비즈니스 이메일용 SPF, DKIM, DMARC 설정 방법

견적서, 청구서, 콜드 메일이 계속 스팸함으로 들어간다면 제목을 고쳐 쓰기 전에 DNS부터 확인하세요. 메일 제공업체가 메시지를 믿을지는 주로 그 도메인이 자신이 보낸 메일임을 증명하는지에 달려 있습니다. 그 증명은 세 가지 레코드가 맡는데, 적지 않은 기업 도메인에 최소 하나가 빠져 있습니다.

2024년 2월부터 Gmail과 Yahoo는 사용자에게 하루 5,000통 넘게 보내는 발신자에게 SPF, DKIM, DMARC를 요구하고, 스팸 신고율을 0.3% 미만으로 유지하도록 요구합니다. 마이크로소프트의 Outlook.com, Hotmail, Live 메일함도 2025년 5월 대량 발신자에 대해 비슷한 규칙을 추가했습니다. 하루 5,000통에 훨씬 못 미치게 보낼 수도 있습니다. 그래도 실제로는 이 검사가 적용됩니다. 인증이 없는 소규모 발신자가 가장 먼저 걸러지기 때문입니다.

작업은 약 한 시간 걸립니다. 코드를 쓸 필요는 없습니다. 도메인의 DNS가 있는 곳과 메일 제공업체의 관리 콘솔에 접근할 수 있으면 됩니다.

Table of contents

Open Table of contents

• 각 레코드가 하는 일
• 1단계: 내 도메인으로 보내는 모든 것을 정리하기
• 2단계: 현재 상태 확인하기
• 3단계: SPF 레코드 하나 게시하기
• 4단계: 발신자마다 DKIM 켜기
• 5단계: p=none으로 DMARC 추가하고 리포트 읽기
• 6단계: 강제 적용으로 올리기
• Claude나 ChatGPT에게 시키기
• 검증하고 건강하게 유지하기

각 레코드가 하는 일

1. SPF는 내 도메인으로 메일을 보내도 되는 서비스 목록을 DNS에 게시한 것입니다. 수신 서버는 발신 서버를 이 목록과 대조합니다.
2. DKIM은 메일 제공업체가 모든 메시지에 붙이는 서명입니다. 짝이 되는 공개 키가 내 DNS에 있으므로, 수신자는 메시지가 변조되지 않았고 실제로 그 제공업체를 거쳤음을 확인할 수 있습니다.
3. DMARC는 내 도메인에서 SPF와 DKIM이 실패했을 때 수신자가 어떻게 처리할지와 리포트를 어디로 보낼지를 알려줍니다. 또한 인증된 도메인이 눈에 보이는 보낸 사람 주소와 일치하도록 요구합니다.

DMARC가 없으면 SPF와 DKIM은 권고에 그칩니다. DMARC가 있으면 내 이름으로 누가 메일을 보내는지, 잊고 있던 발신자까지 포함해 리포트로 받아볼 수 있습니다.

1단계: 내 도메인으로 보내는 모든 것을 정리하기

사람들이 건너뛰는 단계이고, 그래서 나중에 자기 메일을 망가뜨립니다. 내 도메인에서 발송하는 모든 것을 적어 두세요.

• 메일함(Microsoft 365, Google Workspace, 또는 GoDaddy가 제공한 것)
• 이메일 마케팅 플랫폼
• CRM과 청구 도구
• 웹사이트 폼과 WordPress 트랜잭션 메일
• 헬프데스크와 일정 예약 도구

GoDaddy를 통해 Microsoft 365 메일함을 쓰고 있다면, GoDaddy 이메일 로그인이 지금 어떻게 동작하는지 설명한 글에서 관리 화면이 왜 마이크로소프트 포털에 있는지 확인할 수 있습니다. DKIM은 그곳에서 켭니다.

2단계: 현재 상태 확인하기

MXToolbox, Google Admin Toolbox의 Check MX, dmarcian의 DMARC 검사기 같은 무료 도구를 열고 도메인을 입력하세요. 세 가지를 적습니다.

• v=spf1로 시작하는 TXT 레코드가 정확히 하나입니까? 두 개는 백업이 아니라 실패입니다.
• 제공업체가 DKIM을 서명 중으로 표시합니까?
• _dmarc.내도메인.com에 TXT 레코드가 있습니까?

더 좋은 방법은 업무용 주소에서 Gmail 계정으로 테스트 메일을 보내 열고 “원본 보기”를 선택해 상단의 SPF, DKIM, DMARC 줄을 읽는 것입니다. 각각 PASS여야 합니다.

3단계: SPF 레코드 하나 게시하기

도메인 루트에 TXT 레코드 하나를 추가합니다. 각 발신자를 include:로 나열하고 마지막에 정책을 둡니다.

흔한 include:

• Microsoft 365: include:spf.protection.outlook.com
• Google Workspace: include:_spf.google.com
• 이메일 마케팅 플랫폼과 CRM은 각자 자기 include 값을 도움말 문서에 게시합니다. 블로그 글이 아니라 그곳에서 복사하세요. 이 글도 마찬가지입니다.

전형적인 결과는 v=spf1 include:spf.protection.outlook.com include:내-esp의-값 ~all 형태입니다.

