Che cos'è l'ARC (Authenticated Received Chain)?

Definizione

L'Authenticated Received Chain è uno standard di autenticazione email definito nell'RFC 8617, pubblicato nel luglio 2019. Il suo scopo è risolvere una debolezza di lunga data nel modo in cui SPF e DKIM si comportano quando un messaggio viene instradato attraverso un server intermedio anziché consegnato direttamente dal mittente al destinatario.

Quando invii un'email direttamente a un destinatario, i controlli SPF e DKIM di solito hanno esito positivo e DMARC supera la verifica. Il problema si presenta quando un messaggio passa attraverso un intermediario. Una mailing list, un account che inoltra automaticamente la posta o un gateway di sicurezza spesso modificano il messaggio. Possono riscrivere l'oggetto, aggiungere un footer o reinstradare il messaggio da un indirizzo IP diverso. Queste modifiche invalidano la firma DKIM originale e annullano il risultato SPF, e questo può far fallire DMARC anche se il messaggio è perfettamente legittimo.

L'ARC è stato progettato da un gruppo del settore che comprendeva ingegneri di Google e di altri grandi operatori di posta proprio per dare ai destinatari un modo di riconoscere questa situazione. Invece di giudicare solo l'autenticazione compromessa che vede all'ultimo passaggio, un destinatario può leggere la catena ARC e scoprire che il messaggio si era autenticato correttamente prima che l'intermediario lo toccasse.

Come funziona

L'ARC funziona facendo sì che ogni intermediario partecipante aggiunga al messaggio un record firmato crittograficamente, chiamato set ARC, prima di inoltrarlo. Ogni set ARC è composto da tre campi di intestazione e ciascun set porta con sé un numero di istanza, così la catena può essere letta in ordine.

Il primo campo è ARC-Authentication-Results. Cattura un'istantanea dei risultati di SPF, DKIM e DMARC che l'intermediario ha osservato nel momento in cui ha ricevuto il messaggio. È di fatto una copia congelata del verdetto di autenticazione a quel passaggio.

Il secondo campo è ARC-Message-Signature. Funziona in modo molto simile a una firma DKIM. È una firma crittografica sulle intestazioni e sul corpo del messaggio così come si presentano in quel punto della catena, e collega il risultato di autenticazione registrato al contenuto effettivamente presente.

Il terzo campo è ARC-Seal. È una firma che copre l'intera catena delle intestazioni ARC precedenti, non solo il set corrente. Il sigillo porta con sé un tag di validazione della catena, indicato come cv, che riporta lo stato della catena fino a quel momento. Un valore none significa che questo è il primo passaggio, pass significa che ogni set ARC precedente è stato validato correttamente e fail significa che qualcosa nella catena non ha potuto essere verificato.

Man mano che un messaggio attraversa diversi server compatibili con ARC, i numeri di istanza aumentano a ogni passaggio. Un server di destinazione che valida il messaggio legge i set ARC in ordine, conferma che non manchino voci, controlla che ogni sigillo riporti le voci precedenti come valide e verifica la firma del messaggio più recente. Se la catena regge, il destinatario può fidarsi del risultato di autenticazione registrato proprio al primo passaggio.

Perché è importante per la deliverability delle email

L'ARC è importante perché l'inoltro e le mailing list sono ovunque e, senza ARC, fanno sì che la posta legittima venga rifiutata in modo silenzioso. Un dipendente che inoltra la posta di lavoro a un account personale, una lista di discussione che aggiunge un footer a ogni messaggio e un'appliance di sicurezza di terze parti che analizza la posta in entrata invalidano tutti DKIM o SPF in modi che non hanno nulla a che fare con l'autenticità del messaggio.

Quando il proprietario di un dominio pubblica una policy DMARC restrittiva come p=reject, quei risultati di autenticazione compromessi farebbero normalmente scartare la copia inoltrata. Il destinatario non vede mai un messaggio che stava aspettando e, dall'esterno, sembra un errore di consegna senza una causa chiara. L'ARC dà al destinatario finale abbastanza contesto per prendere una decisione migliore. Se la catena ARC mostra che il messaggio si era autenticato correttamente prima che un intermediario fidato lo modificasse, il destinatario può scegliere di consegnarlo anziché applicare la policy restrittiva a un inoltro in buona fede.

È importante essere precisi su ciò che l'ARC fa e non fa. L'ARC non scavalca DMARC e non è una garanzia di consegna. È un segnale. Un destinatario decide comunque quanto fidarsi di una determinata catena ARC, e quella fiducia dipende dalla reputazione degli intermediari che l'hanno firmata. L'ARC si limita a eliminare una fonte comune e frustrante di rifiuti errati, così che la posta valida abbia maggiori probabilità di arrivare nella casella di posta.

Come la gestisce VeriMails

VeriMails è un servizio di verifica email, quindi si concentra su una parte diversa e complementare del quadro della deliverability. L'ARC protegge i messaggi già in transito attraverso gli intermediari, mentre VeriMails lavora prima ancora che tu prema invia, confermando che gli indirizzi nella tua lista siano reali e in grado di ricevere posta.

Per ogni indirizzo che controlli, VeriMails esegue la validazione della sintassi, una ricerca dei record MX, un controllo DNS, un handshake SMTP in tempo reale con il server di posta ricevente, il rilevamento catch-all, il rilevamento degli indirizzi temporanei e il rilevamento degli indirizzi basati su ruoli. Questa combinazione ti dice se un indirizzo è recapitabile prima ancora che entri in una campagna, con categorie di deliverability chiare per le decisioni sulle campagne.

I due approcci si rafforzano a vicenda. L'ARC e l'intero stack di autenticazione composto da SPF, DKIM e DMARC proteggono la tua reputazione di invio dimostrando che la tua posta è autentica. VeriMails protegge la stessa reputazione dall'altra direzione, tenendo gli indirizzi non validi e rischiosi fuori dalla tua lista, così generi meno bounce e meno segnalazioni di spam. Puoi verificare gli indirizzi uno alla volta tramite la REST API di VeriMails oppure in blocco caricando un file CSV, e ogni nuovo account parte con 100 crediti gratuiti che non scadono mai, senza bisogno di carta di credito.

Domande frequenti