DMARC가 SPF와 DKIM 위에 더해주는 것
SPF와 DKIM은 각각 메시지에 관한 무언가를 증명하지만, 둘 다 수신자가 실제로 보는 From 헤더의 도메인은 검사하지 않습니다. DMARC가 그 빈틈을 메웁니다. SPF나 DKIM을 통과한 도메인이 From 도메인과 정렬되도록 요구하고, 그것이 실패했을 때 수신자가 무엇을 해야 하는지 알려줍니다. 그대로 전달하거나(none), 스팸함으로 보내거나(quarantine), 거부하는(reject) 것입니다.
또한 여러분의 도메인으로 발송하는 모든 소스와 그 통과 여부를 기술한 집계 리포트를 보내달라고 수신자에게 요청합니다. 콜드 이메일 운영에서 DMARC는 유사 도메인 스푸핑을 막는 방법이자, 잘못 구성된 도구가 도메인을 태워버리기 전에 알아차리는 방법입니다.
_dmarc.yourdomain.com TXT
v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100p=none 에서 quarantine, 그리고 reject 로 옮겨가기
rua 주소를 넣은 p=none 으로 시작하세요. 전달에는 아무 변화가 없지만 며칠 안에 여러분의 도메인으로 메일을 보낸 모든 IP를 나열한 XML 리포트를 받게 됩니다. 메일박스 제공업체, 발송 도구, 그리고 모든 CRM이 정렬까지 통과하는지 확인하세요. 예상한 소스만 나타나고 전부 통과하면 p=quarantine 으로 바꾸세요.
quarantine 으로 몇 주 운영하세요. 정당한 메일이 격리되지 않는다면 p=reject 로 전환하세요. Gmail과 Yahoo는 대량 발송자에게 최소 p=none 을 요구하지만, 수신자는 실제로 집행되는 정책에 더 높은 점수를 줍니다. 그리고 reject 만이 스푸핑을 완전히 차단하는 유일한 설정입니다.
- 불안하다면 pct=25 나 pct=50 을 써서 quarantine 을 단계적으로 적용하세요.
- 서브도메인에 다른 정책이 필요하면 sp= 를 설정하세요. 설정하지 않으면 p 를 상속합니다.
- 모든 발송자가 정확히 같은 From 도메인을 쓰는 것이 아니라면 adkim 과 aspf 는 relaxed 로 두세요.
- 새로운 발송 도구를 추가할 때마다 리포트를 다시 읽으세요.
중요한 태그 읽는 법
레코드는 세미콜론으로 구분된 태그=값 쌍의 목록입니다. v 는 반드시 DMARC1 이어야 하고 맨 앞에 와야 합니다. 그 외에 필수인 태그는 p 하나뿐입니다. rua 는 집계 리포트를 받을 mailto: 주소를 하나 이상 받습니다. pct 는 정책을 적용할 실패 메일의 비율을 제한합니다. adkim 과 aspf 는 정렬을 relaxed(서브도메인도 인정)와 strict(정확히 일치) 사이에서 전환합니다. 나머지는 모두 선택 사항이며 거의 필요하지 않습니다.
흔한 실수는 해당 도메인이 게시해야 하는 승인 레코드 없이 제3자 주소로 리포트를 보내는 것입니다. 또 하나는 DMARC 레코드를 두 개 두어 정책이 정의되지 않게 만드는 것입니다. 이 검사기는 두 경우 모두를, 그리고 실제 태그를 수신자가 무시하는 알 수 없는 태그로 만들어 버리는 오타까지 함께 잡아냅니다.
콜드 이메일 도메인을 위한 DMARC
아웃리치 도메인은 새롭고 거의 모니터링되지 않기 때문에 스푸핑의 단골 표적입니다. 자신의 메일이 정렬되기만 하면 reject 정책에는 아무 비용이 들지 않으며, 평판 손상의 한 부류를 통째로 없애줍니다. 대부분의 콜드 이메일 구성은 DKIM이 활성화된 Google Workspace나 Microsoft 365를 통해 발송하므로 정렬은 이미 갖춰져 있는 것이 보통입니다.
InboxOne은 프로비저닝하는 모든 도메인에 SPF, DKIM과 DMARC 레코드를 게시하므로 첫 발송부터 도메인이 보호됩니다. DNS를 직접 관리한다면 생성기로 레코드를 만들고, 전파가 끝난 뒤 이 검사기로 확인하세요.
