DKIM이란?

정의

DKIM은 키 쌍을 사용합니다. 발신 시스템이 개인 키를 보관하고 이 키로 발신하는 각 메시지에 서명하며, 서명 대상에는 본문과 From, To, Subject 같은 선택된 헤더가 포함됩니다. 서명은 서명 도메인과 셀렉터 이름과 함께 헤더에 담겨 전달됩니다.

이와 짝을 이루는 공개 키는 DNS의 selector._domainkey 뒤에 도메인을 붙인 위치에 게시됩니다. 수신자는 이를 조회하여 서명을 검증합니다. 통과했다면 서명된 부분이 발송된 그대로 도착했고, 귀사의 키를 가진 시스템에서 보냈다는 뜻입니다.

무엇을 견디고 무엇이 깨뜨리는가

• 전달: 메시지를 변경 없이 전달하면 서명은 유효하게 유지됩니다. 서명이 출처 서버가 아니라 메시지에 속하기 때문입니다. 이 점에서 DKIM은 SPF보다 낫습니다.
• 전송 중 변경: 푸터를 붙이거나 제목을 수정하는 메일링 리스트, 본문을 다시 쓰는 필터는 서명을 깨뜨립니다.

발송 서비스마다 키 하나

귀사 도메인으로 발송하는 모든 서비스는 각각 DKIM을 따로 켜야 합니다. Microsoft 365, 뉴스레터 플랫폼, 청구서를 이메일로 보내는 회계 프로그램이 그 예입니다. 각 서비스는 자체 셀렉터 아래에 자체 공개 키를 게시하므로 여러 개가 나란히 존재할 수 있습니다. Microsoft 365에서는 Microsoft가 관리하는 키를 가리키는 CNAME 레코드 두 개를 추가합니다. Google Workspace는 게시할 TXT 레코드를 제공합니다. 자체 서명 없이 발송하는 서비스는 DMARC를 강제 적용한 뒤 실패가 발생하는 일반적인 원인입니다.

서비스와 DNS 호스트가 지원하는 경우 2048비트 키를 사용하고, 키는 때때로 교체하세요. 셀렉터 방식 덕분에 메일을 중단하지 않고 교체할 수 있습니다.

기업에 중요한 이유

유효한 서명은 수신자가 귀사의 메일을 신뢰할 근거가 되며, DMARC가 이를 From 주소와 연결할 수 있게 합니다. DKIM만으로는 검증에 실패한 메시지를 어떻게 처리할지 알 수 없습니다. 이메일 인증 가이드를 참고하세요.

KawaConnect의 DKIM 지원 방식

Microsoft 365를 설정하거나 마이그레이션할 때 Exchange Online에서 DKIM 서명을 켜고 레코드를 게시한 다음, 기업이 메일을 발송하는 다른 서비스도 점검합니다. Microsoft 365 페이지와 업무용 이메일 가이드를 참고하세요.

자세히 보기

• Wikipedia의 DomainKeys Identified MailDKIM 서명과 셀렉터가 작동하는 방식에 대한 중립적인 개요.
• Microsoft 365의 이메일 인증Microsoft의 개요와 사용자 지정 도메인에서 DKIM을 켜는 절차 링크.
• Cloudflare의 DMARC, DKIM, SPFDKIM이 나머지 두 레코드와 어떻게 맞물리는지, 비전문가를 위해 쓴 설명.