在电子邮件通信日益频繁的今天，邮件安全始终是用户和企业关注的焦点。SPF（发件人策略框架）和DKIM（域名密钥识别邮件）等传统认证机制在直接发送的邮件中表现良好，但当邮件经由转发列表、自动过滤系统或企业网关转发时，这些认证往往会失效，导致合法邮件被误判为垃圾邮件甚至直接拒收。为了解决这一痛点，ARC（Authenticated Received Chain，认证接收链）协议应运而生，而其中的核心——ARC-Seal认证，成为邮件转发场景下的“信任护照”。那么，ARC-Seal在电子邮件客户端中是如何工作的？
背景：传统认证的“转发困境”
想象一下，一封由企业邮箱发出的营销邮件，经过了SPF和DKIM双重验证，顺利到达用户的主邮箱服务商。然而，用户设置了自动转发，将该邮件转发至另一个个人邮箱。在转发过程中，原邮件头被修改——发件人地址可能被重写，DKIM签名因内容变更而失效，SPF检查也因为转发服务器并非原发件人授权的IP而失败。结果，这封本应合法的邮件在新邮箱中被标记为“可疑”或直接进入垃圾箱。
ARC正是为解决这一困境而设计的。它由一组标准化邮件头字段构成，允许每个参与转发的邮件服务器在邮件上留下可验证的“认证记录”，从而形成一条可信的传递链。当最终接收方（如邮件客户端或收件服务器）检查ARC-Seal时，就能追溯整条路径上的每个节点的认证状态，即使原始认证被破坏，也能基于ARC链做出判断。
ARC-Seal的工作机制：三重头字段的协作
ARC-Seal认证并非孤立存在，它依赖于三个新增的邮件头字段协同工作：
- ARC-Authentication-Results (AAR)：记录本邮件服务器执行认证检查（如SPF、DKIM、DMARC）的结果。
- ARC-Message-Signature (AMS)：对当前邮件头（包括AAR和之前的ARC头）进行数字签名，确保完整性。
- ARC-Seal (AS)：对AMS本身以及之前的ARC-Seal进行签名，形成“封印”。该封印由当前转发服务器的私钥生成，公钥通过DNS公布。
当一封邮件经过第一个转发服务商（如邮件列表平台）时，该服务商会先执行自己的认证检查（SPF、DKIM等），并将结果写入AAR头。接着，它生成AMS，对包括AAR、原始邮件头以及之前的ARC头在内的所有内容进行签名。最后，它用自己的私钥计算ARC-Seal，覆盖AMS和之前的ARC-Seal（如果有）。这三个头字段按顺序追加到邮件中，形成一条可验证的链。
第二个转发服务商（如企业的邮件网关）收到邮件后，首先验证收到的ARC-Seal是否有效：它查找第一个服务商的DNS公钥，确认AS签名与AMS内容匹配。验证通过后，该服务商再执行自己的认证检查，并添加新的AAR、AMS和AS。如此反复，每经过一个转发节点，ARC链就增加一环。
邮件客户端如何验证ARC-Seal？
当最终收件人的邮件客户端（如Outlook、Gmail客户端或Thunderbird）接收邮件时，它并不直接处理ARC验证——实际上，ARC验证通常由收件服务器（如Gmail服务端）先行执行，然后将结果传递给客户端。但为了理解全貌，我们需要知道服务端的验证逻辑。
收件服务器会按照顺序从后向前验证ARC链：首先提取最外层的ARC-Seal，根据该签名者的域名查找DNS公钥，验证AMS的完整性。如果成功，就继续验证前一个节点的ARC-Seal，直至链头。整个过程中，每个节点的AAR记录了当时该节点执行本地认证的结果（如SPF通过、DKIM通过等）。因此，最终收件服务器可以获得一条完整的、不可篡改的认证历史。
例如，收件服务器看到AAR记录显示：“第一个转发器验证SPF结果为pass，DKIM为pass；第二个转发器验证SPF为neutral，但DMARC为pass。”即使原始发件人的DKIM签名在转发后失效，但基于ARC链中第一个节点的认证结果，服务器仍可以认定邮件来源可信——只要ARC链本身没有断裂（即每个节点的Seal签名有效）。
为什么ARC-Seal对电子邮件客户端至关重要？
对于实际运行的邮件客户端而言，ARC验证的结果通常以邮件头信息的形式展示（如“ARC-Authentication-Results”字段），或者被收件服务器用来影响垃圾邮件评分。用户可能不会直接看到ARC头，但可以感受到其效果：合法转发邮件不再被误判，而恶意邮件试图伪造ARC链的行为也会被识别（因为攻击者无法获取上一级转发服务器的私钥）。
尤其在当今邮件转发场景复杂的环境下——新闻简报、邮件列表、自动归档系统、企业邮件网关等——ARC-Seal提供了一种不依赖原始发件人认证的补救机制。它让转发链条上的每个环节都可以为自己“盖章”，确保了邮件的“血统”清晰可见。
现状与展望
ARC协议自2019年由IETF发布为RFC 8617以来，已获得Gmail、Outlook、Yahoo等主要电子邮件服务商的支持。越来越多的邮件安全解决方案将其作为标准配置。不过，ARC并非万能的——它依赖于参与转发节点的诚实操作，且要求所有节点都正确实现协议。尽管如此，ARC-Seal已成为电子邮件认证体系中不可或缺的一环，让邮件在转发过程中依然能够保持身份的可追溯性。
对于用户来说，下次收到一封经过多次转发的邮件却未被拒收时，或许正是ARC-Seal在幕后默默守护的功劳。