DMARC. 단계별 가이드.

DMARC (Domain-based Message Authentication, Reporting, and Conformance)는 BIMI 적용을 위한 필수 전제 조건입니다. p=none 정책을 사용하는 도메인은 SVG 파일이 아무리 완벽하게 구성되어 있어도 Gmail이나 Apple Mail에서 로고가 절대 표시되지 않습니다. 이 가이드에서는 초기 배포부터 완전한 적용까지의 전체 과정을 다룹니다.

사전 요건

DMARC 레코드를 생성하기 전에 다음 사항이 이미 구성되어 있는지 확인하세요:

1. SPF 레코드 — 귀하를 대신하여 메일을 발송할 권한이 있는 메일 서버를 지정하는 apex 도메인의 TXT 레코드. 예시: v=spf1 include:_spf.google.com -all
2. DKIM 레코드 — 수신 서버가 이메일 서명을 검증하는 데 사용하는 DNS에 게시된 공개 키. 이메일 제공업체에서 생성합니다.
3. DNS 접근 권한 — 도메인 DNS 영역에 대한 쓰기 권한 (Cloudflare, Route 53, GoDaddy 또는 도메인 등록기관의 제어판).

DMARC가 작동하려면 SPF 또는 DKIM 중 최소 하나가 올바르게 구성되어 있고 From: 도메인과 정렬(alignment)되어 있어야 합니다.

1단계: 모니터링 레코드 생성 (p=none)

모니터링 전용 정책으로 시작합니다. 이 정책은 메일 전달에 영향을 주지 않으면서 인증 실패를 기록합니다.

_dmarc.yourdomain.com  IN  TXT  "v=DMARC1; p=none; rua=mailto:[email protected]; pct=100"

태그 참조:

| 태그 | 필수 | 설명 | |---|---|---| | v=DMARC1 | 예 | 프로토콜 버전. 반드시 첫 번째에 위치해야 함. | | p=none | 예 | 정책: 모니터링만, 조치 없음. | | rua=mailto: | 권장 | 집계 보고서 수신용 이메일 주소. | | pct=100 | 선택 | 정책 적용 대상 메일 비율 (기본값: 100). |

이 레코드를 게시하고 DNS 전파를 위해 48~72시간을 기다립니다.

2단계: 집계 보고서 분석

집계 보고서(RUA)는 XML 첨부 파일로 도착하며, 일반적으로 발송 소스당 하루에 한 번 수신됩니다. 보고서에서 확인할 수 있는 내용:

• 귀하의 도메인을 사칭하여 메일을 발송한 IP 주소
• SPF 및 DKIM 통과 또는 실패 여부
• 각 소스에서 발송된 메시지 수

확인해야 할 사항: SPF 또는 DKIM 정렬에 실패하는 정상적인 발송 서비스(ESP, CRM, 티켓팅 시스템, 마케팅 플랫폼)가 있다면 적용 단계로 이동하기 전에 반드시 수정해야 합니다. 정렬 실패가 해결되지 않은 상태에서 p=reject로 전환하면 정상적인 메일이 차단됩니다.

별도의 DKIM/SPF 구성이 필요한 일반적인 발송 소스: Mailchimp, Salesforce, HubSpot, Zendesk, SendGrid, Google Workspace, Microsoft 365.

3단계: p=quarantine으로 이동

모든 정상적인 발송 소스가 인증을 통과하면 실패한 메시지를 격리하도록 정책을 업데이트합니다:

_dmarc.yourdomain.com  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=25"

pct=25로 시작하여 실패 메시지의 25%에만 격리 정책을 적용합니다. 1~2주간 모니터링하세요. 정상적인 메일이 격리되지 않으면 pct=100으로 증가시킵니다.

4단계: p=reject로 이동

완전한 적용 단계입니다. 인증되지 않은 메시지는 즉시 거부되어 전달되지 않습니다.

_dmarc.yourdomain.com  IN  TXT  "v=DMARC1; p=reject; rua=mailto:[email protected]; pct=100"

이것이 BIMI의 최소 요건입니다. Gmail과 Apple Mail은 도메인이 pct=100과 함께 p=quarantine 또는 p=reject 정책을 가지고 있지 않으면 BIMI 레코드를 처리하지 않습니다. p=none 정책은 BIMI에서 인식되지 않으며, 나머지 설정이 아무리 정확해도 로고가 절대 표시되지 않습니다.

p=none이 BIMI를 차단하는 이유

BIMI 사양에서는 메일함 제공업체가 로고를 표시하기 전에 발신 도메인에 적용된 DMARC 정책이 있는지 확인하도록 요구합니다. 그 이유는 로고가 신뢰 신호이기 때문입니다. 스푸핑 방지 제어를 적용하지 않은 도메인의 로고를 표시하면 공격자가 피싱 이메일에 인증된 로고를 표시할 수 있게 됩니다. p=none은 적용을 제공하지 않으므로, 제공업체는 BIMI 레코드를 적용하지 않습니다.

정렬: 대부분의 가이드가 생략하는 세부 사항

DMARC는 인증된 도메인이 From: 헤더 도메인과 정렬될 때만 통과합니다. 두 가지 정렬 모드가 있습니다:

• 완화 (기본값): 조직 도메인이 일치해야 함. mail.example.com은 example.com과 정렬됨.
• 엄격: 정확한 도메인이 일치해야 함. mail.example.com은 example.com과 정렬되지 않음.

BIMI의 경우, 특별한 이유가 없다면 완화 정렬(adkim=r; aspf=r)을 사용하세요. 엄격 정렬은 서브도메인과 타사 발송 서비스에서 실패를 유발합니다.

전체 레코드 참조

_dmarc.yourdomain.com  IN  TXT  "v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s; rua=mailto:[email protected]; pct=100"

| 태그 | 값 | 의미 | |---|---|---| | p=reject | 거부 | 인증되지 않은 메일 차단 | | sp=reject | 거부 | 서브도메인에 동일 정책 적용 | | adkim=s | 엄격 | DKIM 정렬이 정확히 일치해야 함 | | aspf=s | 엄격 | SPF 정렬이 정확히 일치해야 함 | | rua= | 이메일 | 집계 보고서 수신 주소 | | pct=100 | 100% | 모든 메일에 적용 |

다음 단계

도메인이 p=reject에 도달하면:

1. BIMI SVG 생성 — makeBIMI™를 사용하여 W3C SVG Tiny P/S 규격을 준수하는 로고 파일을 생성하세요. 무료이며 계정 등록이 필요 없습니다.
2. DMARC 감사 실행 — makeBIMI Domain Audit 도구로 DMARC, SPF, BIMI 레코드 상태를 실시간으로 확인하세요.
3. 인증서 취득 — Gmail 로고 표시를 위해서는 VMC 또는 CMC가 필요합니다. veriBIMI℠는 DMARC 적용 관리, SVG 준비, CA 신청을 포함한 전체 인증서 프로세스를 중개합니다.