O que é ARC (Authenticated Received Chain)?

Definição

A Authenticated Received Chain é um padrão de autenticação de e-mail definido na RFC 8617, publicada em julho de 2019. Seu propósito é resolver uma fragilidade antiga no comportamento do SPF e do DKIM quando uma mensagem é retransmitida por um servidor intermediário em vez de ser entregue diretamente do remetente ao destinatário.

Quando você envia um e-mail diretamente para um destinatário, as verificações de SPF e DKIM normalmente passam e o DMARC é aprovado. O problema aparece quando uma mensagem passa por um terceiro no meio do caminho. Uma lista de discussão, uma conta que encaminha e-mails automaticamente ou um gateway de segurança frequentemente alteram a mensagem. Eles podem reescrever a linha de assunto, adicionar um rodapé ou retransmitir a mensagem a partir de um endereço IP diferente. Essas alterações quebram a assinatura DKIM original e invalidam o resultado do SPF, o que pode fazer o DMARC falhar mesmo quando a mensagem é perfeitamente legítima.

O ARC foi projetado por um grupo do setor que incluiu engenheiros do Google e de outros grandes operadores de e-mail justamente para dar aos receptores uma forma de reconhecer essa situação. Em vez de avaliar apenas a autenticação quebrada que vê no salto final, o receptor pode ler a cadeia ARC e descobrir que a mensagem foi autenticada corretamente antes de o intermediário interferir nela.

Como Funciona

O ARC funciona fazendo com que cada intermediário participante adicione um registro assinado criptograficamente, chamado de conjunto ARC, à mensagem antes de encaminhá-la adiante. Cada conjunto ARC é composto por três campos de cabeçalho, e cada conjunto carrega um número de instância para que a cadeia possa ser lida em ordem.

O primeiro campo é o ARC-Authentication-Results. Ele captura um retrato dos resultados de SPF, DKIM e DMARC que o intermediário observou no momento em que recebeu a mensagem. É, na prática, uma cópia congelada do veredito de autenticação naquele salto.

O segundo campo é o ARC-Message-Signature. Ele funciona de forma muito parecida com uma assinatura DKIM. É uma assinatura criptográfica sobre os cabeçalhos e o corpo da mensagem como existem naquele ponto da cadeia, o que vincula o resultado de autenticação registrado ao conteúdo que de fato estava presente.

O terceiro campo é o ARC-Seal. É uma assinatura que cobre toda a cadeia de cabeçalhos ARC anteriores, não apenas o conjunto atual. O selo carrega uma tag de validação da cadeia, escrita como cv, que informa o estado da cadeia até ali. Um valor de none significa que este é o primeiro salto, pass significa que todos os conjuntos ARC anteriores foram validados corretamente, e fail significa que algo na cadeia não pôde ser verificado.

Conforme uma mensagem passa por vários servidores compatíveis com ARC, os números de instância aumentam a cada salto. Um servidor de destino que valida a mensagem lê os conjuntos ARC em ordem, confirma que nenhuma entrada está faltando, verifica que cada selo informa as entradas anteriores como válidas e valida a assinatura de mensagem mais recente. Se a cadeia se mantiver íntegra, o receptor pode confiar no resultado de autenticação que foi registrado já no primeiro salto.

Por Que Isso Importa para a Entregabilidade de E-mail

O ARC importa porque o encaminhamento e as listas de discussão estão por toda parte e, sem ele, silenciosamente fazem com que e-mails legítimos sejam rejeitados. Um funcionário que encaminha e-mails do trabalho para uma conta pessoal, uma lista de discussão que adiciona um rodapé a cada mensagem e um appliance de segurança de terceiros que analisa o e-mail recebido — todos quebram DKIM ou SPF de formas que nada têm a ver com o fato de a mensagem ser genuína.

Quando o proprietário de um domínio publica uma política DMARC rígida, como p=reject, esses resultados de autenticação quebrados normalmente fariam a cópia encaminhada ser descartada. O destinatário nunca vê uma mensagem que esperava receber e, de fora, parece uma falha de entrega sem causa clara. O ARC dá ao receptor final contexto suficiente para tomar uma decisão melhor. Se a cadeia ARC mostra que a mensagem foi autenticada corretamente antes de um intermediário confiável modificá-la, o receptor pode optar por entregá-la em vez de aplicar a política rígida contra um encaminhamento honesto.

É importante ser preciso sobre o que o ARC faz e o que não faz. O ARC não substitui o DMARC e não é uma garantia de entrega. Ele é um sinal. O receptor ainda decide o quanto confiar em uma determinada cadeia ARC, e essa confiança depende da reputação dos intermediários que a assinaram. O ARC simplesmente elimina uma fonte comum e frustrante de rejeições falsas, para que os e-mails bons tenham mais chance de chegar à caixa de entrada.

Como a VeriMails Lida com Isso

A VeriMails é um serviço de verificação de e-mail, então atua em uma parte diferente e complementar do quadro de entregabilidade. O ARC protege mensagens que já estão em trânsito por intermediários, enquanto a VeriMails atua antes de você clicar em enviar, confirmando que os endereços da sua lista são reais e capazes de receber e-mails.

Para cada endereço que você verifica, a VeriMails executa validação de sintaxe, consulta de registro MX, verificação de DNS, um handshake SMTP ao vivo com o servidor de e-mail de destino, detecção de catch-all, detecção de endereços descartáveis e detecção de endereços baseados em função. Essa combinação informa se um endereço é entregável antes mesmo de ele entrar em uma campanha, com categorias claras de entregabilidade para apoiar suas decisões de campanha.

As duas abordagens se reforçam mutuamente. O ARC e o conjunto mais amplo de autenticação composto por SPF, DKIM e DMARC protegem a reputação do seu envio ao provar que seus e-mails são genuínos. A VeriMails protege essa mesma reputação pelo outro lado, mantendo endereços inválidos e arriscados fora da sua lista, de modo que você gere menos bounces e menos reclamações de spam. Você pode verificar endereços um a um pela API REST da VeriMails ou em lote, fazendo upload de um arquivo CSV, e toda conta nova começa com 100 créditos gratuitos que nunca expiram, sem necessidade de cartão de crédito.

Perguntas Frequentes