이메일 전달률 체크리스트: SaaS를 위한 SPF, DKIM, DMARC 설정

완벽한 환영 이메일을 작성해 밀리초 만에 보내도 스팸함으로 사라질 수 있습니다. Gmail, Outlook, Yahoo 같은 메일함 제공업체는 누군가 메시지를 읽기 훨씬 전에 그 메시지가 어디로 갈지 결정하며, 가장 먼저 확인하는 것은 발신자가 자신이 주장하는 그 발신자가 맞는지입니다.

이 질문에 답하는 DNS 레코드가 세 가지 있습니다. SPF, DKIM, DMARC입니다. 이 체크리스트에서는 각각을 쉬운 말로 설명하고, 발송에 사용하는 도메인에 설정하는 방법을 보여 줍니다.

지금 더욱 중요한 이유

2024년 2월부터 Google과 Yahoo는 자사 사용자에게 메일을 보내는 모든 발신자에게 더 엄격한 규칙을 적용하기 시작했습니다.

• 모든 발신자는 SPF 또는 DKIM으로 인증하고, TLS로 발송하며, 스팸 신고율을 낮게 유지해야 합니다(Google은 0.3% 미만을 요구합니다).
• 대량 발신자, 즉 Gmail로 하루 약 5,000통 이상 보내는 발신자는 SPF, DKIM, DMARC 정책을 모두 갖춰야 하며, 눈에 보이는 From 도메인이 이들과 정렬되어야 합니다. 마케팅 메일에는 원클릭 수신 거부도 필요합니다.

다른 제공업체들도 뒤따랐습니다. 이 검사를 통과하지 못한 메시지는 단순히 스팸으로 분류되는 데 그치지 않고, 점점 더 아예 거부되고 있습니다.

Inbixio의 역할

Inbixio를 사용하면 이메일은 여러분의 SMTP 서버, 즉 Email Servers(이메일 서버)에서 연결한 메일함을 통해 전달됩니다. 따라서 인증 레코드에는 Inbixio가 아니라 여러분의 메일 제공업체(Google Workspace, Microsoft 365, Zoho, 호스팅 업체)를 기재합니다. 도메인에 한 번 설정해 두면 API로 보내는 모든 이메일이 그 혜택을 받습니다.

아래 예시에서는 yourco.com을 사용합니다. 여러분의 도메인으로 바꿔서 사용하세요.

1. SPF: 도메인을 대신해 발송할 수 있는 서버

SPF(Sender Policy Framework)는 도메인을 대신해 이메일을 보낼 수 있는 서버 목록을 담은 TXT 레코드입니다. 수신 측은 메시지를 전달한 서버를 이 목록과 대조합니다.

도메인 루트에 TXT 레코드 하나를 추가하세요.

yourco.com.  TXT  "v=spf1 include:_spf.google.com ~all"

include: 부분은 제공업체에 따라 다릅니다.

자주 실수하는 규칙:

• 도메인당 SPF 레코드는 하나만. 두 서비스를 사용한다면 하나로 합치세요: v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all. SPF 레코드가 두 개로 나뉘어 있으면 둘 다 무효가 됩니다.
• DNS 조회는 최대 10회. include: 하나하나가 조회 횟수에 포함되며, 그 안에 포함된 include도 마찬가지입니다. 더 이상 사용하지 않는 서비스는 제거하세요.
• 설정하는 동안에는 ~all(소프트 실패)로 끝내세요. 목록이 완전하다고 확신이 들면 -all(하드 실패)로 바꾸세요.

2. DKIM: 모든 메시지에 서명하기

DKIM(DomainKeys Identified Mail)은 각 이메일에 암호화 서명을 추가합니다. 메일 제공업체가 개인 키로 서명하고, 여러분이 그에 대응하는 공개 키를 DNS에 게시하면, 수신 측은 메시지가 변조되지 않았고 실제로 여러분의 도메인에서 왔는지 검증할 수 있습니다.

이 레코드는 직접 작성하지 않습니다. 제공업체가 생성해 줍니다.

• Google Workspace: Admin console → Apps → Google Workspace → Gmail → Authenticate email.
• Microsoft 365: Microsoft Defender portal → Email authentication settings → DKIM.
• Zoho Mail: Admin console → Domains → 사용 중인 도메인 → Email configuration → DKIM.

