisément pour donner aux destinataires un moyen de reconnaître cette situation. Au lieu de juger uniquement l'authentification cassée qu'il voit au dernier relais, un destinataire peut lire la chaîne ARC et constater que le message s'était correctement authentifié avant que l'intermédiaire n'y touche.

Comment ça fonctionne

L'ARC fonctionne en faisant en sorte que chaque intermédiaire participant ajoute au message, avant de le transférer, un enregistrement signé cryptographiquement, appelé un ensemble ARC. Chaque ensemble ARC est composé de trois champs d'en-tête, et chaque ensemble porte un numéro d'instance afin que la chaîne puisse être lue dans l'ordre.

Le premier champ est ARC-Authentication-Results. Il capture un instantané des résultats SPF, DKIM et DMARC que l'intermédiaire a observés au moment où il a reçu le message. C'est en pratique une copie figée du verdict d'authentification à ce relais.

Le deuxième champ est ARC-Message-Signature. Il fonctionne en grande partie comme une signature DKIM. C'est une signature cryptographique des en-têtes et du corps du message tels qu'ils existent à ce stade de la chaîne, ce qui lie le résultat d'authentification enregistré au contenu réellement présent.

Le troisième champ est ARC-Seal. C'est une signature qui couvre l'ensemble de la chaîne des en-têtes ARC antérieurs, et pas seulement l'ensemble courant. Le sceau porte une balise de validation de chaîne, notée cv, qui indique l'état de la chaîne jusqu'à présent. Une valeur none signifie qu'il s'agit du premier relais, pass signifie que chaque ensemble ARC précédent a été validé correctement, et fail signifie qu'un élément de la chaîne n'a pas pu être vérifié.

À mesure qu'un message traverse plusieurs serveurs compatibles ARC, les numéros d'instance augmentent à chaque relais. Un serveur destinataire qui valide le message lit les ensembles ARC dans l'ordre, confirme qu'aucune entrée ne manque, vérifie que chaque sceau signale les entrées précédentes comme valides et contrôle la signature de message la plus récente. Si la chaîne tient, le destinataire peut faire confiance au résultat d'authentification enregistré au tout premier relais.

Pourquoi c'est important pour la délivrabilité des e-mails

L'ARC est important parce que les redirections et les listes de diffusion sont partout, et sans l'ARC elles font discrètement rejeter du courrier légitime. Un employé qui transfère du courrier professionnel vers un compte personnel, une liste de discussion qui ajoute un pied de page à chaque message et un boîtier de sécurité tiers qui analyse le courrier entrant cassent tous DKIM ou SPF de manières qui n'ont rien à voir avec l'authenticité du message.

Lorsqu'un propriétaire de domaine publie une politique DMARC stricte comme p=reject, ces résultats d'authentification cassés provoqueraient normalement le rejet de la copie transférée. Le destinataire ne voit jamais un message qu'il attendait, et de l'extérieur cela ressemble à un échec de livraison sans cause évidente. L'ARC donne au destinataire final assez de contexte pour prendre une meilleure décision. Si la chaîne ARC montre que le message s'est authentifié correctement avant qu'un intermédiaire de confiance ne le modifie, le destinataire peut choisir de le livrer plutôt que d'appliquer la politique stricte à une redirection honnête.

Il est important d'être précis sur ce que l'ARC fait et ne fait pas. L'ARC ne remplace pas DMARC et ne garantit pas la livraison. C'est un signal. Le destinataire décide toujours du degré de confiance à accorder à une chaîne ARC donnée, et cette confiance dépend de la réputation des intermédiaires qui l'ont signée. L'ARC supprime simplement une source courante et frustrante de faux rejets, afin que le courrier légitime ait plus de chances d'atteindre la boîte de réception.

Comment VeriMails gère cela

VeriMails est un service de vérification d'e-mails ; il se concentre donc sur une partie différente et complémentaire de la délivrabilité. L'ARC protège les messages déjà en transit à travers des intermédiaires, tandis que VeriMails agit avant même que vous n'appuyiez sur envoyer, en confirmant que les adresses de votre liste sont réelles et capables de recevoir du courrier.

Pour chaque adresse que vous contrôlez, VeriMails effectue une validation de la syntaxe, une recherche d'enregistrement MX, un contrôle DNS, un échange SMTP en direct avec le serveur de réception, une détection des catch-all, une détection des adresses jetables et une détection des adresses génériques (basées sur un rôle). Cette combinaison vous indique si une adresse est délivrable avant même qu'elle n'entre dans une campagne, avec des catégories de délivrabilité claires pour vos décisions.

Les deux approches se renforcent mutuellement. L'ARC et l'ensemble de la stack d'authentification SPF, DKIM et DMARC protègent votre réputation d'expéditeur en prouvant que votre courrier est authentique. VeriMails protège cette même réputation dans l'autre sens en écartant de votre liste les adresses invalides et risquées, de sorte que vous générez moins de rebonds et moins de plaintes pour spam. Vous pouvez vérifier les adresses une par une via l'API REST de VeriMails ou par lots en important un fichier CSV, et chaque nouveau compte démarre avec 100 crédits gratuits qui n'expirent jamais, sans carte bancaire requise.

Questions fréquentes