Mailchimp와 Google을 통해 이메일을 보내는 도메인이 있습니다. 두 가지 모두에 대해 DKIM을 설정하고 DMARC 레코드도 추가했습니다(ATM 테스트용). 저는 DMARC 오류에 대한 보고서를 수집하는데 이러한 보고서의 압도적인 대다수는 SPF 오류에 대한 것입니다.
제가 이해한 바에 따르면 SPF는 이메일을 보낼 수 있는 IP/호스트의 허용 목록이고, DKIM은 보낸 사람이 이메일에 서명하는 데 사용해야 하는 키입니다. 스푸핑 방지에는 DKIM이 더 나은 것 같습니다.
어디를 검색하든 SPF가 이메일 보호에 필수적이라는 것만 표시되지만 내 경우에는 이유를 알 수 없습니다. DKIM이 설정되어 있으므로 Mailchimp와 Google만 이메일을 보낼 수 있으며 DMARC는 수신자가 다른 곳에서 오는 이메일을 거부하도록 합니다. IP 주소를 제한해도 이 혼합에는 아무 것도 추가되지 않는 것 같습니다.
이 경우 +all을 사용하여 SPF를 비활성화해도 괜찮습니까? 그렇게 하면 보호 수준이 낮아지는 시나리오는 무엇입니까?
답변1
SPF, DKIM 및 DMARC는 모두 함께 작동하여 도메인에 대한 신뢰도를 높이고 이메일을 받은 편지함으로 전달합니다. 그러나 기억해야 할 중요한 점은 수신자 이메일 시스템이 원하는 방식으로 이메일을 자유롭게 처리할 수 있다는 것입니다. 따라서 이러한 메커니즘 중 하나 이상이 올바르게 구현된다는 보장은 없습니다.
SPF와 DKIM의 가장 큰 장점은 헤더가 인증되었는지 확인하는 데 아무 것도 하지 않는다는 것입니다 from. 이는 수신자가 메일 클라이언트에서 볼 수 있는 이메일 주소입니다. 따라서 최종 사용자가 보는 것이 진짜인지 판단하는 데는 효과적이지 않습니다.
return-pathSPF의 경우 SMTP 메시지의 헤더(Envelope From) 에 지정된 도메인만 확인합니다 . 이는 최종 사용자에게 표시되는 주소가 아닙니다.
d=DKIM의 경우 헤더 의 매개변수 에 지정된 도메인에만 관심이 있습니다 dkim-signature. 다시 말하지만 최종 사용자에게는 이 내용이 표시되지 않습니다.
DMARC가 이 문제를 해결합니다. DMARC에서는 SPF 중 하나에서 올바른 '정렬'이 필요합니다.또는DKIM.
- SPF가 "정렬"되려면
from헤더의 도메인이 헤더의 도메인과 일치해야 합니다return-path. 제3자 대량 메일 제공업체를 통해 이메일을 보낼 때 이는 거의 불가능합니다. 왜냐하면return-path반송 메일과 불만 사항이 제공업체에서 추적하는 곳이고 제3자가 관리하는 이메일 주소인 경우가 많기 때문입니다. 이것이 DMARC 보고서에 SPF 오류가 표시되는 이유입니다. d=DKIM의 경우 헤더 의 필드 에 지정된 도메인이 헤더dkim-signature의 도메인과 일치해야 합니다from. 이는 제3자 발신자(예: Mailchimp)가 DKIM 서명에 대해 올바르게 구성되었는지 확인하고 도메인에 적절한 DNS 레코드를 추가했는지 확인함으로써 수행할 수 있습니다.
이 "정렬" 검사는 최종 사용자가 전자 메일 클라이언트에서 보는 내용이 SPF 또는 DKIM에 의해 인증되었는지 확인합니다. 통과하는 SPF 레코드 또는 DKIM 레코드가 from헤더(최종 사용자에게 표시되는 내용)와 일치하는 경우 메시지는 DMARC를 통과합니다. 그렇지 않으면 DMARC가 실패합니다.
이러한 프로토콜은 이메일 주소의 "도메인 이름" 부분만 면밀히 조사합니다. 기호 다음 부분입니다 @. 이들 중 어느 것도 사용자 이름 부분의 유효성을 확인하지 않습니다. 기호 앞부분입니다 @.
따라서 DMARC가 완벽하게 작동하려면 SPF와 DKIM이 모두 필요하다는 것을 알 수 있습니다. 적절한 메일 흐름을 위해서는 3가지가 모두 필요합니다. 그리고 모든 수신자 이메일 시스템이 동일한 방식으로 또는 올바르게 표준을 구현하는 것은 아닙니다.
시스템 관리자에게 있어서 가장 큰 좌절감은 수많은 발신자가 전자 메일을 보낼 때 이 3가지 표준을 제대로 구성하지 않았다는 것입니다. 그리고 안타깝게도 위의 기본 원칙을 제대로 설명하는 곳은 거의 없습니다.
답변2
예, 모든 서버가 수신 시 DKIM/DMARC를 확인하는 것은 아니지만 현재 SPF 확인이 더 통합/배포되어 있습니다.
예를 들어 On-Prem Exchange 서버가 있습니다. SPF 레코드는 최신 버전의 Edge 전송 역할을 사용하여 AntiSpam 규칙 세트로 확인할 수 있지만 이를 활성화하려면 DKIM/DMARC에서 타사 통합이 필요합니다.
이러한 상태에서 SPF 레코드를 제거하면 이러한 시나리오에 있는 조직에 스푸핑된 이메일이 공개될 수 있습니다.
답변3
승인된 서버만 DKIM으로 서명할 수 있지만 DKIM 표준에는 도메인의 메시지가 DKIM으로 서명되어야 함을 수신 서버에 알릴 수 있는 내용이 없습니다. 메일 표준 관점에서 볼 때, 수신 서버는 승인된 전송 서버와 승인되지 않은 전송 서버를 식별할 수 없습니다.
발생하게 될 최종 문제는 DMARC 테스트를 사용하지 않는 수신 서버의 경우 스패머가 스푸핑하기가 쉽지 않다는 사실을 발견하면 도메인이 블랙리스트에 포함될 가능성이 높다는 것입니다.