Demo
Demo
База знаний PMTA›Блок <domain>›Директива§ 3.3.10.30

arc-sign

<domain>

Заверять ли подписью пересылки письма этому получателю
в конфигурации это строкаarc-sign falseвнутри блока <domain>
Включение цепочки заверений

Включает подпись пересылки для писем этому получателю. В письмо добавляются три заголовка, где узел заверяет, каким письмо к нему пришло и что показали проверки на входе.

Ключи те же. Как и у обычной подписи, они берутся из объявлений domain-key, по домену отправки; отдельных ключей для ARC не бывает. Без объявлений строка ничего не делает — руководство говорит это теми же словами, что и про dkim-sign.

Обе подписи независимы. Включённые вместе, они ставятся обе: обычная отвечает за письмо, ARC — за то, каким оно к вам попало.

Главная ловушка — включают там, где пересылки нет. Механизм придуман для тех, кто переотправляет чужую почту. Рассылке собственных писем он не даёт ничего: заверять чужую проверку нечего, а три заголовка в каждом письме добавляются.
Что делает Хаб. Не пишет: узлы отправляют собственную почту, а не пересылают чужую. Появится сценарий пересылки — понадобится и эта строка, и весь набор arc-.
Рекомендуемые значения

Включайте только при пересылке. Признак простой: письмо пришло к вам извне, и вы отправляете его дальше.

Сначала ключи. Без объявлений domain-key строка молчит, как и обычная подпись.

Проверьте платформу. Поддержка появилась в версии 6.0r3 и только для Linux; на Windows строка принимается и не работает.

Признак «включать только при пересылке» — наш. Из руководства здесь умолчание, требование настроенных ключей и ограничение по версии и платформе.
Пример в конфигурации
# пересылаем чужую почту — заверяем, какой она к нам пришла
domain-key key1, esp123.com, /etc/pmta/key1.esp123.com.pem

<domain *>
    dkim-sign yes
    arc-sign yes</domain>
Обе строки рядом не конфликтуют: письмо получит и обычную подпись, и три заголовка цепочки заверений.
жёлтым — — имена директив, голубым — блоки. Так же они подсвечены и в тексте карточки.
▲

Типичные ошибки и проблемы

что делают не так и чем это кончается2 ошибки▶

Включают на рассылке собственных писем

наш опыт

Чем чреватоТри заголовка добавляются в каждое письмо и не сообщают приёмнику ничего: заверять чужую проверку нечего.
Как заметитьARC включён, а узел ничего не пересылает.
Как правильноВыключить.

Включают на Windows

§ 10.4

Чем чреватоПоддержка только для Linux, начиная с версии 6.0r3. Строка принимается без ошибки, заголовков в письмах нет.
Как заметитьСтрока задана, ARC-Seal в журнале не встречается.
Как правильноПроверить версию и платформу узла.
Совместимость
PowerMTA 6.0
описана в руководстве этой версии · linux
С какой версии директива доступна, вендор указывает не для всех — здесь пометки нет. Имя встречается и в издании руководства 5.0.
Справочные данные
Синтаксис
arc-sign <boolean>
Значения
yes или no; true и false принимаются наравне с ними
Умолчание
false § 3.3.10.30
Применение
reload, перезапуск не нужен
Очередь
уже поставленное в очередь не затронет
Где писать
<domain>
Сколько раз
один раз в блоке
Всё здесь — из руководства, с разделом.
Наследование
Значение сливается по блокам <domain> от общего к частному: побеждает наиболее подходящий блок, а не последний по файлу. Подхватывается по pmta reload; на письма в очереди действует со следующей попытки — подпись ставится при отправке. Требует версии 6.0r3 и платформы Linux.
⇄

Связанные директивы

2 связи

Без чего не работает

domain-keyGlobalКлючи должны быть настроены, иначе включение ничего не даёт. § 3.3.10.30

То же имя в других блоках

dkim-sign<domain>То же самое для обычной подписи — руководство описывает обе в одних выражениях. § 3.3.10.30

Сюда ссылаются

arc-algorithm<domain>Ничего не делает, пока заверение пересылки не включено. § 3.3.10.31arc-body-canon<domain>Ничего не делает, пока заверение пересылки не включено. § 3.3.10.32arc-headers-canon<domain>Ничего не делает, пока заверение пересылки не включено. § 3.3.10.33arc-expire-after<domain>Ничего не делает, пока заверение пересылки не включено. § 3.3.10.34arc-headers<domain>Ничего не делает, пока заверение пересылки не включено. § 3.3.10.35arc-identity<domain>Ничего не делает, пока заверение пересылки не включено. § 3.3.10.36

Как проверить на узле
Действующее значение печатает команда настроек очереди; поставлены ли заголовки — видно по журналу:
pmta show settings gmail.com/vmta1 | grep -i arc-sign
grep -ci 'ARC-Seal' /var/log/pmta/pmta.log
Значение yes при нулевом втором выводе означает либо отсутствие подходящего ключа, либо неподдерживаемую платформу. Хаб этой строки не пишет.
◇

Что ещё почитать

3 статьи

◇Не отправлять то, что не пройдёт проверку у получателяУзел сам проверяет SPF своей почты перед отправкой: не прошло — отбивает, не дожидаясь чужого отказа.◇Как узел подписывает письма и выбирает ключКлюч выбирается по домену отправки из заголовков, перебором объявлений сверху вниз.◇Заголовок письма, которым подающая сторона правит подписьПять параметров в X-DKIM-Options: селектор, домен, имя подписи, способ запроса и список ключей.

В Хабе
Цена ошибки
обратимо: вредит, пока стоит
Сценарии
Подпись и аутентификация писем
Соседние настройки блока <domain>:dkim-signcheck-spf-outbounddkim-identitydkim-headersdkim-disallow-adding-headersВсе 135 директив блока →