마케팅 이메일 SPF·DKIM·DMARC 설정 방법
- SPF·DKIM·DMARC는 발신 도메인 DNS에 설정합니다.
- SPF는 기존 레코드를 확인한 뒤 한 개로 통합합니다.
- DMARC는 p=none으로 보고를 확인한 후 정책을 단계적으로 강화합니다.
마케팅 이메일의 SPF·DKIM·DMARC는 발신 주소에 표시되는 도메인을 실제 발송 서비스와 연결하고, 수신 서버가 발신을 확인하도록 DNS에 설정합니다. 먼저 이메일 발송 플랫폼에서 제공하는 인증 레코드와 발신 도메인을 확인하고, SPF와 DKIM을 적용한 뒤 DMARC 보고를 살펴 정책을 조정하세요. 레코드 값은 발송 서비스와 도메인 구성에 따라 다르므로 예시를 그대로 복사하지 말고 해당 서비스가 발급한 값을 사용해야 합니다.
먼저 발신 구조와 관리 권한을 확인하세요
From 주소와 실제 발송 서비스를 확인합니다
마케팅 플랫폼, 회사 메일, CRM 자동화, 웹사이트 발송 기능 등 현재 사용하는 모든 발송 경로를 적어 보세요. 같은 From 주소를 사용하더라도 실제 메일은 서로 다른 서버에서 나갈 수 있습니다. 각 발송 서비스의 관리자 화면에서 인증 설정 메뉴를 열고 SPF에 넣을 값, DKIM 레코드의 이름과 값, 지원하는 레코드 유형(TXT 또는 CNAME)을 확인합니다.
DNS를 수정할 수 있는 계정을 찾습니다
SPF·DKIM·DMARC는 도메인을 구매한 업체가 아니라 현재 네임서버와 DNS 영역을 관리하는 서비스에 등록해야 합니다. 권한이 없다면 DNS 관리자에게 레코드 이름, 유형, 값, TTL을 전달해 반영을 요청하세요. 공개 이메일 주소인 gmail.com이나 naver.com은 소유자가 아니므로 해당 도메인의 인증 레코드를 직접 바꿀 수 없습니다. 회사 소유 도메인 또는 발송용 하위 도메인을 사용해야 합니다.
SPF·DKIM·DMARC는 무엇을 확인하나요?
| 인증 | 주요 확인 대상 | 설정 시 핵심 |
|---|---|---|
| SPF | 발송 서버가 도메인 사용 권한을 가졌는지 | 기존 SPF에 허용 발송 서비스를 합침 |
| DKIM | 메일 서명과 발신 도메인의 공개 키 | 서비스별 selector와 키를 정확히 등록 |
| DMARC | SPF 또는 DKIM 인증 결과와 From 도메인의 일치 | 보고를 확인하며 정책을 점진적으로 강화 |
SPF(Sender Policy Framework)는 수신 서버가 발신 서버의 IP 또는 발송 경로가 DNS에 허용되어 있는지 확인하는 방식입니다. DKIM(DomainKeys Identified Mail)은 메일에 전자 서명을 붙이고 DNS의 공개 키로 검증합니다. DMARC(Domain-based Message Authentication, Reporting and Conformance)는 SPF나 DKIM이 통과했는지뿐 아니라 인증된 도메인이 수신자에게 보이는 From 도메인과 정렬(alignment, 같은 조직 도메인 기준으로 연결되는 상태)되는지도 확인하고, 실패 처리 정책과 보고 주소를 제공합니다. [DMARC 표준 설명]
핵심: SPF 또는 DKIM 중 하나가 통과하고 From 도메인과 정렬되어야 DMARC 인증이 통과할 수 있습니다. 발송 서비스 인증만 완료했다고 끝내지 말고 실제 수신 메일의 인증 결과를 확인하세요.
DNS 설정은 이 순서로 진행하세요
1단계: 모든 발송원을 목록으로 만듭니다
정기 뉴스레터, 프로모션 자동화, 거래 안내 메일 등 회사 도메인을 From 주소로 사용하는 발송원을 파악합니다. 서비스별로 발송에 쓰는 도메인과 반송 주소(Return-Path, 배달 실패 처리를 위한 주소)가 다른지도 확인하세요. 예전에 계약한 대행사나 사용하지 않는 시스템이 누락되면 SPF 수정 뒤 그 경로의 메일이 인증에 실패할 수 있습니다.
2단계: 기존 SPF를 확인하고 한 개로 정리합니다
DNS에서 발신 도메인의 TXT 레코드를 조회해 v=spf1로 시작하는 레코드가 있는지 살핍니다. 기존 레코드가 있다면 새 SPF TXT를 따로 추가하지 말고, 현재 허용된 발송원과 새 플랫폼이 안내한 값을 기존 정책에 통합합니다. SPF 레코드가 둘 이상이면 수신 서버가 오류로 처리할 수 있습니다. include, a, mx 등 DNS 조회를 유발하는 항목은 평가 과정에서 총 10회 제한이 있으므로 여러 서비스를 단순히 덧붙이면 오류가 날 수 있습니다. [SPF 표준의 DNS 조회 제한](https://www.rfc-editor.org/rfc/rfc7208.html)
3단계: DKIM 레코드를 추가하고 발송 서비스에서 켭니다
서비스가 제공한 selector(서명 키를 찾는 DNS 이름), 레코드 유형, 값을 그대로 등록합니다. 예를 들어 이름이 selector._domainkey로 안내될 수 있지만 selector와 TXT/CNAME 방식은 플랫폼마다 다릅니다. 레코드 등록 후 플랫폼 관리자 화면에서 인증 또는 서명 활성화 버튼을 눌러야 하는 서비스도 있습니다. Google Workspace를 사용한다면 관리자 콘솔에서 키를 만들고 DNS에 공개 키를 등록한 뒤 인증을 켜는 절차를 따릅니다. [Google Workspace DKIM 설정 안내]
4단계: 모니터링용 DMARC를 게시합니다
발신 도메인의 DNS에 이름이 _dmarc인 TXT 레코드를 추가합니다. 시작 정책은 보통 v=DMARC1; p=none; rua=mailto:dmarc@example.com처럼 보고 수신 주소를 포함한 모니터링 형태로 구성할 수 있습니다. 이 예시의 example.com과 보고 주소는 반드시 실제 소유 도메인과 관리 가능한 메일 주소로 바꾸세요. rua는 집계 보고서 수신처이며, 보고서에는 발송 시스템과 인증 결과 등 운영 정보가 들어옵니다. 외부 도메인으로 보고서를 보내려면 수신 측의 별도 허용 절차가 필요할 수 있습니다.
