DMARC란?

정의

Domain-based Message Authentication, Reporting, and Conformance는 이메일 인증의 정책 계층이에요. SPF와 DKIM은 각각 유용한 검사를 수행하지만, 어느 쪽도 단독으로는 수신자가 실제로 보는 From 주소를 확인하지 않고, 검사에 실패했을 때 수신 서버가 무엇을 해야 하는지도 알려 주지 않아요. DMARC는 이 두 가지 빈틈을 모두 메워요. 인증되지 않은 메일의 처리 방법을 수신 측에 지시하고, 도메인이 어떻게 사용되고 있는지 도메인 소유자가 파악할 수 있는 보고서를 만들어요.

이름 자체가 DMARC가 하는 세 가지 일을 설명해요. 인증(Authentication)은 DMARC가 SPF와 DKIM의 결과 위에 직접 구축된다는 뜻이에요. 보고(Reporting)는 수신 측이 해당 도메인에서 왔다고 주장하는 메시지에 대해 통과 및 실패 건수를 포함한 집계 데이터를 도메인 소유자에게 보낸다는 뜻이에요. 준수(Conformance)는 도메인 소유자가 수신 측이 따라야 할 정책을 선언할 수 있다는 뜻으로, 아무 조치 안 함부터 스팸함으로 보내기, 완전히 거부하기까지 선택할 수 있어요. 이 세 가지가 합쳐져 SPF와 DKIM을 개별 검사에서 도메인 신원을 지키는, 강제 가능하고 관찰 가능한 방어 체계로 바꿔 줘요.

작동 방식

DMARC 정책은 _dmarc.yourdomain.com 하위 도메인에 단일 DNS TXT 레코드로 게시돼요. 레코드는 v=DMARC1로 시작하고, p= 태그에 요청하는 정책을 명시하며, 보통 집계 보고서를 받을 주소를 지정하는 rua= 태그를 포함해요. 메시지가 도착하면 수신 서버는 평소처럼 SPF와 DKIM을 실행한 다음, 그 결과를 바탕으로 DMARC 평가를 수행해요.

DMARC의 핵심은 정렬(alignment)이에요. SPF나 DKIM이 단순히 통과하는 것만으로는 충분하지 않아요. 해당 검사가 검증한 도메인이 화면에 보이는 From 헤더의 도메인과도 일치해야 해요. 보이는 From 주소를 보호하는 것이 DMARC의 존재 이유이기 때문이에요. 정렬 모드는 두 가지예요. 기본값인 완화(relaxed) 정렬은 조직 도메인 수준의 일치를 허용하므로 하위 도메인이 상위 도메인과 정렬될 수 있어요. 엄격(strict) 정렬은 도메인이 정확히 일치해야 해요. DMARC는 SPF나 DKIM 중 하나 이상이 통과하면서 From 도메인과 정렬될 때 통과해요. 그래서 메시지가 SPF나 DKIM을 단독으로 통과하더라도 검증된 도메인이 From 주소와 맞지 않으면 DMARC에 실패할 수 있고, 발신자가 처음 정책을 강화할 때 흔히 놀라는 부분이에요.

메시지가 DMARC에 실패하면 수신 측은 게시된 정책을 적용해요. p=none 정책은 수신 측에 특별한 조치 없이 보고서에만 포함하도록 요청하며, 이것이 모니터링 설정이에요. p=quarantine 정책은 실패한 메일을 의심스럽게 다루도록 요청하며, 보통 스팸함으로 보내요. p=reject 정책은 실패한 메일을 완전히 차단하도록 요청해서 받은편지함에도 스팸함에도 도달하지 않아요. 권장하는 도입 방식은 단계적이에요. none으로 시작해 집계 보고서를 살펴보며 모든 정상 발송 소스가 인증과 정렬을 통과하는지 확인하고, 데이터상 안전하다고 판단되면 quarantine을 거쳐 마지막으로 reject로 옮겨요. 설정이 끝나기 전에 엄격한 정책을 적용하면 도메인이 자신의 정상 메일까지 차단할 수 있어요.

이메일 도달률에 중요한 이유

DMARC가 중요한 이유는 서로 연결된 두 가지예요. 첫째는 보안이에요. DMARC가 없으면 공격자는 From 주소에 신뢰받는 회사의 도메인을 그대로 표시한 피싱 메일을 보낼 수 있어요. SPF와 DKIM만으로는 이 보이는 필드를 감시하지 않기 때문이에요. quarantine이나 reject 정책을 쓰면 실제 도메인 소유자가 전 세계 메일박스 제공업체에 위조 메일이 누구에게도 도달하기 전에 막으라고 지시할 수 있어요. 둘째는 도달률이에요. DMARC 레코드는 해당 도메인이 인증을 진지하게 다룬다는 신호를 제공업체에 보내고, 이는 도메인 평판과 받은편지함 도달에 도움이 돼요.

DMARC는 이제 필수 요건이 되었어요. Google과 Yahoo의 2024년 발신자 요구사항에 따라 대량 발신자는 최소 p=none 이상의 정책으로 DMARC 레코드를 게시해야 하고, DMARC 기준으로 정렬되는 방식으로 SPF와 DKIM 인증을 해야 해요. DMARC 레코드가 없는 도메인은 대량 메일이 속도 제한되거나 거부될 수 있어요. 동시에 DMARC가 돌려주는 보고서는 그 자체로도 가치가 있어요. 해당 도메인으로 메일을 보내는 모든 서비스를 보여 주기 때문이에요. 이런 가시성 덕분에 더 엄격한 정책을 적용하기 전에 마케팅 플랫폼부터 고객 지원 시스템까지 모든 정상 도구가 올바르게 인증되고 있는지 확인할 수 있어요.

VeriMails의 처리 방식

DMARC와 이메일 검증은 메시지의 양쪽 끝에서 도달률을 지켜요. DMARC는 보내는 메일에서 도메인 신원을 보호해, 우리 도메인에서 왔다고 주장하는 메시지가 실제로 그렇다는 것을 수신 측이 믿을 수 있게 해요. 이메일 검증은 받는 리스트의 품질을 보호해 모든 주소가 실제로 존재하고 도달 가능한지 확인해요. DMARC 정책이 완벽해도 존재하지 않는 주소로 메일을 보내면 평판이 떨어질 수 있으므로, 두 가지는 겹치지 않고 서로를 보완해요.

VeriMails는 수신자 쪽을 담당해요. 제출한 모든 주소는 구문 검증, MX 및 DNS 조회, 실시간 SMTP 핸드셰이크, 캐치올 감지, 일회용 주소 감지, 역할 기반 주소 감지를 거치며, 반송을 일으켜 DMARC, SPF, DKIM 레코드가 지키려는 평판을 깎아 먹을 유효하지 않은 주소를 걸러내요. 인증 쪽도 돕기 위해 VeriMails는 올바른 형식의 레코드를 만들어 주는 무료 DMARC 생성기를 제공해요. 모니터링 모드로 시작하고, 보고서로 안전이 확인되면 정책을 강화하면 돼요. REST API나 대량 CSV 업로드로 리스트를 검증할 수 있고, 캠페인 결정에 바로 쓸 수 있는 명확한 도달 가능성 분류를 받아요. 검증은 이메일당 $0.0019부터 시작하며, 10,000 크레딧에 $19, 연간 플랜은 연간 결제 시 월 $12.50부터예요. 모든 계정은 신용카드 없이 만료되지 않는 무료 크레딧 100개로 시작해요.

자주 묻는 질문