2026년 11월 5일부터 Microsoft의 소비자 메일 서비스는 DMARC 레코드를 게시하지 않은 도메인에서 오는 일부 이메일을 차단하기 시작했습니다. 만약 귀사가 outlook.com, hotmail.com, live.com 또는 msn.com 주소를 사용하여 고객, 공급업체 또는 지원자에게 이메일을 보낸다면, 현재 일부 메일이 반송될 수 있습니다. 아무도 이를 발표하지 않았습니다. 해결책은 단 하나의 DNS 레코드입니다.
핵심 요약 (Key takeaways)
- Outlook.com, Hotmail, Live 및 MSN은 이제 DMARC 레코드가 없는 도메인에서 오는 일부 메일을 거부합니다.
- 이는 대량 발신자(bulk senders)뿐만 아니라 Microsoft가 발표한 규칙이 적용하는 일반적인 저용량 발신자에게도 영향을 미칩니다.
- 메시지 중 일부만 반송되므로, '내 메일은 잘 전달되고 있다'는 것이 귀사의 도메인이 안전하다는 것을 의미하지 않습니다.
- 해결책은 단 하나의 TXT 레코드인
v=DMARC1; p=none 입니다. 이 레코드는 다른 수신자가 귀하의 메일을 처리하는 방식에는 아무런 변화를 주지 않습니다.
반송되는 메시지의 모습 (What the bounce looks like)
발신자는 다음과 같은 형태의 반송을 받으며, 뒤따르는 대괄호 안의 서버 이름과 ID는 메시지마다 다릅니다:
550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)
첫날에는 (AS9031519) 코드가 없이 동일한 거부가 돌아왔습니다:
550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records
이 문구는 무언가 심각하게 잘못되었음을 시사합니다. 보통은 그렇지 않습니다. 저희가 확인한 반송된 도메어들은 대부분 정상적으로 작동하는 SPF를 가지고 있었고, 많은 경우 DKIM도 갖추고 있었습니다. 그들이 부족했던 것은 이 두 가지(SPF와 DKIM)를 From 주소에 연결해주는 DMARC 레코드였습니다.
무엇이 바뀌었는가 (What changed)
Microsoft는 발표된 발신자 규칙을 가지고 있습니다. 2025년 5월부터 Outlook.com으로 하루 5,000개 이상의 메시지를 보내는 도메인은 SPF, DKIM 및 DMARC를 통과하거나 550 5.7.515 Access denied 오류를 받도록 해야 했습니다. 이 규칙은 마케터와 대량 발신자를 대상으로 하며, 대부분의 소규모 기업들은 이것이 자신들에게 적용되지 않는다고 당연하게 여겼습니다.
이번 새로운 거부 방식은 중요한 면에서 다릅니다:
소규모 발신자에게도 영향을 미칩니다. 작은 사무실에서 온 한 줄 답장조차 반송될 수 있습니다.
공식 발표가 없었습니다. 11월 6일 현재까지 Microsoft는 이와 관련하여 아무것도 게시하지 않았습니다: 포스트마스터 공지, 블로그 게시물, 서비스 상태 항목 모두 없습니다.
무엇이 실패했는지 알려주지 않습니다. 5.7.515 반송 메시지는 SPF, DKIM 및 DMARC 결과를 나열합니다. 하지만 이 메시지는 단순히 레코드가 누락되었다고만 말합니다.
저희는 이 반송 메시지들을 11월 5일 자체 아웃바운드 로그에서 처음 확인했습니다. 다른 관리자들로부터의 공개 보고도 같은 날부터 나타나기 시작했습니다.
놓치기 쉬운 이유
Microsoft는 영향을 받는 도메인의 메일 일부만 거부합니다. Hotmail 주소로 보내는 메시지 중 하나는 통과하고, 다음 메시지는 반송되며, 재전송은 성공할 수 있습니다. 이러한 불일치가 이 상황을 위험하게 만듭니다: 메시지를 보낸 사람은 약어들로 가득 찬 반송 메시지를 보고 오류라고 가정하며 넘어갑니다. 상대방 고객은 메시지가 전송되었다는 사실 자체를 알지 못합니다.
귀하의 비즈니스가 개인 주소(환자, 주택 소유주, 지원자, 부모, 회원)에 있는 사람들에게 도달하는 것에 의존한다면, 그 비용은 조용합니다. 도착하지 않는 청구서, 전달되지 않는 예약 확인서, 마치 누군가를 무시한 것처럼 보이는 답장 등이 그것입니다.
귀하의 도메인이 영향을 받고 있나요?
도메인에 DMARC 레코드가 없으면 노출됩니다. 어떤 터미널에서든 몇 초 만에 확인할 수 있습니다. example.com을 귀하의 도메인으로 대체하세요:
dig +short TXT _dmarc.example.com
"v=DMARC1로 시작하는 줄은 레코드가 있다는 의미입니다. 아무런 출력도 없다는 것은 레코드가 없다는 뜻입니다. 이것이 바로 이 거부 조치가 목표로 하는 경우입니다.
