메일 발신자는 원래 위조할 수 있습니다
이메일은 편지 봉투에 보내는 사람을 적는 것과 같습니다. 봉투에 아무 이름이나 적어도 우체국은 확인하지 않습니다. 그래서 별도 설정이 없으면 누구나 우리 회사 주소인 척 메일을 보낼 수 있습니다.
피해는 손님이 아니라 거래처와 고객이 봅니다. "계좌가 변경되었습니다"라는 가짜 메일이 진짜 도메인으로 오면 의심하기 어렵습니다. 실제로 이런 방식의 사기가 국내 중소기업에서 반복적으로 발생합니다.
세 가지 장치
| 이름 | 하는 일 | 비유 |
|---|---|---|
| SPF | 이 도메인의 메일을 보낼 수 있는 서버를 지정 | "우리 우편은 이 우체국에서만 나갑니다" |
| DKIM | 메일에 위조 불가능한 서명을 붙임 | 봉투에 찍는 인감 |
| DMARC | 위 둘을 통과 못 한 메일을 어떻게 할지 지시 | "인감 없는 우편은 반송하세요" |
DMARC가 없으면 앞의 둘이 있어도 소용이 적습니다. 받는 쪽에 "어떻게 처리하라"고 알려 주는 것이 DMARC이기 때문입니다.
직접 하지 않아도 됩니다
DNS 설정은 손대기 부담스러운 영역입니다. 잘못 건드리면 메일이 아예 안 올 수도 있습니다. 도메인이나 홈페이지를 관리해 주는 곳에 아래 문장을 그대로 전달하시면 됩니다.
우리 도메인에 SPF와 DMARC 레코드를 설정해 주세요. DMARC는 처음에 p=none으로 걸어 두고, 정상 메일이 영향을 받지 않는지 2~4주 지켜본 뒤 p=quarantine 또는 p=reject로 올려 주세요.
단계를 나누는 이유가 있습니다. 처음부터 reject로 걸면
뉴스레터 발송 도구나 쇼핑몰 알림처럼 대신 메일을 보내 주는 서비스의 메일이 차단될 수 있습니다.
먼저 관찰하고, 빠진 것을 채운 뒤 올리는 것이 안전합니다.
구글 워크스페이스·네이버웍스를 쓴다면
이미 SPF·DKIM 설정 안내가 관리 화면에 들어 있습니다. DMARC만 추가하면 되는 경우가 많습니다.
- Google Workspace — 관리 콘솔 → 앱 → Gmail → 이메일 인증
- 네이버웍스 — 관리자 → 도메인 → 메일 인증 설정
무료 메일(gmail.com, naver.com 등)을 쓰신다면 손님이 하실 일은 없습니다. 그 설정은 서비스 제공자가 관리하며, 이미 잘 되어 있습니다.
지금 상태 확인하기
이 사이트에 자체 도메인 이메일로 로그인하시면 SPF·DKIM·DMARC가 갖춰져 있는지 자동으로 확인합니다. 가입한 다른 사이트들도 함께 점검해, 어느 곳을 사칭한 메일이 올 수 있는지 알려 드립니다.
내 계정은 어떤 상태일까
이 글의 내용이 나에게 해당하는지, 로그인 한 번으로 확인할 수 있습니다. 결과는 저희 서버에 저장되지 않습니다.