DMARC가 판단하는 항목
SPF와 DKIM은 각각 도메인에 관한 정보를 증명하지만, 사람들이 실제로 읽는 From 줄의 주소는 확인하지 않습니다. DMARC는 이들을 From 주소와 연결합니다. From 도메인과 일치하는 도메인에서 SPF 또는 DKIM 검증을 통과하면 메시지는 DMARC를 통과하며, 레코드는 통과하지 못한 메시지를 어떻게 처리할지 수신 측에 지시합니다.
이 레코드는 도메인 앞에 _dmarc를 붙인 위치의 DNS에 TXT 레코드로 존재합니다. 해당 이름에 레코드가 없으면 수신 측은 대신 조직 도메인, 즉 등록된 도메인을 조회합니다. 예를 들어 news.example.com의 조직 도메인은 example.com입니다. 따라서 하위 도메인은 자체 레코드가 없어도 보호될 수 있습니다.
DMARC 정책 확인 방법
p=none은 수신 측에 별도 조치를 하지 않고 보고서만 보내도록 요청합니다. 모든 도메인이 여기에서 시작해야 하지만, 너무 많은 도메인이 수년 동안 이 상태에 머뭅니다. p=none이 적용된 동안에는 누구나 From 줄에 해당 도메인을 사용해 메일을 보낼 수 있으며, 수신 측은 이를 통과시키라는 지시를 받은 상태입니다.
p=quarantine은 검증에 실패한 메일을 스팸으로 보내고, p=reject는 수신 단계에서 거부합니다. Gmail과 Yahoo는 2024년 2월부터 대량 발신자에게 DMARC 레코드 게시를 요구하고 있습니다. p=none 레코드도 형식상 이 요구사항을 충족하지만, 검사기는 여전히 경고로 표시합니다.
도착하지 않는 DMARC 보고서
rua 주소에는 메일을 확인한 각 수신 측에서 기본적으로 하루에 한 번 집계 보고서를 보냅니다. 주소가 레코드 대상 도메인과 다른 도메인에 속해 있으면 RFC 7489에 따라 해당 외부 도메인은 대상 도메인의 보고서를 수신한다는 승인 레코드를 게시해야 합니다. 검사기는 모든 외부 주소에 대해 이 레코드를 조회합니다. 승인 레코드가 없으면 수신 측은 보고서를 보내지 않습니다.
질문
DMARC 레코드는 어떻게 추가하나요?
도메인 앞에 _dmarc를 붙인 위치에 v=DMARC1과 정책이 포함된 TXT 레코드를 게시하세요. 예: v=DMARC1; p=none; rua=mailto:dmarc@example.com. p=none으로 시작해 몇 주 동안 보고서를 확인한 다음 quarantine으로 변경하고, 이후 reject로 변경하세요. DNS에 레코드가 반영되면 여기에서 확인하세요.
p=none은 문제가 있나요?
첫 단계로는 제 역할을 합니다. 이메일 전송에 영향을 주지 않고 보고서를 수집하므로, 아직 인증되지 않은 상태로 이메일을 보내는 서비스를 찾을 수 있습니다. 하지만 계속 유지하면 문제가 됩니다. 보고서의 목적은 정책을 격리로 전환한 다음 거부로 전환하는 데 있기 때문입니다.
각 하위 도메인에 별도 레코드가 필요한가요?
자체 레코드가 없는 하위 도메인은 조직 도메인의 레코드를 따르며, 해당 레코드의 sp 태그가 하위 도메인 정책을 설정합니다. 따라서 일반적으로 레코드 하나로 모두 처리할 수 있습니다.
완화된 정렬과 엄격한 정렬 중 무엇을 사용해야 하나요?
특별한 이유가 없다면 완화된 정렬을 사용하세요. 완화된 정렬에서는 mail.example.com의 DKIM 서명이 example.com의 From 주소에도 유효한 것으로 인정됩니다. 엄격한 정렬은 이를 허용하지 않으며, 제공업체가 하위 도메인으로 서명하는 많은 구성이 작동하지 않게 됩니다.
"DMARC policy not enabled"은 무엇을 의미하나요?
도메인의 DMARC 레코드가 p=none으로 설정되어 있거나 DMARC 레코드가 전혀 없다는 의미입니다. p=none이면 수신 서버는 인증에 실패한 메일도 평소처럼 전달하고 rua 주소로 보고서만 보냅니다. 따라서 아직 해당 도메인을 사용해 메일을 보내는 발신자를 차단하지 않습니다.
전체 가이드: DMARC policy not enabled
하나의 도메인에 DMARC 레코드를 여러 개 설정할 수 있나요?
아니요. _dmarc에 v=DMARC1으로 시작하는 TXT 레코드가 두 개 있으면 수신 서버는 둘 다 무시하고 해당 도메인에 DMARC 레코드가 없는 것으로 처리합니다. 하나만 유지하고 다른 레코드에서 필요한 태그를 옮기세요.
격리와 거부 중 무엇을 선택해야 하나요?
먼저 격리를 적용하세요. 수신 측은 인증에 실패한 메일을 의심스러운 것으로 취급하며, 일반적으로 스팸으로 분류합니다. 따라서 누락한 정상 서비스가 있더라도 메시지가 유실되는 대신 스팸 폴더로 이동합니다. 몇 주 동안 보내는 메일에서 실패가 없다는 것이 보고서로 확인되면 reject로 전환하세요.