ARC (Authenticated Received Chain), bir e-postanın geçtiği her aracı sunucunun uyguladığı kimlik doğrulama sonuçlarını imzalı bir zincir halinde kaydederek, iletim sırasında bozulan doğrulamanın nihai alıcıda yeniden değerlendirilebilmesini sağlayan bir protokoldür. RFC 8617 ile tanımlanmıştır ve özellikle posta listeleri ile yönlendirme hizmetleri için tasarlanmıştır.

ARC, aracı sunucuların e-posta kimlik doğrulama sonuçlarını imzalı biçimde taşıyarak yönlendirme kaynaklı doğrulama kayıplarını telafi eden bir mekanizmadır.

Hangi Sorunu Çözüyor?

Bir e-posta bir posta listesi ya da yönlendirme hizmeti üzerinden geçtiğinde gönderen adresi veya içerik değişebilir; bu da SPF kaydı ve DKIM imzası denetimlerinin son sunucuda başarısız olmasına yol açar. Sonuçta meşru bir ileti DMARC politikası gereği reddedilebilir. ARC, ilk doğrulamanın temiz olduğunu kanıtlayan bir kayıt bırakarak bu haksız reddi önler.

Nasıl Çalışır?

ARC, her aracı sunucunun iletiye üç başlık eklemesiyle işler: ARC-Authentication-Results özgün doğrulama sonucunu, ARC-Message-Signature mesajın o anki halinin imzasını, ARC-Seal ise önceki tüm zincir halkalarının bütünlüğünü mühürler. Her halka bir instance numarasıyla sıralanır; böylece nihai alıcı zinciri baştan sona doğrulayabilir ve nerede kimin işlem yaptığını görebilir.

Güven Modeli

ARC yalnızca sonuçları taşır, onları körü körüne kabul ettirmez. Alıcı sunucu zincirdeki her imzalayanı kendi güven değerlendirmesine tabi tutar. Tanınmış ve iyi itibarlı bir aracı imzaladıysa sonuç dikkate alınır; bilinmeyen bir aktör zinciri manipüle etmeye çalışırsa mühür doğrulaması bu müdahaleyi açığa çıkarır. Yani güven, imzalayanın kimliğine ve geçmişine dayanır.

Sınırları

ARC her sorunu çözmez; yalnızca doğrulama sonuçlarını taşır, mesajı yeniden imzalamaz. Bir aracı kötü niyetliyse ya da güvenliği ihlal edilmişse ürettiği ARC kaydına güvenilemez. Ayrıca faydası, alıcı tarafın ARC’ı işlemesine bağlıdır; büyük sağlayıcılar destekler ama her sunucu değerlendirmeye almaz. Bu nedenle ARC, SPF, DKIM ve DMARC’ın yerine değil tamamlayıcısı olarak konumlanır.

Kurumsal Değeri

Yoğun biçimde e-posta yönlendiren, bülten gönderen ya da dış hizmetlerle entegre çalışan kurumlarda ARC, meşru iletilerin yanlışlıkla engellenmesini azaltırken DMARC’ı katı modda tutmayı mümkün kılar. E-posta kimlik doğrulama zincirinin doğru kurulması için Privia Security’nin altyapı ve mimari gözden geçirme hizmetinden yararlanılabilir.