ARC (Authenticated Received Chain)

Définition

ARC (Authenticated Received Chain), standardisé par la RFC 8617, est un protocole qui permet à un intermédiaire (service de transfert, liste de diffusion) d'enregistrer de manière vérifiable les résultats d'authentification d'un email au moment où il l'a reçu, avant de le retransmettre. Le destinataire final peut ainsi savoir que l'email était authentique à l'origine, même si le transfert a cassé SPF ou DKIM.

Le problème que résout ARC

L'email forwarding pose un problème structurel : quand SMTPy transfère un email de Gmail vers votre boîte, c'est l'IP de SMTPy qui livre le message — pas celle de Gmail. Le contrôle SPF échoue donc mécaniquement chez le destinataire final. Si l'expéditeur a une politique DMARC stricte, l'email transféré risque d'être rejeté alors qu'il est parfaitement légitime.

Comment ça fonctionne

À chaque saut, l'intermédiaire ajoute trois en-têtes numérotés (i=1, i=2, etc.) :

• ARC-Authentication-Results : les résultats SPF/DKIM/DMARC constatés à la réception
• ARC-Message-Signature : une signature du message, similaire à DKIM
• ARC-Seal : un sceau cryptographique qui scelle l'ensemble de la chaîne ARC

Le destinataire final vérifie la chaîne complète : si chaque sceau est valide et que le premier maillon atteste d'une authentification réussie, il peut accepter l'email malgré l'échec SPF local. Gmail et Microsoft utilisent ARC dans leurs décisions de filtrage.

Les limites d'ARC

ARC repose sur la confiance accordée aux intermédiaires : un destinataire n'honore la chaîne que s'il juge le signataire fiable. Un spammeur peut techniquement apposer ses propres en-têtes ARC — ils n'auront simplement aucun poids, faute de réputation. C'est pourquoi la fiabilité du service de transfert reste déterminante : ARC complète l'authentification, il ne la remplace pas. Le standard est encore jeune (RFC publiée en 2019), mais son adoption par Gmail, Microsoft et les grandes listes de diffusion en fait déjà un composant incontournable de tout service de transfert sérieux.

ARC et SMTPy

SMTPy appose une signature ARC sur chaque email transféré : les résultats d'authentification constatés à la réception sont scellés puis transmis avec le message. Combiné à la réécriture d'expéditeur (SRS), cela maximise les chances que vos transferts arrivent en boîte de réception — le même mécanisme qu'utilisent les grands services d'alias, comme détaillé dans notre comparatif SMTPy vs SimpleLogin.