이메일 포워딩은 왜 모든 걸 망가뜨리는가
SPF는 첫 relay에서 죽는다. DKIM은 메일링 리스트가 본문을 건드리는 순간 깨진다. 그리고 DMARC가 40년 된 골칫거리를 반송 메일로 바꿔놓는다. 이메일에서 가장 확실하게 고장 나는 기능 이야기.
블로그
프로토콜, 보안 사건, 그리고 인터넷이 실제로 작동하는 방식. 147편.
DKIM Alignment: 다들 헷갈리는 바로 그 부분
DKIM 서명이 유효하다고 DMARC를 통과하는 게 아니다. 서명은 '어떤 도메인이 서명했다'만 증명한다. 그 도메인이 당신의 From 주소를 대변할 자격이 있는지는 alignment가 결정한다.
DMARC 채택 현황: 2026년에도 여전히 장식
DMARC가 '있다'는 도메인의 절반 이상이 집행을 안 한다. 대개 p=none — 감시만 하고 차단은 안 한다. 사이렌 없는 화재 감지기다.
이메일 인증 5개 전부 갖춘 도메인이 얼마나 될까?
SPF, DKIM, DMARC, MTA-STS, BIMI — 5개 표준, 20년. 다섯 개를 다 갖춘 도메인 수를 깔끔하게 내놓을 수 있는 사람은 없다. 다만 부분적인 측정들은 모두 같은 방향을 가리킨다.
SPF 10-Lookup 제한: 20년 된 실수
RFC 7208은 SPF를 DNS 조회 10회로 제한한다. 초과하면 이메일 인증이 조용히 깨진다. 2006년에는 말이 됐다. 지금은 아니다.
2단계 인증은 피싱을 막지 못한다
2FA는 크리덴셜 스터핑을 막는다. 2026년에 실제로 세션을 훔치는 실시간 피싱 프록시는 거의 늦추지도 못한다.
이메일 인증에 프로토콜이 5개나 필요한 이유
SPF, DKIM, DMARC, BIMI, MTA-STS — 이메일은 40년 된 시스템 위에 프로토콜을 계속 쌓고 있다. 왜 교체하지 않는 걸까.