해결책은 하나의 DNS 레코드입니다
DNS 호스트에서 TXT 레코드를 추가하세요:
Name:_dmarc
Value:v=DMARC1; p=none
p=none은 안전한 시작점입니다. 이는 귀하의 도메인이 DMARC를 사용한다고 선언하고 수신자에게 보고서를 보내달라고 요청하지만, 실패 시 아무런 조치를 취하지 말라고 지시합니다. Gmail, Yahoo 또는 다른 사람이 귀하의 메일을 처리하는 방식에는 아무런 변화가 없습니다.
한 가지 조건이 있습니다. DMARC는 오직 'From' 주소에 있는 도메인에 대해 SPF 또는 DKIM 중 하나가 통과할 때만 작동합니다. 둘 다 정렬되지 않으면, DMARC 레코드만으로는 도움이 되지 않습니다. 우리는 정렬(alignment)이 어떻게 작동하는지, 그리고 왜 대부분의 설정에서 문제가 발생하는지 'SPF, DKIM, 및 DMARC는 더 이상 선택 사항이 아니다'라는 글에서 다루었습니다.
세 가지 레코드에 대한 확인을 포함한 단계별 지침은 Outlook.com 5.7.1 오류 가이드에 있습니다.
MailRoute를 통해 메일을 보내는 경우
MailRoute 아웃바운드 릴레이(outbound relay)를 통해 보낸 메일은 이미 DMARC가 요구하는 두 가지 확인 절차를 모두 통과합니다:
SPF. 귀하의 메일은 자체 도메인을 엔벨로프 발신자(envelope sender)로 유지하며, include:spf.mailroute.net을 승인하는 서버에서 전송됩니다.
DKIM. 우리는 모든 아웃바운드 메시지에 귀하의 도메인을 사용하여 서명하며, 이 과정에는 귀하의 CNAME 레코드인 mr01, mr02, 그리고 mr03이 가리키는 키가 사용됩니다. 세 가지 모두 게시하여, 저희가 키를 로테이션(rotate)할 때 귀하의 서명이 끊어지지 않도록 합니다.
MailRoute 발신자의 경우, DMARC 레코드가 전체 해결책입니다. 이 레코드가 제자리를 잡으면, Outlook.com은 인증하는 도메인을 확인하고 DMARC가 두 가지 검사 중 어느 쪽이든 통과하게 됩니다. MailRoute 아웃바운드 릴레이에 대한 DMARC 게시 가이드는 사용자가 준비되었을 때 p=none에서 강제 적용(enforcement)까지 안내합니다.
MailRoute를 통해 메일을 보내지 않는 경우
DMARC 레코드가 여전히 해결책이지만, 귀하의 메일을 전송하는 서비스가 귀하의 도메인에 대해 SPF 또는 DKIM을 통과해야 합니다. 예를 들어, Microsoft 365는 사용자가 자체 도메인에 대한 DKIM을 활성화하기 전까지 자체 onmicrosoft.com 도메인으로 서명하며, 이 서명은 DMARC 계산에 포함되지 않습니다. 저희 자매 회사인 mxio는 모든 발신자를 위한 이 오류 가이드와 페이지에서 귀하의 도메인을 테스트하는 검사기를 제공합니다.
앞으로의 방향성
이것이 모든 주요 메일박스 제공업체가 따르고 있는 패턴입니다. 요구 사항은 대량 발송자들로부터 시작하여 마감 기한과 함께 발표되고, 이후 모두를 위한 기본 기준(baseline)으로 조용히 자리 잡게 됩니다. DMARC의 p=none은 이제 모범 사례가 아니라 최저선(floor)이 되었습니다.
이는 나쁜 일이 아닙니다. 스푸핑(Spoofing)은 오늘날 피싱(phishing)과 비즈니스 이메일 컴프로마이스(business email compromise)의 상당 부분이 시작되는 방식이며, 인증된 도메인은 사칭하기가 훨씬 어렵습니다. 오늘 귀하의 메일을 Outlook.com으로 전달받게 해주는 p=none 레코드 역시, 수신자에게 귀하의 도메인을 위조한 메일은 거부하도록 지시하는 p=reject로 나아가는 첫 단계입니다.
만약 출고되는(outbound) 메일을 첫날부터 올바르게 서명하는 릴레이(relay)를 원하신다면, 저희 설정 문서를 통해 SPF, DKIM 및 DMARC에 대해 알아볼 수 있으며, 준비가 되실 때 언제든지 체험판을 시작할 수 있습니다. 오늘 레코드를 추가하세요. 몇 분밖에 걸리지 않으며, 메일이 사라질 이유를 하나 줄여줍니다.
