SPF 검사 도구의 작동 방식
입력한 도메인의 TXT 레코드를 읽고 v=spf1로 시작하는 레코드를 찾습니다. 그런 다음 수신 서버와 같은 방식으로 모든 include와 redirect를 따라가며, DNS 쿼리가 필요한 각 조회를 기록하고 모든 항목의 구문을 검사합니다.
여기에는 IP 주소가 사용되지 않습니다. 확인하려는 것은 특정 서버가 발송할 수 있는지가 아니라, 레코드가 유효하고 이를 평가해야 하는 모든 서버가 조회 한도 내에서 처리할 수 있는지입니다. 특정 서버의 발송 가능 여부를 확인하려면 전체 테스트를 통해 메시지를 보내세요. 보고서에 수신 서버가 실제로 얻은 결과가 표시됩니다.
DNS 조회 과다: 최대 10회
RFC 7208은 SPF 평가에서 DNS 쿼리가 필요한 항목을 10개로 제한합니다: include, a, mx, ptr, exists, redirect. 횟수는 전체 트리에 걸쳐 계산되므로, 자체적으로 3개를 더 include하는 include 하나는 총 4회를 사용합니다. 제한을 초과하면 결과는 permerror가 되며, DMARC는 이를 SPF 통과 실패로 처리합니다.
실제 평가는 첫 번째 일치 항목에서 중단되지만, 검사 도구는 평가가 도달하지 않을 수 있는 항목까지 모두 계산합니다. 앞쪽에 나열된 서버는 계속 통과하지만 뒤쪽 서버는 실패하기 시작합니다. 외부에서는 일부 메시지만 정상적으로 처리되고 나머지는 실패하는 것처럼 보입니다.
ip4와 ip6 항목은 조회 횟수를 사용하지 않습니다. include를 주소 범위로 대체하는 방식인 평탄화를 사용하면 조회 횟수를 줄일 수 있지만, 해당 범위를 제공업체의 변경 사항에 맞춰 직접 관리해야 합니다.
확인해야 할 SPF 설정 오류
하나의 도메인에 SPF 레코드가 두 개 있는 경우입니다. 두 번째 제공업체의 설정 안내에 레코드를 추가하라고 되어 있지만 기존 레코드와 병합하지 않았을 때 발생합니다. 레코드가 두 개라는 사실만으로도 permerror가 됩니다.
인터넷의 모든 서버가 통과하도록 허용하는 +all로 끝나거나, 어떤 서버에 대해서도 판단하지 않아 아무것도 보호하지 못하는 ?all로 끝나는 경우입니다. RFC 7208에서 사용하지 말라고 명시한 ptr 항목도 확인해야 합니다. 회사가 수년 전에 사용을 중단한 서비스의 include도 각각 조회 1회를 계속 사용합니다.
질문
SPF 레코드는 어떤 형식인가요?
도메인에 게시하는 하나의 TXT 레코드로, v=spf1로 시작하고 발송이 허용된 대상을 나열한 뒤 그 외 모든 대상에 적용할 규칙으로 끝납니다. v=spf1 include:_spf.google.com ip4:203.0.113.5 ~all은 Google Workspace와 서버 한 대의 발송을 허용하고 나머지는 softfail로 처리합니다. 도메인에는 하나만 게시할 수 있습니다.
SPF softfail과 hardfail 중 무엇을 써야 하나요: ~all 또는 -all?
DMARC가 적용된 후에는 어느 쪽이든 사용할 수 있습니다. 실패한 메시지를 어떻게 처리할지는 DMARC가 결정하기 때문입니다. 발송에 사용하는 모든 서비스를 아직 파악하는 중이라면 ~all(softfail)이 더 안전합니다. DMARC 보고서에서 정상적인 메일의 실패가 더 이상 확인되지 않으면 -all로 전환하세요.
전체 테스트에서는 통과하는데 여기서는 조회가 10회를 초과하는 이유는 무엇인가요?
수신 서버가 해당 서버와 일치하는 첫 번째 항목에서 평가를 중단했으므로 나머지 항목은 조회하지 않았습니다. 목록의 더 뒤에 있는 다른 서버를 평가하면 동일한 평가가 10회를 초과하여 실패할 수 있습니다.
void lookup이란 무엇인가요?
레코드를 반환하지 않거나 존재하지 않는 이름을 조회하는 DNS 쿼리입니다. RFC 7208에서는 한 번의 평가에 두 번까지 허용하며, 세 번째는 permerror입니다. 더 이상 존재하지 않는 도메인을 대상으로 하는 include가 일반적인 원인입니다.
한 도메인에 SPF 레코드를 두 개 둘 수 있나요?
아니요. RFC 7208은 v=spf1로 시작하는 레코드를 하나만 허용하며, 두 개가 있으면 모든 평가가 permerror로 끝납니다. 두 레코드를 병합하세요. v=spf1은 하나만 유지하고 두 레코드의 include와 ip4 항목을 여기에 넣은 다음 하나의 all로 끝내세요. v=spf1 include:_spf.google.com include:servers.mcsv.net ~all은 하나의 레코드에서 두 제공업체를 포함합니다.
전체 가이드: Multiple SPF records
SPF permerror는 무엇을 의미하나요?
영구 오류입니다. 게시된 레코드를 평가할 수 없으므로 다시 시도해도 결과가 같습니다. 일반적인 원인은 10회를 초과한 DNS 조회, 한 도메인의 SPF 레코드 두 개, 구문 오류, 세 번째 void 조회입니다. DMARC는 permerror를 SPF가 통과하지 못한 것으로 처리합니다.
전체 가이드: SPF permerror: too many DNS lookups
SPF 레코드를 찾을 수 없으면 어떻게 되나요?
수신 서버는 none 결과를 받으며, DMARC는 이를 fail과 동일하게 처리합니다. 또한 누구나 envelope sender에 해당 도메인을 사용할 수 있습니다. 도메인 자체에 v=spf1로 시작하고 해당 도메인을 대신해 발송하는 서비스를 나열한 뒤 ~all 또는 -all로 끝나는 TXT 레코드 하나를 게시하세요.