SPF

SPF는 무엇을 인증하나요?

SPF(Sender Policy Framework)는 도메인 관리자가 어떤 발송 호스트가 그 도메인의 MAIL FROM 또는 HELO 식별자를 사용할 수 있는지 DNS에 공개하고, 수신 서버가 접속 IP를 대조하게 하는 이메일 인증 방식입니다. RFC 7208은 관리 도메인이 허용 호스트를 명시하고 수신 측이 권한을 확인한다고 설명합니다. IETF RFC 7208 SPF는 메일 본문을 암호화하는 기술이 아닙니다.

SPF 레코드는 어떻게 운영하나요?

자체 서버, 마케팅 도구, CRM, 고객지원 시스템처럼 실제로 도메인을 대신해 발송하는 서비스를 목록화한 뒤 하나의 SPF 정책에 반영합니다. 누락된 제3자 발송자는 실패할 수 있고, 중복 SPF 레코드나 과도한 DNS 조회는 오류를 만듭니다. 변경 전에는 현재 include 체인과 발송원을 확인하고 테스트합니다. Google도 모든 발신자에게 SPF 또는 DKIM을, 대량 발신자에게 SPF와 DKIM 모두를 요구합니다. Google 인증 지침

수신 서버는 무엇을 비교하나요?

메일 서버 IP가 203.0.113.10이고 봉투 발신 도메인이 mail.example.com이라고 가정합니다. 수신 서버는 mail.example.com의 SPF 정책을 조회해 이 IP가 허용됐는지 확인합니다. 표시 From이 news@example.com이어도 SPF가 직접 확인하는 신원과 다를 수 있습니다. DMARC는 표시 From 도메인과 SPF 인증 도메인의 정렬 여부를 추가로 봅니다. 따라서 SPF 통과만 보고 사용자가 보는 발신자 주소까지 인증됐다고 말하면 안 됩니다.

포워딩과 SPF에는 어떤 한계가 있나요?

메일이 중간 서버로 자동 전달되면 최종 수신자는 중간 서버 IP를 보게 되어 원 발신 도메인의 SPF 허용 목록과 맞지 않을 수 있습니다. 이런 구조에서는 DKIM 서명이 유지되거나 전달 체계의 보완 규격이 중요해집니다. 또한 SPF 레코드가 있어도 허용 범위를 지나치게 넓게 쓰면 위험이 커집니다. `-all`, `~all` 같은 정책 선택은 기존 발송원 조사 없이 기계적으로 바꾸지 않습니다.

자주 묻는 질문

SPF는 이메일 내용을 암호화하나요?

아닙니다. SPF는 접속한 발송 호스트가 특정 도메인을 사용할 권한이 있는지 확인하며 본문 기밀성을 제공하지 않습니다.

SPF 통과면 발신자 위조가 완전히 막히나요?

아닙니다. 표시 From과 SPF가 확인한 도메인이 다를 수 있습니다. DKIM과 DMARC 정렬을 함께 운영해야 합니다.

SPF 레코드는 여러 개 만들어도 되나요?

같은 도메인에 여러 SPF 정책을 따로 게시하면 오류가 날 수 있습니다. 실제 발송원을 조사해 하나의 유효한 정책으로 관리합니다.

출처와 확인 범위

1. RFC 7208: Sender Policy Framework (SPF) · IETF · 확인 2026-10-27

   SPF는 도메인 관리자가 해당 도메인의 MAIL FROM 또는 HELO 식별자를 사용할 수 있는 호스트를 명시하는 방식입니다.

   확인 범위: SPF는 발송 호스트 권한을 확인하는 규격이며 메시지 본문 암호화나 표시 발신자 전체의 진위를 단독 보장하지 않습니다.

2. Email sender guidelines · Google · 확인 2026-10-27

   Gmail 발신자 지침은 동의 기반 구독, 인증, 쉬운 수신 거부, 스팸률과 도메인·IP 평판 모니터링을 함께 요구합니다.

   확인 범위: 개인 Gmail 수신 환경 중심의 사업자 지침이며 한국 법률 준수나 받은편지함 도착을 보장하지 않습니다.

함께 이해할 용어

이 용어를 적용하는 실무 가이드