각 제공업체는 게시할 레코드를 알려 줍니다. 보통 google._domainkey.yourco.com 같은 이름의 TXT 또는 CNAME 레코드입니다. DNS에 추가하고 전파될 때까지 기다린 다음, 제공업체 콘솔에서 Start authentication(인증 시작) 또는 그에 해당하는 버튼을 클릭하세요. 선택할 수 있다면 2048비트 키를 사용하세요.

3. DMARC: 모든 것을 묶는 정책

DMARC는 메시지가 SPF와 DKIM에 실패했을 때 수신 측이 어떻게 처리할지 알려 주고, 여러분에게 보고서를 보내 달라고 요청합니다. 또한 정렬(alignment)을 검사합니다. 눈에 보이는 From 주소의 도메인이 SPF 또는 DKIM을 통과한 도메인과 일치해야 합니다.

모니터링 모드로 시작하세요.

_dmarc.yourco.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourco.com; adkim=r; aspf=r"

• p=none은 모니터링만 합니다. 보고서를 확인하는 동안 아무것도 차단되지 않습니다.
• rua=는 일일 집계 보고서를 받을 주소입니다. 보고서는 XML 파일이므로, 무료 DMARC 보고서 뷰어를 사용하면 읽기 쉽습니다.

2–4주 동안 깨끗한 보고서가 쌓이면 정책을 단계적으로 강화하세요. p=quarantine(실패한 메일은 스팸함으로), 그다음 p=reject(실패한 메일은 거부)입니다. 이 마지막 단계가 다른 사람이 여러분의 이름으로 피싱 메일을 보내는 것을 막아 줍니다.

4. 발신 주소를 일관되게 유지하기

Inbixio에서는 연결한 SMTP 사용자 이름의 주소(예: notifications@yourco.com)로 이메일이 발송됩니다. 정렬을 단순하게 유지하려면:

• SPF, DKIM, DMARC를 설정한 것과 같은 도메인의 주소에서 발송하고,
• 적고 안정적인 발신 주소 세트(notifications@, security@, billing@)를 사용하며,
• 서비스마다 다른 주소를 써야 한다면 주소마다 서버를 하나씩 연결하고 각 API 키를 해당 서버에 고정하세요.

5. 평판을 지키는 습관

인증은 여러분이 누구인지 증명할 뿐이고, 수신 측이 여러분을 신뢰할지는 발송 행태가 결정합니다.

• 메일을 기대하는 사람에게만 보내세요. 트랜잭션 메일(영수증, 재설정, 코드)은 스팸 신고율이 매우 낮습니다. 마케팅 메일은 분리하고 옵트인 방식으로 운영하세요.
• 반송되는 주소는 제거하세요. 유효하지 않은 메일함에 반복해서 보내면 스패머의 목록처럼 보입니다. 반송 알림은 발송에 사용한 메일함(Inbixio에 연결한 메일함)으로 도착하므로, 그 메일함을 확인하고 해당 주소를 목록에서 제거하세요.
• 사람처럼 작성하세요. 명확한 제목, 일반 텍스트로도 읽기 좋은 레이아웃, 답장을 받을 수 있는 발신 주소를 사용하고, 링크 단축 서비스는 쓰지 마세요.
• 발송량은 점진적으로 늘리세요. 새 도메인이 갑자기 50,000통을 보내면 의심을 받습니다. 몇 주에 걸쳐 발송량을 늘리세요.

설정 확인 방법

1. Inbixio로 직접 관리하는 Gmail 주소에 테스트 메일을 보냅니다.
2. Gmail에서 메시지를 열고 ⋮ → Show original(원본 보기)을 클릭한 다음 SPF: PASS, DKIM: PASS, DMARC: PASS가 있는지 확인합니다.
3. 지속적으로 모니터링하려면 Google Postmaster Tools에 도메인을 등록해 스팸 신고율과 평판을 확인하세요.

체크리스트

• 메일 제공업체를 포함하고 조회 10회 미만인 SPF 레코드 하나
• 제공업체에서 DKIM 활성화, DNS 레코드 게시 및 검증 완료
• 모니터링하는 주소로 보고서를 받는 p=none DMARC
• SPF, DKIM, DMARC 레코드와 같은 도메인의 발신 주소
• Gmail의 “Show original”에서 세 가지 모두 PASS
• DMARC를 quarantine, 이어서 reject로 옮기라는 리마인더

이제 사용자가 가장 기다리는 이메일에 적용해 보세요: OTP 및 인증 코드와 비밀번호 재설정.