Exchange Online에서 SPF, DKIM, DMARC 설정하기: 이메일 인증 구성

By Mirko Peters · 2026-10-29

Exchange Online에서 SPF, DKIM, DMARC를 구성하여 도메인을 보호하고, 스푸핑을 방지하며, 높은 이메일 전달률을 확보하는 방법을 알아봅니다.

Automatically translated with AI from the original post. Read the English original

Microsoft 365에서 조직의 송신 및 수신 이메일을 보호하려면 SPF, DKIM, DMARC를 올바르게 구성해야 합니다. 이 가이드에서는 이 세 가지 핵심 이메일 인증 프로토콜이 Exchange Online에서 어떻게 함께 작동하여 도메인을 스푸핑, 피싱 공격, 원치 않는 전달 실패로부터 보호하는지 자세히 살펴봅니다.

핵심 요약

• SPF는 어떤 메일 서버가 사용자 지정 도메인을 대신하여 이메일을 보낼 수 있는지 정의합니다.
• DKIM은 발송 메시지에 암호화 서명을 추가하여 전송 중 이메일 내용이 변경되지 않았는지 확인합니다.
• DMARC는 SPF와 DKIM 결과를 함께 사용하여, 조직을 사칭하지만 인증되지 않은 이메일을 수신 서버가 어떻게 처리해야 하는지 결정합니다.
• 기본 onmicrosoft.com 라우팅으로도 기본적인 전달은 가능하지만, 사용자 지정 도메인에는 공용 DNS에 명시적인 SPF 및 DKIM 레코드가 필요합니다.
• 효과적인 DMARC 모니터링은 'none' 정책으로 시작한 다음, 더 엄격한 격리 또는 거부 정책으로 전환하는 것이 바람직합니다.

Exchange Online 이메일 인증 이해하기

Exchange Online으로 마이그레이션할 때 조직은 흔히 사서함 마이그레이션, 하이브리드 커넥터, 일정 공유에 많은 노력을 기울입니다. 그러나 이메일 흐름을 제대로 구성하려면 MX 레코드를 Microsoft로 연결하는 것 이상의 작업이 필요합니다. 적절한 이메일 인증이 없으면 정상적인 업무 메일이 스팸 폴더로 가기 쉽고, 더 심각하게는 위협 행위자가 귀사의 브랜드를 쉽게 사칭할 수 있습니다.

이메일 인증 프로토콜은 도메인의 디지털 여권이자 보안 요원 역할을 합니다. Exchange Online 사서함이 Gmail이나 Yahoo 같은 외부 수신자에게 메일을 보내면, 수신 서버는 해당 메시지가 실제로 귀사에서 보낸 것이며 악의적인 제3자가 위조하지 않았다는 확실한 증거를 원합니다. 현대 클라우드 관리자라면 SPF, DKIM, DMARC 이 세 가지를 반드시 갖추어야 하는 이유가 바로 여기에 있습니다.

Exchange Online에서 SPF의 역할

SPF(Sender Policy Framework)는 공용 DNS 공급자에 게시되는 기본 TXT 레코드입니다. 도메인을 대신하여 이메일을 보낼 수 있는 IP 주소와 인증된 서비스를 명시적으로 나열합니다. Exchange Online 테넌트의 경우 SPF 레코드에 Microsoft의 include 메커니즘을 포함해야 합니다.

일반적인 Exchange Online SPF 레코드는 매우 단순하며, 대개 include:spf.protection.outlook.com을 포함합니다. 외부 서버가 귀사 도메인에서 보낸 이메일을 받으면 공용 DNS를 조회하여 SPF 레코드를 확인하고, 발신 서버의 IP 주소가 승인된 목록과 일치하는지 평가합니다. 귀사가 마케팅 도구, 티켓팅 시스템, HR 플랫폼 등 제3자 서비스를 통해 대신 메일을 보내는 경우, 구문 오류와 조회 한도 초과 실패를 방지하기 위해 이러한 서비스도 단일 SPF 레코드에 신중하게 통합해야 합니다.

DKIM 서명 구현하기

SPF가 발신 서버를 검증한다면, DomainKeys Identified Mail(DKIM)은 메시지 자체의 무결성을 검증합니다. DKIM은 발신되는 모든 이메일의 헤더에 디지털 서명을 추가합니다. 이 서명은 도메인 DNS 설정에 게시된 공개 키와 암호화 방식으로 연결됩니다.

Exchange Online에서는 Microsoft Defender 포털을 통해 DKIM을 비교적 간단하게 구성할 수 있지만, 외부 DNS 등록 기관에서 특정 CNAME 레코드를 만들어야 합니다. DKIM을 사용하도록 설정하면 Exchange Online이 발신 메시지에 자동으로 서명합니다. 악의적인 공격자가 전송 중인 이메일을 가로채 내용을 변경하면 암호화 해시 검증에 실패하고, 수신 측 이메일 게이트웨이는 해당 메시지가 변조되었다는 사실을 즉시 알게 됩니다. 주요 소비자용 및 기업용 이메일 공급자 전반에서 전달 가능성을 높이려면 DKIM 설정은 필수 단계입니다.

