Cos'è ARC
ARC (Authenticated Received Chain) è uno standard email definito in RFC 8617 che preserva i risultati di autenticazione SPF, DKIM e DMARC quando un messaggio attraversa intermediari come mailing list, forwarder o gateway. Risolve il problema dei falsi negativi DMARC su email legittime che vengono riscritte durante il transito.
Il problema risolto da ARC
Quando una email passa attraverso una mailing list o un forwarder, l'IP sorgente cambia (diventa quello dell'intermediario) e i contenuti possono essere modificati (subject prefissi, footer aggiunti). Questo invalida SPF (IP non allineato) e talvolta DKIM (modifica corpo). Il messaggio originale, perfettamente autenticato, fallisce DMARC al destinatario finale.
Come funziona ARC
Ogni intermediario che supporta ARC aggiunge tre header al messaggio: ARC-Authentication-Results (riassume risultati al momento della ricezione), ARC-Message-Signature (firma DKIM del messaggio), ARC-Seal (firma della catena ARC fino al passaggio precedente). Il destinatario finale può ricostruire la catena e verificare l'autenticità originale.
Catena ARC
Più intermediari formano una catena ARC: ogni hop aggiunge i propri header ARC con instance number progressivo (i=1, i=2, ecc.). La catena è valida se ogni firma ARC-Seal e ARC-Message-Signature verifica correttamente. Una rottura della catena (firma invalida) invalida tutta la fiducia derivata.
Implementazione lato MTA
I principali MTA supportano ARC: Postfix con OpenARC, Exim nativamente, Sendmail con plugin, Microsoft Exchange in cloud. Configurare ARC richiede generazione di una coppia di chiavi (separate da DKIM), pubblicazione record DNS ARC e abilitazione del modulo nel MTA.
ARC e DMARC
I provider riceventi che supportano ARC (Google, Microsoft, Apple) possono fidarsi della catena ARC per accettare un messaggio anche se DMARC tecnicamente fallisce. La decisione si basa sulla reputation dell'intermediario: se è un forwarder affidabile (es. Google Groups), il messaggio viene accettato.
Provider supportanti
ARC è ben supportato da Gmail, Microsoft 365, Yahoo, Apple iCloud. Mailing list aziendali, Google Groups, Microsoft DLs, Mailman 3 supportano la firma ARC in uscita. Server più piccoli ancora non implementano ARC, e in quei casi la catena si interrompe.
Quando configurare ARC
Configurare ARC è importante per: gestori di mailing list, servizi di forwarding email, gateway di sicurezza che riscrivono headers, broker email. Per mittenti tradizionali (newsletter, transazionali) non è necessario: ARC riguarda il transito, non l'invio originale.
Hai bisogno di aiuto?
Se hai problemi di blacklist o deliverability email, il team di G Tech Group può aiutarti. Contattaci tramite il modulo di contatto.