DMARC
Domain Based Message Authentication Reporting Conformance
DMARC는 사용자가 보는 From 도메인과 SPF 또는 DKIM에서 인증된 도메인의 정렬을 확인하고, 실패 메시지에 대한 도메인 정책과 집계 보고를 제공하는 규격입니다. SPF와 DKIM을 대신하는 세 번째 독립 인증이 아니라 두 인증 결과를 표시 도메인 관점에서 연결합니다.
AI 보조 조사·작성 후 원문과 대조한 설명입니다. 사례·계산은 별도 출처 표기가 없는 한 이해를 위한 가상 예시이며 실제 고객 성과가 아닙니다.
DMARC는 무엇을 결합하나요?
DMARC는 사용자가 보는 From 도메인과 SPF 또는 DKIM에서 인증된 도메인의 정렬을 확인하고, 실패 메시지에 대한 도메인 정책과 집계 보고를 제공하는 규격입니다. SPF와 DKIM을 대신하는 세 번째 독립 인증이 아니라 두 인증 결과를 표시 도메인 관점에서 연결합니다. RFC 7489는 도메인 수준의 검증, 처리, 보고 정책을 전달하는 확장 가능한 메커니즘으로 설명합니다. IETF RFC 7489
정책은 어떤 순서로 적용하나요?
먼저 SPF·DKIM을 실제 발송원에 설정하고 `p=none`과 보고 주소로 관찰합니다. 보고서에서 정상 발송원, 포워딩, 미승인 발송을 구분한 뒤 `quarantine`, `reject`로 강화합니다. 조사 없이 곧바로 거부 정책을 걸면 결제·지원·채용 도구의 정상 메일까지 막힐 수 있습니다. Google은 대량 발신자에게 DMARC를 요구하며 정책은 `none`으로 시작할 수 있다고 안내합니다. Google DMARC 요구사항
정렬은 어떻게 판단하나요?
표시 From이 `notice@example.com`이고 DKIM 서명 도메인이 `mail.example.com`이면 완화 정렬에서는 조직 도메인 `example.com`을 공유해 정렬될 수 있습니다. SPF 인증 도메인이 전혀 다른 발송 사업자 도메인이어도 DKIM 정렬이 통과하면 DMARC는 통과할 수 있습니다. 반대로 SPF는 통과했지만 표시 From과 인증 도메인이 정렬되지 않고 DKIM도 실패하면 DMARC 실패입니다. 보고서에서는 SPF 통과 여부와 정렬 여부를 따로 읽습니다.
DMARC를 설정하면 스팸이 사라지나요?
DMARC는 자사 도메인 사칭 통제와 발송원 파악에 도움을 주지만 비슷한 철자의 다른 도메인, 표시 이름 사칭, 계정 탈취를 모두 막지는 못합니다. RFC도 DMARC가 인증 메일에 높은 전달 특권을 주지 않는다고 명시합니다. 즉 `p=reject`가 받은편지함 도착 보장은 아닙니다. 보고서에는 IP 등 운영정보가 포함될 수 있으므로 수집·보관 권한과 외부 분석 서비스 계약도 점검합니다.
자주 묻는 질문
- DMARC는 SPF와 DKIM 없이 쓸 수 있나요?
- 실질적으로 아닙니다. DMARC는 SPF 또는 DKIM 인증 결과와 표시 From 도메인의 정렬을 평가합니다.
- 처음부터 p=reject로 설정해도 되나요?
- 모든 정상 발송원을 이미 확인한 경우가 아니라면 위험합니다. 보통 보고 관찰과 정렬 수정 뒤 단계적으로 강화합니다.
- DMARC 통과면 받은편지함에 들어가나요?
- 보장되지 않습니다. 인증은 전달가능성의 한 요소이며 평판, 신고, 콘텐츠, 발송 패턴도 영향을 줍니다.
출처와 확인 범위
- RFC 7489: DMARC · IETF · 확인 2026-10-27
DMARC는 도메인 정렬을 바탕으로 검증, 처리 정책, 보고를 제공하지만 인증 이메일의 우선 도달 권한을 만들지 않습니다.
확인 범위: 2015년 정보성 RFC이며 최신 운영 요구는 수신 사업자의 현재 지침과 함께 확인해야 합니다.
- Email sender guidelines · Google · 확인 2026-10-27
Gmail 발신자 지침은 동의 기반 구독, 인증, 쉬운 수신 거부, 스팸률과 도메인·IP 평판 모니터링을 함께 요구합니다.
확인 범위: 개인 Gmail 수신 환경 중심의 사업자 지침이며 한국 법률 준수나 받은편지함 도착을 보장하지 않습니다.