DMARC 정책 적용

DMARC(Domain-based Message Authentication, Reporting, and Conformance)는 SPF와 DKIM을 하나의 통합 정책으로 묶어 줍니다. DMARC 레코드는 수신 메일 서버에 들어온 메시지가 SPF와 DKIM 검사를 모두 통과하지 못했을 때 어떻게 처리할지를 알려 줍니다. 특히 DMARC에는 정렬(alignment) 규칙도 포함되어 있어, 최종 사용자가 'From' 헤더에서 보는 도메인이 SPF와 DKIM으로 인증된 도메인과 일치하는지 확인합니다.

Exchange Online에서 DMARC를 처음 도입할 때 관리자는 항상 모니터링 정책(p=none)으로 시작해야 합니다. 이 설정은 수신 서버가 메일을 차단하지 않고 지정된 보고 주소로 일일 XML 집계 보고서와 포렌식 보고서를 보내도록 지시합니다. 이러한 보고서를 분석하면 IT 관리자는 승인되지 않은 발신자를 찾아내고, 잘못 구성된 내부 시스템을 수정할 수 있으며, 정책을 점차 p=quarantine으로, 최종적으로 p=reject로 강화하여 도메인을 최대한 보호할 수 있습니다.

메일 흐름의 일반적인 함정 해결하기

DNS 구성이 올바르더라도 Exchange Online 메일 흐름을 관리하는 관리자는 미묘한 문제에 부딪히곤 합니다. 흔한 문제 중 하나는 이메일이 온-프레미스 Exchange 서버와 Exchange Online Protection(EOP)을 모두 거쳐 라우팅되는 하이브리드 배포 중에 발생합니다. 내부 릴레이 커넥터에 적절한 권한이나 원본 IP 선언이 없으면 발신 메시지의 DKIM 서명이 깨지거나 SPF 소프트 페일이 발생할 수 있습니다.

또 다른 빈번한 문제는 SMTP 클라이언트 제출 또는 직접 보내기 방식을 사용해 타사 애플리케이션이 Exchange Online을 통해 메일을 중계하는 경우입니다. 이러한 애플리케이션이 기본 사용자 지정 도메인을 발신자 주소로 사용하면서 SPF 레코드에서 명시적으로 승인되지 않았거나 앱 전용 사서함을 통해 인증되지 않은 경우, 스팸 필터가 메시지를 빠르게 표시합니다. Exchange 관리 센터의 메시지 추적 로그를 검토하면 이러한 인증 격차를 일상 업무에 영향을 주기 전에 찾아낼 수 있습니다.

결론 및 다음 단계

Exchange Online에서 사용자 지정 도메인을 보호하는 일은 기본적인 사서함 생성과 일정 공유를 훨씬 넘어서는 작업입니다. SPF, DKIM, DMARC를 확실히 이해하면 조직의 커뮤니케이션을 신뢰할 수 있고, 규정을 준수하며, 전 세계 수신자의 받은 편지함에 안전하게 전달할 수 있습니다. 기본 메일 아키텍처, 공유 사서함, 클라우드와 하이브리드 전략을 더 알아보려면 팟캐스트의 전체 에피소드 듣기를 꼭 확인해 보십시오. Microsoft의 대표 이메일 엔진 내부에서 일어나는 일을 전문 용어 없이 명확하게 풀어 설명합니다.

자주 묻는 질문

Exchange Online의 SPF include 문자열은 무엇입니까?

Microsoft 365 Exchange Online의 표준 SPF include 문자열은 include:spf.protection.outlook.com입니다. 이 설정은 수신 서버에 도메인의 발신을 위해 Microsoft가 승인한 클라우드 발신 인프라를 신뢰하도록 알려 줍니다.

Exchange Online은 DKIM을 자동으로 사용하도록 설정합니까?

아닙니다. Microsoft는 인프라를 제공하지만, 관리자가 Microsoft Defender 포털에서 DKIM을 직접 사용하도록 설정하고 필요한 CNAME 레코드를 공개 DNS 등록 기관에 게시해야 합니다.

권장되는 DMARC 시작 정책은 무엇입니까?

권장되는 시작 정책은 p=none입니다. 이 정책을 사용하면 이메일 전달에 영향을 주지 않고 DMARC 집계 및 포렌식 보고서를 수집할 수 있으므로, 더 엄격한 격리(quarantine) 또는 거부(reject) 정책을 적용하기 전에 정상적인 메일 발신 출처를 파악하는 데 도움이 됩니다.

Exchange Online 이메일이 스팸 폴더로 가는 이유는 무엇입니까?

도메인에 SPF, DKIM 또는 DMARC 레코드가 제대로 구성되어 있지 않거나 발신 IP 주소의 평판이 좋지 않은 경우 이메일이 스팸으로 분류되기 쉽습니다. 이러한 인증 프로토콜을 설정하면 발신자 평판이 쌓이고 받은 편지함에 제대로 도달하도록 할 수 있습니다.