oz-insight

SPF·DKIM·DMARC 인증 설정 이해하기

고객님들 중 자체 도메인 주소(예: abcde@company.com)를 사용하는 경우, SPF, DKIM, DMARC와 같은 이메일 보안 설정도 꼭 함께 해주시길 안내드리고 있는데요.

그런데 SPF, DKIM, DMARC... 이름부터 어렵습니다. 😅
처음 접하면 각각 뭐가 다른지, 그래서 내가 뭘 해야 하는지 한 번에 이해하기가 쉽지 않습니다. 저 역시 여러 번 찾아보고 공부한 뒤에야 조금씩 개념이 잡혔는데요. 그래서 오늘은 최대한 어려운 기술 용어는 빼고, “왜 필요한지”를 중심으로 쉽게 설명해보겠습니다.

SPF, DKIM이 뭘까?

네이버, 구글, 다음, 기업메일 등의 서비스는 메일이 도착하면 "이 메일을 믿어도 되는가?"를 확인합니다.

예를 들어 abcde@company.com이라는 회사 이메일 주소를 발신자 주소로 설정해 오즈메일러에서 메일을 발송한다고 가정해볼게요. 받는 사람에게는 abcde@company.com에서 보낸 메일로 보이지만, 실제 발송에는 오즈메일러의 발송 서버가 사용됩니다. 그러면 메일을 받는 서비스 입장에서는 이런 의문이 생깁니다. "오즈메일러가 company.com이라는 회사 주소로 메일을 보내도 되는 게 맞을까?"

이때 "네, 오즈메일러를 통해 발송한 메일도 저희가 정상적으로 보낸 메일이 맞습니다"라는 것을 확인할 수 있도록 설정하는 대표적인 방법이 바로 SPF와 DKIM입니다.

SPF: "오즈메일러 서버에서 우리 회사 메일을 보내도 됩니다"라고 미리 등록해두는 것
DKIM: 발송하는 메일에 "정상적으로 인증된 메일입니다"라는 일종의 전자서명을 붙이는 것

둘 다 우리 회사의 이메일 주소로 정상 발송된 메일이라는 사실을 수신 서비스가 확인할 수 있도록 돕는 인증 장치입니다.

그럼 dmarc는 뭘까?

그런데 여기서 한 가지 문제가 있습니다.누군가 우리 회사의 이메일 주소를 똑같이 적어서 가짜 메일을 보낸다면 어떻게 될까요?

받는 사람 입장에서는 보낸 사람에 abcde@company.com이라고 적혀 있으면 실제 우리 회사가 보낸 메일이라고 믿기 쉽습니다. 그래서 필요한 것이 DMARC입니다. 쉽게 말하면, "우리 회사 주소로 온 메일이라면, 정상적으로 인증된 메일이 맞는지 반드시 확인해달라"는 보안 규칙을 정해두는 것입니다.

확인 결과 정상적으로 인증된 메일이 아니라면, 그대로 받을지·스팸으로 분류할지·아예 차단할지까지 정책으로 정할 수 있습니다.

설정이 완료되면 이렇게 확인할 수 있어요

SPF, DKIM, DMARC 설정이 정상적으로 이루어지면, 메일의 인증 정보에서도 정상적으로 인증되었음을 확인할 수 있습니다. 아래 예시를 한번 봐보겠습니다.

여기서 고객님들이 종종 질문하시는 부분이 있습니다.“발송 도메인에는 왜 우리 회사가 아닌 다른 주소가 표시되나요?”

오즈메일러를 이용해 메일을 발송하면 보낸 사람은 고객님의 이메일 주소로 표시되지만, 실제 메일 전송은 오즈메일러의 발송 시스템을 통해 이루어집니다. 따라서 메일 상세 정보에는 오즈메일러의 발송용 도메인이 함께 표시될 수 있으며, 이는 정상적인 발송 과정에서 나타나는 정보이니 걱정하지 않으셔도 됩니다.

앞서 설명한 SPF, DKIM 설정은 바로 이 과정에서 "오즈메일러를 통해 보낸 메일도 우리 회사가 정상적으로 발송한 메일이 맞다"는 것을 증명해주는 역할을 합니다.

아무 이메일 주소나 설정할 수 있을까요?

제가 최근 자주 받는 문의이기도 합니다. 네이버나 지메일처럼 타 기업이 제공하는 이메일 주소는 사용하실 수 없습니다. 직접 소유한 도메인이 있어야만 설정이 가능합니다.

도메인은 어떻게 생성하나요?

여기서 말하는 기업 도메인이란 쉽게 말해 ozmailer.com과 같은 주소를 뜻하며, 타사 서비스를 통해 구매하실 수 있습니다. 국내에서는 대표적으로 후이즈메일, 카페24, 가비아, 다우오피스 등의 서비스에서 구매가 가능합니다.

자세한 안내는 아래 링크를 참고해주세요.
자체 도메인 주소 사용하는 법

단, 도메인만 구매했다고 끝나는 것은 아닙니다. 구매한 도메인을 등록하고 연결할 수 있는 이메일 계정 생성이 추가로 필요해요. 이어서 이 부분을 안내해드릴게요.

도메인으로 실제 이메일 주소도 만들어주세요

직접 소유한 도메인이 있다면, 이제 그 도메인을 사용하는 실제 이메일 주소가 있어야 합니다. 예를 들어 도메인이 company.com이라면, help@company.com이나 info@company.com처럼 해당 도메인을 사용하는 이메일 주소를 만들어야 발신자 주소로 쓸 수 있습니다.

이런 이메일 주소는 도메인을 구입한 곳 (후이즈메일, 카페24, 가비아, 다우오피스 등) 에서 함께 만들 수 있습니다.
구글 워크스페이스, 네이버 웍스, 다음 스마트워크, 처럼 '기업 메일', '웹 메일'을 제공하는 서비스를 통해 만드실 수 있습니다. 도메인을 구매하신 곳에서 함께 제공하는 경우도 있으니, 먼저 확인해보시는 것도 방법입니다.

+ 보너스 상식: spf,dkim,dmarc 설정은 누구에게 부탁해야 할까요?

저도 이전 회사에 근무할 당시, 우리 회사가 어디에서 호스팅을 받고 있고 어디에 문의해야 하는지 몰라 헤매었던 경험이 있습니다. 😅 실제로 고객님들께 안내 드릴 때 가장 많이 받는 질문도 "그래서 어떻게 진행해야 하나요?"입니다.

① 사내에 홈페이지·서버·전산 담당자가 있다면
→ 오즈메일러에서 제공하는 설정 값과 가이드를 그대로 전달해주세요. 담당자가 DNS 관리 화면에서 설정할 수 있습니다.

② “저희는 홈페이지를 직접 관리하지 않는데요?”
→ 홈페이지를 제작하거나 관리해주는 외부 업체에 먼저 문의해보세요. 도메인이나 호스팅까지 함께 관리해주는 경우가 많습니다.

③ 담당자도 없고 관리업체도 모르겠어요.
→ 걱정하지 않으셔도 됩니다. 먼저 우리 회사 도메인을 어디에서 관리하고 있는지 확인한 뒤 오즈메일러 가이드를 따라 하나씩 설정해보세요. 어려운 부분은 오즈메일러 담당자에게 문의해주시면 설정에 필요한 내용을 차근차근 안내해드리겠습니다.