Wat is ARC (Authenticated Received Chain)?

Definitie

De Authenticated Received Chain is een e-mailauthenticatiestandaard die is vastgelegd in RFC 8617, gepubliceerd in juli 2019. Het doel is om een hardnekkige zwakte op te lossen in de manier waarop SPF en DKIM zich gedragen wanneer een bericht via een tussenserver wordt doorgestuurd in plaats van rechtstreeks van de afzender naar de ontvanger te worden bezorgd.

Wanneer je een e-mail rechtstreeks naar een ontvanger stuurt, slagen de SPF- en DKIM-controles meestal en passeert DMARC. Het probleem ontstaat wanneer een bericht onderweg via een derde partij gaat. Een mailinglijst, een account dat mail automatisch doorstuurt of een security gateway wijzigt het bericht vaak. Het kan de onderwerpregel herschrijven, een footer toevoegen of het bericht vanaf een ander IP-adres doorsturen. Die wijzigingen breken de oorspronkelijke DKIM-handtekening en maken het SPF-resultaat ongeldig, waardoor DMARC kan falen terwijl het bericht volkomen legitiem is.

ARC is ontworpen door een industriegroep met onder meer engineers van Google en andere grote mailoperators, specifiek om ontvangers een manier te geven deze situatie te herkennen. In plaats van alleen te oordelen op basis van de gebroken authenticatie die het bij de laatste hop ziet, kan een ontvanger de ARC-keten lezen en zo achterhalen dat het bericht correct authenticeerde voordat de tussenpartij het aanraakte.

Hoe het werkt

ARC werkt doordat elke deelnemende tussenpartij een cryptografisch ondertekend record, een ARC-set genoemd, aan het bericht toevoegt voordat het dit doorstuurt. Elke ARC-set bestaat uit drie headervelden en draagt een instantienummer, zodat de keten in volgorde kan worden gelezen.

Het eerste veld is ARC-Authentication-Results. Dit legt een momentopname vast van de SPF-, DKIM- en DMARC-resultaten die de tussenpartij waarnam op het moment dat het bericht binnenkwam. Het is in feite een bevroren kopie van het authenticatieoordeel bij die hop.

Het tweede veld is ARC-Message-Signature. Dit werkt vrijwel hetzelfde als een DKIM-handtekening. Het is een cryptografische handtekening over de headers en de body van het bericht zoals die op dat punt in de keten bestaan, waardoor het vastgelegde authenticatieresultaat wordt gekoppeld aan de daadwerkelijke inhoud die aanwezig was.

Het derde veld is ARC-Seal. Dit is een handtekening die de hele keten van voorgaande ARC-headers afdekt, niet alleen de huidige set. De seal draagt een ketenvalidatietag, geschreven als cv, die de toestand van de keten tot dusver weergeeft. Een waarde van none betekent dat dit de eerste hop is, pass betekent dat elke eerdere ARC-set correct valideerde, en fail betekent dat iets in de keten niet kon worden geverifieerd.

Naarmate een bericht door meerdere ARC-bewuste servers gaat, lopen de instantienummers met elke hop op. Een ontvangende server die het bericht valideert, leest de ARC-sets in volgorde, bevestigt dat er geen items ontbreken, controleert dat elke seal de voorgaande items als geldig rapporteert en verifieert de meest recente berichthandtekening. Als de keten standhoudt, kan de ontvanger het authenticatieresultaat vertrouwen dat bij de allereerste hop is vastgelegd.

Waarom het belangrijk is voor e-mailbezorgbaarheid

ARC is belangrijk omdat doorsturen en mailinglijsten overal voorkomen, en zonder ARC zorgen ze er ongemerkt voor dat legitieme mail wordt geweigerd. Een medewerker die werkmail naar een persoonlijk account doorstuurt, een discussielijst die aan elk bericht een footer toevoegt en een security-appliance van derden die inkomende mail scant, breken allemaal DKIM of SPF op manieren die niets te maken hebben met de vraag of het bericht echt is.

Wanneer een domeineigenaar een streng DMARC-beleid zoals p=reject publiceert, zouden die gebroken authenticatieresultaten er normaal gesproken voor zorgen dat de doorgestuurde kopie wordt weggegooid. De ontvanger ziet een verwacht bericht nooit, en van buitenaf lijkt het op een bezorgfout zonder duidelijke oorzaak. ARC geeft de ontvangende eindserver genoeg context om een betere beslissing te nemen. Als de ARC-keten laat zien dat het bericht correct authenticeerde voordat een vertrouwde tussenpartij het wijzigde, kan de ontvanger ervoor kiezen het te bezorgen in plaats van het strenge beleid toe te passen op een eerlijke doorstuuractie.

Het is belangrijk om precies te zijn over wat ARC wel en niet doet. ARC overschrijft DMARC niet en is geen garantie op bezorging. Het is een signaal. Een ontvanger bepaalt nog steeds hoeveel vertrouwen hij in een bepaalde ARC-keten stelt, en dat vertrouwen hangt af van de reputatie van de tussenpartijen die hem ondertekenden. ARC verwijdert simpelweg een veelvoorkomende, frustrerende bron van onterechte weigeringen, zodat goede mail een grotere kans heeft om de inbox te bereiken.

Hoe VeriMails hiermee omgaat

VeriMails is een e-mailverificatiedienst en richt zich dus op een ander, aanvullend deel van het bezorgbaarheidsplaatje. ARC beschermt berichten die al onderweg zijn via tussenpartijen, terwijl VeriMails werkt voordat je op verzenden drukt en bevestigt dat de adressen op je lijst echt zijn en mail kunnen ontvangen.

Voor elk adres dat je controleert, voert VeriMails syntaxvalidatie, een MX-recordopzoeking, een DNS-controle, een live SMTP-handshake met de ontvangende mailserver, catch-all-detectie, detectie van wegwerpadressen en detectie van rolgebaseerde adressen uit. Die combinatie vertelt je of een adres bezorgbaar is voordat het ooit in een campagne terechtkomt, met duidelijke bezorgbaarheidscategorieën voor campagnebeslissingen.

De twee benaderingen versterken elkaar. ARC en de bredere authenticatiestack van SPF, DKIM en DMARC beschermen je verzendreputatie door te bewijzen dat je mail echt is. VeriMails beschermt diezelfde reputatie vanuit de andere richting door ongeldige en risicovolle adressen van je lijst te houden, zodat je minder bounces en minder spamklachten genereert. Je kunt adressen één voor één verifiëren via de VeriMails REST API of in batches door een CSV-bestand te uploaden, en elk nieuw account start met 100 gratis credits die nooit verlopen, zonder dat een creditcard nodig is.

Veelgestelde vragen