왜 콘텐츠가 아니라 DNS 레코드부터 봐야 하는가

스팸함 분류는 메일 제목이나 본문 내용만으로 결정되지 않습니다. 수신 서비스(지메일, 네이버메일 등)는 메일을 받기 전에 먼저 "이 메일이 정말 발신 도메인의 소유자가 보낸 것이 맞는가"를 기술적으로 검증하고, 이 검증을 통과하지 못하면 본문이 아무리 정상적이어도 스팸함으로 보내거나 아예 반송시킵니다. SPF·DKIM·DMARC는 바로 이 발신자 검증을 위한 세 단계 인증 표준이며, ESP 도움말들이 공통으로 이 설정 완료를 스팸 분류 확률을 낮추는 가장 기본적인 조치로 안내하는 이유입니다.

SPF — 이 도메인으로 보낼 수 있는 서버 목록

SPF(Sender Policy Framework)는 도메인의 네임서버(DNS)에 TXT 레코드로 "이 도메인 이름을 걸고 메일을 보낼 수 있는 서버는 이 목록뿐이다"를 선언하는 방식입니다. 예를 들어 자사 도메인으로 스티비를 통해 메일을 보낸다면, SPF 레코드에 스티비의 발송 서버 정보를 포함시켜야 합니다. 이 레코드가 없거나 실제 발송 서버(ESP)가 누락되어 있으면, 수신 서버는 "이 메일은 등록되지 않은 서버에서 온 것"으로 판단해 위조 가능성을 의심합니다.

DKIM — 발송 중 변조되지 않았음을 증명하는 서명

DKIM(DomainKeys Identified Mail)은 SPF와 목적은 비슷하지만 방식이 다릅니다. SPF가 "어느 서버에서 보냈는가"를 확인하는 것이라면, DKIM은 메일 헤더에 암호화된 디지털 서명을 붙여 "이 메일 내용이 발송 이후 중간에 조작되지 않았다"는 것을 증명합니다. 이 서명 역시 도메인 관리 서비스의 DNS에 TXT 레코드로 공개키를 등록하는 방식으로 설정합니다. SPF와 DKIM은 별개의 레코드이므로 둘 중 하나만 설정해서는 안 되고, ESP가 안내하는 두 레코드를 모두 등록해야 온전한 인증이 완료됩니다.

DMARC — SPF·DKIM 실패 시 처리 방침을 정하는 정책

DMARC(Domain-based Message Authentication, Reporting and Conformance)는 SPF·DKIM 인증에 실패한 메일을 수신 서버가 어떻게 처리할지 지시하는 정책 레코드입니다. 실무 순서는 명확합니다 — 먼저 SPF·DKIM 설정을 완료하고 48시간 정도 지난 뒤에 DMARC TXT 레코드를 추가하며, 처음에는 발송 흐름에 영향을 주지 않는 p=none(모니터링만 하고 아무 조치도 하지 않음) 정책으로 시작합니다. 이후 리포트를 통해 정상 발송 메일이 인증에 실패하는 사례가 없는지 확인한 다음, quarantine(스팸함 처리) 또는 reject(수신 거부)로 점진적으로 강화하는 것이 정석입니다. SPF·DKIM 없이 곧바로 강한 DMARC 정책부터 걸면 정상 메일까지 전량 차단될 수 있으므로, 이 순서를 건너뛰면 안 됩니다.

세 레코드가 각각 무엇을 막아주는지 다시 정리하면

세 인증을 혼동하지 않으려면 각자 막아주는 문제가 다르다는 점을 기준으로 구분하는 것이 좋습니다. SPF는 "허용되지 않은 서버가 우리 도메인 이름으로 메일을 보내는 것"을 막고, DKIM은 "발송된 메일 내용이 중간에 조작되는 것"을 막으며, DMARC는 "SPF·DKIM을 통과하지 못한 메일을 수신 서버가 어떻게 취급할지"를 결정합니다. 셋 중 하나만 설정하고 나머지를 미루면, 예를 들어 SPF만 있고 DMARC가 없는 경우 SPF를 우회하는 위조 메일(발신자 표시 위조, 스푸핑)에 대한 방어가 약해집니다. 세 가지를 순서대로(SPF→DKIM→DMARC) 모두 완료해야 도달률 관점에서 의미 있는 인증 체계가 완성됩니다.

실무 세팅 순서와 흔한 실수

실제 세팅은 ① ESP가 제공하는 SPF·DKIM용 TXT 레코드 값을 확인 → ② 도메인 네임서버 관리 화면(가비아, 카페24 등)에 해당 값을 등록 → ③ 반영까지 대기(전파에 시간이 걸릴 수 있음) → ④ ESP의 인증 상태 확인 화면에서 통과 여부 확인 → ⑤ 48시간 뒤 DMARC를 p=none으로 추가 → ⑥ 리포트를 모니터링하며 정책을 강화하는 순서로 진행합니다. 가장 흔한 실수는 두 가지입니다. 하나는 SPF·DKIM 설정 직후 곧바로 대량 캠페인을 발송하는 것 — 인증 반영에는 시간이 걸리므로 설정 완료 후 ESP 화면에서 통과 상태를 확인한 뒤 발송해야 합니다. 다른 하나는 DMARC를 처음부터 reject로 설정하는 것으로, 이 경우 SPF·DKIM 설정에 사소한 오류가 있었다면 정상 메일까지 전부 거부되는 사고로 이어집니다.