5단계: 테스트 결과를 보고 정책을 강화합니다
DNS 전파가 끝난 뒤 각 발송 서비스의 인증 점검을 실행하고, Gmail 등으로 테스트 메일을 보내 원문 헤더의 SPF, DKIM, DMARC 결과를 확인합니다. 모든 발송 경로가 정상 인증되고 보고서에 정당한 메일의 실패가 없는지 살핀 후 p=quarantine(격리 요청), 다음에 p=reject(거부 요청)를 검토하세요. 전환은 발송량과 하위 도메인 사용 여부를 감안해 작은 범위부터 진행합니다.
- 테스트 메일의 From 도메인, SPF 통과 여부, DKIM 서명 도메인을 확인합니다.
- DMARC 보고서에서 승인한 플랫폼 외 발송과 인증 실패 원인을 구분합니다.
- 원인을 해결하고 문제가 없을 때 격리 정책을 적용한 뒤 거부 정책을 검토합니다.
잘못 설정하기 쉬운 지점과 점검법
- SPF 중복: 별도 SPF 레코드를 추가하지 말고 하나의 정책에 발송원을 통합합니다.
- From 정렬 실패: 플랫폼의 SPF가 통과해도 인증 도메인이 From과 맞지 않으면 DMARC가 실패할 수 있습니다. DKIM 서명 도메인도 확인하세요.
- DKIM 활성화 누락: DNS에 키를 게시한 것과 서비스에서 메일 서명을 실제로 켠 것은 별개일 수 있습니다.
- 즉시 p=reject 적용: CRM, 예약 발송, 사내 메일 같은 정상 발송원이 누락되면 메일이 거부될 수 있으므로 보고서 관찰 후 바꾸세요.
- 공유 From 도메인: 대행사나 외부 플랫폼이 고객사 도메인으로 발송한다면 계약 종료 후에도 레코드가 남아 있는지 정기적으로 확인합니다.
인증은 스팸함 배치를 완전히 보장하거나 좋은 발신 평판을 대신하지 않습니다. 수신 동의를 받은 주소로 보내고, 반송·수신 거부를 관리하며, 대량 마케팅 메일에는 수신 거부 기능을 명확히 제공해야 합니다. Google은 하루 5,000건을 초과해 Gmail 계정으로 보내는 발신자에게 SPF·DKIM·DMARC, From 도메인 정렬과 마케팅 메일의 원클릭 수신 거부 등 추가 요건을 안내합니다. 정책 세부사항은 변경될 수 있으므로 발송 전 [Gmail 발신자 가이드라인]에서 확인하세요.
정책 강화 전 기준: 사용 중인 모든 발송 서비스에서 SPF 또는 DKIM의 DMARC 정렬 통과를 확인하고, DMARC 보고서에 설명되지 않은 정상 발송이 남아 있지 않은지 검토하세요.
자주 묻는 질문
Q. SPF·DKIM·DMARC는 한 번에 모두 설정해야 하나요?
발송 서비스를 먼저 확인하고 SPF와 DKIM을 적용해 테스트한 뒤, DMARC를 모니터링 정책으로 게시하는 순서를 권합니다. 한꺼번에 적용하더라도 강한 차단 정책부터 시작하면 정상 메일이 영향을 받을 수 있습니다.
Q. SPF 레코드가 이미 있으면 새 레코드를 추가해도 되나요?
아니요. 발신 도메인에는 SPF 정책이 여러 개 생기지 않도록 기존 레코드에 새 발송 서비스의 승인 항목을 통합하세요. 어떤 항목을 유지할지 불분명하면 현재 메일 관리자와 발송 플랫폼 양쪽에 확인한 뒤 수정하는 편이 안전합니다.
Q. DNS에 레코드를 저장했는데 인증이 실패하는 이유는 무엇인가요?
레코드 이름에 도메인을 중복 입력했거나, TXT와 CNAME 유형을 잘못 선택했거나, DKIM 키를 등록한 뒤 플랫폼에서 서명을 켜지 않았을 수 있습니다. SPF 중복과 From 도메인 정렬도 함께 확인하고, 전파가 반영된 뒤 다시 테스트하세요.
Q. DMARC를 p=none으로 두면 위조 메일이 차단되나요?
p=none은 수신 서버에 모니터링 정책을 알리는 설정으로, 차단을 요청하지 않습니다. 보고서를 통해 실제 발송원을 파악한 뒤 정당한 메일에 문제가 없을 때 격리 또는 거부 정책을 단계적으로 검토하세요.
