ARC fail (arc=fail): cosa significa l'Authenticated Received Chain

Cosa significa

ARC (Authenticated Received Chain, RFC 8617) aiuta le email a superare gli inoltri. Quando un servizio di inoltro o una mailing list modifica un messaggio, SPF e DKIM spesso si rompono. ARC permette a ogni server intermedio di registrare quali erano i risultati di autenticazione nel momento in cui ha ricevuto il messaggio e di firmare questa registrazione. Il destinatario finale può quindi decidere di fidarsi di quei risultati precedenti.

Ogni server che aggiunge ARC scrive tre intestazioni con un numero di istanza i=1, i=2...:

• ARC-Authentication-Results: i risultati SPF, DKIM e DMARC come li ha visti quel server.
• ARC-Message-Signature: una firma del messaggio simile a DKIM.
• ARC-Seal: una firma sulle intestazioni ARC, con cv= (validazione della catena) impostato su none (primo passaggio), pass o fail.

Un risultato come questo significa che la catena non ha potuto essere validata:

Authentication-Results: mx.example.com; arc=fail (signature failed)
ARC-Seal: i=2; a=rsa-sha256; cv=fail; d=lists.example.org; s=arc; ...

Quando un sigillo indica cv=fail, la catena è rotta definitivamente: i server successivi non possono ripararla.

Perché succede

• Un server ha modificato il messaggio dopo averlo sigillato: un piè di pagina, un tag nell'oggetto, un gateway di sicurezza che riscrive i link, o un antivirus che aggiunge un banner dopo l'aggiunta di ARC.
• Una chiave ARC errata o mancante: il selettore in ARC-Seal (s=) non ha una chiave pubblica nel DNS su selector._domainkey.domain, oppure la chiave non corrisponde.
• Ordine errato o intestazioni mancanti: un passaggio ha rimosso o riordinato le intestazioni ARC, oppure manca un numero di istanza.
• Troppi passaggi: lo standard ammette al massimo 50 istanze.
• Implementazioni difettose in un gateway o in un software di mailing list.

Importante: arc=fail non significa che il tuo dominio sia configurato male. Se hai inviato l'email direttamente e SPF, DKIM e DMARC passano, ARC conta solo per la posta inoltrata. Inoltre, arc=none significa solo che nessuno ha aggiunto ARC, il che è normale per la posta diretta.

Come verificare

1. Testa prima il tuo invio. Invia un'email all'indirizzo unico indicato nella home page di Delivmail (/) direttamente dal tuo strumento. Se SPF, DKIM e DMARC passano, il problema è nel percorso di inoltro, non nella tua configurazione.
2. Leggi le intestazioni del messaggio ricevuto nella casella finale (Gmail "Mostra originale", Outlook "View message source"). Trova ogni ARC-Seal e annota i=, cv=, d= e s=. Il primo sigillo con cv=fail, o il passaggio subito prima, è il punto in cui si è rotta. Vedi come leggere le intestazioni di un'email.
3. Controlla la chiave ARC di chi ha apposto il sigillo:

   dig TXT arc._domainkey.lists.example.org +short

Come risolvere

Se gestisci il servizio di inoltro, la lista o il gateway

• Aggiungi ARC dopo ogni modifica al messaggio. L'inserimento di piè di pagina e banner deve avvenire prima del sigillo.
• Pubblica la chiave pubblica ARC e verifica il selettore. Molti server supportano ARC: per esempio Rspamd ha un modulo ARC e Mailman 3 supporta la firma ARC.
• Preferisci un inoltro che non modifichi il corpo del messaggio e usa SRS per SPF sulla posta inoltrata.

Se sei il mittente originale

• Assicurati che DKIM passi e sia allineato con il dominio del tuo From. DKIM sopravvive agli inoltri semplici molto meglio di SPF.
• Per le mailing list, leggi le mailing list e Google Groups rompono DMARC.

Se sei il destinatario finale (Microsoft 365)

Se un servizio fidato (un gateway di sicurezza, una lista) rompe DMARC ma appone correttamente il sigillo ARC, Microsoft 365 ti permette di indicarlo come sigillatore ARC attendibile (trusted ARC sealer), nel portale Defender o con PowerShell. Il parametro sostituisce l'intero elenco, quindi includi i valori già presenti:

Set-ArcConfig -Identity Default -ArcTrustedSealers "lists.example.org"

Fidati solo di sigillatori che conosci davvero: un sigillatore attendibile può far sembrare legittima una posta che fallisce i controlli.

Verifica che sia risolto

Invia un nuovo messaggio attraverso lo stesso percorso e leggi le intestazioni a destinazione: l'ultimo ARC-Seal deve mostrare cv=pass e Authentication-Results deve mostrare arc=pass. Invia anche un test Delivmail per confermare che SPF, DKIM e DMARC del tuo dominio passano ancora. Sono i destinatari a decidere se usare ARC, quindi una catena valida aiuta ma non garantisce la consegna.