세 레코드는 각각 무엇을 증명하나

SPF는 이 도메인 이름으로 메일을 보낼 수 있는 서버의 목록을 도메인 소유자가 공개해 두는 장치입니다. 수신 서버는 메일이 실제로 그 목록에 있는 서버에서 왔는지 확인합니다. DKIM은 메일에 디지털 서명을 붙여 발송 도중 내용이 바뀌지 않았음을 증명합니다. DMARC는 앞의 두 검사를 통과하지 못한 메일을 어떻게 처리할지 도메인 소유자가 정해 두는 정책입니다.

세 가지를 함께 봐야 하는 이유는 각각이 막는 지점이 다르기 때문입니다. SPF만 있으면 서버 출처는 확인되지만 내용 변조를 잡지 못하고, DKIM만 있으면 서명은 검증되지만 실패했을 때의 처리 기준이 없습니다. 국내 이메일 발송 서비스도 SPF와 DKIM을 도메인 네임서버에 TXT 레코드로 등록하는 방식으로 안내하고 있습니다.

왜 지금 이 설정이 필수가 됐나

구글은 2024년 2월 1일부터 지메일 계정으로 하루 5,000통 이상을 보내는 발신자에게 요구 조건을 명시했습니다. 발신 도메인에 SPF와 DKIM을 설정할 것, 발신 도메인에 DMARC를 설정할 것, Postmaster Tools 기준 스팸 신고율을 0.3% 미만으로 유지할 것, 발신 도메인이나 IP에 유효한 정방향·역방향 DNS 레코드를 둘 것, 전송 시 TLS 연결을 사용할 것입니다.

직접 발송하는 경우에는 보낸사람 헤더의 도메인이 SPF 도메인 또는 DKIM 도메인과 일치해야 DMARC 정렬 기준을 통과합니다. 발송 대행 서비스를 쓰면서 발신 주소만 자사 도메인으로 바꿔 두고 인증을 붙이지 않으면 이 정렬에서 걸립니다. 스팸률 0.3%는 구글이 공표한 기준값이며 다른 수신 서비스의 임계치는 공개돼 있지 않습니다.

어떤 순서로 등록해야 하나

순서를 지키는 것이 이 작업의 핵심입니다. SPF와 DKIM을 먼저 등록하고, 48시간이 지난 뒤 DMARC를 별도 TXT 레코드로 추가하는 순서가 안내됩니다. 처음 적용할 때는 발송 흐름에 영향을 주지 않는 p=none 정책으로 시작해 리포트를 모니터링한 뒤, quarantine을 거쳐 reject로 단계적으로 강도를 높입니다.

SPF와 DKIM 없이 DMARC부터 강한 정책으로 걸면 정상 발송 메일까지 전량 거부될 수 있습니다. 이 사고는 되돌리는 데 시간이 걸리고, 그 사이 발송한 메일은 이미 사라진 뒤입니다. p=none 모니터링 단계를 건너뛰자는 제안이 나오면, 이 단계에서 걸러지는 것은 위험이지 시간이 아니라는 점을 근거로 들 수 있습니다.

누가 이 작업을 할 수 있나

세 레코드는 모두 도메인을 관리하는 곳, 즉 네임서버 등록처에서 등록합니다. 마케팅 담당자 혼자 완결할 수 있는 작업이 아니고 도메인 관리 권한을 가진 개발·인프라 담당자와 함께 진행해야 합니다. 자사몰을 외부 솔루션으로 쓰고 있다면 도메인 관리 화면이 어디인지부터 확인해야 합니다.

요청할 때는 필요한 값을 정리해 넘기는 편이 빠릅니다. 발송 서비스가 제공하는 SPF 포함 구문과 DKIM 레코드 이름·값, DMARC 정책 문자열을 그대로 전달하고, 등록 후 확인해야 할 항목을 함께 적어 보내면 왕복 횟수가 줄어듭니다.

국내 포털은 별도로 무엇을 봐야 하나

국내 포털은 법령과 별개로 자체 약관에서 수신자의 명시적 동의 없이 대량으로 발송되는 이메일을 스팸 차단 대상으로 명시하고 있습니다. 법을 지켰다고 해서 특정 포털의 스팸 판정 알고리즘을 통과한다는 보장은 없습니다. 지메일 기준을 맞추는 것과 국내 포털 도달을 확보하는 것은 별개의 과제로 관리해야 합니다.

국내에서 추가로 쓸 수 있는 장치로는 한국인터넷진흥원이 운영하는 화이트 도메인 제도가 있습니다. 정상적으로 대량 발송하는 메일이 스팸 차단 목록에 오인 등록되는 것을 예방하는 제도이고, 등록하려면 먼저 발신 도메인에 SPF를 등록해 두어야 합니다. 등록 자체는 무료로 안내되며, 신청 화면의 최신 절차는 KISA 불법스팸대응센터에서 직접 확인하는 편이 정확합니다.

설정 이후 무엇으로 확인하나

등록만 하고 끝내면 어디가 새는지 알 수 없습니다. DMARC 리포트를 받을 주소를 지정해 두고, 우리 도메인 이름으로 나가는 메일 중 인증에 실패한 발송이 어디에서 오는지 확인해야 합니다. 사내 다른 부서가 쓰는 발송 도구나 예전에 쓰던 서비스가 리포트에 잡히는 경우가 흔합니다.

지표는 도달 여부만 보지 말고 반송률과 스팸 신고율을 함께 봅니다. 이 두 지표가 함께 올라가면 인증 문제가 아니라 리스트 문제일 가능성이 큽니다. 인증 설정은 리스트가 깨끗하다는 전제 위에서만 효과를 냅니다. 동의 없이 확보한 주소를 대량으로 넣어 두고 인증만 붙이는 것은 순서가 거꾸로이며, 정보통신망법상 동의 없는 광고성 정보 전송은 그 자체로 과태료 대상입니다.

정책 강화 시점도 미리 잡아 두는 편이 좋습니다. p=none으로 몇 주를 관찰할지, 어떤 조건이 만족되면 quarantine으로 올릴지를 문서에 적어 두지 않으면 모니터링 단계에서 멈춰 버리는 경우가 많습니다. 인증 실패 발송이 사라진 것을 확인한 뒤 다음 단계로 올리는 것이 판단 기준이 됩니다.