SPF 실패 대부분은 두 가지 규칙 때문입니다. 첫째, 도메인당 레코드는 하나입니다. 새 발신자는 두 번째 레코드를 만들지 말고 기존 줄에 합치세요. 둘째, SPF는 DNS 조회를 총 10회까지 허용하며, 중첩된 것을 포함해 모든 include:가 집계됩니다. 열 번을 넘기면 수신자는 SPF를 영구 오류로 처리합니다. 한도에 가깝다면 무엇을 추가하기 전에 더 이상 쓰지 않는 서비스부터 빼세요.

발신자를 아직 찾고 있는 동안에는 ~all(소프트 실패)을 쓰고, DMARC 리포트가 깨끗해지면 -all을 고려하세요.

4단계: 발신자마다 DKIM 켜기

DKIM은 각 발송 서비스 안에서 설정한 뒤 DNS에 게시합니다.

• Microsoft 365: Microsoft Defender 포털의 이메일 인증 아래에서 DKIM 설정을 열고 도메인을 선택해 서명을 켭니다. 먼저 DNS에 추가할 CNAME 레코드 두 개(selector1._domainkey, selector2._domainkey)가 나옵니다. 전파되기 전에는 활성화가 실패하며, 몇 시간 걸릴 수 있습니다.
• Google Workspace: 관리 콘솔의 Gmail 인증에서 도메인용 키를 생성하고, 표시되는 TXT 레코드를 게시한 뒤 인증 시작을 클릭합니다.
• 그 밖의 모든 것: 이메일 마케팅 플랫폼, CRM, 청구 도구에는 “도메인 인증” 또는 “발송 도메인” 화면이 있어 DNS에 붙여 넣을 레코드를 알려줍니다.

메일함만이 아니라 정리한 모든 발신자에 대해 이 작업을 하세요. 내 도메인이 아니라 자체 도메인으로 서명하는 마케팅 플랫폼은 DKIM은 통과해도 DMARC 정렬에서 실패합니다.

5단계: p=none으로 DMARC 추가하고 리포트 읽기

다음 값으로 _dmarc라는 TXT 레코드를 만드세요.

v=DMARC1; p=none; rua=mailto:dmarc-reports@내도메인.com

p=none은 전달에 아무 영향도 주지 않습니다. 리포트를 시작할 뿐입니다. 원본 DMARC 리포트는 아무도 읽지 않는 XML 파일이므로 rua는 무료 리포트 서비스로 지정하세요. 여러 DMARC 모니터링 업체가 XML을 성공·실패 횟수가 붙은 발송원 목록으로 바꿔 주는 무료 요금제를 제공합니다.

p=none으로 2~4주 두세요. 오래된 청구 도구나 잊힌 폼 플러그인처럼 실패하는 정당한 발신자를 찾아, SPF에 추가하거나 DKIM을 켜서 하나씩 고치세요.

6단계: 강제 적용으로 올리기

실제 발신자가 모두 통과하면:

1. p=quarantine; pct=25로 바꿔 실패한 메시지의 4분의 1이 스팸함으로 가게 합니다. 일주일 지켜봅니다.
2. pct를 100으로 올립니다.
3. p=reject로 옮깁니다.

reject까지 가면 다른 사람이 내 도메인을 사칭해 고객에게 피싱 메일을 보내는 일을 막을 수 있어, 도달률뿐 아니라 내 이름도 지켜 줍니다.

Claude나 ChatGPT에게 시키기

내 정보를 채워 둘 중 어느 쪽에든 붙여 넣으세요. 제공업체마다 도움말을 읽는 수고를 덜 수 있습니다.

도메인 [내도메인.com]의 이메일을 관리합니다. 메일함은 [Microsoft 365 / Google Workspace]에 있습니다. 또한 [마케팅 플랫폼, CRM, 청구 도구, 웹사이트 폼을 나열]에서도 메일을 보냅니다. 다음을 알려주세요. (1) 한 줄로 합쳐 게시할 정확한 SPF TXT 레코드, (2) 각 서비스 관리 화면에서의 DKIM 설정 단계, (3) rua 리포트가 포함된 초기 DMARC 레코드, (4) 네 단계로 p=reject에 도달하는 계획. 당신을 믿지 말고 각 업체 문서에서 직접 복사해야 하는 값이 무엇인지 알려 주고, SPF 레코드의 DNS 조회 횟수를 세어 주세요.

받은 내용을 게시하기 전에 include: 값을 각 업체의 현재 도움말 페이지와 대조하세요. 모델은 그럴듯해 보이는 include 호스트를 지어내며, 틀린 값은 조용히 실패합니다.

검증하고 건강하게 유지하기

DNS가 전파된 뒤에는 메일함만이 아니라 모든 발신자에서 Gmail “원본 보기” 테스트를 반복하세요. CRM, 청구 도구, 웹사이트 폼에서 각각 보내 봅니다. 모든 메시지에서 SPF, DKIM, DMARC가 PASS여야 합니다.

그다음 캘린더에 분기마다 DMARC 리포트를 검토하는 반복 알림을 넣으세요. 내 도메인으로 고객에게 메일을 보내는 새 도구를 쓰기 시작할 때마다 그날 바로 인증하세요. 목록을 만들거나 뉴스레터를 보내고 있다면 발송 쪽은 이메일 리스트 만드는 방법에서, 설정 중 도메인 인증을 안내해 주는 플랫폼은 소규모 비즈니스를 위한 최고의 이메일 마케팅 서비스에서 다룹니다.