내 도메인에서 보낸 이메일은 어떻게 진짜임을 증명할까

About this offer

블로그에 구독 메일을 붙이면서 발송은 Resend라는 서비스에 맡겼습니다. 구독자에게 보이는 발신 주소는 newsletter@wonkooklee.com 이지만, 메일을 실제로 전달하는 것은 Resend의 서버입니다. 저는 메일 서버를 운영하지 않습니다. 그런데도 Gmail은 이 메일이 정말 wonkooklee.com에서 왔는지 판단해야 합니다. 보낸 사람 칸에 적힌 From 은 그 근거가 되지 못합니다. 메일을 만드는 쪽이 적는 값이라, 제 도메인을 사칭하려는 사람도 자기 서버에서 똑같이 적을 수 있습니다. 그래서 수신 서버는 메일 안의 주장과 별개로, 도메인 관리자만 바꿀 수 있는 DNS 설정을 조회해 검사합니다. 글은 구독 메일 한 통을 따라가며 그 검사를 정리합니다. SPF가 확인하는 주소는 화면에 보이는 From이 아니라 배달 실패 알림을 받을 MAIL FROM 입니다 DKIM은 서명의 d= 와 s= 로 DNS에서 공개키를 찾습니다. 그래서 Zoho와 Resend가 한 도메인에 각자 키를 둘 수 있습니다 남의 도메인으로 SPF와 DKIM을 모두 통과한 사칭 메일이 DMARC에서 걸리는 이유: 인증한 도메인과 From의 정렬(alignment) SMTP는 From보다 MAIL FROM 을 먼저 보냅니다. 이 순서 때문에 SPF를 -all 로 끝내면 DKIM으로 DMARC를 통과했을 메일이 From이 도착하기도 전에 거부되고, 집계 보고서에도 남지 않을 수 있습니다 p=none 으로 시작해 집계 보고서( rua )로 놓친 발송 경로를 찾은 뒤 quarantine 이나 reject 를 검토하는 순서 실제로 조회한 wonkooklee.com의 SPF·DKIM·DMARC 설정과, 레코드만 봐서는 알 수 없는 것 Gmail에 발신자 로고를 띄우는 BIMI가 p=none 과 로고 파일만으로는 요건을 채우지 못하는 이유 SPF와 DKIM은 각자 확인해야 할 것을 제대로 확인합니다. 다만 둘 다 독자가 보는 주소까지 확인하지는 않고, 그 연결은 DMARC가 맡습니다. 그리고 DMARC를 통과했다고 메일 내용을 믿어도 되는 것은 아닙니다. 공격자가 자기 도메인으로 보낸 메일도 발신 인증은 정상적으로 통과합니다. 확인되는 것은 보낸 도메인까지이고, 본문과 링크가 안전한지는 그 밖의 문제로 남습니다. 전문은 블로그에서 이어집니다 👇 ▶ 내 도메인에서 보낸 이메일은 어떻게 진짜임을 증명할까 (전문 보기) 다른 글도 블로그에서 이어집니다 · 전체 목차 보기

Offer details

Provider

velog

Source

velog-rss

Score

54.39

Confidence

49%